网巡科技

结论：靠分级策略和审批通道解决，不能一刀切。要点：1）先按数据敏感度分3级（公开/内部/核心），只对核心级强制拦截；2）对内部级设外发审批流，审批通过自动放行；3）配置白名单，把常用业务系统、固定合作方域名加入例外；4）上线前做2周观察模式只记录不拦截，统计误报率，一般控制在5%以内再转拦截。策略需按季度复盘调整，以实际业务为准。

结论：用外发包或受控外发模式，不要直接发加密原文件。要点：1）对固定合作方，可发独立查看器+加密包，查看器免安装、限次数限时效；2）对临时外发，生成带水印的PDF或图片，设置打开密码和有效期（如7天）；3）核心图纸可只给在线预览链接，禁止下载；4）外发包一般绑定设备或账号，防止二次转发。具体支持格式和时效以实际产品为准。

结论：主流按终端点数+模块收费，无统一价，需按规模询价。要点：1）常见计费维度是授权终端数、加密模块数、是否含外发/审计模块；2）一般几十到几百元/点/年，量大单价递减，以实际报价为准；3）隐藏成本多出在：服务器硬件、实施费、年维保费（常为合同额15%-20%）、二次开发；4）签约前问清是否买断、升级是否另收费、点数能否跨部门调剂。

结论：透明数据加密对性能影响通常在5%-15%，关键看加密范围和硬件。要点：1）优先只加密敏感字段（身份证、手机号、金额），不要全库加密；2）用透明加密，应用层不改代码，加解密在存储层完成；3）索引字段加密后可能失效，需评估查询模式；4）上线前做压测，对比加密前后QPS；5）性能不足时加CPU、用SSD或做读写分离。具体损耗以实际压测为准。

结论：靠终端管控+网络审计+水印溯源三层组合，单靠一层防不住。要点：1）终端层禁止未授权进程访问代码目录，阻断Git推送、网盘客户端；2）网络层对代码托管域名做审计，识别大流量上传行为并告警；3）代码仓库加数字水印，泄露后可溯源到人；4）对确需外发的走审批，生成带标记的副本。注意：不能只封端口，要结合行为分析，规则以实际环境调优。

结论：能防住，前提是加密与账号/设备绑定并支持远程管控。要点：1）文件加密密钥与员工账号绑定，离职后账号禁用，文件即无法解密；2）设备离线超过设定天数（如7天）自动锁定；3）支持远程擦除或吊销授权；4）导出到U盘的文件默认仍是密文；5）注意：员工若提前截屏或拍照无法防，需配合水印和审计。具体策略按管理需求配置。

结论：两者防护位置不同，通常先上终端加密，再补网络加密。要点：1）终端加密管的是文件落地后的存储和流转，防拷贝、防外发；2）网络加密管的是传输过程，防在链路上被截获，如VPN、TLS、邮件加密；3）若核心风险是内部人员拷走文件，优先终端；4）若风险是远程办公、跨网传输被窃听，优先网络；5）预算有限可分阶段，先覆盖核心部门。选型以实际风险场景为准。

结论：透明加密对应用和用户无感，普通加密需改代码或手动加解密，选哪种看改造能力。要点：1）透明加密在数据库或文件系统层自动加解密，应用不改代码，适合存量系统；2）普通加密灵活度高，可做字段级、按需解密，但需开发适配；3）判断标准：系统能否停机改造、是否有源码、性能要求多高；4）存量老系统、改造难选透明；新系统、要精细控制选普通。混合使用也常见，以实际架构为准。