结论先说：平台记录不到“转发”，只能记录“接触”。文件落到本地后，用聊天工具、邮件或 U 盘发出去，都在文档系统之外，记录里不会出现“某人转发”。值得查的只有三件事：谁打开过、谁取到了本地、谁把它变成对外链接；再加上截图和打印件上的水印，才可能收窄到少数账号。
所以先问两件事：外发有没有先从平台过一遍？线索够不够交叉？
一、先接受边界：文件离开平台，转发就不再可见
下载是平台内事件，转发不是。文件落到本地后，用哪个工具发、发给谁、发了几次，文档系统观测不到。不先说清，很容易把“某人下载过”读成“某人泄露了”。
边界之内仍有信息：官网口径是“操作记录与操作审计”，具体记录哪些事件按部署版本确认。选型时照三类最该问的接触点去问——打开或预览、下载或导出、外链创建与访问——再逐项确认能否按文件反查、外链访问是否进同一条记录。
覆盖不到的也说清楚：拍屏与口头转述没有平台侧事件，只能靠终端管控；个人电脑上的副本召不回；能不能对外举证取决于制度与适用要求，需法务确认；权限只管“能不能打开”，不管“打开后怎么传播”。
二、每类线索能证到哪一步
| 线索 | 能回答什么 | 到哪一步为止 | 读的时候要留意 |
|---|---|---|---|
| 外链创建与访问 | 谁把文件变成对外链接、链接被谁打开 | 到“对方看过”为止，不到“另存” | 链接被二次转发，打开者可能只是拿链接的人 |
| 查看事件 | 内部哪些账号打开过 | 到“发生过一次被记录的活动” | 重复打开可能合并；系统账号也会产生记录 |
| 下载与导出 | 谁把文件取到了本地 | 到“取走”为止，之后不明 | 区分成功与失败；一次下载不等于一次外发 |
| 水印标识 | 流出的截图或纸面可能来自哪个账号 | 到“值得回查的账号” | 先确认写的是查看者还是发布者，且可能被裁切 |
四类都只是候选集，不是证据链：能说明账号在这份文件上出现过，不能说明他发给了谁；要下结论还得有第二类材料，比如外发台账。
三、读操作记录：按三个维度去问
同一份记录按不同维度筛，能回答的问题不一样；这三个维度是不是都支持、是否在同一份记录里、能不能导出，都要在演示中确认。
- 按文件问。锁定一个文件或目录，把事件列表拉全，看有没有不该出现的人。先回答“暴露面多大”。
- 按人问。有怀疑对象时，反向查他一段时间里碰过哪些文件，重点看没有业务理由打开的那些。
- 按时段问。外发通常有触发点：离职交接、投标截止、评审前、组织调整，把时间窗对齐业务节点。
- 取交集。三侧都命中的才是候选，其余放掉，别把下载记录堆进报告。
两个坑：重复打开可能被合并，用条数推算“看了几次”会失真；后台任务也会产生记录，别因时间接近就归到人头上。“记录里有一条”和“这个人读过”要分开写。
四、水印怎么读：从标识倒推账号
水印在屏幕、打印件、导出件上还在不在，见水印输出载体的验收清单；这里只谈事后那一步：把标识换回账号。
前提是它写得进账号类字段：写公司名只能提示，出事无法定位；能不能选账号、姓名或工号，以部署版本支持为准。还要确认它写的是“谁发布的文件”还是“谁正在打开”，前者倒推出来的是发布者而非查看者。
比对流程也要固定：读出标识、换算成账号、查该账号相近时间对该文件的访问、看有没有业务理由。任何一步断掉，水印只是“看起来很安全”。
五、把外发变成平台内可查的动作
比事后追查更有效的是改流程：让该走平台的外发先过平台。以下只是管理动作。
- 先分级。列出真正不能外流的类别（报价、图纸、合同、源码、人事材料），只强管控这几类。
- 改交付方式。把“发一份文件”改成“发一个外链”：能否指定接收人、设有效期、默认只读，先确认再写进流程。发文件之后你失去控制，发链接至少留着回收的余地。
- 给敏感目录开可见水印，取值优先用账号类字段，别只写部门名。
- 建外发台账。记谁、何时、给谁、什么用途、何时失效，它和平台记录要能对上。
- 给离职流程补一步。停用账号前先导出他近期碰过的文件与外链清单，逐条确认接收方和用途；这与权限回收是两件事。
- 定期清存量，过期外链主动停用（先确认版本支持）。
六、石墨办公套件私有部署在这里的位置
石墨办公套件私有部署不是网盘产品。它把文档、表格、演示的协作能力，连同组织空间、知识库、文件管理与搜索放进企业自有环境，文件管理是协作的配套能力。安全管控覆盖权限、水印、外链与操作审计；权限按组织、成员、角色、空间和文件设置，角色权限决定能不能用管理能力，文件权限决定能对具体文件做什么，两者叠加生效。
它承接“文件本来就在平台里协作”的那部分追溯。若诉求是统一存放海量非文档类文件并控制下载，应按文件管理类产品评估；可对照办公套件私有部署的产品页与数据安全与合规方案核对。
常见问题
能查到谁下载了文件吗？
前提是该版本记录下载类事件，且能按文件与按人反查，两点都要向交付方确认。即便查到，也只证明文件被取到本地，不证明后续转发。
水印能防止截图吗？
不能。它不做拦截，只做两件事：让人知道材料带着身份信息；流出后提供能比对到账号的标记。当成“防截屏”验收，结论一定是失败。
外发的文件怎么追踪？
外链这条路径最容易留下痕迹，但创建与访问是否进同一份记录、能不能到期停用，要交付方逐项确认；确认支持后，才把停用写进流程。发出去的是文件副本，平台只能记录到下载为止。
看到一条访问记录，就能认定是这个人泄露的吗？
不能。它只说明该账号在该时间有过一次被记录的活动，不区分主动打开与系统触发，也不区分“看过”和“转发过”。
要落地，建议带三类样本：一份只该内部看的文件、一条真实在用的外链、一个离职账号的历史记录，请方案方在预约演示中按这三类样本讲记录查询与水印取值。也可以先看私有化部署方案，了解部署形态与交付范围。