一、背景与产品定位
企业数据量持续增长，跨终端传输与共享日益复杂，叠加员工安全意识可能不足，敏感数据泄露风险持续上升。iOA 数据防泄密（DLP） 模块以终端为核心，通过 敏感数据识别、异常行为快速分析、水印溯源 三大能力，构建覆盖 事前防范、事中管控、事后审计 的完整防护体系，实现敏感数据"从识别到处置"的全生命周期闭环管理。
定位维度 | 说明 |
全域数据资产防护 | 覆盖识别、外发管控、审计溯源、告警拦截、风险分析全链路 |
全方位通道管控 | 管控终端、网络及 IM、网盘、云笔记、外设等外发通道 |
全链路溯源管控 | 资产识别 → 实时监测 → 审计拦截 → 风险员工分析，全链路溯源管控 |
一体化部署运维 | 无需部署多套安全产品，内置多场景策略与告警规则，降低部署运维成本 |
二、总体功能架构
DLP 围绕 "识别 → 管控 → 审计 → 溯源 → 处置" 安全闭环，具体流程如下：
数据分级分类 → 敏感词库/模型聚类 → 数据地图（资产盘点） → 管控策略（拦截/审计）→ 事件聚合/告警 → 风险调查/敏感员工 → 数据存储/文件鉴定。
功能模块 | 核心定位 | 主要能力 |
数据分级分类 | 定义敏感数据的识别规则与分级标准 | 分级分类规则、敏感词库、模型聚类、文档类型库、文件来源、数据分级与评分 |
数据地图 | 事前盘点全网终端敏感文件资产 | 敏感文件采集、检索、提取；数据地图扫描策略 |
管控策略 | 事中对外发行为实施拦截或审计 | 拦截策略、审计策略、剪贴板配置、自定义通道、拦截超时、事件聚合规则、通道白名单、审批流配置、内部地址、数据存储、文件鉴定 |
风险调查 | 事后统一研判、审计与处置 | 事件审计、行为审计、敏感员工、审批日志 |
三、敏感数据识别
敏感数据识别是 DLP 的基石。通过 分级分类规则 解析文件内容，识别身份证号、商业秘密等敏感数据，为管控、审计、拦截提供判定依据。内置 七大分类、47 个规则模板。
3.1 分级分类规则
敏感数据按程度分为六级：S6（最高）→ S5 → S4 → S3 → S2 → S1（最低）。文件匹配多个级别时，取其中较高等级；级别标签可编辑以适配企业的合规命名。
自定义规则可从以下维度组合识别敏感内容：
规则维度 | 说明 |
敏感内容 | 关键词/正则/字典匹配，支持"任一/所有/部分"组合；支持剪贴板 OCR 识别截图/文字外发 |
文件大小 / 类型 | 限定大小区间检测；通过文件头识别真实类型，抗后缀篡改与加密伪装 |
文件 MD5 / 来源 | 以 MD5 快速比对已知敏感文件；按来源（敏感系统/浏览器下载）精细检测 |
3.2 敏感词库
内置敏感词库支持三种匹配：关键字（非结构化文本）、正则（结构化数据如身份证号）、字典（加权计分超阈值即敏感）。
3.3 模型聚类
借助 NLP + 上下文分析 对敏感样本进行学习，通过相似度聚类提取关键词作为规则引用，支持词云/表格查看，可生成模型或添加为字典，实现智能化识别。
3.4 文档类型库
内置 九大类、300+ 种文件后缀，基于 文件头识别 技术，即使后缀被篡改（如将压缩包后缀改为 JPG）也能识别真实类型，有效对抗伪装泄露。
四、数据地图-事前资产盘点
通过数据地图对终端敏感文件进行采集与管控，完善事前防护环节。
敏感数据采集：扫描全网终端文件，按分级分类规则采集上报敏感文件。
敏感数据管控：已采集敏感文件支持检索、提取。
多视角查看：支持按文件/人员/设备三种视角，提供 S1–S6 等级外发趋势图。
扫描策略：配置磁盘位置、文件大小/类型/后缀、扫描时间（立即/定时/闲时）、CPU 占用限制、文件阈值、超时等参数，命中规则的文件实时上报控制台。
五、管控策略-事中外发管控
围绕敏感文件外发，提供 "拦截 + 审计" 双重管控，覆盖终端、网络、企微对话及 IM、网盘、云笔记、外设等通道，并支持 OpenClaw 等 AI-Agent 通道防泄密。
策略 | 核心要点 |
拦截策略 | 触发规则直接拦截外发并弹窗上报。可配置行为类型（文件外发/代码库上传）、外发通道与内容、禁止外发时段、内部地址白名单、拦截豁免（关联审批流）、弹窗提醒、日志及外发截屏记录 |
审计策略 | |
剪贴板配置 | 按用户/终端/通道差异化设置，支持预扫描与三种监控模式（全监控/仅文件类/关闭） |
自定义通道 | 扩大通道覆盖，配置自定义通道、进程名及路径/Bundle ID 白名单 |
拦截超时 | 全局兜底，配置识别超时动作（放行/拦截）及各通道超时时间与审批设置 |
事件聚合规则 | 按行为类型/通道/时段/风险累积/评分等维度将外发行为聚合为告警，支持"拦截行为不聚合"降低审计量 |
通道白名单 | 通过白名单设置，加白审计/拦截，适用内部地址不审计、仅审计不拦截等场景；浏览器通道支持按 URL 放通 |
审批流配置 | 接入企业微信、钉钉、飞书等审批流，配置拦截豁免规则；审批通过后豁免期内可发送相同 MD5 文件 |
内部地址 | 配置内部地址（当前支持邮箱）不告警，区分内外部邮箱审计 |
六、数据存储与文件鉴定
数据存储：审计日志中的敏感文件和取证截图需持久化。提供 存储目标策略（分级存储/截屏取证/限位置或出口 IP）、存储目标管理（支持腾讯云 COS 与 S3，含自动清理，提供 10GB 测试空间）、本地存储策略（本地备份、大小上限与存储时间）。
文件鉴定：可在私有化本地服务器部署 边缘节点，实现数据不出本地网络的文件鉴定，通过接口输出结果；提供鉴定记录与任务管理，支持全局监控与失败排查。鉴定过程数据不出本地网络，结合接口可在 OA 系统审批，兼顾安全与合规。
七、风险调查-事后审计与处置
统一研判、分析并处置员工敏感数据外发行为，实现风险从发现到闭环处置的全流程管理。
事件审计：批量研判（待调查/无风险/有风险）、多维筛选（时间/状态/风险等级）、详情溯源、人工研判误报。
行为审计：展示所有命中规则的外发行为，支持按时间/类型/等级筛选，查看命中详情、风险态势及拦截状态（未命中/拦截/超时/已审批）。
敏感员工：展示风险趋势与高危/中危/低危人数，支持一键导出安全运营报告；单个员工覆盖风险告警、外发通道/文档类型/代码上传下载分析、本地文件处置。
审批日志：查询拦截审批结果，支持作废使员工重新提交相同 MD5 文件审批。
八、隐私与合规说明
企业可开通 iOA 敏感数据保护（DLP） 功能，用于防范敏感数据泄露，保障企业数据资产安全。
DLP 功能会根据企业用户的配置策略，对终端上的文件内容、外发行为等信息进行识别与采集，用于敏感数据发现、管控、审计与溯源，请注意查阅《腾讯 iOA-SaaS 软件许可及服务协议》 《腾讯 iOA-SaaS 隐私保护指引》。
注意：
iOA 敏感数据保护（DLP） 仅提供技术服务，企业用户应确保对终端数据进行识别与管理已落实个人用户合法授权等适用法律法规的要求，合法合规使用相关功能。
