如何防止公司文件外发，先要接受一个前提：文件总归要往外走，管控的目标不是全禁，而是让能出去的都走可控通道。
外发和内部流转的区别在于，一旦离开企业环境，文件就失去了所有保护，所以判断必须发生在出门之前。
安企神在这条线上的做法是把外发拆成"通道判定加内容判定"，两个判定同时通过才放行。
下面按通道逐条讲。
一、外发通道清单
六条通道里，最容易被漏配的是第五条和第六条，因为它们不走网络出口，流量侧的设备看不到。
清单建好之后，建议每条通道都明确三件事：谁有权用、能用它发什么、发的时候留什么记录。
二、邮件与即时通讯
程序名会变，行为特征不会变，所以规则要建在文件属性和动作上。
有一个现实问题：不少企业允许员工在手机上处理公务，这条路绕开了终端管控。
可行的应对是把敏感文件本身加密，而不是指望终端拦住每一次发送。
三、网盘与浏览器上传
外发包解决的是必须发出去的那部分需求，比一刀切更可执行。
外发包通常还要带有效期和打开次数限制，这两项决定了文件流出去之后是不是还在你的控制范围内。
四、打印与共享
纸质和共享这两条通道不产生网络流量，因此必须单独设防。
纸质文件的管理成本不低，但对研发和财务这类部门来说，一份打印稿的价值可能超过服务器上的整个目录。
五、判定、留痕与两个坑
#mermaid-svg-I15BhmQTmc2z576M{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-I15BhmQTmc2z576M .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-I15BhmQTmc2z576M .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-I15BhmQTmc2z576M .error-icon{fill:#552222;}#mermaid-svg-I15BhmQTmc2z576M .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-I15BhmQTmc2z576M .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-I15BhmQTmc2z576M .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-I15BhmQTmc2z576M .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-I15BhmQTmc2z576M .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-I15BhmQTmc2z576M .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-I15BhmQTmc2z576M .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-I15BhmQTmc2z576M .marker{fill:#333333;stroke:#333333;}#mermaid-svg-I15BhmQTmc2z576M .marker.cross{stroke:#333333;}#mermaid-svg-I15BhmQTmc2z576M svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-I15BhmQTmc2z576M p{margin:0;}#mermaid-svg-I15BhmQTmc2z576M .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-I15BhmQTmc2z576M .cluster-label text{fill:#333;}#mermaid-svg-I15BhmQTmc2z576M .cluster-label span{color:#333;}#mermaid-svg-I15BhmQTmc2z576M .cluster-label span p{background-color:transparent;}#mermaid-svg-I15BhmQTmc2z576M .label text,#mermaid-svg-I15BhmQTmc2z576M span{fill:#333;color:#333;}#mermaid-svg-I15BhmQTmc2z576M .node rect,#mermaid-svg-I15BhmQTmc2z576M .node circle,#mermaid-svg-I15BhmQTmc2z576M .node ellipse,#mermaid-svg-I15BhmQTmc2z576M .node polygon,#mermaid-svg-I15BhmQTmc2z576M .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-I15BhmQTmc2z576M .rough-node .label text,#mermaid-svg-I15BhmQTmc2z576M .node .label text,#mermaid-svg-I15BhmQTmc2z576M .image-shape .label,#mermaid-svg-I15BhmQTmc2z576M .icon-shape .label{text-anchor:middle;}#mermaid-svg-I15BhmQTmc2z576M .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-I15BhmQTmc2z576M .rough-node .label,#mermaid-svg-I15BhmQTmc2z576M .node .label,#mermaid-svg-I15BhmQTmc2z576M .image-shape .label,#mermaid-svg-I15BhmQTmc2z576M .icon-shape .label{text-align:center;}#mermaid-svg-I15BhmQTmc2z576M .node.clickable{cursor:pointer;}#mermaid-svg-I15BhmQTmc2z576M .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-I15BhmQTmc2z576M .arrowheadPath{fill:#333333;}#mermaid-svg-I15BhmQTmc2z576M .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-I15BhmQTmc2z576M .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-I15BhmQTmc2z576M .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-I15BhmQTmc2z576M .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-I15BhmQTmc2z576M .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-I15BhmQTmc2z576M .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-I15BhmQTmc2z576M .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-I15BhmQTmc2z576M .cluster text{fill:#333;}#mermaid-svg-I15BhmQTmc2z576M .cluster span{color:#333;}#mermaid-svg-I15BhmQTmc2z576M div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-I15BhmQTmc2z576M .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-I15BhmQTmc2z576M rect.text{fill:none;stroke-width:0;}#mermaid-svg-I15BhmQTmc2z576M .icon-shape,#mermaid-svg-I15BhmQTmc2z576M .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-I15BhmQTmc2z576M .icon-shape p,#mermaid-svg-I15BhmQTmc2z576M .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-I15BhmQTmc2z576M .icon-shape .label rect,#mermaid-svg-I15BhmQTmc2z576M .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-I15BhmQTmc2z576M .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-I15BhmQTmc2z576M .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-I15BhmQTmc2z576M :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}
否
是
是
否
员工发起外发
通道是否在白名单
阻断并弹窗提示
文件是否带密级或敏感词
转入审批流程
正常放行
写入外发审计日志
落地时有两个坑要避：一是只堵网络通道，忘了物理和纸质通道；二是只做阻断不做记录，事后无法判断影响范围。
管控和审计必须同时上线，否则一边堵一边漏。
这两条一起做，外发才不会是短板。
责编：小赵
