温州一家鞋革出口厂，IT 兼行政正把全公司的电脑、手机和 U 盘台账从三张表并成一张——这也是安企神常被外贸团队问起的一桩事。
外贸公司的终端不是一台电脑，是电脑加手机加 U 盘加打印机，哪一端漏了，客户名录和报价单就从那端溜走。
把它们各管各的，等于给门留了好几把没配对的锁。
一、先把电脑端这一摊理清
1. 终端安全管理：一个管理端管住所有电脑
外贸公司几十台电脑散在业务、跟单、财务手里，靠人盯不现实。
终端安全管理让一个管理端同时管控多个客户端，软件统一部署、一体化管理，哪台装了什么、谁在用哪台，后台一眼能看见。
电脑端不再是各自为政的孤岛。
2. 硬件和软件资产统计：家底先摸清楚
U 盘随意插、软件随便装，资产变了没人知道。
硬件和软件资产统计把每台终端的配置和安装清单收口，IT 资产变化报警在设备新增或卸载时先报出来。
家底清楚了，丢一台还是少一个授权，才不至于事后才发现。
3. 程序使用记录：异常安装在哪台
程序使用记录把每台终端跑过的程序按人按天记着，网站和程序黑名单把聊天外发类工具挡在门外。
哪台终端行为反常，先从记录里揪出来，不靠猜。
4. 电脑人脸识别：离岗就锁屏
人离开座位电脑还开着，路过的人顺手就能翻名录。
电脑人脸识别做人脸登录、离岗锁屏、专机专用，防止别人用你的电脑、也防止别人拿手机拍屏幕。
专机专用之后，谁的操作对得上谁的人，责任不再混。
二、移动端的口子为什么难收
1. 手机处理业务的隐形出口
报价截图发微信、文件转存私人云盘，一条报价从手机出去就脱离管控。
手机管控把移动端纳入统一纳管，防手机拍照在举手机对着屏幕那一下自动锁屏并拍下偷拍人，屏幕截图同步留痕。
手机不再是绕开公司的那条暗道。
2. 无线网和白名单：公共网络下的账号
业务员在外连过酒店咖啡馆 WiFi，账号被拖客户资料跟着走。
终端防火墙只放行内网和指定地址，无线网黑白名单把不明热点挡掉，禁止 USB 无线网卡防止私接。
离司的网络不算公司的网络，账号不再裸奔在公网。
3. 禁止程序运行脚本：挡掉木马入口
木马多半靠脚本在终端上跑起来。
禁止程序运行脚本把这类自动执行拦在门外，宽带流量监控和限制盯住异常上行，大文件偷传先报警。
移动端接入的入口收住了，中招的概率才降得下来。
三、外接设备是常被忽略的缝
1. USB 外设管控：私人 U 盘接上就禁
名录一键拖进私人 U 盘只需几秒。
USB 外设管控把私人 U 盘接上就禁用，U 盘和打印机管控把打印也收进记录，U 盘插拔记录留着谁拷过什么。
外接存储不再是想揣走就揣走的口袋。
2. 打印机和截屏：纸面和屏幕的口子
图纸打印带出家门、屏幕被拍走，都是脱离管控的出口。
打印管控把每份打印留痕，禁止截屏让加密区域强行截取时变黑或窗口隐藏。
纸面和屏幕这两条缝，也得一并焊上。
3. 资产变化报警：设备动了先知道
新插的网卡、新装的存储，设备一动资产就变。
IT 资产变化报警在硬件变动时先行提示，网络防火墙按 IP 端口收口，不明外联直接断。
外接这层收住了，三端才算真正合到一处。
三端合到一处，标志就一条：电脑、手机、外设各自有名有主，动过的人查得出来。
终端收住了，外贸公司才敢把客户和报价放心放在这些设备上。
责编：小赵
