我们早就装了透明加密怎么销售还是把客户名单发给了竞对这是很多老板踩过的坑。查下来才发现那份名单是销售用聊天窗口一段段粘出去的——加密管的是文件本身粘走的文字它根本碰不到。把DLP防泄密系统和加密系统画等号是这两年常见的误区。两者都防泄密但管的根本不是一回事。加密管锁DLP管路五道闸对着漏点一处处上。一、端口管控物理口子先掐住USB、串口、光驱、蓝牙、打印、Wi-Fi这些接口是数据溜走常用的缝。收的是物理出口加密再严也堵不住的口子这里先堵。1. 接口读写和传输控制U盘、光驱、蓝牙、串口按策略限制读和写规则说了算。其他外设一键禁用要用的走申请私接起不来。2. 打印机和无线网卡收口打印机指定型号才放行打印可以设置带水印留日志无线网卡可禁防员工私连WiFi把数据送出内网。物理出口一刀切收住泄密路先断。二、截屏与水印屏幕上的缝也钉死共享、截屏、录屏是另一种泄密路员工对着屏幕一拍文件就出了门。钉的是责任源头拍了也逃不掉。1. 截屏录屏管控一律禁止截屏工具或只禁加密文件截屏——强行截时加密区变黑、窗口隐藏。录屏软件同样拦屏幕上的内容不裸奔。2. 水印溯源文档、屏幕、指定程序叠水印隐形点阵记下泄密机器的IP、MAC、计算机名、时间。出了门也认得出是哪台机、谁、什么时间责任钉在源头。DLP防泄密端口管控 掐物理口截屏水印 钉责任网络管控 关出网门软件管控 卡暗道文件检测 认敏感资产防内容漏出三、网络管控门和通道一起关高危端口、指定网站、非可信网络是数据出网的三个口。关的是出网门墙内墙外都不留缝。1. 高危端口和指定网站IP端口防火墙按服务精细收445、3389这类非必要直接禁网站黑名单禁掉危险站点80、443也能按程序掐断网页传输。2. 非可信网络访问管控公共WiFi、手机热点一律拦只许回连内网连上陌生网立刻报警、断网、锁屏。离网场景也别放过暴露面才真正闭环。四、软件管控程序这道闸卡住未授权软件、网页传文件、虚拟机都是绕开管控的暗道卡的是暗道程序。1. 禁止未授权软件只放行企业软件库新软件禁止安装、软件设黑白名单违规安装实时报警。该用的给、不该用的起不来入口先干净。2. 网页传输与虚拟机浏览器上传、网盘经程序发送先过外发审批还可以设置运行时断网、流量限制操作也可以用屏幕录像盯着。五、文件检测终端里有没有敏感货光堵路不够得知道机器上本来就躺着什么。认的是敏感资产谁的设备上有哪份机密、权限对不对一目了然。1. KIA清单扫描按关键信息资产KIA清单和KIA权限清单扫终端是否持有敏感文件。越权持有的、不该出现的一查就现形不用等出事才翻。2. 异常即报警敏感文件被复制、外发、超量变动立刻报警配合文件操作审计串成线哪份去了哪台机、谁动的事后调得出来。加密防的是文件被整份带走DLP防的是内容被抄、被粘、被拍、被传。两层一起上出口和文件本身才都收住。挑方案别被加密两个字带偏。先想清要防的是带走还是抄走DLP这五道闸补齐防泄密才真正闭环钱才花在刀刃上。责编小赵