公安部令第176号实施后，Exchange Server 2019该升级还是迁云？

公安部令第176号实施后，收到公安机关要求修补Exchange漏洞的企业，应先落实适用补丁，再核对Exchange 2019可获得的更新边界。本文以300用户、三年周期比较本地许可、Exchange SE与世纪互联云端邮箱订阅，并说明补丁以外的邮件安全措施。

企业评估Exchange邮件系统本地升级、迁移云端与持续安全防护方案

公安部令第176号落地后，Exchange 2019该升级还是迁云？

公安部令第176号自2026年10月1日起施行。近期，一些在华外企的IT团队反馈，公安机关来电已明确要求对Exchange服务器安装安全补丁、整改漏洞。对仍运行Exchange Server 2019的组织来说，实际问题不只是“要不要打补丁”，而是现有许可还能更新到哪个版本、补丁后下一步怎么走：继续留在本地、迁移到受支持的本地版本，还是转向云端？三年投入和安全责任分别是什么？

这两层要求要分开看：具体来电可能针对某台服务器明确要求补丁整改；第176号令第七条第（七）项也将是否针对网络安全漏洞、隐患采取整改措施列为检查重点。但法规没有统一点名Exchange，也没有要求所有组织购买指定产品或采用同一迁移路线。收到要求后，核实适用资产、具体漏洞、整改期限和可用补丁，并形成变更与复测记录；同时按正式程序确认检查范围和对接事项。

企业邮件系统在本地升级、迁移云端与持续安全防护之间进行决策

先看清第176号令检查什么，不要把提醒误读成统一升级令

办法第四条规定，公安机关可以依法通过线上巡查、漏洞扫描等方式发现风险；对关键信息基础设施以外的网络设施和信息系统开展远程漏洞探测、渗透性测试，应符合规定的主体、提前告知、范围和不得影响正常运行等要求。第七条将防范网络攻击、针对漏洞采取整改措施、落实等保以及数据和个人信息保护等列为重点检查内容。第十四条还明确，公安机关不得要求被检查对象购买或使用指定产品和服务。

因此，Exchange服务器只是组织网络资产中的一部分。关键是能否说清楚：服务器版本是否仍受支持、已知漏洞如何处置、补丁和变更如何留痕、邮件数据和身份权限如何保护、风险是否经过复测。若接到检查或风险提示，建议核验来电单位与正式文书，不要把商业推销误认为执法要求；同时也不要因担忧而隐瞒资产或销毁记录。

第176号令第四条远程检测程序与企业实践建议分别呈现

Exchange 2019的难点：CU15不等于仍在常规支持期

Microsoft已将Exchange Server 2019列为结束支持产品。公开版本表显示，CU15在Feb26SU之后仍有后续更新，但Microsoft说明：结束支持后的相关安全更新只提供给已加入Exchange Server 2019扩展安全更新（ESU）计划的客户；未加入ESU的组织应迁移到Exchange Server Subscription Edition（SE）以继续获得安全更新。

对国内采购路径而言，能在网页上查到某个构建版本，不等于所有客户都能取得对应授权和更新。若组织无法在国内采购或加入Exchange 2019 ESU，则在现有Exchange 2019授权路径下，按目前可执行的更新方案以CU15 Feb26SU为界；之后的CU15更新属于ESU路径，不能当作所有企业都可获取的普通补丁。采购资格和更新来源，应由Microsoft许可合作伙伴按企业合同与当地渠道核实。

因此，首先按公安机关要求完成适用于当前环境的补丁整改；再把Exchange 2019结束支持带来的持续风险纳入迁移计划。Microsoft支持的长期方向包括迁移到Exchange Server Subscription Edition（SE），或评估Exchange Online。中国大陆可选由世纪互联运营的Exchange Online，但需单独核实服务范围、邮箱功能、归档、数据驻留、合同、支持和合规要求，不能将其与全球版服务视作完全相同。

三年预算：本地许可与云订阅要按同一口径比较

先把比较口径讲清楚：以300个邮箱用户、三年周期为基线。本地许可项包括2套Exchange Server Standard服务器授权和300个Exchange Standard User CAL；将这组本地许可支出归一化为指数100。云端以Microsoft中国官网列出的世纪互联运营Exchange Online计划1价格，按300用户、36个月计算基础邮箱订阅，再换算成同一指数，约为57（即约六成）。下方条形图对比的是本地许可与云端基础邮箱订阅，不是完整TCO，也不是正式报价。

三百用户三年本地许可与云端邮箱订阅费用条形图，本地许可指数为100，云端基础订阅约57

这组比较没有把所有运行成本强行塞进单一数字：本地端还要看服务器和存储是否需要更新、Windows Server与其他依赖授权、备份灾备、机房与运维成本；云端还要看迁移实施、归档、独立备份、邮件安全、身份保护、网络连接及支持费用。当前基准没有计入这些附加项，因此云端指数不能直接解读为云端总拥有成本比本地低四成。若邮箱容量、保留策略或安全要求需要更高等级套餐，预算也要相应调整。

路径本次三年预算口径额外成本/约束
继续本地并修补300用户；2套Exchange Server Standard服务器授权及300个Exchange Standard User CAL；本地许可指数100服务器/存储、Windows授权、备份灾备、维护运维；还需解决Exchange 2019结束支持后的长期路径
迁移到Exchange Server SE按300用户规划SE许可/订阅，服务器与操作系统、并行迁移和持续维护另行核价具体许可条款、硬件兼容性、迁移顺序、备份与运维
迁移到世纪互联运营的Exchange Online计划1300用户×36个月的基础邮箱订阅；相对本地许可基线指数约57迁移实施、归档/保留、独立备份、邮件安全、网络连接、服务支持与功能差异另行评估

不能只比较“服务器授权总价”和“云端每月单价”。公平的比较单位应是同样的用户数、同样的保留与恢复目标、同样的安全能力，以及三年内实际要付的迁移与运维成本。先盘点邮箱容量、归档、共享邮箱、应用中继、会议室资源、邮件流规则、合规保留和备份恢复要求，再让本地和云端方案按同一范围报价。

修补Exchange漏洞，挡不住所有勒索入口

升级和补丁能缩小已知漏洞攻击面，但不能承诺杜绝勒索软件。攻击可能从钓鱼邮件和恶意附件开始，也可能来自即时通讯中的链接、被盗账号、远程接入、供应链、失控的权限，甚至员工插入的未知U盘。把风险归结为“员工点错一次”也不够：组织需要用技术控制降低误操作后果，并让员工知道如何识别、报告和处置可疑内容。

至少要把以下工作纳入持续机制：

  1. 为邮件和身份启用多因素认证，限制管理员权限，及时回收离职和临时账号；
  2. 部署邮件反钓鱼、恶意附件检测、终端防护和可疑登录告警；
  3. 对U盘、宏、脚本和应用安装实施适度控制，并保留业务例外审批；
  4. 采用隔离或不可变备份，定期做真实恢复演练，而不只确认“备份任务成功”；
  5. 用短周期、贴近岗位的培训和演练，覆盖邮件、微信群/即时通讯、二维码、文件共享及USB等场景；
  6. 建立事件报告通道，让员工发现误点后能立即上报，避免因害怕责备而延误处置。

安全培训不是一次性宣讲，也不是把责任推给员工。它应与身份保护、邮件防护、终端管控、备份恢复和事件响应形成闭环，并通过演练和指标持续改进。

给IT负责人一个可执行的决策顺序

第一，核对Exchange版本、CU/SU、服务器操作系统、对公网暴露面和实际许可资格；不要只看CU编号，也要确认当前安全更新是否安装。第二，针对风险提示形成书面整改记录：责任人、时间表、临时缓解措施、正式变更、修复证据和复测结果。第三，比较Exchange SE与中国大陆可用的Exchange Online服务，把三年总拥有成本与业务约束一起评估。第四，把邮件安全、账户治理、备份恢复与持续培训纳入预算，而不是等服务器升级后再补课。

公安部令第176号带来的重点，不是“买哪套产品”，而是组织是否能证明自己识别了风险、采取了合理措施并持续验证。DELine可协助企业盘点Exchange与相关内网资产、核验版本和许可路径、制定本地升级或云迁移方案，并把邮件防护、备份恢复、终端治理和员工培训纳入整体安全改进计划。了解更多请访问DELine官网或联系我们。

参考资料

标签

相关文章