加密上了整一年，到底管不管用？自己当一次贼就知道了

2026-10-26 09:30:00

年初跟一位董事长聊天，他问了我一个问题：我们前年上的那套防泄密，一年多了，你猜效果怎么样。我说这得看数据。他转头问信息部经理，经理愣了几秒，说：这一年没出过事。

老板听完点点头，觉得挺好。但我心里清楚，"没出事"这三个字，在安全这行里是最不可靠的结论。没出事，可能真的防住了，也可能只是还没人动手，更可能——已经出了事，只是没人发现。

"没出事"的三种假象

第一种，只测了正常流程。上线的时候，厂商演示了一遍：文件加密了，拷到U盘打不开，发到外面打不开，没问题，验收。可真实世界里的泄密，走的都是非正常流程：改个后缀名试试？压缩包加密后发出去呢？用截图工具呢？用手机拍屏幕呢？远程桌面连到自己家电脑呢？这些场景一个都没测，就敢说有效。

第二种，只盯着电子文件。文档加密能管住电脑里的CAD、Office、PDF，但管不住打印出来的纸、管不住拍照、管不住员工口述。很多泄密案子最后查下来，根本不是文件被拷走，而是某个人在会议室白板上画了一遍、或者在饭桌上讲了一遍。

第三种，策略为了"不打扰业务"放得太松。这种事情太常见了：上线初期员工投诉多，IT顶不住压力，把外发审批改成"事后知会"，把敏感目录从加密范围里挪出去，把几个部门加进白名单。改着改着，加密系统就变成了一个只对老实人有效的系统。

验证防泄密效果，不需要请外面的红队，也不用搞复杂的渗透测试。找两个信得过的员工，给一个普通职员的权限，让他们用一周时间，专门想办法把一份指定的"敏感文件"带出公司。这就是最真实的测试。

场景一：物理拷贝。拿一个U盘，插上，拷文件。看能不能拷、拷出来是不是密文、有没有告警、日志里能不能查到是谁插的U盘、什么时间。

场景二：网络外发。用公司邮箱发给自己私人邮箱；用个人微信网页版传文件；用网盘上传。三种通道分别测，重点看两件事：拦没拦住，以及拦下来之后有没有记录。

场景三：变形绕过。把CAD文件压缩成RAR加个密码；把xlsx另存为csv；把PDF打印成图片；把文件内容复制粘贴到网页表单里。这一轮测的是内容识别的能力边界，也是最容易漏的地方。

场景四：屏幕与纸。用手机拍屏幕；截屏后发微信；打印出来带出门。测这三样的时候，重点不是"能不能拦"，而是"事后能不能查出是谁"。屏幕水印、打印水印、打印审批记录，这时候就派上用场了。

场景五：身份与权限。拿一个已经离职但账号还没注销的旧账号试着登录；拿一个共享账号在别的部门电脑上登录；试试能不能访问自己本不该看到的共享目录。这一轮经常能挖出大问题。

每个场景测完，记录四个结果：能不能做、有没有拦、有没有告警、能不能溯源到人。四项里只要有一项是"否"，就说明这条防线是漏的。

演练做完，出一份两页纸的报告，把结果摊开：五个场景、二十个检查点、通过几个、失败几个、每个失败点对应什么整改动作、责任人是谁、什么时候完成。这份东西有三个用处。

一是给老板看。老板不需要听"加密算法是AES-256"，他需要知道"上个月有人试图用U盘拷走图纸，被拦了，日志记录在第几号服务器上"。可量化的东西才能换来预算。

二是给客户和审核看。现在越来越多的甲方在供应商准入时要看数据安全能力证明，一份自己做的、有具体场景和整改记录的演练报告，比一张ISO证书更能说明问题。

三是给自己看。人都是有惰性的，策略配完就没人再动。每季度做一次演练，等于每季度强制把整套策略重新过一遍，很多"当初为了省事留下的口子"，就是在这一遍里被发现然后堵上的。

还有一件事值得做：把演练结果和绩效挂钩。哪个部门被攻破了，不处罚，但要复盘；哪个部门一年都没被攻破，给点奖励。安全这件事，光靠IT一个部门喊，喊不动，得让业务部门自己有感觉。

回到开头那位董事长。后来他们真做了一轮测试，五个场景里破了三个：U盘没管控、压缩包能绕过、离职账号还能登录。老板看完报告说了句话：幸亏是先自己试的。要是等客户拿着我们的图纸找上门，那这事就不是改配置能解决的了。