很多公司一上来就买 DLP、上加密，结果该防的没防住，业务还被误伤。
文件防泄密的第一步不是上工具，是先把文件"分清楚级"。
一、为什么分级是前提
不分级，就只能一刀切：
要么全拦，业务跑不动；
要么全放，等于没防。
定密分级让防护力度跟着文件价值走，机密文件严控，公开文件放行，资源才不会错配。
常见的四级是：公开、内部、受限、机密。
二、四步落地闭环
第一步，分类分级打标。
给文件打上敏感度标签，作为后续所有策略的触发条件。
第二步，权限与 ABAC。
基于属性的访问控制：谁能看，取决于角色、部门、文件密级，而不是单纯看有没有账号。
第三步，加密与外发管控。
受限和机密文件加密存储；外发走审批，U 盘、邮件、云盘分通道管控。
第四步，审计与溯源。
操作留痕，配合暗水印，泄露可反查到人和设备。
# 文件访问的最小授权判定（ABAC 示意） def allow_access(user, file): rules = [ user.dept == file.owner_dept, # 同部门 user.clearance >= file.level, # 权限不低于密级 not file.exported_without_approval, # 未违规外发 ] return all(rules) # 文件敏感度打标 labels = {"公开": 0, "内部": 1, "受限": 2, "机密": 3}
加密方式也有取舍。
透明加密对业务无感，文件落盘即密，适合普遍防护；
主动加密需要用户手动加，控制更细但体验差。
终端侧用过滤驱动在读写层拦截，做到授权环境可读、陌生环境打不开。
选哪种，取决于你对体验和管控力度的权衡，而不是越严越好。
三、别踩的坑
- 只加密不分级：加密成了负担，正常协作被拖慢
- 策略过严：员工绕路用私人云盘，反而更难防
- 重工具轻制度：没有密级标准，DLP 规则只能拍脑袋定
四、分级标准怎么定
分级不能拍脑袋，要落到可执行的判据。
一个常用思路是看泄露后的影响：
- 公开：对外发布无影响
- 内部：仅内部流转，外泄影响有限
- 受限：业务敏感，外泄有明确损失
- 机密：核心资产，外泄后果严重
判据写进制度，DLP 才能自动打标，而不是靠人工判断。
五、外发审批与溯源
受限和机密文件外发，要走审批流：
谁、发给谁、用途、时效，全部留痕可查。
U 盘、邮件、云盘分通道策略，陌生设备默认只读或禁用。
溯源靠暗水印：
文件嵌入不可见标识，泄露后可反查到人和设备，既震慑也便于追责。
六、合规背景
文件防泄密不是孤立需求。
《数据安全法》《个人信息保护法》都要求对重要数据做分类分级和管控，等保体系里也有相应条款。
把分级做对，既是防泄密，也是合规动作。
七、常见落地节奏
分级别想一步到位。
常见节奏是先做"受限"和"机密"这两级，把最值钱的文件控住，公开和内部先放行，业务不痛；跑顺了再细化到四级标准。
工具也分阶段上：
先上审计留痕，看清楚文件往哪流、谁在动；再上透明加密和外发审批；最后才按数据收紧策略。
一上来就全拦，业务反弹大，策略也因为没数据支撑而调不准。
另一个容易被忽略的：
分级标准要有人维护。业务在变，文件密级也得复盘，半年前的标准可能就过时了。
把它纳入制度而不是一次性项目，才稳。
八、小结
防文件泄密不是堆产品，是先定级、再控权限、再管外发、最后能溯源。分级做对了，后面每一步才有准星。
工具是放大器，标准和制度是地基，别把顺序搞反。
责编：安企神小赵
