网都隔离了，图纸为什么还能泄出去：隔离与加密各管哪一段
制造业和设计院做信息安全，常见的第一步是网络隔离：生产网与办公网物理分开，设计区单独划网段，外网碰不着核心区。“网都断了，数据自然出不去”——这个判断，对了一半。隔离管住的是网络通路，管不住的是数据本身。想明白隔离到底拦住了什么、放过了什么，才知道加密该补在哪一段。
隔离拦住了什么
隔离的价值实打实：外部扫描摸不到内网资产，办公区的病毒难以横向串到生产区，网段之间的访问全部经过可控的关口。暴露面被压缩了一大截。这是网络层的防线，值得做，也必须做。
隔离拦不住的四个时刻
终端落地的明文。 隔离网里的电脑照样会丢、会送修、会淘汰。硬盘一拆，图纸明文全在——隔离拦得住网，拦不住一块可以被拆走的硬盘。
合法访问者的手上动作。 能打开图纸的人，就能截屏、拍照、拿 U 盘拷一份。隔离网内的 USB 接口未必都封死，封死了也常常留着例外白名单。
跨网交换的摆渡时刻。 隔离不等于断绝——设计网要出图送审，生产网要接客户资料，总要经过摆渡机或刻录盘。文件在摆渡点落地的那一瞬间是明文，而摆渡点往往是权限松散、谁都能碰的地方。
私接设备戳出的洞。 一张私接的上网卡、一台双网卡的主机，都能把"隔离"悄悄接回外网。边界是人划的，洞也是人开的。
加密补的是另一段
文档加密管的是数据本体：文件存在哪台机器、流向哪个方向，离开授权环境就是密文。电脑丢了，硬盘里是密文；文件被拷进 U 盘，拷走的是密文；摆渡点落地的过程稿，落下去就是密文。隔离压缩的是"进得来、出得去"的通道，加密保证的是"出去了也读不了"——一层防线换成两层纵深，两道防线互补，不能互相替代。
落地三步
第一步，隔离网内的终端加密全覆盖，别留着"内网就是安全区"的侥幸；第二步，摆渡点部署受控外发，跨网文件按有效期、按审批放行，摆渡记录留痕；第三步，U 口与外设策略分级，设计岗与行政岗区别对待。
从合规视角看，等保 2.0 对网络边界防护与数据保密性各有要求，内外网隔离与文档加密分别对应不同层面的建设内容——两道防线做齐，可支撑等保 2.0 合规建设，而不是二选一的取舍题。
隔离与加密在自家网络里怎么分工落地，贵州诚鑫致达科技（企业数据管家）可以上门照着网络拓扑画一张防线图，缺口一栏一栏列清楚。