车间那台谁都能登的公用电脑，比十台个人电脑都危险

去工厂做调研，最容易被忽略的一台机器，往往在车间办公室的角落里：一台用了六七年的台式机，白班夜班十来个人轮流用，屏幕右下角贴着一张手写的便签——"PLM 密码 888888"。桌面上摆着上个班次导出的排产表、两张 PDF 图纸、一个叫"新建文件夹(3)"的东西。浏览器里存着五六个账号的密码，企业微信还挂着某个已经调走的班长的号。

有天早上，工艺组发现一套还没发布的模具图出现在了同行的报价资料里。查日志，那条下载记录对应的账号是"chejian01"——一个全车间共用的域账号。谁登的？不知道。几点？凌晨两点十七。摄像头拍到的走廊里空空荡荡。这事最后不了了之，因为根本没法证明是谁。

公用机的问题，不在"公用"，在"没有主人"

个人电脑出了事，至少能定位到人。公用机不一样，它像一个所有人都能进、但没人负责锁门的房间。常见的几个点位高度重合：车间班组办公室的公用机、会议室那台接投影的电脑、前台和打印区的机器、培训室和宿舍的活动室电脑。这些机器的共同特征是：账号共用、密码贴在墙上、长期不关机、U 盘随便插。

具体会留下什么？四类残留最要命。一是登录态，浏览器保存的密码一点就进，PLM、ERP、邮箱、企业微信全是敞开的；二是本地缓存，最近打开的文件记录、临时目录、回收站、微信的文件缓存，翻一翻能拼出大半个工艺路线；三是本机共享，很多人图方便把自己电脑的 D 盘共享出来，权限还给了 Everyone；四是外设口，USB 想插就插，插上就能拷。

先把"一人一账号"这条落实了

最优先的一件事，不是买软件，是把共用账号拆掉。共用设备可以有，共用账号不能有。做法是：设备还是那台设备，但每个人用自己的账号登录，用完注销。听起来麻烦，实际上就是养成一个动作习惯——跟下班关灯一样。

配合几件小事，效果立刻不一样。屏幕设三分钟自动锁；把 Win+L 的快捷键打印出来贴在显示器边上；班组长交接班的时候检查一次有没有人挂着账号；重要系统（PLM、ERP、MES）改成必须重新认证，不允许"记住我"。

有人会说，车间那么忙，哪有功夫天天输密码。那就用刷卡登录或者工牌感应，人走卡拔，屏幕自动锁。这个投入不大，但把"谁在什么时候用了这台机器"这件事，第一次变得可追溯了。

让数据不落在公用机上

更进一步的做法，是干脆让公用机不存东西。两条路：一条是还原卡或者系统还原策略，重启就回到初始状态，本地不落任何业务文件；另一条是走云桌面或者虚拟桌面，公用机只是个显示器，真正的计算和数据都在机房里。后者的好处是连"拷到本地"这个动作都不存在了，插 U 盘也没用。

如果不能一步到位，那就做减法：关掉本机共享和自动播放；USB 口设成只读或者只认白名单设备；浏览器策略里禁掉"保存密码"，企业密码统一收到密码管理器里；公用机上不装加密客户端（省得密钥散落），数据统一走受控交换区。

给它一个责任人，比给它装十套软件管用

最后一步是最便宜也最有效的：把公用机纳入资产台账，写上责任人——通常是那个区域的班组长或者车间主任。责任人要干的事很朴素：每周抽查一次，看有没有人挂着账号、桌面上有没有不该有的文件、U 盘记录有没有异常。发现一次，通报一次。

上邦在给制造企业做落地的时候，经常把公用终端单独列成一类资产来管：跟个人终端分开统计，单独设策略，单独出报表。因为这一类终端的风险模型完全不同——它不是"某个人可能泄密"，而是"任何一个人都可以不留痕迹地泄密"。

一套图纸值多少钱，一笔订单值多少钱，算一算就知道：给车间那台老电脑配个刷卡登录、装个还原策略、指定一个责任人，这点钱大概是全厂数据安全投入里性价比最高的部分。它不显眼，但它堵住的是一个连日志都查不出来的洞。