透明加密软件真的“透明”吗？——从加密机制到失效边界

南京一家做工业设计的公司，图纸被离职工程师带走，拷到新单位的电脑上一打开全是乱码——两年前上的透明加密，这次终于派上用场。

但同一家公司也吃过亏：有员工把图纸拍照发给客户，加密系统一点都没拦住。

透明加密的“透明”，指的是对员工无感：不改操作习惯、不用手动加解密，文件在后台自动完成。

安企神这类防泄密软件的加密模块走的正是驱动层路线，但机制决定了它能挡什么、挡不住什么，把这些看清才好用。

一、“透明”是怎么做到的

1. 驱动层拦截读写。 加密模块挂在文件驱动层，程序发起读写请求时被拦截，文件保存的那一刻就自动转为密文。
2. 按权限自动解密。 在受控电脑上打开加密文件，系统按当前用户权限自动解密给程序使用，整个过程毫秒级完成，员工只看到文件图标多了个锁标。
3. 算法与格式。 主流做法是 AES-256 配合国密算法，文档、图纸、源代码等常见格式都能纳入。

二、五种加密模式，别混着用

同一套系统里，不同部门可以配不同模式：

1. 透明加密。 保存的文件自动加密，适合核心部门全员使用。
2. 智能加密。 已加密的保持加密，其他文件不加，适合只跟加密文件打交道的岗位。
3. 只解密不加密。 打开加密文件时自动解密，新存的不再加密，常用于对外协作的窗口岗位。
4. 只读。 以只读权限打开加密文件，看得到、改不了、存不走。
5. 不加密。 已加密的文档无法查看，新保存的也不再加密，多用于不再需要防护的终端。

模式选错，要么漏、要么卡。按部门性质与文件敏感度分开配，比全局一刀切稳得多。

三、落盘与复制：两个容易漏的口子

1. 落地加密。 文件到达受控电脑就自动加密，重启、离线都保持密文，堵住明文残留。
2. 复制加密。 复制加密文件里的内容时，剪贴板数据被一并加密，粘到聊天工具或记事本里会显示“您复制的内容已被加密处理”。
3. 拖拽拦截。 把加密文件直接拖进聊天窗口这类动作，同样在管控范围内。
   
   

四、越权访问靠“安全区域”挡

1. 按部门建独立密钥区域。 研发、财务、销售各自拥有独立密钥空间，跨区域打开会提示权限不足。
2. 上下级分权。 上级部门可以查看下级文件，反向操作被阻断，既保证协作又不失控。
3. 角色级权限。 新建、删除、复制、打印、截屏可按角色逐项设限，实习岗只看、项目岗可改不可外发。

五、再进一层：把文件关进“保密沙箱”

加密管的是“带出去没用”，沙箱管的是“在哪儿打开、能不能搬走”。

沙箱的思路不是再加一条拦截规则，而是把核心数据从“整个文件系统”收敛到“一片隔离区域”，让“看得到”和“带得走”解耦。

1. 文件改动被重定向。 沙箱内的文件由虚拟系统接管：以沙盒方式对文件系统做重定向处理，不操作真实磁盘与注册表，影响范围被限制在虚拟层内——沙箱里的删除或覆盖，真实磁盘上并没有真的发生。
2. 目录与设备分别设权。 能进哪些目录、能用哪些设备可逐项指定，配合内外网隔离，被动泄密进不了真实系统。

加密是“锁门”，沙箱是“保险箱”——门挡得住外人，贵重东西还得单独锁进箱子里。

六、外发只有一条正路：走审批

1. 先申请，再解密。 文件外发需提交申请，审批通过后才解密放行，谁批准的、什么时候放的都有记录。
2. 外发件本身也要拴住。 可设阅读密码、打开次数、有效期、绑定设备，并禁止二次转发与打印截屏。
3. 报警。 敏感文件被创建、修改或尝试外发时，管理端收到告警，主动发现比事后追查强。
   
   

七、加密挡不住的那几件事

1. 拍屏与拍照。 文件加着密，屏幕却是亮的。得配水印与防拍照锁屏，让拍走的东西带出处。
2. 手抄与口述。 抄几行参数、通话里念一遍，加密再强也没用，只能靠权限和制度去压缩空间。
3. 代价。 老系统、专用软件可能不兼容，需先小范围验证；策略越严，员工抱怨越多，解释的功夫省不掉。

透明加密把“带不走的文件”做到了极致，但它护的是文件本身。

再用水印、审计、审批把外围补上，这套防护才算合拢。

责编：小赵