设计公司怎么选择兼顾图纸安全的软件？看完这篇你就懂了！

杭州一家工业设计公司，几百张 CAD 图纸同时在十几个人手里改。

一份未公开的方案，可能上午还在内部，下午就出现在别家投标书里。

安企神这类终端管控要回答的，是设计公司最现实的问题：图纸既要方便改，又不能随便走。

这篇从技术主线讲，兼顾图纸安全的软件到底看哪几层。

一、加密是不是把图纸锁死就行？

1. 透明加密：打开照常用、出去就乱码

（1）封住的是"流出即失效"。透明加密让图纸在授权环境里正常打开编辑，一旦非法外发就变成乱码。

（2）看住的是明文落点。只有受控终端按权限自动解密，离开这个范围文件始终是密文。

（3）存住的是使用习惯。员工不用改操作流程，加解密在后台完成，不拖慢画图。

2. 保密沙箱：大图纸在箱里跑得动

（1）看住的是大文件速度。保密沙箱里图纸不加密、明文运行，上百兆的 CAD 打开编辑都不卡，专治加密慢。

（2）封住的是出门这一下。文件离开沙箱、或被外发时自动加密，出了边界就乱码，速度和安全两头顾。

（3）存住的是隔离边界。沙箱防火墙阻断或放行沙箱文件经网络传输，可设例外网段，正常协作不误事、越界被拦。

3. 落地加密：到本地就密

（1）封住的是"转发即泄"。落地加密让文件一存到本地立刻加密，不按"打开才加密"的规则走，直接转发的明文截不住。

（2）看住的是新建文件。员工自己新建的图纸落地即密，不用等二次触发。

（3）存住的是兜底。没进沙箱的仍是密文。

二、图纸流出去的口子怎么堵？

1. 禁止程序发送图纸：设计软件不直接外发

（1）封住的是软件直传。禁止程序发送图纸让 CAD、三维软件这类工具无法直接把文件发出去，想走先过管控。

（2）看住的是发送动作。哪台机器、哪个程序动了外发念头，动作被记下来。

（3）存住的是出口清单。邮件、聊天、网盘几条通道统一管理，图纸不从这几种口子溜走。

2. 禁止USB设备拷贝、打印机打印：物理出口也管

（1）封住的是U盘拷走。禁止 USB 设备拷贝让图纸插盘带不走，拔插行为本身也留痕。

（2）看住的是纸质外流。打印机打印受控，关键图纸的纸质副本也在管控范围内。

3. 禁止截屏：加密区截了也黑

（1）封住的是截图泄密。禁止截屏对加密图纸生效，强行截取时加密区域变黑或窗口隐藏，截不到内容。

（2）看住的是录屏行为。录屏同样受限，屏幕被翻拍的路子先断一截。

三、图纸上留谁的手脚？

1. 图纸水印：四种水印溯源

（1）印上的是责任人。图纸水印支持文字、图片、点阵、二维码四种，把打开人和时间打到图上，谁泄的一查便知。

（2）看住的是扩散面。点阵水印可隐藏，不影响看图又能溯源，外发的每张图都带身份。

（3）存住的是证据。水印跟着文件走，即便被转存，责任线索还在。

2. 图纸操作记录：外发拷贝打印都记

（1）存住的是完整轨迹。图纸操作记录把文件外发、拷贝、打印的时间与路径排成时间轴。

（2）看住的是异常动作。某份核心图纸短时间内多次打印、拷贝，记录里一眼能挑出来。

四、跨部门看图纸怎么收？

1. 安全区域：部门间不越权

（1）封住的是越权查看。安全区域让不同部门分配不同密钥，结构组和渲染组互不翻到对方的图纸。

（2）看住的是访问边界。跨部门的图纸调阅被权限挡住，敏感设计不裸奔。

2. 防手机拍照：拍屏就锁

（1）封住的是手机翻拍。防手机拍照装插件配合摄像头，检测到拍照立刻锁屏，并拍下偷拍人留证。

（2）看住的是现场。屏幕截图同步留存，和水印一比对就知道是不是泄密。

3. 文件操作权限：删改拷出受限

（1）封住的是随意处置。文件操作权限限制删除、重命名、拷出，图纸不会被随手改没或挪走。

（2）看住的是关键动作。谁动了核心图纸的删除或拷出，权限记录里写得明明白白。

图纸安全从来不是装一个软件就完事。加密、出口、水印、拍照、权限，五层叠起来才叫兼顾。

那家设计公司最后定的，是先堵常出事的口子，再补里层——你的图纸，最怕从哪走？

责编：小赵