---
id: "zh/file-leak-prevention"
title: "文件防泄露管控方案"
language: "zh"
description: "介绍巴别鸟企业网盘覆盖内容识别、权限密级、分享下载、数据摆渡、水印追溯、网络设备准入、终端加密和审计的文件防泄露管控方案。"
canonical_url: "https://www.babel.cc/public/babelwiki/zh/file-leak-prevention.html"
markdown_url: "https://www.babel.cc/public/babelwiki/ai/zh/file-leak-prevention.md"
alternates: {"en": "https://www.babel.cc/public/babelwiki/ai/en/file-leak-prevention.md", "zh": "https://www.babel.cc/public/babelwiki/ai/zh/file-leak-prevention.md"}
reading_note: "文档记录不等于当前部署能力；以实际版本、授权模块与配置为准。保留原文的可选、限制及待确认说明，勿补猜接口。 / Documentation is not a guarantee for every deployment. Preserve optional-module requirements, limitations and unresolved API contracts."
---

# 文件防泄露管控方案

巴别鸟文件防泄露管控方案面向企业数字资产的上传、预览、编辑、分享、下载、同步、跨网传送、外发和审计过程，目标是在不牺牲日常协作效率的前提下，降低文件被误传、越权访问、截图扩散、离线拷贝、跨密区违规流转和非授权终端打开的风险。

方案由内容风险识别、巴别鸟原生权限和密级、分享与下载审批、数据摆渡、网络和设备准入、动态水印与审计，以及可选的客户端闭环加密或第三方透明加密系统集成组成。企业可按文件类型、人员、部门、网络区域和安全等级组合使用，形成“进不来、看不到、拿不走、打不开、可追溯”的多层防线。

## 管控能力总览

| 管控维度 | 可选方案 | 规则说明 |
| --- | --- | --- |
| 内容风险识别 | 敏感内容识别 | 按企业敏感词策略识别并标记风险文件，可限制查看、限制分享或进入人工复核。 |
| 上传入口安全 | 在线杀毒、上传黑白名单与文件类型限制 | 私有化版本可选配 ClamAV 在线查杀，拦截含病毒文件；该能力用于入口安全，是 DLP 的补充而不是替代。 |
| 分享与外发管控 | 禁止分享给企业外用户 | 企业成员不能把文件分享给外部账号，系统同时阻断通过链接向企业外部流转文件。 |
| 分享与外发管控 | 禁止匿名分享 | 链接分享不允许匿名访问，接收者必须登录后才能查看。 |
| 下载与同步管控 | 仅预览、下载权限、下载审批和带水印 PDF | 在线编辑、预览与下载权限可分开配置；高敏文件可禁止源文件下载，并限制同步到本地。 |
| 跨网交换管控 | 数据摆渡（传送文件） | 在密区与非密区、多套巴别鸟之间，通过专用端口、Token、SSL、审批和日志受控传送文件。 |
| 分级权限管控 | 文件安全级别 | 可按绝密、限制、内部等等级配置不同的可见、分享、下载、移动、复制、重命名、版本查看和审批规则。 |
| 目录二次保护 | 加密文件夹 | 在原有权限之外增加文件夹密码校验，减少共享空间中的误访问和误分享。 |
| 安全溯源管控 | 动态水印与行为追溯 | 预览、分享和输出文件时叠加姓名、工号、时间等水印信息，配合审计日志追溯访问来源。 |
| 身份与账号治理 | SSO 与组织结构同步 | 对接 AD、企业微信、钉钉、飞书、致远 OA 或 OAuth 2.0/OIDC 系统，统一身份和组织数据，减少滞留账号与错误授权。 |
| 网络与准入管控 | IP 策略限制 | 按 IP 段控制登录、上传、下载等行为，适合区分内网、VPN、办公区和外部网络。 |
| 网络与准入管控 | MAC 地址绑定 | 将用户账号与授权终端绑定，限制账号在未授权客户端登录。网页端是否受限可按企业策略配置。 |
| 网络与准入管控 | 内网隔离与 VPN 接入 | 私有化部署可只向内网开放，不暴露公网端口；外部访问需通过企业 VPN 或统一安全网关进入。 |
| 高级加密管控 | 巴别鸟客户端闭环加密 | 通过定制开发支持文件下载后仍保持加密，只有安装客户端并通过授权账号登录的终端才能打开。 |
| 高级加密管控 | 第三方透明加密集成 | 可与 iPG 等企业现有透明加密系统对接，实现网盘与终端加密环境协同。 |
| 审计与追责 | 文件、分享、访问和管理日志 | 记录访问、预览、下载、分享、权限变化、审批和跨网传送等行为，用于审计、复核与事件处置。 |

## 内容识别与上传入口防护

防泄露应先回答两个问题：进入网盘的文件是否包含敏感信息，以及文件本身是否安全。巴别鸟可将敏感内容识别、文件类型限制、上传黑白名单和在线杀毒放在文件进入系统的阶段执行。

### 敏感内容识别

管理员可维护企业敏感词和识别策略。命中策略的文件会被标记，并可按配置限制查看、限制分享或进入人工复核。敏感内容识别适合个人信息、客户名单、报价、财务、人事、合同、研发文档、源代码和受监管行业资料，但识别结果仍应由安全或业务人员处理误报和例外。

![敏感内容识别设置](https://www.babel.cc/public/babelwiki/assets/images/sensitive-content-recognition-settings.jpg)
*敏感内容识别用于发现可能包含敏感信息的文件，并把风险处置前移到分享和下载之前。*

### 在线杀毒与上传策略

私有化版本可选配基于 ClamAV 的在线杀毒模块。文件上传时先经过病毒扫描，命中文件会被拦截，纯内网环境可通过离线包或内网镜像定期更新病毒库。上传黑白名单和文件类型限制还可用于减少不必要或高风险格式进入企业文件库。

在线杀毒解决的是恶意代码传播问题，不直接判断业务信息是否泄露，因此应和敏感内容识别、权限、下载控制及审计组合使用。

## 分享与外发控制

外发风险通常来自链接分享、匿名访问、过宽的下载权限和文件二次传播。巴别鸟可通过企业级分享策略限制外部分享能力，并在分享时结合登录校验、访问密码、有效期、预览/下载权限和访问日志。

![分享邀请](https://www.babel.cc/public/babelwiki/assets/images/share-invite.jpg)
*定向邀请分享适合对外部伙伴、供应商、客户开放受控访问；管理员可按企业策略限制匿名访问和外部分享。*

建议策略：

1. 对高密级部门关闭企业外分享。
2. 对需要外部协作的文件使用定向邀请，不使用匿名链接。
3. 对报价、合同、图纸、研发资料等文件设置有效期和访问密码。
4. 默认允许预览，按需开放下载；高敏文件优先提供带水印 PDF。
5. 外发前后保留分享、访问、预览、下载和权限变更审计记录。

### 审批、有效期和直接下载 Link

对高风险部门或文件，可把分享和下载纳入审批流程，由主管、安全保密员或指定审批人确认后再放行。邀请分享、链接分享和生成下载 Link 应按场景分别治理：

- 邀请分享适合明确接收人的协作，可分别配置访问权限和有效期。
- 普通链接分享应启用密码、有效期、登录校验和下载限制。
- 生成下载 Link 无需登录即可直接读取文件，适合公开资料、AI 读取、Markdown 配图和图床；不应默认用于敏感文件，并应设置较短有效期和最大下载次数。
- 对需要长期协作的外部成员，优先使用项目成员和文件访问控制，不用永久公开链接代替权限管理。

## 下载、同步与本地落盘控制

文件能够在网页中访问，并不意味着必须允许源文件落到本地。巴别鸟可把预览、在线编辑、下载、客户端下载、客户端编辑和上传新版本等权限分开配置，使用户在受控界面中协作而不获得源文件副本。

建议按风险设置：

| 文件类型 | 建议控制 |
| --- | --- |
| 普通内部资料 | 按角色开放下载和同步，保留访问与下载日志 |
| 合同、财务、人事资料 | 默认仅预览，按需审批下载，输出文件增加水印 |
| 图纸、报价、研发文件 | 禁止普通成员下载源文件，允许在线预览或下载带水印 PDF |
| 绝密资料 | 禁止同步和批量下载，仅授权终端、授权网络和审批人员访问 |

同步会在终端形成可离线使用的文件副本，因此高密级目录不应仅依靠同步黑名单控制。应先用角色权限、文件访问控制、密级和下载权限确定哪些人可以取得文件，再决定是否允许这些目录进入同步任务。离职、岗位变化或项目结束时，应及时回收账号和项目权限，并按企业终端制度检查、移交或清理已经落到本地的工作文件。

## 数据摆渡：密区与非密区受控交换

当密区、研发区、生产区与办公区之间存在网络隔离时，普通分享、邮件、即时通信工具或移动存储介质会绕开企业审批和审计。巴别鸟数据摆渡模块在产品界面中称为“传送文件”，用于在多套巴别鸟或指定传输服务之间建立受控文件交换通道。

| 环节 | 防泄露控制 |
| --- | --- |
| 网络边界 | 密区和非密区可分别部署巴别鸟，通过指定端口建立传输关系，不需要把文件区直接互相开放 |
| 传输认证 | 接收端生成 Token，发送端使用对应 Token 建立受控连接 |
| 传输安全 | 文件通过 SSL 加密通道传输 |
| 接收范围 | 超级管理员可配置接收端、发送端、指定接收人员和审核人员 |
| 方向控制 | 可配置双向传送，也可只配置接收端形成单向通道；简化方案仅允许非密区向密区传送 |
| 审批控制 | 可按方向和场景要求审批；文件通过审核后才进入接收人员的“传送文件”栏目 |
| 传送粒度 | 以文件为单位，可多选文件但不传送文件夹，减少在多层目录中夹带未经审核文件的风险 |
| 审计追踪 | 发送、接收、审批和传输结果保留记录与日志 |

典型受控流程为：`发送人选择文件 → 选择接收端 → 审批人审核 → SSL 加密传输 → 指定接收人领取 → 日志留存`。对于只需要把办公区资料导入密区的场景，可采用单向传送，避免密区文件反向流出。

数据摆渡控制的是“跨网络区域的数据交换路径”，不能替代文件自身的密级、内容识别和接收后的权限管理。进入目标区域后，文件仍应继续受目标巴别鸟中的角色、文件访问控制、水印、下载和审计策略约束。部署方式、端口、Token 和审批配置详见[数据摆渡部署](https://www.babel.cc/public/babelwiki/zh/deployment-data-ferry.html)。

## 文件密级与最小权限

巴别鸟可将文件安全级别融入日常文件流转。企业可以把文件定义为“绝密”“限制”“内部”等等级，并按等级应用不同的默认权限、审批规则和限制操作。

![文件访问控制](https://www.babel.cc/public/babelwiki/assets/images/file-access-control.jpg)
*文件访问控制可在部门角色和项目权限之外，对具体文件或文件夹设置更细粒度的访问规则。*

典型规则如下：

| 密级 | 默认访问 | 分享规则 | 操作限制 |
| --- | --- | --- | --- |
| 绝密 | 默认仅创建者、项目负责人、文件负责人、部门经理等授权角色可见 | 分享需安全保密员或指定审批人授权 | 一般人员不能移动、复制、上传新版本、下载、重命名、查看版本等 |
| 限制 | 一般成员以只读为主 | 分享需上级主管或指定审批人授权 | 可限制下载、复制、移动、版本查看和外发 |
| 内部 | 面向部门或企业内部流转 | 分享至部门外时可要求上级主管授权 | 可根据部门策略限制外部分享和匿名访问 |

密级策略应和组织架构、部门角色、项目权限、文件访问控制、审批流程共同设计。对于需要长期保护的资料，建议把密级规则固化为企业制度，而不是依赖单个用户临时判断。

## 水印与可追溯访问

动态水印在允许访问时增加保密提示与追溯线索。新版支持将水印显示于所有应用页面，并增加图形（矢量）水印，使用编码辅助截图核查。识别效果受压缩、裁剪和遮挡影响，需要与访问日志及人工复核结合；不能保证任意截图或拍照都可定位人员。

![水印设置](https://www.babel.cc/public/babelwiki/assets/images/watermark-vector-settings-20260911.png)
*管理员可配置水印内容、位置、透明度、密度、颜色和生效范围，并与分享、下载和密级策略组合使用。*

推荐组合：

- 内部普通资料：企业名称或部门名称水印。
- 合同、财务、人事资料：账号水印 + 下载审计 + 外发限制。
- 图纸、报价、方案和研发文件：账号水印 + 禁止原文件下载 + 下载带水印 PDF。
- 高密级文件：动态水印 + 文件密级 + 审批 + 访问日志复核。

## 网络与设备准入

防泄露不仅取决于文件权限，也取决于账号、访问入口和终端是否可信。巴别鸟可通过统一身份和组织同步、IP 策略、MAC 绑定、内网访问和 VPN 接入收紧登录与文件操作边界。

![安全传输链路](https://www.babel.cc/public/babelwiki/assets/images/security-transmission-chain.jpg)
*私有化部署可把访问入口放在企业网络边界之后，并通过 HTTPS、反向代理、VPN、IP 策略和审计日志建立可信访问链路。*

### 统一身份与组织同步

私有化部署可对接 AD 域、企业微信、钉钉、飞书、致远 OA，以及支持 OAuth 2.0/OIDC 的单点登录系统。统一账号和组织结构有助于按部门、岗位和人员状态配置权限，减少手工创建账号造成的重复账号、离职账号滞留和组织变更后权限未及时回收。

### IP 策略

IP 策略可以限制某些 IP 段登录、上传、下载或访问指定资源。例如只允许办公内网和 VPN 地址下载文件，外网访问只允许预览；也可以为核心部门配置更严格的下载范围。

### MAC 地址绑定

MAC 地址绑定适合限制 PC 客户端登录设备。账号绑定后，未授权设备不能直接登录客户端使用该账号，从而降低账号外借、私人电脑登录和离职设备残留的风险。网页端是否纳入限制可按企业实际办公方式配置。

### 内网隔离

高安全等级私有化部署可不开放公网端口。外部员工、分支机构或出差人员通过企业 VPN、零信任网关或统一安全接入平台进入内网后再访问巴别鸟。该方式适合研发、设计、财务、档案、涉密项目等场景。

## 加密文件夹与目录二次保护

加密文件夹在部门、项目和文件访问控制之外增加一层密码校验。即使用户能够看到文件夹入口，也需要输入正确密码才能进入，适合临时封存、未发布资料、合同、人事、财务或少数知情人员共享的文件。

![加密文件夹访问](https://www.babel.cc/public/babelwiki/assets/images/encrypted-folder-locked.png)
*加密文件夹带有锁标识，访问时需再次输入文件夹密码；进入后仍继续遵循原有文件权限。*

加密文件夹降低的是误访问、误分享和普通权限配置失误风险。密码不能替代组织权限、密级和审计，密码也不应通过公开聊天群或无权限文档传播。对长期高密资料，应同时使用文件访问控制、水印、下载限制和审计日志。

## 高级加密方案

当企业仅靠权限、水印和网络准入仍不能满足防泄露要求时，可以引入文件加密方案。加密方案需要结合终端环境、现有 DLP 体系、文件格式、在线预览、客户端编辑和运维成本综合评估。

### 巴别鸟客户端闭环加密

通过定制开发，巴别鸟可支持网盘文件落盘加密：文件下载到本地后仍保持加密状态，只有安装巴别鸟客户端、使用授权账号登录并满足设备策略的用户，才能在本机打开加密文档。

适用场景：

- 防止文件下载后被拷贝给非授权人员。
- 防止员工把文件带离受控终端环境。
- 对研发资料、设计图纸、合同底稿、核心方案等文件做离线保护。
- 企业希望网盘客户端成为文件打开和授权校验入口。

该方案通常涉及客户端能力、文件格式支持、授权策略和项目定制，费用与实施范围需要按项目评估。

### 第三方透明加密集成

如果企业已经部署 iPG 等透明加密系统，可将巴别鸟与现有终端加密环境对接。典型流程是：文件进入网盘后满足在线预览和协作需要；文件下载到终端时，通过企业加密引擎重新加密落盘，继续受终端加密体系保护。

适用场景：

- 企业已有成熟 DLP 或透明加密体系。
- 文件在本地编辑、复制、外发、打印等环节已经由第三方系统管控。
- 需要网盘与终端安全体系协同，而不是各自独立管理。
- 中大型企业希望保护既有安全投资，并减少用户使用割裂。

## 审计、复核与事件处置

审计是防泄露闭环的最后一层。巴别鸟可记录文件访问、预览、上传、下载、分享、权限调整、审批、删除、管理操作和数据摆渡等行为。文件日志、分享访问日志和企业级访问日志应根据企业制度设置留存周期，并由安全审计员或授权管理员定期复核。

建议重点关注：

- 高密级文件的下载、批量操作和对外分享。
- 匿名访问、生成下载 Link、异常 IP、非工作时间和短时间高频访问。
- 权限扩大、审批绕过、项目成员变化和离职账号活动。
- 敏感内容命中文件的查看、分享和处置结果。
- 密区与非密区之间的传送方向、审批人、接收人和传输结果。

发现异常后，应及时失效分享和下载 Link、回收账号或项目权限、暂停相关终端访问、保存日志证据，并按企业安全制度复核本地副本和后续传播范围。

## 推荐策略组合

| 场景 | 推荐组合 |
| --- | --- |
| 普通部门资料 | 部门角色权限 + 文件访问控制 + 分享有效期 |
| 对外项目协作 | 定向邀请分享 + 登录访问 + 有效期 + 操作审计 |
| 合同、财务、人事资料 | 敏感内容识别 + 文件密级 + 动态水印 + 下载审批 + 下载审计 |
| 图纸、方案、研发文件 | 文件访问控制 + 禁止原文件下载 + 带水印 PDF + IP 策略 |
| 密区与非密区交换 | 数据摆渡 + 指定方向 + 审批 + 指定接收人 + 传输日志 |
| 高密级资料 | 内网或 VPN 访问 + MAC 绑定 + 密级审批 + 禁止同步 + 客户端闭环加密 |
| 已有 DLP 企业 | 巴别鸟权限体系 + 第三方透明加密集成 + 统一审计 |

## 实施建议

1. 梳理文件和网络区域：按普通、内部、限制、绝密分类，同时明确办公区、生产区、研发区和密区之间允许的数据方向。
2. 统一身份和最小权限：明确谁能查看、在线编辑、下载、同步、分享、审批和审计，并建立入职、调岗、离职的权限回收流程。
3. 前移内容风险识别：对外部上传、高价值资料库和高密级目录配置敏感内容识别、文件类型限制和在线杀毒。
4. 收紧外发和本地落盘：外部分享、匿名访问、原文件下载、同步、批量下载和直接下载 Link 应按密级限制或审批。
5. 对跨网交换使用数据摆渡：固定发送端、接收端、传送方向、审批人和接收人，禁止用临时工具绕过日志。
6. 对重要资料启用水印和审计：确保外发、预览、下载、权限调整和跨网传送可追溯。
7. 对高密级部门增加网络、设备和终端保护：通过 IP 策略、VPN、MAC 绑定、客户端闭环加密或第三方透明加密降低离线泄露风险。

## 能力边界

任何单一技术都不能完全消除文件泄露。权限和审批减少越权操作，水印和日志提高追溯能力，加密降低文件离开受控环境后的可用性，数据摆渡约束跨网路径，但获准查看文件的人仍可能通过拍照、人工摘录或其他方式带走信息。企业仍需配合岗位制度、保密培训、终端安全、日志复核和事件响应。

在线杀毒、备份、历史版本和高可用同样重要，但作用不同：在线杀毒主要防恶意代码进入，备份和版本主要保护可用性与完整性，它们不能替代 DLP 的内容识别、权限、外发、终端和审计控制。

## 相关章节

- [权限体系](https://www.babel.cc/public/babelwiki/zh/permissions.html)
- [安全与审计](https://www.babel.cc/public/babelwiki/zh/security.html)
- [水印功能](https://www.babel.cc/public/babelwiki/zh/watermark-security.html)
- [敏感内容识别](https://www.babel.cc/public/babelwiki/zh/sensitive-content-recognition.html)
- [加密文件夹](https://www.babel.cc/public/babelwiki/zh/encrypted-folder.html)
- [在线杀毒](https://www.babel.cc/public/babelwiki/zh/online-antivirus.html)
- [数据摆渡部署](https://www.babel.cc/public/babelwiki/zh/deployment-data-ferry.html)
- [分享与外发](https://www.babel.cc/public/babelwiki/zh/file-sharing.html)
- [同步功能](https://www.babel.cc/public/babelwiki/zh/sync-client.html)
- [第三方 SSO 登录](https://www.babel.cc/public/babelwiki/zh/third-party-sso.html)