加密锁得住文件，锁不住一次"另存为"

前阵子有家做非标设备的企业来咨询，问题很典型：透明加密上了大半年，CAD 源文件管得死死的，一次泄密却栽在一张 PDF 上——员工打开加密图纸，顺手「另存为」转出 PDF，转出来的文件不带任何加密属性，微信一发就出去了。

IT 委屈：文件明明都加密了。员工也委屈：转 PDF 给客户看，本来就是我的活。

两头都没错，问题出在中间：格式转换。

文档加密管的是「文件本身」，可工作流里天然塞满了「变形动作」：CAD 转 PDF 出图、Office 导出 PDF 送审、设计稿导成图片发公众号、报表另存 CSV 给分析。每一次转换，都可能产出一个脱离加密保护的「明文新生儿」——文件没被偷，是被合法地重生了一遍。这个出口不设卡，前面加密做得再严，也只是堤坝上留了个排水口。

三种思路，差的不是力度，是分寸

◆全禁：终端不许装转换工具、不许另存导出。看着省事，撑不过一周。业务真要出图，解密工单排到天荒地老，最后逼出更失控的歪招——拿手机拍屏幕，反倒连留痕都没有。

◆放开不管：转换嘛，正常办公，随他去。那加密只防住了「偷文件」这个最不现实的场景，防不住「干活顺手带走」这个最真实的场景。

◆受控转换：不禁止转换，而是把转换变成一个有记录、有约束的动作。加密文档在受控环境里转出的 PDF、图片，自动继承加密与水印属性，离开授权环境照样打不开；确实要输出真明文的，走审批流——谁申请、转的哪份文件、发给谁，全程留痕。员工日常操作一步不用多走，但「无审批的明文出口」从机制上就不存在了。

落地三个细节，决定制度能不能活过一个月

◆审批别设太重：常规出图、日常导出走默认策略自动放行并留痕，只有高密级文件的转换才需人工审批。审批太频繁，制度会被人性打败。

◆外发件别裸奔：转出去的 PDF 统一加水印、设打开次数和有效期，让它同样是「阅后即焚」的，而不是一发出去就永久生效。

◆日志要回头看：哪个部门导出明文异常多、哪类文件被反复申请解密，既帮你发现风险，也帮你校准密级——规则定得合不合理，日志会先告诉你。

一句话收口

加密是堤坝，受控转换是那道闸门，日志是水位计。把文件锁进保险柜只算做了一半；工作流里每一个「文件变形」的节点，都得有对应的出口设计。

堵得住排水口，堤坝才算真正修完。