M365 中的非活動信箱存在重大的隱藏風險和成本，在我們最近的部落格文章中，我們概述了與 Microsoft 365 中非活動郵箱相關的挑戰。雖然 M365 非活動信箱提供了一定的數據存儲優勢，但如果未加以妥善管理，將導致 安全風險、隱性成本增加和合規問題。企業應採取 策略性管理，確保數據安全、降低不必要的開支，並符合法規要求。透過 建立明確的數據保留政策、使用適當的歸檔工具、強化安全控制與定期審查，企業可以有效管理非活動信箱，確保業務運營高效且合規。
M365非活動信箱重大隱藏風險和成本
隨著企業越來越依賴 Microsoft 365 (M365) 來管理電子郵件和業務數據，非活動信箱（Inactive Mailboxes）成為 IT 管理和合規性中的一個隱藏風險點。許多企業在員工離職、組織變更或合規性存檔需求下，會選擇保留這些信箱，然而，這種做法可能帶來 安全風險、隱性成本和合規問題。本文將深入探討 M365 非活動信箱的潛在風險及其對企業運營的影響。
非活動信箱的定義與常見使用情境
非活動信箱 是指 M365 中不再與有效用戶帳戶關聯的信箱，通常出現在以下情況：
- 員工離職或內部調動：公司保留前員工的郵件記錄以滿足合規或業務需求。
- 法律與合規存檔：企業可能因法律要求（如 eDiscovery 或法規遵從）保留某些郵件記錄。
- 數據備份需求：某些 IT 團隊將非活動信箱視為長期存儲解決方案，以保留歷史通信記錄。
這些信箱雖然不再由活躍用戶使用，但仍然存儲大量數據，並受到企業 IT 政策的約束。
重大隱藏風險
安全風險：數據外洩與未授權存取
非活動信箱仍然存儲大量敏感信息，包括內部文件、客戶數據和商業機密。如果 IT 部門沒有適當的管理，這些信箱可能會成為潛在的安全漏洞：
- 未經監控的帳戶存取：如果帳戶未適當停用或刪除，可能會被前員工或攻擊者利用。
- 網路攻擊目標：駭客可能透過社交工程或憑證外洩來存取這些信箱，進而發起釣魚攻擊或數據盜竊。
- 權限管理混亂：未妥善管理的非活動信箱可能會被不適當的用戶存取，導致內部數據洩露。
💡 解決方案：企業應確保非活動信箱受 多因素驗證 (MFA)、存取控制 (Access Control) 和 定期審計 保護，以降低安全風險。
隱性成本：M365 訂閱費與存儲成本增加
許多企業認為非活動信箱不會產生額外費用，但事實上，這些信箱仍然佔用 M365 的儲存空間，可能導致不必要的支出：
- M365 訂閱費：若非活動信箱仍與某些 M365 計劃關聯，企業可能需要繼續支付訂閱費。
- 附加存儲成本：M365 內部信箱存儲受限，若未妥善管理，可能導致 Exchange Online 存儲溢出，進而需要購買額外的存儲空間。
- IT 管理與維護成本：非活動信箱仍需 IT 團隊管理，包括存取權限、合規性監控和數據保護，增加隱性人力成本。
💡 解決方案：企業可透過 策略性歸檔（如將舊信箱數據轉移至 OneDrive、SharePoint 或其他長期存儲解決方案）來減少不必要的 M365 成本。
合規與法律風險
許多企業出於合規要求保留非活動信箱，但如果未能妥善管理，反而可能引發 法律責任與監管風險：
- 數據保留與刪除政策不明確：不同法規（如 GDPR、CCPA、SOX）對數據保留時間有不同規定，未遵守規範可能面臨罰款或法律訴訟。
- eDiscovery 與法律調查成本增加：在法律訴訟或調查期間，企業可能需檢索舊郵件記錄，未妥善分類的非活動信箱將增加調查難度與成本。
- 數據隱私合規問題：部分隱私法規要求企業在特定期限內刪除個人數據，未能及時刪除非活動信箱中的敏感信息可能違規。
💡 解決方案：企業應制定 清晰的數據保留政策，定期審查非活動信箱的內容，確保符合法規要求。
如何有效管理非活動信箱？
為降低風險並控制成本，企業可採取以下最佳實踐：
✅ 1. 建立非活動信箱管理策略
- 明確定義 保留與刪除政策，確保符合企業內部 IT 準則與法規要求。
- 制定 自動歸檔與刪除計劃，避免不必要的數據堆積。
✅ 2. 採用合適的歸檔與備份解決方案
- 使用 Microsoft 365 Compliance Center 或 第三方歸檔工具（如 X1 Search、Barracuda、Proofpoint）來有效存儲舊信箱數據。
- 針對長期保留需求，考慮將郵件遷移至 SharePoint、OneDrive 或 AWS/Azure 存儲，降低 M365 存儲成本。
✅ 3. 強化安全與存取控制
- 啟用 多因素驗證 (MFA)，確保即使信箱仍保留，也不會被未授權用戶存取。
- 定期審查 存取權限與活動日誌，防止潛在的數據外洩。
✅ 4. 進行合規性與風險評估
- 確保所有非活動信箱符合 GDPR、CCPA、HIPAA 等監管要求。
- 企業應定期進行 數據審計與風險評估，確保合規性並降低潛在罰款風險。
微軟權限內的可見性有限
Microsoft Purview 允許具有電子資料展示管理員角色的使用者（每個使用者都配備 E5 授權）搜尋活動和非活動郵箱，以滿足法律或監管要求。然而，管理員面臨的第一個障礙就是要確定哪些郵箱處於非活動狀態。非活動信箱不會出現在標準活動使用者清單中，需要透過 Purview 或 Microsoft 365 管理中心來定位。更大的挑戰是 Purview 的限制：當您查詢非活動郵箱時，它只會顯示最多 5,000 個 – 即使存在更多。例如，我們的一個客戶發現使用 X1 後有數萬個額外的非活動郵箱，遠遠超過了 Purview 的 5,000 個限制。更為複雜的是，Purview 無法區分因訴訟保留而處於非活動狀態的郵箱和因其他原因而被保留的郵箱，導致組織無法快速確定哪些郵箱真正受到合法保留。
如何建立非活動信箱
這個問題部分源自於 Microsoft 365 建立非活動使用者的過程。在為新員工釋放 M365 許可證的壓力下，管理員可能會在離職用戶的帳戶上放置保留或保留標籤“以確保安全性”，直到他們知道如何管理該用戶的資料。一旦許可證被取消，寬限期就開始了；過期後，郵箱將被移至非活動郵箱集合，以確保其內容仍然可被發現，以用於電子資料展示和合規性目的。
但是，一旦不再需要這些保留，就沒有內建機制來自動刪除它們，因此 IT 和法律團隊必須手動幹預。因此，人員流動率高的組織通常會保留比必要多得多的非活動信箱。這不僅會增加法律風險，而且當微軟在 2025 年 1 月 27 日開始在保留和合法保留的非活動 M365 帳戶收取儲存費用時，還會產生額外的費用。
X1 Enterprise一種簡化的方法
借助 X1 Enterprise，法律和合規專業人員現在只需使用單一 E5 許可證即可直接在平台內處理非活動郵箱，並且不受 Purview 的 5,000 個非活動郵箱清單限制的限制。這種直接整合可確保所有已儲存的郵箱均可存取和操作。
更好的是，我們的許多客戶都採用 X1 Enterprise 對 M365 帳戶和其他來源（例如離職員工的筆記型電腦）主動執行有針對性的保留收集，這一簡化流程可顯著降低成本和風險。
如果您對 M365 中的非活動郵箱還有其他疑問，並且想要諮詢有關非活動郵箱範圍的免費「健康檢查」評估，請透過以下連結與我們聯絡。