涉密单位的网络管理办法，怎么落到每一台终端上？

天津某单位的管理办法印发下来，附件里列着一串“不得”：不得私自接入互联网、不得使用未经登记的移动存储介质、不得擅自对外提供数据……文件传达到位了，一线要面对的问题才刚开始：这些“不得”，在每台电脑上对应哪个开关？

安企神这类终端管控软件在这里的角色，是把办法里的动作要求翻译成可执行的策略。技术管动作，制度管人，两者不能互相替代。

一、办法管人，终端管动作，中间要有一层翻译

1. 办法的语言是“不得”“应当”，终端的语言是开关和策略。两者不对接，办法就停在纸面上。
2. 翻译的原则是“一条要求配一组动作”。“不得擅自对外提供数据”，拆开就是外发要过审批、审批通过的文件带什么约束、未经审批的通道要不要关。
3. 翻译不全的部分要认。有些要求属于意识和责任范畴，终端管不了，由培训和考核承接。

拆的时候还要分清对象：限制这台机器，还是限制这个账号。同一个“不得私自外发”，挂在设备上是一组端口开关，挂在账号上是一份权限清单。

二、涉及“不得私自接入”的条款：准入与违规外联

1. 谁能不能进网，先过网络准入控制。终端接入网络前做身份认证与合规检查，不合规不允许入网。具体做法可以是设备入网认证、用户认证入网，也可以把地址与设备做绑定。三者侧重不同：管设备解决“这台机器能不能进来”，管账号解决“这个人能不能用”，绑定解决“这条记录该算在谁头上”。
2. 私自外联要能发现。违规外联报警掐的是绕过准入自己开的那条路——私接手机热点、连外部无线、双网卡切换、蓝牙共享都会被识别，必要时联动断网与锁屏。
3. 上网出口可收。上网行为管理可以只允许访问指定服务器和端口，也可以整体只允许访问内网，它对应到的是“出去了也到不了别处”。
   
   

三、涉及“不得外传”的条款：外设、外发与加密

1. 移动存储管控按登记表来：登记过的设备才能用，其余禁用或只读，插拔记录与文件操作记录留存。禁用、只读、只写、允许四种模式可以按岗位分别设。
2. 文件外发要过审批。走审批的外发文件可以设有效期、打开次数、设备绑定，并禁止打印、复制、另存——它挡住的是“带出去就不受控”：约束挂在文件本身，文件转给谁，约束就跟着到谁。
3. 复制和截屏也要管。剪贴板脱敏压的是纯文字这一路：加密文件里的文字复制后粘贴出来只剩一句提示。禁止截屏可以整体禁用，也可以只对加密文件生效，强行截屏时加密区域变黑。
4. 落地件本身要带身份。文档水印、屏幕水印、打印水印交到的是三个方向的凭据：文档水印跟着文件走，屏幕水印留在拍出去的照片上，打印水印留在带出去的纸上，事后能对到人和终端。

外设清单不止移动存储：蓝牙、光驱、无线网卡、打印机都能逐项开关。禁止程序外发则把浏览器、聊天工具、网盘、邮箱逐个收口——它堵的不是通道，是出口：文件能不能从这些程序里出去。

四、涉及“应当留痕”的条款：日志、备份与报表

1. 日志集中加密保存。记录实时上传到服务端，员工端删除不影响服务端那份；按部门、按人、按时段能生成报表。
2. 文档自动备份。文件被删除、被修改时自动留一份，避免一次误操作变成事故。
3. 部分单位还会用拍照溯源：屏幕水印配合摄像头，能拍到人的同时看得到屏幕上的水印，它落在的是这一环——拍照带出去之后也能对到人。

五、涉及“应当分级”的条款：多级管理与权限

1. 上下级单位各有职责，管理端要能分级：上级看全局，下级只管自己那一摊，账号权限写进制度里。
2. 部门之间要有边界。安全区域给不同部门分不同密钥，越区访问被拦下，把“部门”变成一个真实存在的边界。
3. 策略要能按分组下发。按科室、按条线分组，同一个组的机器共用一套模板，改一次全组生效。分组是分级落地的最小单位，配不到组，策略就只能一台台点。
   
   

六、翻译做不全的那部分

1. 技术能管住“在哪台机器上做了什么”，管不住“为什么这么做”。动机不在开关内。
2. 保密意识、责任意识靠培训、考核和日常检查去补，技术在这里是配角。
3. 把办法翻一遍会发现，真正要新增的技术手段并不多——多数能力本来就在，缺的是“哪条要求落到哪个开关”这张对照表。它比多买一套设备有用。

注意：真正涉密的网络按国家有关规定单独建设，不在日常终端管控的讨论范围内。这里谈的是党政机关办公网和涉密单位的非涉密办公终端这一段。

责编：小赵