很多公司买过加密软件、也上了 DLP，出的事却一点没少：方案被隔壁公司抄走、报价单到了同行手里、标书在开标前泄露。不是产品没买对，是问题被问错了——「文件加密了吗」和「文件现在在谁手里」，是两件完全不同的事。
加密软件把文件锁在受控环境里，只有装了客户端的电脑能打开——可员工要把方案发给甲方，就必须解密。解密那一刻，加密就不再存在了。之后这个文件在对方手机里是什么状态，加密软件管不到。这不是员工不守规矩，是流程本身必须有一个「明文出口」。
多数 DLP 盯的是终端和网络出口：能不能拷进 U 盘、能不能通过邮件发出去、能不能上传到网盘。它盯不到的地方很多——手机拍屏、口头转述、换一台没装客户端的电脑重打一遍、以及文件发给外部合作方之后的二次转发。而且 DLP 部署重、误报多，不少公司上线三个月后就只剩一个告警面板。
「加密邮件」保护的往往是传输链路和收件人身份：路上被截读不懂，非收件人打不开。但收件人一旦打开，拿到的是一个完整文件——转发给谁、存到哪、打印几份，全在他手里。你要防的是「这个文件被转发」，可对方手上恰恰有一份可转发的文件。
| 维度 | 文件加密 / 磁盘加密 / 邮件加密 | 文件防泄露（外发管控） |
|---|---|---|
| 保护的对象 | 文件本体在存储与传输介质上的状态 | 文件离开你之后还能不能被控制 |
| 主要防的是 | 设备丢失、服务器被入侵、数据库被拖、链路被截 | 转发、截图、另存、打印、带走、发错人 |
| 什么时候失效 | 文件被有权限的人打开（打开即明文） | 只要让对方拿到一份完整文件，就失效 |
| 能回答的问题 | 「数据放在硬盘上安全吗」 | 「这份文件现在在谁手里，还能不能收回来」 |
| 能不能回答「谁看了」 | 不能，只知道谁有权限 | 能：谁、什么时间、哪座城市、看了多久 |
| 典型失效场景 | 员工正常外发、解密后转发 | 对方拍屏（这一条我们也做不到，见文末） |
表格里最扎心的是第三行：加密的失效点恰好是日常工作中必须发生的那一步——把文件交给对方。所以加密做得再强，也不会减少「文件被转发」这类事故。
三层都要，但它们解决的不是同一个问题。只做前两层，等于把门锁得很好、钥匙却交给了每一个要进门的人。
这六条可以直接拿去问任何一家供应商。六条都答「能」的，才算真的在做外发管控；只答得出「加密强度」的，那是加密产品，不是防泄露产品。
说清楚边界，比列功能更有用：
上传文件 → 生成加密链接 → 对方在线只读 → 禁止下载复制打印 → 动态水印带身份 → 按天/按次失效 → 随时销毁 → 留下访问记录。支持 PDF、图片、视频。
如果你的需求是「服务器被入侵时硬盘上的数据不可读」，那是加密该干的活，不是我们；如果要管终端外设和网络出口，那是 DLP。另外，我们不承诺阻止手机拍屏和系统级截图——只承诺来源可查、权限可控、事后可追责。任何声称能防住的，都值得你多问一句怎么实现的。
因为加密保护的是文件在存储介质上的状态，不是它被使用之后的状态。文件一旦被授权的人打开，它就是明文；这个人要发给客户、发给同事，就得让文件以明文形式离开你的系统。员工不是黑客，他只是在正常工作——但这一个动作就让加密失效了。绝大多数企业泄密事件走的都是这条路，不是硬盘被偷。
加密回答的是「别人拿到这块硬盘/这台服务器，能不能读懂」；防泄露回答的是「文件被发出去之后，还能不能被转发、被截图、被另存、能不能收回来」。前者保护载体，后者控制流转。加密做到 AES-256 也只是让文件更难被破解，拦不住一个有权限的人按下转发键。
要看 DLP 管到哪一层。多数 DLP 管的是终端与网络出口——能不能拷进 U 盘、能不能通过邮件发出去。它管不到两个地方：一是员工用手机拍屏、口头转述、换台电脑重新打一遍；二是发给外部合作方之后，对方在自己设备上的转发与保存。所以 DLP 是必要的，但它补不上「对外发送之后」这一段。
不够，但它是基础。只禁下载、不禁复制和打印，对方可以用截图工具或虚拟打印机把页面变成文件；只禁下载、不留水印，内容流出去也追不到人；只禁下载、不设有效期，三年前的链接今天还能打开。禁止下载 + 动态水印 + 有效期 + 远程销毁，这四项要一起用才成立。
先做分拣，再做管控。把文件分成两类：核心资产（报价、方案、图纸、合同、客户名单）和普通文件。普通文件照旧用微信和邮件发；核心资产改为发加密链接——禁止下载复制打印、水印带对方身份、设有效期、随时可销毁。这一层不需要部署终端软件、不改变员工的日常工具，成本也远低于 DLP。
问六个问题：一、文件会不会落到对方设备上（会落地的，防泄露就不成立）；二、能不能禁止下载、复制、打印、右键另存；三、水印是不是动态的、带访问者身份；四、链接能不能按人授权、设有效期与打开次数；五、后台能不能看到谁在何时从哪个城市打开、停留多久；六、发出去的链接能不能一键作废。这六条里缺任何一条，实际防护都会打折扣。
TeamVault 企密