Por supuesto, tendrías que hacer una evaluación de riesgos detallada para responder esta pregunta, pero algunos puntos pueden tranquilizarte:
- Exchange siempre cifra todo el tráfico RPC, cliente-servidor y servidor-servidor. Se basa en el sistema operativo para esto, por lo que el algoritmo varía: creo que normalmente es RSA o CAST?
- Y siempre cifra todo el tráfico HTTP interno con TLS.
- De forma predeterminada, siempre intenta utilizar TLS cuando habla con hosts de correo externos (y puede evitar que vuelva a SMTP simple por host)
- Todos los clientes remotos se conectan a través de HTTPS.
- Exchange tiene enganches para una estrecha integración con los sistemas anti-malware, anti-spam y de respaldo, ya sea de MS u otros proveedores.
- Exchange tiene una estrecha integración con BES para Blackberry; y los iPhones usan Microsoft ActiveSync para su correo electrónico push, que fue diseñado para Exchange.
- Exchange tiene opciones de topología que le permiten colocar un servidor perimetral de funcionalidad limitada en la DMZ.
- Exchange admite IRM y S / MIME para cifrar / firmar mensajes individuales.
- Exchange tiene características de capacidad de recuperación / capacidad de recuperación bastante completas
- Exchange tiene opciones de cumplimiento integradas (por ejemplo, retención y descubrimiento de correo electrónico)
Para su pregunta específica de Outlook, Outlook tiene una función llamada Outlook en cualquier lugar que envuelve el tráfico RPC en HTTPS. Se usa automáticamente cuando el cliente detecta que no está dentro de la red.
Sin embargo, Exchange no realiza ninguna autenticación en sí misma; depende completamente de Active Directory, de hecho, en realidad no existe una "cuenta de Exchange", por lo que tener contraseñas de inicio de sesión y de correo electrónico por separado no es trivial. Creo que algunas personas lo administran al tener un dominio de AD separado para Exchange, pero esto significa mucho trabajo adicional.