老板问：外贸工厂的数据，到底从哪几道口子漏出去？
佛山一家建材出口商，报价单和密码本全在业务员电脑上散着。有回一个老销售离职，把客户名录整包拷走，老板半个月后才发现。
安企神做数据防泄漏，干这活不是先上工具，而是先把文件会走的几条道捋清楚。
一、老板问：机器身上的插口，怎么才算管住？
外贸车间里，U盘、光驱、蓝牙、无线网卡、打印机这些口子，任意一个都能把图纸捎出去。把它们统一收口，是防泄漏的基础环节。
1. 端口管控：把外设读写掐准
USB外设管控把U盘、光驱、蓝牙、串口、无线网卡这些接口统一管起来，读和写、传与不传都能设规则。该用的口放开，不该用的口直接禁用，申请了才临时开。
外贸工厂的设计部只允许特定U盘读写，别的存储设备插上也没法拷。光驱、串口这类老口子一并锁住，图纸从物理层面就带不走。
打印机也在管控里，打印动作记着日志、敏感件带水印。成本表想从打印这头溜出去，同样有数可查。
2. 网络管控：出口和网站都设界
网络访问控制把内网外网分开，端口能限制、能断网。再配上网站黑名单，指定的地址和带端口的服务直接禁掉，非可信网络也连不进来。
业务员电脑只走公司网，私人热点连不上。同行竞品网站、网盘类地址拉进黑名单，报价单想往外传，路先被堵死。
二、老板问：屏幕和软件，还能不能留缝？
文件传不出去，有人就转去拍屏幕、换软件试。这一层管的是看得见的操作和装了的程序。
1. 截屏与水印策略：拍也拍不干净
禁止截屏有两种方案，可直接禁用截屏工具，也可只拦加密文件截屏，强行截时加密区变黑。顺手一拍、录屏搬运都卡在这。
文档水印给文件打上身份信息，打印、发送、截屏、落地都带标，点阵水印还能隐形溯源到泄密人的电脑IP、MAC和时间。广交会验厂现场，成本表摊在屏上，拍走也带着标，事后能追到人。
2. 软件管控：没批准的别装别用
程序黑白名单管住未授权软件，装了不该装的、用了黑名单程序，都拦得下。网页传大文件、虚拟机这类绕路手段也各有对应招。
虚拟机可设置禁止安装虚拟机、限制流量、运行时断网，连里面的操作也能实时屏幕看着。网页传文件则靠程序流量限制，大容量上传直接卡住。
三、老板问：文件本身违不违规，怎么查得出来？
前面堵的是道，收尾还得确认终端里到底揣着哪些敏感文件。
1. 敏感文档扫描：按清单摸家底
敏感文档扫描按关键信息资产清单去终端上扫，看谁电脑里揣着不该揣的图纸、报价、客户名录。哪台机有，一拉就清楚。
2. 敏感文件报警：揣着就响
敏感文件报警盯着终端持有情况，扫到清单内的敏感文件落地或异动，立刻告警。不是等出了事才查，而是揣着的那刻就知会管理者。
报价底价、独家工艺单这类核心件一旦出现在非授权电脑，后台当即提醒。风险从被动追，变成了当场拦。
责编：小赵
