金融公司正在尋求把他們的安全基礎設施擴展到他們的業務合作伙伴、服務提供者和客戶中去。他們為了實現這種擴展而使用的主要技術之一是加密技術。不管公司是擔心敏感信息在因特網上傳送時有被截獲的可能，還是要考慮必須遵從那些要求保護個人識別信息（PII）或者其他機密數據的規則，唯一的保護數據不被窺探的方法就是讓信息不可讀，當然除了授權的單位可以讀之外。但是當公司開始涉及為了保護通信而進行的加密服務時，他們會面臨更多的、預想不到的部署問題。

　　為了理解加密技術怎么工作的，你必須清楚一個加密服務是由三個部分組成的：進行加密的系統，對信息進行加密的加密標準，加密標準用來解碼信息的密鑰。為了成功的加密/解密信息，這些部分的三個層面在發送方和接受方之間必須相輔相成。

　　***個部分——加密系統，可以有以下三種類型：

•  應用程序—比如，電子郵件客戶端，插件和本機加密模塊。
•  基礎設施服務—比如，信息邊界設備、門戶網站、網絡服務通信，保護FTP服務器安全。
•  保護通信安全—比如，TLS/SSL和會話發起協議（SIP）

　　問題是，這些加密系統不一定能相互兼容。如果一個公司的雇員加密了一個包含PII信息的文檔，并把它發送到了公司的業務合作伙伴，那么接收人將會發現：如果沒有跟原來的加密系統配對的解密系統，文檔是不可讀的。

　　發送方和接收方不僅僅要有相輔相成的加密系統，接收方還必須能夠支持發送方系統所采用的加密標準。有多種加密標準，包括：公共密鑰基礎（X.509），加密的HTML，基于身份的加密（IBE），安全/多用途互聯網郵件擴展S/MIME，會話發起協議SIP，可擴展的消息處理和現場協議（XMPP），OpenPGP 和 TLS等。一些應用程序和設備可能不支持某種加密標準。舉個例子，黑莓手機可能無法輕松地破譯桌面應用程序加密的文件，只是因為黑莓平臺不支持相應的加密標準。

　　***，如果上面的問題還不夠復雜的話，為了成功的加密/ 解密通信內容，接收方必須要得到一個密鑰或者密碼來解碼加密的信息。接受方還必須清楚加密密鑰是對稱的還是不對稱的。某些情況下，比如傳輸層加密，這個信息對最終用戶是隱藏的；但是從應用程序或者一個電子郵件系統中開始的加密來說，為了接受方能夠訪問信息，密鑰必須提前導出或者取得。不管是哪種情況，密鑰管理和密鑰的分發都可能會花費很大的精力，尤其是當公司擁有大量的合作伙伴或者客戶的時候。需要特別指出的是，用戶訪問安全信息會很麻煩，因為用戶一般都會被限制訪問公司資源，但是獲得密鑰必須簡單，以緩解售后服務帶來的壓力。

　　同任何一個企業范圍內的服務一樣，公司必須認真規劃和設計在跟業務合作伙伴和客戶的通信中怎樣使用加密技術。這通常包括建立一個技術體系結構，建立發送敏感信息的新過程，為了讓接受方共享怎樣解密信息而建立新的跟外面連接的通信渠道等。有些情況下，還必須為發送方和接受方建立培訓項目，培訓他們怎樣成功的利用加密技術相互通信。

　　企業必須了解他們希望與之進行通信的用戶的能力，以及是否為用戶管理和運行這些服務。另外，對于那些有大量用戶的外部實體，為了用戶的應用程序能都得到必要的、用來解密信息的密鑰，一般都需要一個很方便的注冊過程。

　　由于管理安全通信的復雜性，許多金融公司決定只在其因特網的門戶網站和網絡應用程序中保留安全內容。然后，他們引導業務合作伙伴和用戶去訪問這些網站，在那里他們授權這些人并讓這些人有權訪問公司的敏感信息。這樣做可以把加密體系機構限制在公司范圍之內，進行更有力的保護控制。雖然這樣的短期“拉攏”加密服務不需要給眾多的遠程用戶單獨設置加密服務，但是實施這種方案的成本，還有用戶培訓、支持和維護來管理這些服務的成本已經可以讓很多公司的預算吃緊。但是直到組成加密服務的這三個部分的通用標準完善之前——或者至少減少一些選擇之前——這可能是最可行的方案。

　　另一方面，保險行業通過代理商技術委員會（ACT）——美國獨立保險代理人和經紀人機構的一部分，在2006年的一個報告（“電子通信運營商獨立代理特惠制”）中對安全通信事宜做了規定。報告中指出，代理人可以指定他們想怎樣從運營商接收安全通信。他們普遍認為，他們希望通過一個帶有安全TLS/SSL 鏈接的電子郵件通知得到用戶PII信息，而這個TLS/SSL鏈接可以讓他們連接到包含這些信息門戶的運營商網站。

　　雖然這個報告只針對了一個群體，但是保險公司確實開始在推動發送敏感信息業務朝著規范化的方向發展。在金融公司能夠把他們的安全通信系統推廣到公司外部之前，其他的行業部門需要進行類似的工作，從而減少業務加密帶來的復雜性需求。