只加密不管终端，漏一半：加密与终端管控为什么必须两套一起上

企业防泄密建设里常见的两个"半拉子工程"：一种是上了文档加密，觉得文件拿走也打不开就高枕无忧——U 口敞着、截屏随便按、打印机谁都能用；另一种是终端管控做得很严——U 盘封了、打印管了、外设禁了，文件本身却是明文，一封邮件、一次网盘同步就把原文带出了门。两套各自都花了功夫，泄密事件照样出——因为加密和终端管控管的根本不是同一段路。

加密管的是文件本体：拿走了也读不了

透明加密改的是文件的存在形态：在授权环境里，打开、编辑、保存无感；离开授权环境——拷进 U 盘、发到邮箱、传上私人网盘——就是密文。它兜的是"文件已经出去了"这种情况：电脑丢了、硬盘被拆了、网盘被同步了，读出来的都是乱码。加密的价值是底线性的：泄露路径数不清，但落地的数据本身不可读，损失就锁得住。

终端管控管的是出口：让"拿走"发生不了，或留下痕迹

终端管控作用在通道上：U 盘按白名单放行，移动硬盘默认禁写；打印走审批，输出带水印；截屏按键受策略限制；屏幕水印让拍照翻拍可追溯到人。它解决的是另一类问题——文件终究要在屏幕上给人看，明文显示的那一刻，截屏、拍照、打印就是密文防不住的旁路。出口收得越窄，旁路越细；动作全程留痕，事后才查得动人。

只做一半，各漏一角

只加密、不管终端：授权环境里屏幕上是明文，截屏拍照直接完成"再数字化"，加密防线被绕开；打印出口不管，纸质件流出去就再无踪迹。只管终端、不做加密：策略总有例外——白名单 U 盘、豁免进程、个别老应用不兼容——只要文件还是明文，一个例外口就是一次整批外泄。所以完整的结构是组合：终端管控把出口收窄、把动作留痕，加密给所有出口兜底——就算出去了，也读不了。

对齐三步：一套策略、一套例外、一条时间线

第一步，策略同源：部门、密级、岗位这套标签，加密侧和终端侧共用一份，两套各自配口径，迟早出现一边放行一边拦截的打架；第二步，例外同审：U 口白名单就是外发审批，终端上开的每个例外口，都要有对应的审批人与记录，不留"为了临时用一下"的永久后门；第三步，审计并联：加密系统的文件操作日志与终端的操作日志放进同一条时间线——谁、在哪台机器、对哪个文件、做过什么动作，一张图看完，追责与复盘才有完整证据链。

两套系统各管一段，拼起来才是完整防线。贵州诚鑫致达科技（企业数据管家）部署时会把加密策略与终端策略对一遍口径，从同一套部门与密级标签出发生效，避免各配各的、中间漏缝。