防泄密四种方案怎么选：加密、企业网盘、DLP、在线文档

四种方案不是同一层的替代品，不能四选一。加密软件管“离开受控环境还能不能打开”，企业网盘管“文件放在哪、谁能进这个入口”，DLP 管“内容从哪条通道发出去”，在线文档管“内容在哪个平台被谁编辑、看到”。先定要防的动作，再按控制点配，否则买重或买漏。

一、先看控制点：四种方案各拦在哪

下表只对照控制位置与验收证据，不评价厂商强弱；同一行同一维度。

四种防泄密方案的控制点与边界

方案	控制点	主要覆盖	管不到	验收看什么
加密软件（文件/终端）	文件本体与受管终端	拷走或外发后授权范围外打不开；授权用户仍能编辑	拍照、截屏、手抄；未纳入管控的设备	未授权打不开、授权环境正常
企业网盘	存储与分享入口	集中存放、访问范围、下载与外链控制	合法下载后的二次传播；个人邮箱转发	不同身份的打开、下载、外链结果
DLP	跨通道的外发行为	邮件、浏览器、终端、云应用的识别与阻断	未接入通道、未受管设备、加密流量内容	各通道的提示、阻断、申诉记录
在线文档	平台内协作与权限	多人编辑、版本、空间/文件权限、水印、外链、审计	本地文件、跨系统外发、已导出副本	协作者与非协作者的访问、外链失效、版本记录

最该先写进纪要的是“管不到”一列。

二、用四个问题定先后

1. 防“带走后不能用”还是“不能被带走”？前者指向加密，后者先做权限、外链和通道管控。
2. 最可能的出口在哪？U 盘、打印、截屏，还是邮件、IM、浏览器上传、网盘外链或内部越权？
3. 出事拿什么？“打不开”的结果、“谁看过”的记录，还是拦截证据？
4. 终端和账号管得住吗？外包与自带设备多时，终端型方案覆盖面会缩水。

发客户不能转发，先看外发是否受控；多人同改，先看权限与版本。

三、组合顺序：先边界，再通道，最后文件本体

多数企业不止一种，可执行顺序：

1. 盘点资产与协作边界。列出敏感内容、所在空间、访问角色与必须外发场景；没清单只能拍脑袋。
2. 收住平台内权限。按组织、成员、角色、空间和文件分级授权，先解决“不该看的人能看到”；改动小、易验证。
3. 管外发通道。列出邮件、浏览器上传、IM、U 盘、打印，决定提示、阻断、审批；DLP 适合这层，前提是通道覆盖得到。
4. 最后处理文件本体。确需“离开环境也打不开”再上文件或终端加密；它改造终端与流转，影响最大。

若监管要求“拷走也不能读”，加密先做、权限配套；顺序看约束，不看报价单。

按典型场景选控制层与配套层

典型场景	首选控制层	配套层	验收证据
文件要发客户但不能转发	在线文档或网盘的外链与下载控制	确需下载后不可读再加文件加密	未受邀打不开、下载受限、撤回后链接失效
多人同改一份方案	在线文档的空间与文件权限、版本	水印与操作审计	协作者与非协作者的访问结果、版本记录
外包与自带设备多	在线文档的访问与下载控制	权限收敛与合同约定；终端加密只管受管设备	非受管设备的打开与下载结果、例外清单
监管要求拷走也不可读	文件或终端加密	权限与通道管控	拷出后未授权打不开、授权环境正常

两层都能做时，先做能验收的；配套层等首选层跑通再加。

四、验收时只认“能证明什么”

最容易败在只看演示。用虚构样本跑清单，结论只填“符合、不符合、未覆盖、未测”。

• 分身份：授权员工、无关同事、外部伙伴、离职账号各开一次，记录能看、能下载、能改什么。
• 分载体：在线页面、下载件、打印件、导出 PDF、分享链接各测；别用在线截图代替导出件。
• 分通道：邮件、浏览器上传、IM、U 盘、打印各测；提示、阻断、申诉分开记，不能合并成“已拦截”。
• 分状态：联网、断网、换设备、换网络各测；终端型方案要确认离线策略是否生效。
• 留证据：版本、账号、时间、期望结果、实际结果、证据位置逐条写；升级后复测受影响路径。

不接受“彻底防泄密”这类承诺；可验收的写法是“条件、动作、结果、证据”，做不到就写“未覆盖”。

五、石墨办公套件私有部署适合放在哪一层

石墨办公套件私有部署是部署在企业自有环境的协作平台，不是网盘、终端加密或 DLP。它把文档、表格、演示协作与组织空间、知识库、文件权限放在同一底座；管理员可按组织、成员、角色、空间和文件设权限，角色权限决定能否使用管理能力，文件权限决定对具体文件或空间的操作，两者叠加生效。安全能力包括权限、水印、外链与操作审计。

管不到的地方也要说：已下载副本、拍照截屏、其他系统里的副本，平台权限收不回；私有部署也不等于完全离线，更不保证“AI 数据不出域”。需要“离开环境仍不可读”的评估加密；要覆盖邮件、浏览器、IM 的评估 DLP；内容以散落文件为主、要集中存放和管控分享入口的，评估企业网盘。

它是平台内的权限与审计底座，不是防泄密的全部。内容主要在平台协作、又要把权限、水印、外链和操作记录收在一处的企业可作第一层；具体范围以部署版本和方案为准，可对照石墨办公套件私有部署产品页和企业级数据安全与合规方案核对。

常见问题

加密和权限哪个先做？

看约束。要求“带走也不能读”先做加密；只是“不该看的人别看到”，先做权限和资产梳理。权限改动小、可验证；加密影响面更大。两者不互替。

DLP 和在线文档能一起用吗？

可以，但要分工：在线文档管平台内访问与协作，DLP 管内容从邮件、浏览器、终端等通道出去。一起用不等于自动叠加，要确认 DLP 能否覆盖下载、导出、打印路径，以及未受管设备和加密流量。微软 Purview 的 DLP 文档写的是企业应用与设备、内联 Web 流量；Forcepoint 的对照文章指出，网络型只看受监控路径，终端型需要受管设备。这两条边界先核对。

预算有限先做哪一项？

先做“资产清单 + 权限收敛 + 外链和下载控制”，成本最低，用测试账号可验证，挡住误分享。最痛的出口是 U 盘、邮件或截屏，再把 DLP 或加密排下一期，别先买重型方案。

四种方案都要上吗？

不必。按控制点和出口做覆盖分析：平台权限能解决的不加终端加密；终端和通道都不在管控内，单靠在线文档也补不上。多数两到三种组合，关键是每层知道证明什么。

不确定从哪一层开始，可以带一条真实外发流程预约演示，用虚构样本把身份、载体、通道各跑一遍，再决定先补权限、通道还是文件本体。也可以先看私有化部署方案，了解部署形态与交付范围。