一家做机械设计的公司，核心图纸散落在十几台办公电脑上。
老板担心的不只是文件被拷走，更怕某天硬盘被人直接拆走、插到别的机器上就能读。
这类焦虑很普遍——文件在员工电脑上默认是明文，谁能碰到机器，谁就能读。
加密软件要办的，正是"让文件离开这个环境就废掉"。
一、先把"明文"这道根堵上：透明加密打底
办公电脑上最容易被忽视的事实，是文件一直以明文存在。
这一层要做的，是把"文件离开环境就废掉"从根上钉死。
1.透明加密，文档保存即强制加密。
它顶的是"文件带出公司就失效"这一条：员工在公司内部照常用，一旦发到外网、拷去私人设备就变乱码打不开，等于给文件本身上了锁。
2.落地加密，文件存到本地立刻加密。
它沉的是"刚下载就被直接转发"这道缝：不用等打开再处理，落地即密，防止文件刚进机器就被顺手转走。
3.复制和剪贴板加密，针对复制粘贴口子。
它护的是文字被带走的瞬间：粘贴后脱敏成一句"您复制的内容已被加密处理"，最不起眼的复制也带不走内容。
二、不同文件状态，落到不同模式：加密不是一刀切
加密不是一刀切，不同流转场景要啃不同的策略。
1.五种加密模式，按场景区分。
它落的是"日常强制/按策略/只解密/放行/只读"几类：
透明加密管日常强制加密；智能加密按策略判断要不要密；只解密不加密适合只读别人密文；不加密用于完全放行；只读则只让看不让改。
选哪种，看文件性质和流转范围。
2.加密类型覆盖，文档图纸源代码视频。
它填的是"只加密 Word"的局限：真正要防的往往是大体积图纸和代码，加密范围得覆盖得全，才不会被漏掉一类。
三、部门之间还要分权，密钥要够硬：安全区域与国密
同一家公司，研发和财务不该互相看对方文件；密钥本身也得够硬。
1.安全区域，跨部门分权。
它切的是"全公司一把密钥"带来的横向泄露：不同部门分配不同密钥，谁也看不到对方的文件，越权这一环先断。
2.国密 SM3，底层加密算法。
它扛的是"密了但密钥不够硬"的后顾之忧：银行级强度，密钥硬度有底，密文不是纸糊的锁。
四、高密级文件再进保密沙箱：隔离空间收口
密级最高的那类，透明加密之外还能再收一层。
保密沙箱，独立隔离空间。
它兜的是"有权限的人在公司里合法拷走"这一透明加密拦不住的口子：
只有授权程序能创建、编辑、打开文档，文件在沙箱内不加密、离开沙箱自动加密，出门即乱码；
只有授权范围内程序能外发，网络传输可阻断或放行并设例外网段。
五、外出办公，加密也不能失效：离线管控与禁止截屏
带着笔记本出差，设备一丢就是明文风险。
1.离线管控，设有效时间。
它压的是"设备丢失被读"这个场景：开启离线模式、过期后加密文件打不开，丢了也不怕被读，明文风险被压到最低。
2.禁止截屏，防屏幕扒字。
它挡的是有人对着屏幕扒文字：完全禁止，或只禁加密文件截屏，强行截加密区时画面变黑或窗口隐藏，截到的只是一片黑。
收尾：锁的是环境，不是某一个开关
电脑加密软件的本职，是把"文件离开就废掉"这件事做扎实。
对内加密，让明文出不了门；对外防泄密，靠的是把每一道出口也收进边界——透明加密打底、五种模式适配不同文件、安全区域分权、保密沙箱收高密级、离线管控兜外出。
锁的是环境，不是某一个开关。
责编：安企神-小赵
