数据早就不在你机房里了：微软这次的动作，制造业看懂了没？

9 月，微软有个动作，圈内人都在看。Purview 的数据防泄露（DLP）和自动分级标签，要从自家的 Office、SharePoint 一路扩到 Google Workspace、Box、Salesforce、Dropbox、ServiceNow、GitHub 这些"别人家"的应用，9 月起陆续铺开。

翻译一下这句话背后的意思：连微软都承认了——企业最核心的数据，早就不只躺在自家服务器里了。

数据的边界，早就不在你的机房里。这对制造企业尤其扎心。一家典型的工厂，今天的数据版图大致是这样的：

◆销售在 Salesforce 里管客户和报价；

◆图纸的轻量化版本扔在 Box 上，方便外协下载；

◆研发自动化跑在 GitHub；

◆跨部门沟通在 Slack；

◆财务还在用一堆 SaaS 报表工具。

而你花大价钱上的那套 DLP，管到 SharePoint 和邮件就停了——剩下那七八个 SaaS，全是它看不见的盲区。

你的防泄密策略，可能只守住了四分之一

传统 DLP 的思路是"守住边界"：在公司网络和端点上布防，文件一出内网就拦截。

可现在的问题是，数据压根没经过你的内网边界。

一份客户名单在 Salesforce 里被导出，一份图纸在 Box 上被生成了 "Anyone with the link" 的分享链接，一份 BOM 在 GitHub 的私有仓库里被 clone——这些动作全部发生在云端，你本地那套 DLP，连个响都听不见。

更隐蔽的是权限的碎片化。

在 Salesforce 里谁能导出客户、在 Box 里谁能开外链、在 GitHub 里谁能拉代码，是三套互不相干的权限体系。IT 在本地把域控权限管得再严，也管不到云上那几把"别人家的钥匙"。

结果就是：你在 A 系统严防死守，B 系统的大门却一直敞着。

先把"数据散在哪"盘清楚，再谈防护

上邦给制造企业做混合云数据治理，第一句话永远是：

先别急着买工具，先盘清楚三件事——我的核心数据，现在散落在哪几个 SaaS 里？每一份的敏感度是什么？谁有权碰？

很多老板答不上来，因为从来没人做过这道盘点。等出了事，才发现客户名单早就在某个销售的个人 Salesforce 账号里，图纸外链已经被转了八手。

盘清楚之后，三件事必须跟上

◆分级标签，要跟着数据走： 不管数据在 Salesforce 还是 Box，先打上敏感度标签（公开 / 内部 / 机密 / 绝密）。机密以上的，自动加密，外发走审批。微软这次把自动打标延伸到非自家应用，本质就是补这个窟窿——你的标签体系得能跨云统一，别每个 SaaS 各搞一套。

◆跨云 DLP 策略，统一下发： 在 Salesforce 里配置"禁止导出客户清单到个人邮箱"，在 Box 里配置"图纸外链需审批且带水印"，在 GitHub 里配置"敏感仓库禁止非授信 IP 克隆"。这些策略集中在一个控制台配置，别让每个 SaaS 各自为政。哪家先做到这点，哪家先填上盲区。

◆核心资产，本地加密为主、云上脱敏为辅： 真正命根子的图纸、配方，上邦的建议是别全押在云上——本地用透明加密管住本体，上云的只放脱敏后的版本或受控的轻量化文件。云 SaaS 停服、被拖库、员工账号被盗，你至少有"本地那份是加密的"这个底。

别忘了合同里的"退出权"

数据散在多云，还有个容易被忽略的坑：这些 SaaS 厂商停服、你要换供应商的时候，数据能不能完整拿回来？厂商是不是还留着副本？

这点我们之前聊过 SaaS"数据人质"的问题，今天不展开，只提醒一句：签约时把"数据归属、可携格式、销毁证明"写进条款，比事后扯皮强。

写在最后

上云不是问题，问题是很多厂"云上云下两套账"：本地防得密不透风，云上的客户名单和图纸却在裸奔。

微软这次的动作，其实给所有企业提了个醒：数据的边界，早就不在你机房里了。

把分级、打标、跨云策略这几件事做扎实，数据散在十个 SaaS 里也不怕；怕的是你到现在都不知道，它到底散在哪。

上邦愿意帮制造企业先把这张"数据地图"画出来——画清楚了，防护才知道往哪儿使劲。