装了加密软件，财务总监把显示器拍熄火了

原创

让数据更安全
让数据更安全

德斯克安全小课堂

2026年9月21日 11:08
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

文档透明加密这东西，名字里带「透明」两个字，可一旦拖慢电脑、误拦文件、自己人打不开，它在员工眼里立刻就成了墨镜，还是茶色的那种。到底什么叫透明，值得掰扯清楚。

上周跟一个做 IT 运维的朋友吃饭，他说起单位刚换的文档加密系统。财务部每月结账那几天，Excel 保存一下要转三秒圈，财务总监忍了半个月，最后把显示器拍熄火了。

我听完乐了半天，但也理解。

平时无感，关键时候有感

多数人对透明的理解是「装完像没装」，这个理解只对了一半。

真正的透明是，员工日常打开、编辑、保存文件，加解密在后台静默完成，操作习惯一点不用改。可一旦有人试图把文件带出去，拷到 U 盘、发到私人邮箱、传上网盘，文件立刻变成密文，打不开也拷不走。

这就是透明加密该有的样子。日常不打扰，越界就拦截。

很多产品栽在第一步，就是没做到「平时无感」。加密动作占用系统资源，打开大文件卡顿，编译工程变慢，员工怨声载道，最后 IT 部门被迫放宽策略，安全形同虚设。

安得卫士 AndSec 的 MonSafe 透明加解密是在驱动层做这件事的。文件创建、编辑、保存的全过程自动完成加解密，用户正常打开是明文，脱离安全环境打开就是乱码。支持驱动层自动加密、手动加密、全盘加密、落地加密四种方式，解密侧有特权解密、流程解密、全盘解密三条路径。

覆盖的范围也比较全，Windows、Linux、国产化系统、Mac、Phone 都在内。这个全平台能力在实际项目里挺重要，因为现在企业终端环境很少有纯 Windows 的了。

图 1　加解密服务配置：多平台页签下按办公类软件逐个设定加密类型，透明加密与手动加密可混用

卡顿从哪来，怎么避免

回到开头那个财务总监拍显示器的场景。加密软件拖慢电脑，根源通常在两个地方。

一个是加密范围失控。策略设成「所有文件一律加密」，连缓存文件、临时文件、日志文件都进加密流程，系统自然吃不消。合理的做法是按部门、按角色、按文件类型分别设策略，核心部门的敏感文件强制加密，非核心的保持明文。

安得卫士 AndSec 的策略配置支持按部门、角色、用户三个维度分别设定，能精细到具体文件类型。这个粒度决定了你能不能做灰度推广，也决定了上线后会不会被业务部门投诉。

图 4　日志管控：全盘扫描、恢复文件、加密文件、解密文件、拒绝访问等 20 项操作行为逐项留痕

另一个是历史文件处理。很多企业上线加密时，终端上已经堆了几十万份存量文件，如果逐个扫描加密，第一次跑起来能把机器拖垮。安得卫士 AndSec 支持实时扫描或定时扫描，对历史存量文件批量加密或解密，可以安排在非工作时段执行。

还有一个容易被忽略的点，就是非保护软件不能受影响。员工装机时最反感的就是「装了加密软件之后微信用不了了」。安得卫士 AndSec 不影响微信、企业微信、钉钉这类非保护软件的正常运行，这些软件可以自由安装和升级。

这一点听起来是小事，实际决定了员工对这套系统的接受度。

自己人打不开，比加密本身更麻烦

加密软件最常见的投诉，其实不是文件被锁住。是员工自己的文件打不开了。

这类问题的根源通常是策略漂移。同一份文件在不同终端上，因为各地的策略版本不一致，导致权限判断错乱。员工在 A 电脑加密的文件，拿到 B 电脑就打不开，跨部门协作时尤其容易出问题。

处理这个问题有两种思路。一种是定期同步策略，但总有时间差。另一种是从文件本身入手。

安得卫士 AndSec 走的是后一条，文件加密时会同步带上权限策略快照，其他终端打开该文件时以文件自带的策略为准，不受本地策略版本影响。这样跨部门、跨网段的文件流转就不会出现权限错乱。

配套的还有文件备份。安得卫士 AndSec 默认保留加密文件的最近 3 个版本，本地和远程双备份，配检测工具可以随时恢复。加密软件最怕的就是误操作导致数据丢失，有备份兜底才敢放心用。

文件走了之后还管得住吗

加密管住了文件在企业内部的范围，但文件总要外发。给客户发合同，给供应商发图纸，给合作方发方案，这些动作躲不开。

外发环节是很多加密方案的断点。文件一旦发出去，加密就失效了，对方转给谁、什么时候打开、打开几次，企业完全不知道。

安得卫士 AndSec 在这个环节配了 BoxSec 外发云盒。支持本地制作、流程制作、模板制作三种外发方式，可以设定阅读时限、打开次数、绑定机器、编辑权限、打印权限、截屏权限，还能加水印、到期自动删除。文件外发后支持禁用与权限回收，访问全程留日志。

还有 U 盘这条路。USafe 加密 U 盘客户端做的是单分区自动加密，U 盘插上就受控，拷贝、另存、截屏、联网、远程控制全部纳入管理范围。制造业车间和实验室的 U 盘使用频率极高，这块不管住，前面的功夫都白费。

再加上内容安全管控里的拷贝控制、另存控制、截屏控制、联网控制、远程控制五项能力，文件在终端上的出口动作基本都覆盖到了。

图 2　屏幕水印策略：明水印叠加计算机名称、IP&MAC、用户名、当前日期，支持 9 宫格平铺与深浅度调节

图 3　打印管控与水印：打印审计、虚拟/物理打印开关，打印水印按页码平铺并支持二维码

换一套系统，员工会炸吗

很多企业明知道现有加密软件不好用，但迟迟不敢换，怕的就是这个。

怕换的过程中文件丢了，怕员工不适应闹意见，怕新老客户端冲突把办公搞瘫。这些顾虑都真实存在，所以替换方案的设计比产品功能本身更重要。

安得卫士 AndSec 做的是无缝替换，思路是把复杂度从终端用户身上挪走。服务端一键安装，操作系统、数据库、应用自动装好。后台密钥管理里输入友商密钥，客户端内置友商兼容库，卸载友商客户端后直接装安得卫士 AndSec 就行。适用友商包括 IP-Guard、亿赛通、天锐等。

几个能力专门是为降阻设计的。

装安得卫士 AndSec 客户端不需要重启计算机。这一点决定了替换项目能不能推进，因为终端用户协调困难的场景太常见了。

双击友商密文能直接打开，保存后自动变成 AndSec 密文。不需要文件转换工具，也不需要配置替换策略。

微信和企业微信里发的友商密文，能在聊天记录里直接打开。新老客户端短期并存期间，员工感受不到文件格式在切换。

安装包支持自动卸载第三方客户端并自动安装安得卫士 AndSec，把替换步骤尽可能自动化。

密钥这块要分情况。已知的话，后台密钥管理直接输入即可。未知的话，技术人员需要在第三方客户端环境里获取，提供方式有三种，最省时的是给第三方客户端程序加账号密码和服务端地址，其次是提供可运行的镜像或 VMware 虚拟环境，最后才是远程环境调试。

几个客户最常问的问题

加密之后系统会不会变慢

变慢通常来自策略设置不当，而不是加密技术本身。安得卫士 AndSec 的加解密在驱动层完成，支持按部门、角色、用户分别设策略，历史存量文件可安排非工作时段批量处理。把加密范围控制在合理粒度内，日常使用感受不到明显影响。

员工会不会抱怨不好用

员工抱怨的往往是三个具体场景，微信不能用、文件打不开、电脑变卡。安得卫士 AndSec 对非保护软件不做限制，文件自带权限策略避免跨终端打不开，策略粒度可控避免拖慢系统。这三点处理好了，抱怨会少很多。

国产化终端能不能装

MonSafe 透明加解密覆盖 Windows、Linux、国产化系统、Mac、Phone。国产化方面支持统信、麒麟等主流系统，是安得卫士 AndSec 的标准能力。

外发的文件还能收回吗

BoxSec 外发云盒支持权限回收和文件禁用。文件发出去之后如果发现发错人或者需要提前终止，可以从服务端回收权限或者直接禁用，外发访问过程全程留日志。

已经在用别家的产品，换起来麻烦吗

安得卫士 AndSec 提供对 IP-Guard、亿赛通、天锐等友商的无缝替换。不需要重启计算机，友商密文双击可直接打开并自动转为 AndSec 密文，安装包支持自动卸载第三方客户端。前提是能拿到友商加密密钥，已知的直接在后台输入，未知的可以按前面说的三种方式获取。

最后说回透明这个词

透明加密这个词被用得有点滥。很多产品在文件名上做到了透明，却在体验上一点都不透明，员工天天能感觉到它的存在，还都是负面感受。

真透明的标准其实很简单。装上之后没人感知到它的存在，日常办公不受影响。直到有人试图把文件带走，才惊觉门早锁死了。

安得卫士 AndSec 想做的就是这件事。用驱动层透明加解密解决无感的问题，用策略粒度解决卡顿的问题，用文件自带策略解决跨终端的问题，用无缝替换解决上线阻力的问题。

加密软件的对手从来不是别的加密软件，是企业里那些被它逼疯的员工。员工不骂它，它才算成功。本文涉及的安得卫士 AndSec（电子文档安全管理系统）为北京安得和众科技产品，含 MonSafe 透明加解密、USafe 加密 U 盘、BoxSec 外发云盒、内容安全管控、沙盒控制、ASG 安全网关、EDG 加解密中间件等模块，支持对 IP-Guard、亿赛通、天锐等友商的无缝替换。文中场景为通用实践描述，具体方案需结合企业实际环境设计。