DLP写了一堆规则，告警没人看：它和文档加密到底谁管哪一头

见过一家企业，数据防泄露系统（DLP）上线的时候搞得挺隆重，安全厂商驻场两周，规则写了八百多条，覆盖身份证号、银行卡、合同编号、图纸命名规则、竞品关键词，看起来密不透风。三个月后我再去，问安全员现在每天多少告警。他说：三千多条，我看了两天就不看了。

这就尴尬了。规则写了八百条，实际起作用的是零条。

问题不在DLP这个产品，在于很多人一开始就没搞清楚：DLP和文档加密，到底各管什么。

一个是管"文件本身"，一个是管"传输动作"

打个比方。文档加密像是给每份重要文件配了一把锁，文件不管在谁的电脑上、被拷到U盘里、发到邮箱里，它始终是锁着的，只有被授权的人和程序能打开。它的本质是让文件脱离环境之后依然受控。

DLP更像是门口的安检机，它盯着数据流动的通道——邮件、U盘、网盘、打印、即时通讯——通过内容识别判断"这个要出去的东西是不是敏感的"，是就拦下来或者告警。它的本质是在通道上做检查。

两者最关键的差别在于：文件一旦离开管控环境，加密还能起作用，DLP就管不着了。反过来，文件在公司内部正常流转但行为异常（比如有人批量下载客户资料），加密通常不报警，DLP能看见。

所以这不是二选一的问题，是分工问题。真正有效的体系里，加密负责"资产本身不失控"，审计负责"行为看得见"，DLP负责"在高价值通道上做精准拦截"，水印负责"出事之后能溯源"。四件事各干各的活。

DLP 最容易踩的三个坑

第一个坑：规则越多越好。八百条规则里，可能七百条一辈子都不会命中一次，剩下的命中一次就产生几百条误报。安全员被淹没在噪音里，最后干脆不看。正确的做法是反过来的：先只做十条规则，盯住最核心的三五类资产——比如图纸文件、客户名单、报价单、身份证信息，跑一个月，把误报压到每天二十条以内，让安全员真的能逐条处理。有效果了再慢慢加。

第二个坑：只告警不处置。告警弹出来，没人管，等于没有。每一条告警都要有明确的处置路径：谁来看、多久看一次、什么级别要通知主管、什么级别要直接阻断。高价值的通道（比如邮件外发、U盘拷贝）可以直接阻断，低风险的（比如内部IM传普通文档）先记录后审计，别一上来全阻断，业务会炸。

第三个坑：以为DLP能防住"人"。DLP识别不了拍照、识别不了口述、识别不了把数据抄在纸上带走。它也不擅长处理变形绕过——文件压缩加密、改后缀名、截图，这些都能让内容识别失效。这也是为什么单靠DLP的企业，往往在真正的泄密案子里一无所获。

落地顺序：先锁，再看，最后精准拦

如果一家企业从零开始建这套体系，我建议按这个顺序走，别一上来就买最贵的。

第一步，做资产盘点和分级。先搞清楚公司到底有哪些核心数据，在谁手上，以什么形式存在。这一步不做，后面所有策略都是拍脑袋。盘点的产出是一张表：数据类别、密级、存放位置、责任人、流转范围。

第二步，上文档加密，把核心资产锁住。范围不求大，先把设计图纸、工艺文件、客户资料、财务数据这几类管起来。目标是：这些文件离开公司环境，谁也打不开。

第三步，上行为审计，让动作可见。谁在什么时候动了什么文件，批量拷贝、异常时段访问、离职前集中下载，这些行为要能被看见。这一步的成本不高，但价值很大——很多泄密是被审计发现的，不是被拦截发现的。

第四步，再上DLP，做精准拦截。有了前面的分级和审计数据，你会很清楚哪些通道风险最高、哪些内容最需要拦。这时候配规则，二十条就能覆盖八成的风险，而且误报可控。

第五步，水印与溯源收尾。屏幕水印、文档水印、打印水印，成本低、威慑强。它的作用不是拦，是让想动手的人知道"这东西带出去能查到我"。

顺序颠倒的代价是很实在的。先上DLP的企业，往往卡在"不知道该拦什么"，规则乱配、告警爆炸、业务投诉，最后系统被架空。先做加密和分级的企业，DLP反而上得很轻，几十条规则就跑得很好。

还有一句实在话：这套东西的价值不在于"买了多少模块"，而在于"有没有人在运营"。规则要每月复盘，告警要每周清零，策略要跟着业务变化调整。一套没人运营的安全系统，和没装是一样的，只是多了一份心理安慰。

那家告警三千条的企业，后来做了件事：把规则从八百条砍到三十二条，只保留图纸外发、客户名单导出、大文件上传三类，告警量降到每天十几条，安全员每天花二十分钟处理完，还能顺手做月度分析。半年后他们真抓到了一个准备离职、正在批量导出报价单的销售。这个案例后来成了他们向集团汇报时最有说服力的一页。