离职员工交回电脑，HR把交接单递给IT签字。设备齐了，账号也提交停用了。可负责人再问一句：“之前接触过的核心图纸，现在还有没有其他入口能打开？”如果这句话答不上来，交接单上的勾就还不够。

这也是制造企业IT容易为难的地方：你能证明电脑收回了，却未必能说明资料的访问权限已经处理干净。更麻烦的是，风险不一定集中在最后一天，也未必表现为一次特别大的下载。

别只数下载量，先问他还需要看什么

设想一名工程师已经退出某个项目，接下来只负责交接。他每天访问的文件不多，但连续几周，仍在打开原项目的设计和工艺资料。单看某一天，不容易发现问题；放回交接任务里看，就值得问问原因了。

这并不能直接证明员工有恶意。资料整理、补充说明，都可能是正常工作。真正要核实的是：这些文件和他现在的任务是否有关，接收人是否明确，访问范围有没有超过交接需要。

账号有效，只能说明他进得去，不能说明每次访问都有业务理由。

不要让安全人员独自猜。让项目负责人确认“还要交什么、需要看什么”，IT再据此调整授权。这样既不妨碍正常交接，也不把历史权限原封不动留到最后。

告警里的一份文件，可能是两种分量

一份普通测试记录和一份关键工艺参数，文件名可能都叫“测试结果”。工具能记录文件发出去了，却不一定知道，哪一份关系到企业最需要守住的技术。

DLP是数据防泄漏工具。它的作用不只看文件大小，也可以结合敏感内容、标签等条件识别资料。但前提是：企业告诉了系统什么，系统在当前场景里又能识别什么。

先从核心资料库入手，让研发确认重要文件、所属项目和责任人。再拿经过授权的样本验证：原文件能识别，导出件行不行？文件内容被截取后，识别还剩多少？特殊工程格式能否解析？这些问题不能靠产品介绍页回答。

暂时识别不了的资料，也不能因此放着不管。可以先用资料库权限、受控交付和人工确认等方式补上，再逐步完善工具能力。

装了DLP，也要看具体覆盖到了哪一步

不能把剪贴板、USB、打印或远程访问一概写成DLP盲区。部分终端产品可以审计或限制其中的活动，但是否生效，要看系统、应用、策略以及实际部署。换一种文件格式，也不必然让所有内容识别失效。

对IT来说，更有用的清单是：这条路径谁负责，系统在哪里识别，命中后只是记录，还是会限制；限制失败时，又由谁接手处理。

手机拍摄屏幕、纸质资料离开受控区域，则还涉及现场和人员管理。不要把电子文件的检测范围，误当成资料保护的全部范围。

离职当天，核验结果比“已提交”更重要

账号停用申请提交了，并不等于每个入口都处理完成。企业网盘、代码库、PLM等业务系统、远程访问和共享账号，都需要有明确的确认人。仍然有效的登录会话，也要按系统机制核验。

可以把离职检查分成两次：交接开始时确认必要权限，交接结束时核对回收结果。近期访问记录需要回看多久，应结合岗位和项目周期决定，不把30天当成所有企业都适用的标准。

发现异常时，保存必要记录，交由有权限的人员在必要范围内核实。不要把“准备离职”当成违规证据，也不要让一条告警直接替代业务判断。

众里数码建议，下一次签离职交接单之前，多追问一句：“这名员工现在还能通过哪些入口，接触哪些核心资料？”如果答案能列清、能核验，这张交接单才更让IT安心。

进一步咨询请联系：Snow

Mobile: +86 18151081905   Email：snow.xia@volumein.com