"这张图怎么会跑到他们群里？"佛山一家模具厂的技术总监把手机推过来，屏幕上那张比亚迪配套模具图，连厂里的图号都还在。
一查，是半年前离职的工程师临走前拷走的——图在他私人电脑上，厂里零痕迹。
图纸和文档不一样：体量大、流转环节多，从设计、打样到外发报价，每一环都可能漏。下面看看安企神是怎么做的。
一、拷走这条路
图被拷走还能打开，等于加密没做。
1. 透明加密（五种模式：透明加密、智能加密、只解密不加密、不加密、只读）
（1）漏在哪：图纸在设计、打样、外发报价之间来回流转，经手的每个人都能存一份到本地。
（2）它包的是"图纸离开公司环境还能不能打开"——保存即密文，公司内正常打开、流转无碍，拷出公司环境变乱码，可按岗位分模式下发。
2. 落地加密
（1）漏在哪：文件下载完还没被打开的那几秒，足够转发一次。
（2）它隔的是"落地到转发之间的空档"——文件保存到本地立刻加密，不用等打开才触发，转发也是密文。
二、发出去这条路
图在公司里被看没问题，问题出在从哪个程序出去。
1. 禁止程序发送图纸
（1）漏在哪：浏览器、聊天软件、网盘、邮箱都能当出口，没人逐个盯得住。
（2）它限的是"图纸能从哪些程序出去"——通道按程序收住，确需外发的走解密和外发审批。
2. 保密沙箱
（1）漏在哪：装了加密，图纸仍能被任意程序打开、改完再发出去。
（2）它围的是"图纸在谁手里能被改、能被发"——独立隔离空间，仅授权沙箱的程序可创建、编辑、打开和外发，文件在沙箱内不加密、离开沙箱自动加密，沙箱防火墙可阻断或放行网络传输。
三、打印这条路
电子的口子堵上，纸和 U 盘是另一条。
1. 禁止 USB 设备拷贝、打印机打印
（1）漏在哪：U 盘一插就能拷，打印出来是纸，谁都带得走。
（2）它证的是"物理拷贝这条路通不通"——U 盘、手机等设备拷不走；打印需申请，所用程序、文档名、份数逐笔记日志，打印件自动带水印。
四、翻拍这条路
不让拷，还能截屏；不让发，还能拿手机拍。
1. 禁止截屏、防手机拍照
（1）漏在哪：屏幕上的内容，截一张图或者举手机拍一张就出去了。
（2）它备的是"屏幕内容被翻拍走"——截屏工具可全禁，或只禁加密文件截屏，强行截屏时加密区域变黑；摄像头识别到手机拍照自动锁屏，并拍下拍摄人。
2. 电脑人脸识别
（1）漏在哪：画图电脑谁都能坐上去用，人离了岗也不锁屏。
（2）它围的是"谁在用这台画图电脑"——人脸登录，离岗自动锁屏，专机专用，防止别人使用画图电脑。
五、外流之后这条路
图已经在外面了，剩下的事是认不认得出人。
1. 图纸水印（四种模式：文字、图片、点阵、二维码，点阵可隐藏）
（1）漏在哪：图流出去了，却说不清是从哪台机器出去的。
（2）它证的是"外流图纸认不认得出人"——图纸自动添加水印，点阵水印隐形，可溯源到电脑 IP、MAC 地址、计算机名、泄密时间。
2. 图纸操作记录（文件外发、拷贝、打印记录）
（1）漏在哪：事后复盘，手上只有"图不见了"，没有"谁动过"。
（2）它备的是"图纸被动过没有、被谁动过"——外发、拷贝、打印逐笔记录，可定向查询。
3. 安全区域
（1）漏在哪：模具图在整个公司里都能打开，跨部门没有边界。
（2）它限的是"跨部门互相能看"——不同部门分配不同密钥，跨区访问提示权限不足，模具图只在本组可见。
图纸管到什么程度算够？拷走打不开、发出去要审批、外流认得出人，三层齐了，剩下的就是执行到不到位。
责编：小赵
