很多团队做数据防泄密，是"出了事才补"。
更稳的做法是反着来：
先看合规要求逼着你做什么，再倒推技术上要落哪几条主线。
等保 2.0、数据安全法、行业监管要求，本质上都在逼同一件事——敏感数据"看得清、管得住、追得到"。
下面从合规倒推，把防泄密的技术主线串一遍。
一、合规先逼你做分类分级
防泄密的第一步不是上工具，是知道"哪些数据敏感"。
等保与数据安全法都要求数据分类分级。
技术上用规则引擎给数据打标：关键字、正则、指纹、机器学习分类，四层叠加。
分类分级判定（概念） if 匹配 关键字/正则 -> 显式敏感（如"合同""报价"） if 匹配 文件指纹 -> 隐式敏感（相似度超阈值） if 机器学习分类置信度>0.9 -> 推断敏感
没分级就管控，等于拿大网捞小鱼，误报和漏报一起炸。
二、主线一：加密，让数据出界即失效
分级之后，高敏感数据优先加密。
文件级透明加密保证"人把文件拷走也打不开"，磁盘级加密保证"设备丢了数据不泄露"。
密钥统一托管（KMS），离职或泄露可服务端吊销。
加密是防泄密的底座，不是全部。
三、主线二：出口管控，把数据往哪走管住
数据出口大致四类：
物理介质（U 盘）、网络外发（IM、邮件、网盘）、打印与屏幕、云时代 API / SaaS。
每类对应一类手段：
U 盘分级（禁用/只读/白名单）、IM 协议还原 + 内容检测、强制水印、以及云账号与数据流向管控。
管控能不能拦住，取决于内容识不识别得准——这正是主线一和主线二的交汇点。
四、主线三：审计与追溯，出事了能定位
事前管控总有漏网，所以"事后能追溯"不可省。
全量行为日志、暗水印溯源（反查拍照/打印的终端与账号）、异常行为识别（短时间批量拷贝、非工作时间外发）。
审计决定了一件事从"发生了"到"定位到人"的距离。
五、落到顺序：别一上来就全拦
合规视角下，落地顺序很重要：
先分类分级看清底数，再加密高敏感数据，接着对高风险出口做管控，全程开着审计。
管控从"审计模式"起步，看清数据流向后再逐步转拦截，避免误报炸群。
人的因素也别漏：
分级访问、最小权限、离职数据交接，这些制度和技术是互补，不是替代。
落地参考
上述"分类分级 → 加密 → 出口管控 → 审计追溯"的技术主线，已在多类终端安全产品中实现。
例如安企神等终端安全管理平台即覆盖了内容识别、透明加密、USB 管控与行为审计的组合能力，可作为对照本文主线做技术选型的参考样本。
落地时建议严格按"先分级、再加密、后管控、全程审计"的顺序推进，而不是一次性全量拦截。
责编：小赵
