如何对员工数据外泄进行有效管控？

建议从以下方面入手：  

1、网络安全风险防御

企业和单位要构建完善的网络安全防御体系，尽可能降低网络攻击而造成的员工被动数据泄露 事件。网络安全风险防御包括传统静态防御、动态的主动防御，以及智能化防御。静态防御是指利用静态码分析技术进行安全防御，常见静态防御手段包括防火墙、入侵检测系 统、入侵防护系统、防病毒网关、VPN、漏洞扫描和审计取证系统等。 动态防御是指在实际运行过程中及时地监控、检测并阻止与安全策略相冲突的行为；动态防御 技术主要包括软件动态防御技术、网络动态防御技术、平台动态防御技术以及数据动态防御技 术。 智能化防御技术是最近几年出现的一种防御技术，它可以模拟人类的思维方式，自动分析并预 测网络攻击，对于可疑事件进行分析和比对，快速准确的发现网络攻击行为。

2、数据使用制度规范

企业和单位要建立健全员工数据使用规范，包括相应的制度、准则和奖惩措施等。规范应体系 化、制度化、日常化，覆盖企业数据全生命周期和员工作业行为的全方面维度，并细分落实到 各个组织、部门、小组和人员。 此外，除建立制度规范外，还应有一系列的措施来推动和执行该制度，如定期培训，针对数据 敏感部门和人员定期进行沟通或测评，对于内部违规行为进行告警和通报处理，对于良好执行 制度的个人和部门给予相应奖励等。 指导性规范制度和日常保障举措同时推动执行，来约束和规范员工数据使用行为，进而从机制 上为企业数据防泄漏治理提供基础。

3、员工数据权限管控

对员工数据权限的管控，是防止员工数据外泄的基础。企业和单位要避免对员工数据使用权限 的粗放管理，确保员工仅具有员工完成其工作所需的最小数据访问权限。  依照国家及行业法律法规，结合企业自身数据管理需求，对数据做好分类分级管理；  对于员工，依据其职位、工作需要、业务开展等综合维度，明确数据授权范围 ； 精细化、最小化授权管理，并根据员工职位变动、业务周期等因素，及时调整和更新授权 范围。

4、员工使用设备管控

设备终端管控是企业数据防泄漏重要的一环，一般企业会重点对办公电脑终端设备做安全监测， 但实际上，企业内部 U 盘、蓝牙、打印机、Airdrop 等都是易发生员工数据外泄的设备，同样 需要对上述设备的接入、使用、数据通信等做安全监测和管理。 对于设备的管控包括两个层面：制度层面和技术层面。 制度层面，需要企业建立完善的员工设备使用规章制度，如对办公终端 USB 口进行禁用， 员工如需通过 USB 口传输文件，该走怎样的申请及审批流程。  技术层面，则是建立或引入企业设备安全监测系统，能够实时监控并识别异常使用行文， 及时告警，便于企业跟进处理。。

5、数据流转通道管控

数据发生泄露大多发生在数据流转环节，因此作为数据流转的载体-数据流转通道的管控就极 为重要。数据流转通道被严密管控时，数据外泄的可能性就能大大降低。 对于 IM 通信、邮箱、FTP 应用、企业网盘、代码托管工具等，可以从多个角度进行管控，包 括账号开通与禁用、账号权限设置、账号有效期设置等。对安全性低的 IM 通信，采用禁用或 仅在特定网络区域内授予特定人员权限；邮箱增加对外部账号收发场景的监测提醒；FTP 账号 权限统一管理、企业网盘文件夹和数据权限精细设置等。

6、数据安全技术应用

除了加强自身对员工和数据的安全管理外，企业还可以引入外部的数据安全技术应用，来加固 企业数据防泄漏防线。 针对员工数据外泄的有效管控技术包括对于网盘/IM/邮箱等外发通道拦截，使数据流转限制在 企业内部。数据加密技术，包括存储加密、终端加密、传输加密等，无关人员获得敏感文件也 无法打开使用。文档数据水印技术，可以自定义水印内容，约束员工数据外泄，当数据外泄发 生时，可以根据水印内容快速追溯泄密源头。截屏/拍照告警，当员工使用截屏或拍摄屏幕内 容时，可以识别出违规动作并触发告警，及时将违规行为阻断。

7、数据安全风险识别

上述一系列举措可以有效的减少数据外泄事件的发生，但并不能 100%完全规避，因此，对潜 在的数据安全风险进行识别是必要的。它可以提前预知可能存在的风险，并使企业有应对的空 间和举措，最终降低数据外泄的可能性和损失。 数据安全风险识别包括数据异常访问行为识别、数据敏感内容识别、病毒识别、数据外发行为 监控等。通过对数据的安全性和数据使用行为合规性进行分析，识别风险，可以将数据外泄控 制在可控范围内。

8、数据外泄链路追踪

在管控员工数据外泄风险的同时，还需针对已发生的数据外泄事故做好应对，当数据外泄时， 需要能对外泄的链路进行追踪，对外泄的数据可进行追溯，进而对已经发生的损失尽可能降到 最小。 对敏感数据进行全链路、全行为的追踪，从上传、编辑到外发、下载；同时，有效预防员工采 用压缩、重命名、加密、剪贴板等绕过行为。 对于流转的数据，有完整的日志记录，发生数据泄露时，可以根据日志记录追溯传输主体和文 件。对于已完成流转的文件，可以采用加密、水印等技术，降低外泄数据的可用性，增强信息 标识，快速定位外泄源头，减少外泄损失。