很多企业为了数据的安全，需要对外发文件进行管控。而手机、usb存储的广泛使用，使得外发文件的管控非常难以实现。在本文中，我将抛砖引玉，探讨外发文件管控的几种方式。外发文件的管控，需要考虑如下几个方面：

• 屏蔽通过网络外发文件

• 屏蔽蓝牙、usb等外设外发文件
  

• 文件加密
  

1. 屏蔽通过网络外发文件

人员可以通过邮件、QQ、微信、网盘、FTP等方式来外发文件，所以，要屏蔽通过网络外发文件，可以考虑如下几个方案：

a). 网站白名单，只允许访问工作需要的网站，其他一律禁止掉。这是最严格的限制方式。

b). 采用应用过滤，禁止掉所有的文件传输、网盘、邮件等。这个方案相对有效，但是不能排除通过未知的应用协议来传文件。

相关截图如下：

2. 屏蔽通过usb、蓝牙等外设外发文件

这个章节探讨的是主机的安全需要，如果人员可以近距离接触到主机，就会通过外接usb存储、蓝牙等设备来拷贝相关的文件。所以最安全的方式是不允许近距离接触，所有的文件操作通过远程桌面来进行。其次的方案才是禁止usb和蓝牙。详解如下：

方案一：只允许通过远程桌面打开文件（推荐方案）

需要在远程主机配置如下的安全策略。

a). 只允许通过远程桌面打开文件，且不允许拷贝到本地。

b). 禁止远程主机访问互联网，杜绝通过网络传递的可能。

c). 禁止远程主机访问其他×××的共享，杜绝通过局域网拷贝到其他设备上。

如图，运行gpedit.msc打开组策略编辑器。

方案二：禁止usb和蓝牙设备。

通过组策略一样可以禁止usb和蓝牙设备，但是不能算一个完美的方案。举例来说，人员可以直接开机把硬盘拿出来拷贝数据。组策略禁止usb的配置，请参见如下截图：

现在也有一些第三方软件提供禁止usb设备等功能，不过稳定性和可靠性都一般，所以不推荐。

3. 文件加密

文件透明加密也是一种数据保护技术。采用文件加密后，文件只能在安装了加密软件的×××上打开。这样也可以有效的对数据安全进行保密。现在有很多的第三方软件可以对文件进行加密，这些软件大都采用微软的驱动级文件加密技术。

a). 文件透明加密的优点是：安装和部署比较方便，支持多级权限控制，功能强大。

b). 缺点在于密文的安全性。密文很容易被泄漏，只要有了密钥就可以进行解密，而且不排除有***技术人员对密文进行暴力破解的可能性。

4. 总结

a). 隔离物理访问的远程桌面方式，可以有效的杜绝泄密可能，是最佳方案。

b). 文件透明加密有一定的优点，也是可选方案。

c). 只禁止usb存储的方式，缺陷比较多。不推荐。

所以，建议你根据数据安全需要和实际的条件选择适合自己的方案，并且结合网络屏蔽方案，这样可以达到最佳的安全效果。