无论是企业还是个人，都曾遭遇垃圾邮件的困扰。它不仅占用带宽、骚扰个人，还会导致企业数据外泄，更会引发僵尸网络等将毒源散播到更多网络。当中国《企业内部控制规范》施行之时，中国企业当更加重视反垃圾邮件工作。
解析垃圾邮件
中国互联网协会在《中国互联网协会反垃圾邮件规范》中这样定义垃圾邮件：
（一）收件人事先没有提出要求或者同意接收的广告、电子刊物、各种形式的宣传品等宣传性的电子邮件；
（二）收件人无法拒收的电子邮件；
（三）隐藏发件人身份、地址、标题等信息的电子邮件；
（四）含有虚假的信息源、发件人、路由等信息的电子邮件。笔者尚未遇到恶意的垃圾邮件，所以说是“轻量级”了。
追根溯源，当今垃圾邮件产生于：
1、邮箱外泄。由于笔者从事的职业和办公需要，企业邮箱不可避免的通过多种途径被暴露在网上，只要通过专门软件在网络上搜索邮件地址，就能找到，所以无法不受到垃圾邮件的骚扰，只能退而求其次保护私人邮箱。对于私人邮箱，轻易是不会做个人资料填写之用的，所以垃圾邮件极少出现。
2、专业网络营销工具。垃圾邮件发送者会使用一些专用的工具软件，对英文字母采用穷举法，排列出所有的单词组合，如A、AB、BA、ABC、BCA、CBA，然后向所有的组合发送邮件。在笔者的经历里，这种邮件还可以通过制定过滤策略来过滤的，所以也很少出现。
3、感染病毒、木马等。在几个来源里面，笔者对于这一类的侵害，往往用杀毒软件完成。但是，如果不是每天查毒，如果不是杀毒软件功能全面，很有可能还是会陷入带木马的恶意软件等的陷阱。垃圾邮件带来的网上诈欺、网络钓鱼、僵尸网络等皆是导致众多问题的根源。
垃圾邮件的危害不容小视。任何企业中的个人，既是企业用户，也是个人用户。在个人用户的信息受到安全威胁的同时，倘若丢失电脑上的企业账号，企业的数据也面临风险。不仅如此，如果被侵害的计算机和企业服务器黑客利用或成为恶意软件的攻击目标，那么后果将更为严重。除数据安全之外，垃圾邮件占用的网络带宽，造成邮件服务器拥塞，进而降低整个网络的运行效率。09年微软的一份调查报告中曾表示垃圾邮件对带宽的占用率达到85%到90%!
反垃圾邮件近况
正是垃圾邮件频频发威，危害越来越明显，中国通过各种举措和专门机构的管理使得反垃圾邮件工作取得了一定的成果，并在今年跌落垃圾邮件国家前十。根据中国互联网协会反垃圾邮件中心《2009年第四季度反垃圾邮件调查报告》显示中国网民每周收到垃圾邮件的数量为13.84封，比例44.86%。其中，超过5成的被调查者企业邮箱每周收到的垃圾邮件少于10封，估算企业邮箱每周收到的垃圾邮件平均为17.1封，仅占全部收到邮件的23.8%。与上季度调查相比，下降了5个百分点。
图1 企业邮箱每周收到邮件情况（数据来源，中国互联网协会反垃圾邮件中心《2009年第四季度反垃圾邮件调查报告》，2010.1）
虽然中国的反垃圾邮件取得了一定的成绩，但是国际上更细化的调查表明全球用户遭受垃圾邮件的侵害并没有减弱。赛门铁克、谷歌、微软等多家厂商的调查表明，2010年第一季度的垃圾邮件数量比2009年第四季度减少了12%，但仍然高于2009年第一季度的水平。其中，僵尸网络发布的更多的垃圾邮件，恶意软件套牢的邮件地址等让反垃圾邮件工作变得愈加艰辛。
根据EMC提供的2010年4月《RSA网上欺诈报告》显示，60%美国财富500强企业的受侵害电子邮件地址（来自299家公司的电子邮件）在数据池中识别出来。在电子邮件地址被恶意软件捕获的公司中，被捕获的电子邮件数为5个和5个以上的公司占47%，被捕获的电子邮件数为25个和25个以上的公司占8%。
图2 捕获电子邮件数量（数据来源，RSA反欺诈指挥中心，RSA网上欺诈报告[4][2010]）
从目前形势来看，虽然反垃圾邮件取得一些成果，也一直备关注。但是还需要从更深层次来关注和进行反垃圾邮件工作。在中国《企业内部控制规范》的推进过程中，反垃圾邮件又一次受到企业的关注。
反垃圾邮件还需更受重视
笔者从厂商处得知，从去年开始，反垃圾邮件应用比例有所上涨，这与中国的《企业内部控制规范》不无关系。多数企业在购买反垃圾邮件时表示为了应对检查，所以使用反垃圾邮件产品。而部分还没有购买意愿的客户表示等检查来了再上反垃圾邮件系统。目前应用反垃圾邮件较多的是教育、金融、电信行业，制造业客户也有相当的一部分比例，汽车、航天等制造行业使用反垃圾邮件的比例较大。厂商认为，制造业属于数据密集型行业，特别对于一些供应链行业，上下游的沟通不可不用到邮件。倘若垃圾邮件一直不被处理，那么数据安全的风险，被过多占用的带宽将严重影响企业业务的正常运行。因此，制造业应用反垃圾邮件非常必要，而同时厂商有待从成本角度考虑推进制造业中小企业的更多反垃圾邮件产品应用。
从全局来看，2009年4季度企业用户在解决垃圾邮件方面的投入预算比例有所上涨（如图3所示），但是仍有23.49%的用户无预算。这也多少印证厂商所说的一些企业的应用空白。
图3 企业用户在解决垃圾邮件方面的投入预算（数据来源，中国互联网协会反垃圾邮件中心《2009年第四季度反垃圾邮件调查报告》，2010.1）
基于反垃圾邮件上述应用情况，笔者认为，反垃圾邮件还需更受企业重视。撇开厂商的宣传意图不谈，国家之所以出台《企业内部控制规范》，是引导企业改善和完善企业内部管理流程，在这个过程中势必需要企业运用一些新技术或者增加新应用来保证达标，从而全面建立健全的中国企业内部控制规范体制。在这个过程中，企业不应当盲目排斥一些新应用，或者从受限成本来暂时搁置一些亟需的应用，而是应该从“规范”的角度重新规划自身的IT系统应用，合理的算一笔账。
反垃圾邮件、负载均衡等应用安全产品在现在已经走入应用安全主流中，不仅是反垃圾邮件，更多的应用安全应当受到企业的重视。当然，不仅仅是从产品应用角度，企业的个人也可以贡献自己反垃圾邮件的力量。如，退订你不再希望接收的合法邮件、慎重选择注册电子邮件地址的网站、报告漏检的垃圾邮件、删除所有的垃圾邮件等等。希望更多的合理应用受到企业更多的重视，希望反垃圾邮件能取得更多的成绩。
后记：
在国外，一封垃圾邮件在SOX法案面前意味企业一份额度不小的罚单，所以国外企业对反垃圾邮件非常重视。无论是走访企业，还是与厂商交谈，国内企业的认识尚有差距。但是，随着《企业内部控制规范》的全面推行，相信企业能够逐渐改变一些意识，走在应用前端。
