技术文章
有个做非标设备的老板问过一个挺典型的问题：图纸上了加密，员工还能不能把图拷走。
能。拷走这件事本身就拦不住，U 盘、手机、网盘，甚至把硬盘拆下来，物理上碰得到的机器总有办法。加密要管的是下一步，拷走之后打不开，或者打开了能被查到是谁弄出去的。
这个问题问得不算离谱，类似的还有几个，按被问到的频率从高到低排。
加密管的是电子通道。拷贝、外发、打印、截屏这些动作能阻断也能留痕，可它管不住人眼睛看一遍记在脑子里，也管不住拿手机对着屏幕拍一张。
真要补，靠两样。屏幕动态水印，把工号和当前时间叠在画面上，谁拍的、什么时候拍的能对上；截屏和录屏管控，把电子化那条路堵掉。剩下的交给制度和追责。
还有一条通道常被忽略，是打印。图纸打成纸质件带出去比拷文件还方便，一张 A4 塞进包里就没了。打印管控能记下谁在什么时候打了多少页、打的是哪份文件，配上纸质件的水印，流出去也追得到。这不是加密本身的功能，选方案的时候要一起问。
所以别指望它把路全封死。它做的是把门关小，让能出去的人少、留下的痕迹多。
这一条最影响采购决策，也最容易验证。
驱动层加密挂在文件系统栈上，加解密在磁盘读写那一层完成，磁盘 IO 的影响通常在 3% 以内。真正吃性能的是编译，100M 以上的大项目跑全量编译，增加 13% 左右是常见量级，50M 以下基本感觉不到。
这个数字可以直接要求厂商现场测。拿你们自己最大的那个项目跑一遍，前后各记一次时间，五分钟就能出结论。只肯说基本无影响的，可以先放一放。
图纸是最容易想到的，但不是唯一值钱的。
源代码、Office 文档、BIM 模型、客户清单、报价表，都得算进来。见过一些企业只给 CAD 装了加密，研发那边的代码库裸着，Git 服务器上那份还是明文，离职的人 clone 一份走，一点痕迹都没有。
加密要按资产清单铺，不是按文件后缀铺。
抵触是真的，但抵触的通常不是加密本身。
问过几个推不下去的项目，员工的意见集中在这些地方：外发审批要走三天、领导一出差流程就卡住、手机上批不了、临时要发给甲方看一眼也得等。加密让他们多绕了几步，这几步才是问题。
把审批压到三步以内，手机上能批，外发能设打开次数和有效期，抵触就小很多。反过来，流程不顺的方案最后一定被绕过，员工会自己找条路把事办了。
推行节奏也有讲究。一上来全厂铺开，问题会集中爆发，IT 天天被叫去处理各种打不开的报错。先在研发或者设计部门挑二三十台机器试一个月，把兼容问题、软件适配问题摸清楚，再往外扩。第一批用户里最好有几个平时话多、爱提意见的，他们反馈的问题比任何一次培训都实在。
这一条付出的代价最大。事后追责的第一道门槛，是证明自己采取过保密措施。
新修订的反不正当竞争法第三十九条写得很清楚，权利人得先拿出初步证据证明已经对所主张的商业秘密采取了保密措施，才有后面的举证责任转移。措施拿不出来，案子可能连门都进不去。
技术防护和操作日志是最容易留痕、也最容易拿出来的一项，《商业秘密保护规定》第九条把权限分级、数据脱敏、操作日志留痕直接列进了相应保密措施里。事后补，补不出时间戳。
另一层成本在取证上。图纸流出之后要证明对方用的是你的东西，往往得做同一性鉴定，鉴定费从几万到几十万不等，周期按月算。有日志和没日志，能不能锁定流出时间、锁定经手人，直接决定这场鉴定做不做得下去。平时省下的那点部署时间，事后要用几倍的成本还回来。
服务器把文件集中了，不等于安全了。硬盘能被拆下来带走，运维账号能被借用，管服务器的人离职也是一条路。
所以服务端那份同样该是密文，落到本地磁盘上的文件也不该是明文。加密这件事，落到盘上的每一份都要算数。
水印确实拦不住拍照，它的用处不在拦，在追。
屏幕上叠着工号、IP 和当前时间，谁拍的、什么时间、在哪台机器上，一张照片就能对上。安秉网盾的动态水印是按人按机叠加的，同一个人换台机器打开同一份文件，水印内容跟着变。再配合导出、打印、截屏的操作日志，一份流出去的文件能顺着查到源头。
管理上要的是这个。不是让泄露变得不可能，是让打算泄露的人知道自己会被找到。
加密有用，但它的作用范围有边界：电子化的复制和流转能管住，人脑和镜头管不住。
采购的时候把这个边界问清楚，比听一堆安全理念管用。厂商愿意跟你讲清楚哪些防不住，通常比拍胸脯说全都能防的更靠得住。
本文来源：中国网信网，企业安全中心
主笔专家：王小云
责任编辑：编辑部-王泽宇
最后更新时间：2026年10月16日
