一个普通工位上，能带走文件的路远不止一条。
有人用聊天窗口把报价表发到私人号，有人把 U 盘插上拷走图纸，有人对着屏幕用手机拍下客户名单，还有人打印一份带出公司。
老板装了安企神，却还是漏了——因为加密只管"出去打不开"，管不住"在公司里被正常发走"。
办公室防泄密，堵的是这些出口。
一、最大的出口：程序外发
办公室里最常被用到的带文件方式，是通过软件发出去。这一层要收的，是最大的那道出口。
- 禁止程序发送文件，封外发通道。
它拦的是"有权限的人合法发走"这一透明加密管不住的缝：邮件、聊天软件、网盘、AI 工具要外发文件，必须经过解密和外发审批，不是想发就能发。 - 邮件防泄密，锁邮件这道。
它留的是"发了哪封、发给谁"：邮件发送有记录，可指定发送地址、设白名单，连网页和客户端邮箱都能禁掉，外发先有迹可循。
二、物理出口：U 盘和打印机
除了网络，物理介质也是大头。U 盘和打印机管控，收物理介质。
它补的是"插上就拷"的惯性：U 盘可设禁用、只读、只写、加密几档，打印机也能限制，文件不能随手拷走、不能随便印走。
三、屏幕这道最刁钻的口子：截屏与手机拍照
屏幕被带走分两种，都够刁钻。
- 禁止截屏，照 OCR 路子。
它挡的是用截图工具把屏幕文字扒走：完全禁止截屏，或只禁加密文件截屏，强行截加密区时画面变黑或窗口隐藏。 - 防手机拍照，摄像头联动。
它截的是另一种带走方式：检测到手机对着屏幕拍就自动锁屏，还会拍下偷拍的人、给屏幕留张截图，两相对照就知道谁泄了密。
四、堵不住就留痕：看得见、查得回
办公室里不可能把所有出口全焊死，剩下的靠追溯。
- 文件操作记录，记每一步去向。
它记的是"谁外发了、拷了哪份、发给谁"：按时间轴排清楚，出事后能回放。 - 文件操作权限，封破坏。
它封的是文件被悄悄挪走：禁止删除、重命名、拷出，文件不会被偷偷改走。 - 文档备份，补误删篡改。
它补的是出事能恢复：删除、修改时自动备份，误操作也不丢底稿。 - 文件异常变化预警，卡数量。
它卡的是量：设定时间内发送、打印、U 盘拷贝超量就报警，比如一天拷几十份立刻触发。 - 泄密风险统计，算人。
它算的是最该盯的少数：识别高风险行为、判断风险等级，把风险拎出来优先处置。 - 敏感文件报警，盯内容。
它盯的是内容本身：命中"报价单""客户名单"这类敏感词就告警，把事后追查提前成事中拦截。
五、把"人"也收进边界：人脸、分权与水印
出口和文件都管了，最后一道是人。
- 电脑人脸识别，认使用者。
它认的是专机专用：人脸登录、离岗锁屏，别人不能坐过来用这台电脑，也防别人拿手机拍屏。 - 用户模式，分权限。
它分的是同台电脑多人用的边界：给不同用户分配不同权限、互不干扰，临时工和正式员工可见范围不一样。 - 文档水印，钉责任。
它钉的是责任到个人：打印水印、发送水印、截屏水印、落地水印，甚至隐形点阵水印，文件流到哪都能追到出自谁手。
六、收尾：五道线叠起来，文件才真正带不走
办公室数据防泄密，从来不是装一个加密软件就完事。
让文件出不了门，把每一道出口和每一次操作都收进边界——程序外发、物理介质、屏幕、留痕、管人，五道线叠起来，文件才真正带不走。
责编：小赵
