行业动态
去年 11 月，一家做非标自动化设备的企业找过来。他们在一次 800 万的投标里输了，输得莫名其妙：对手报上来的技术方案，跟他们做的几乎一模一样，连两个非标机构的选型都撞了。
项目是给一家新能源电池厂做模组装配线，方案做了将近两个月，机械、电气、软件三个组一起出图。投标前一周，销售总监觉得方案里一个上料机构的风险点拿不准，想请外面的老工程师看一眼。技术负责人把整包图纸导成 PDF，压缩之后发了出去，收件人是销售总监认识十几年的朋友，在一家同行做技术顾问，文件走的微信。
投标前三天，这份方案出现在了竞争对手的标书里。
公司事后组织了一次复盘，会开得很沉。事情本身不复杂，麻烦在于三个环节全都缺东西。
外发没有流程。谁能发图纸、发给谁、发什么，全凭当事人判断。销售总监觉得是给老朋友看一眼，技术负责人觉得领导交代了就发，没人问过这包图纸算不算涉密。公司是有保密协议的，员工入职都签了，签完锁在人事柜子里，谁也没再翻过。
发出去的文件没有任何限制。导成 PDF 之后，能转发、能打印、能无限次打开。公司这边完全不知道它被打开过几次、传到了谁手上。事后问起来，销售总监说他以为对方只是看看。
图纸上没有任何能追到人的信息。想查是谁发出去的，只能靠人回忆。两个月前微信里发过什么，谁记得清。
三个漏洞叠在一起，等于图纸出了公司门就彻底失联。
补的动作分三步，顺序值得说一下。
先收口的是外发这条路。所有图纸对外流转走线上审批，申请人填用途和接收方，直属主管确认，安全管理员终审。审批过了，系统生成一份受控文件。对方能看，转发出去是乱码，打印出来带水印。
再给外发文件加限制。打开次数、有效期、指定设备打开，这三项设上之后，一份发给外协厂的图纸，加工周期结束就自动失效。留着也没用，留着也打不开。
最后把日志打开。谁在什么时候解密了什么文件、发给了谁，全记下来，能导成表格。这一步做完，公司第一次知道自己每个月有多少份图纸流出去，数字比他们想的多。
三步走完花了大概三周。真正费时间的不是装软件，是把哪些图算涉密、谁能批、批到几级这几件事吵清楚。
非标设备、成套装备、工程方案这类企业，有几个共同点。
图纸就是产品。别的行业图纸是过程文件，这些行业图纸直接对应报价和交付，泄露一张就少一分竞争力。
经手的人多。机械、电气、软件、工艺、采购、销售，一条链上七八个环节，每个环节都可能需要把图发出去。
外发频率高。要跟客户确认，要跟外协厂对接，要跟供应商核参数，一个月发出去几十份是常态。
交付节点密集。赶工期的时候，谁都想快点把东西发出去，审批这一步最容易在这种时候被跳过。
四个特点叠起来，靠制度和自觉是管不住的。这类企业往往在出过一次事之后，才会认真把外发这条路收进系统。
第一件，先把出口数清楚。图纸可能从哪些地方出去，微信、邮件、U 盘、共享盘、打印、拍照，列一张单子，逐个问：这个出口现在有没有人管。这一步不用花钱，但它是后面所有动作的地基。
第二件，把外发审批跑起来。不用一开始就做得很复杂，哪怕先上一套最简单的线上申请，也比靠自觉强。审批入口要顺手，最好就在文件右键菜单里，员工才愿意走。
第三件，给外发文件加限制。打开次数和有效期是最基本的，加上去之后，文件就不再是发出去就收不回的东西了。
第四件，把日志留住。这件事的价值不在平时，在出事之后。有日志，责任分得清；没日志，只能靠猜。
那家非标设备厂丢了那单，体系倒是建起来了。今年上半年又投了三个标，没再出过类似的事。
本文来源：文件加密专家网，360安全网
主笔专家：曹娟
责任编辑：编辑部-刘沐言
最后更新时间：2026年10月15日
