企业文档加密与数据防泄露（DLP）
从边界防护到文件本身 · 核心技术拆解
核心观点： 绝大多数数据泄露来自内部终端。离职员工拷走源码、设计图纸微信外发、财务报表随意打印——这些场景的共同点是：文件本身没有任何保护。文档加密的思路是把安全属性直接绑定到文件上，让文件无论通过什么渠道、走到哪里，都受加密保护。
1传统数据保护方案的局限
文件夹权限、禁止 U 盘、手动加密、网络 DLP 等常见方案，保护的只是“通道”而非“文件本身”。
📁 文件夹权限控制
依赖 OS ACL，员工能打开就能另存、复制、截屏，权限形同虚设。⛔ 禁止 U 盘
可通过网盘、邮件、微信等渠道绕过，且完全禁止影响正常业务。🔐 手动加密压缩包
员工嫌麻烦执行率低；密码通过微信/邮件传输，本身不安全。🌐 网络 DLP
只能监控网络流量，对离线操作、本地复制、打印截屏无能为力。
透明加解密 · 驱动级文件自动加密
通过文件系统过滤驱动（File System Minifilter），在应用程序读写文件时自动完成加解密，用户完全无感知。
工作流程：
📂 员工用 Word 打开 .docx 文件 → 读请求经过过滤驱动时自动解密，应用程序拿到明文。
💾 编辑后保存 → 写请求经过过滤驱动时自动加密，磁盘上存储的是密文。
🔒 外部电脑无客户端 → 打开显示乱码或无法打开
📌 加密应用库
Office / WPS 系列
AutoCAD / CAXA 等设计软件
Adobe 系列
开发工具（VS、Eclipse 等）
覆盖 200+ 种常见办公软件
⚙️ 多种加密策略
智能加密：已有加密文件保持，新文件不加密（仅 Office）
只解密不加密：过渡期使用
只读模式：只能以只读权限打开
精细化管控：
剪贴板加密：从加密文件复制到未授权程序时内容自动加密，可设置 N 个字符以内不加密的阈值。
禁止截屏：加密文档窗口自动黑化或隐藏，防止截图工具带走内容。
禁止拖拽：禁止将加密文件拖拽到浏览器、聊天窗口等未授权程序。
文件外发管控 · 受控外发包机制
员工右键申请外发 → 审批通过 → 系统打包为独立可执行外发包。接收方无需安装客户端，双击即可查看，但使用受到严格限制。
📌 同时支持“内发包”机制，企业内部跨部门流转敏感文档时也可设置打开密码、有效期和打印限制。
权限与密级体系 · 安全区域 + 多级密级
🔹 安全区域
按部门或项目组划分逻辑加密隔离域
A 区域加密的文件在 B 区域无法打开
基于加密密钥的物理隔离，绕过难度极高
例如：研发部与财务部文件互不互通
🔹 密级管理
文件密级：公开 · 内部 · 机密 · 绝密
“高解低”单向机制：高级别终端可解密低级别文件，反之不行
保证管理人员可查阅下属文档，防止低权限越权访问
解密审批与配额：
员工提交“申请解密”，管理员审批后解密
支持配置解密配额（如每人每天最多解密 5 个文件或 100MB），超额自动禁止或告警
紧急场景可使用“口令解密模式”，全程留痕可审计
全渠道加密 · 堵住每一个数据出口
文件的流动不仅限于本地编辑，还涉及下载、上传、邮件、FTP、复制移动等多种渠道。
📥 落地加密
配置“落地加密目录”（如桌面、下载），文件保存到该目录自动加密
复制/移动加解密：在本地磁盘、U 盘、NAS 之间复制时根据目标路径自动加解密
🌐 网关加密
网页下载/上传加解密（企业网盘、OA 等）
邮件白名单：向白名单邮箱发送加密文件时自动额外发送解密版本
FTP 加解密 · 硬件加密网关
🔄 全盘加解密：新部署系统时，可按文件后缀类型对终端上的历史明文文件批量加密，快速实现“存量文件全加密”，避免新旧文件保护不一致。
终端安全与审计 · 形成防护闭环
终端管控
U 盘管理：允许/仅读/仅写/禁止，按标识单独授权
打印管理：禁止打印、虚拟打印机控制、打印水印、打印审批
外设管理：USB 黑白名单、光驱（含禁止刻录）、蓝牙/红外/串口/并口/无线网卡禁用
应用程序管控：禁止/允许指定程序运行，违规告警
网站/邮件控制：限制访问指定网站、限制向指定邮箱发送文件
📊 审计与分析
本地审计：文件操作、打印、USB 使用、剪贴板、刻录、屏幕截图/录像
网络审计：聊天记录、浏览网站、搜索、电子邮件、上传下载
行为分析：工作效率、离职风险（大量解密/异常外发）、加班分析、终端使用率
文档安全：防勒索日志、外发阻断、文档流转、泄密风险统计、敏感信息报警（身份证/银行卡等）
总结
企业数据防泄露的核心，是把安全边界从“网络边界”收缩到“文件本身”。
透明加解密 → 文件产出即加密
外发管控 → 文件发出去也可控
安全区域与密级 → 内部权限精细化
全渠道加密 → 堵住每一个泄露出口
配合终端安全管控和行为审计，形成从文件加密到风险预警的闭环防护。文档加密是数据安全体系中不可或缺的基础能力。