文件不会自己长腿跑，它只会在五个地方被带走——屏幕上、U 盘里、聊天窗口里、打印机里、还有离职员工那台电脑里。

所以一份数据安全方案不用写得很玄，把五个地方一个一个堵上就行。下面按这五个场景讲，每个场景都说清楚三件事：现实里会发生什么、常见做法为什么不管用、具体该怎么设。

安企神软件的能力也是按这五段排的，对照着看不会乱。

一、场景一：文件还在电脑里的时候

会发生什么。 新来的设计住在 D 盘建了个"临时"文件夹，放了三版图纸；财务把成本表存在桌面，还顺手共享给了"所有人"；研发的服务器目录权限是"域用户完全控制"，因为当年图省事。文件还没出门，但门是虚掩的。

常见做法为什么不管用。靠自觉、靠"重要文件放共享盘"、靠共享目录加个密码。这三条的共同问题是：密码一旦给出去就收不回来，文件一旦被另存就脱离管控。

该怎么设。 三件事。

第一，文件落地就加密。员工新建、编辑、保存照常，系统在后台自动加密，他自己感觉不到；文件在公司授权的电脑上正常打开，被拷到外面就是一堆乱码。这一步相当于给每个文件配了一把只在本公司有效的锁。

第二，按目录和密级分权限。核心图纸只有项目组能看，成本表只有财务和管理层能看，跨部门要借阅就走申请。不要再用"共享文件夹+一个密码"这种全公司通用钥匙。

第三，存量文件批量处理。很多方案上线后只管新文件，几年的老资料还是明文躺在那里——恰恰是这些老资料最值钱。上线前一定要做一轮存量加密。

二、场景二：文件要发给别人的时候

会发生什么。销售把报价单微信发给客户；采购把清单发到自己 QQ 邮箱再下载；设计把图纸压缩包传到个人网盘，让外协厂自己去下。这些动作在员工看来都是"为了干活"，在公司看来每一条都是出口。

常见做法为什么不管用。一刀切禁止外发。结果是员工用手机拍屏幕、用私人邮箱、用家里电脑登录——风险没减少，只是从"看得见的通道"转到了"看不见的通道"。

该怎么设。 关键不是堵，是给一条合规的路。

员工确实要外发时，走一个三步的流程：说明用途、选接收方、设有效期和打开次数，主管审批后生成一个受控的外发包。对方能打开看，但不能随便转发、不能截屏、过期自动失效，谁在什么时候打开过都有记录。

再配一层水印。文件上带工号、时间、IP，即便被拍照外传，也能追到具体的人。水印的作用不是防住，是让人不敢。

一句话总结这个场景：允许发，但发出去的东西要认得回家的路。

三、场景三：文件要带出公司的时候

会发生什么。 三种方式最常见：U 盘拷、移动硬盘拷、打印出来带走。前两种大家都知道要管，第三种最容易被忘掉——纸不受任何软件管，而且带出去最自然，塞进包里就行。

常见做法为什么不管用。 全公司禁用 U 盘。业务部门第二天就会抱怨：给客户演示要拷文件、设备维护要拷日志、外协要拷图纸。禁两周，IT 就得开一次口子；开三次，等于没禁。

该怎么设。 按岗位分级，而不是按公司统一。

研发的电脑 U 盘只写不读，能往里拷、不能往外拷；财务的电脑 U 盘只读，只能用公司发的加密盘；行政和前台的电脑走白名单，登记过的设备才能用。打印按密级控制，核心文档只能在与密级匹配的打印机上打，每份打印带页脚水印，谁打了多少页都有记录。

这里有个实操经验：管控的颗粒度越细，业务部门的接受度越高。因为每个人只会遇到与自己相关的那一条限制，而不是被同一堵墙挡住。

四、场景四：有人正对着屏幕的时候

会发生什么。手机掏出来，对着屏幕拍一张，三秒钟。不插 U 盘、不发邮件、不打印，任何加密和管控都不触发。这是目前成本最低、最难事后追查的一条路，也是研发、设计、财务岗位最现实的威胁。

常见做法为什么不管用。贴防窥膜、规定"禁止拍照"。防窥膜只能防侧面，拍照的人就坐在正面；规定没有技术手段配合，等于没写。

该怎么设。 三个动作，成本不高。

屏幕水印：每台机器屏幕上铺一层淡色的工号和时间，不影响看文档，但一拍就带进照片里。

截屏管控：办公软件、图纸软件里禁止截屏和录屏，或者截出来自动打水印。

摄像头联动：这一条少数产品能做到——摄像头检测到有人举着手机对着屏幕，屏幕直接锁掉，同时拍下对面的人。安企神的工作模式里包含这类能力，对研发车间、设计室这种"一人一屏、旁边总有人"的场景很有效。

五、场景五：文件已经不在了的时候

会发生什么。三种"不在了"：被误删、被勒索病毒加密、被离职的人带走。

前两种是事故，第三种是有意为之。共同点是——如果没有备份，你连"损失了什么"都说不清。

常见做法为什么不管用。备份放在同一台机器、同一个盘、同一个机房。勒索病毒的第一个动作就是删卷影副本，同机备份活不过十分钟。

该怎么设。文件删除备份、修改备份、多版本留存，备份存到终端之外的服务器上；离职时设备远程解绑，客户资料和沟通记录留存并移交给接手的人，而不是跟着人走。

这一段最不"性感"，预算里最容易被砍，但出事时它是唯一的退路。防泄密管的是"数据被拿走"，备份管的是"数据被毁掉"，两件事不能互相替代。

六、五个场景，先做哪个

不用一次全上，按规模和痛点排序。

50—100 人： 先做场景一和场景三（加密 + U 盘与打印），这是投入最小、见效最快的两段。外发先用水印和审批口头流程顶着。

100—300 人：五个场景都要有，重点补场景二（外发审批与外发包）和场景四（水印），这两个是制造业和设计行业泄露的高发段。

300 人以上：五段全上，并且要做集中管理——一个控制台看全网终端的状态，而不是每个部门一套。这个规模上，最大的风险不是"没措施"，是"有几台机器没人管"。

最后回答三个常被问到的问题

员工会不会觉得被监视、抵触很大？

会有一点，关键看怎么讲。管控范围说清楚：只管公司配的电脑、只管工作时间的业务行为、不碰私人手机。领用设备时签一份协议，把规则写在前面。多数员工真正反感的不是"被管"，是"不知道被管"——提前讲明白，抵触会小很多。

加密会不会拖慢电脑、影响 ERP 和 PLM？

内核层的加密对日常办公基本无感，拖慢明显的是"每次打开都先解密到临时目录"那种做法。业务系统的影响靠两件事规避：把业务软件加入授信名单、服务端存密文而不是存明文。上线前一定要拿 CAD 和 PLM 的典型操作实测一遍。

预算只够做一件事，做哪个？

做加密。它是唯一一个"即便所有其他措施都失效，文件带出去也打不开"的手段。其他措施都是"降低概率"，只有加密是"改变结果"。

作者：婵婵

简介：婵婵，网络安全行业撰稿人，长期研究信创终端安全、数据防泄漏、企业合规选型，专注企业终端安全产品测评与行业落地案例分析。

【本文为合作方供稿评测内容，仅供参考】