下班以后，工位上摊开的那些文件，公司就得替它们负责

深圳一家做消费电子的公司出过这么一件事：晚上九点，办公室保洁做完清扫顺手拍了张加班场景发朋友圈，配文“大晚上的还在奋斗”。照片里，靠窗工位上一台显示器没锁屏，正开着一份标着“内部资料”的新品BOM清单；旁边桌上摊着一沓打印的报价表，最上面那张连客户名字都看得清。这条朋友圈被共同好友转了出去，第二天就被合作方问到了。最后查下来没造成实际损失，算万幸，但老板后怕了很久：那晚要是来的是个有心的商业情报人员，而不是保洁阿姨呢？

大部分企业做数据安全，眼睛都盯着电脑和网络，却忘了最古老的泄密方式——物理世界里的那张纸、那个没锁的屏幕。写字楼保洁、物业维修、空调检修、外卖配送、加班的访客，晚上八点之后的办公区，进出的人比你想的多。屏幕不锁、文件不收、门禁形同虚设，这些漏洞在网上攻不破的防线旁边开着一条便道。

物理泄密的三个高发场景

一是工位本身。财务桌上放着银行回单，HR桌上摊着待发的offer，设计工位上贴着参数便利贴——这些在白天是“工作方便”，晚上就是敞开的资料柜。二是打印区。打印机旁边那摞没人认领的文件，是所有安全检查里命中率最高的失分项，谁都能顺手抽两张。三是会议室。散会后白板上没擦的客户架构图、投影仪里没退出的账户、桌上留下的会议纪要，下一场会议的人还没来，信息已经“共享”完了。

清桌政策：成本最低的一条防线

这套做法在国际上叫Clean Desk Policy，直译就是“清桌政策”，听着朴素，执行起来却有章法：

第一，定规矩。下班离位，敏感纸质文件锁进柜子，屏幕锁屏，桌面不留含客户名、价格、参数的资料；打印必须“随打随取”，超过下班时间未取的文件由行政统一回收碎掉。规矩要写成制度、纳入员工手册，出了事才有依据。

第二，给工具。要求员工锁抽屉，就得配带锁的柜子；要求随手锁屏，就得把锁屏时间设短，或者统一发工卡感应锁屏的小工具。光提要求不给条件，制度就是墙上的一张纸。

第三，配技术兜底。终端上做强制锁屏策略和USB管控，防止“人走了电脑还开着还能拷东西”；重要区域加门禁分级，财务室、研发区、机房和普通办公区分开授权；公共打印机启用刷卡取纸，没刷卡的打印任务直接不输出。

第四，定期抽查加外部视角。行政和IT每个月做一两次“下班后巡检”，拍下没锁的屏幕、没收的文件（通报时不点名，只讲场景）；更狠一点的公司会请第三方在夜间做一次物理渗透测试，结果往往比任何培训都让人清醒。

物理防线是数据安全的地板

有老板觉得这些事琐碎、上不了台面。恰恰相反——审厂的时候，客户的安全问卷里几乎都有“涉密文件如何存放”“办公区门禁如何管理”这类问题；做过等保、ISO27001的企业更清楚，物理与环境安全是必查项，而且是最容易现场翻车的一项。上邦给企业做防泄密方案时一直有个说法：网络加密决定你防线的天花板，物理管理决定你的地板。天花板再高，地板漏了照样全漏。把工位收拾干净这件事，不需要预算审批，需要的只是把制度写下来、把习惯养起来——这是数据安全里性价比最高的一个动作。