3. DLP 策略体系：策略构成、分类与生命周期管理
讲 DLP 策略，很多人一上来就写规则，结果跑起来满屏误报。我见过最夸张的项目，一个客户写了 3000 条策略，最后线上实际生效的不到 200 条。问题出在哪？不是工具不行，是策略体系没搭好。
这一节，我把策略体系拆成三个维度来讲：策略构成（条件、动作、例外）、策略分类（终端、网络、存储）、策略生命周期管理。这三块是 DLP 的骨架，骨架正了，肌肉才不会长歪。
3.1 策略构成：条件、动作、例外
一条完整的 DLP 策略，说白了就三个要素：条件决定「抓什么」、动作决定「怎么处理」、例外决定「放过谁」。三者缺一不可。
3.1.1 条件（Condition）
条件是策略的触发器。常见的条件类型包括：
- 内容匹配：关键词、正则表达式、数据指纹（精确匹配或模糊匹配）、文档属性（作者、标题等）。
- 上下文匹配：发送方/接收方邮箱、域名、IP 地址、设备类型、应用名称。我个人习惯先配上下文再配内容，能减少 60% 以上的计算开销。
- 行为匹配：复制粘贴、打印、保存到可移动设备、上传云盘、通过 IM 发送等。
- 复合条件：AND/OR/NOT 组合。举个例子，条件可以是「包含身份证号 AND 通过外发邮件发送 AND 收件人不在白名单」。注意这里 AND 的优先级我遇到很多人搞反过。
3.1.2 动作（Action）
| 动作类型 | 说明 | 适用场景 |
|---|---|---|
| 仅监控 | 不阻断，只记录日志 | 策略调优期、合规审计 |
| 阻断 | 直接阻止操作（如禁止发送、禁止保存） | 高敏感数据、已知违规行为 |
| 隔离 | 将文件加入隔离区，管理员审查后处理 | 不确定是否违规、需人工判断 |
| 加密 | 自动加密文件后再放行 | 邮件外发、移动存储 |
| 水印 | 在文件/屏幕上叠加数字水印 | 敏感信息展示、打印 |
| 通知 | 向用户展示警告弹窗或发送通知邮件 | 合规提醒、二次确认 |
动作顺序很重要。我建议：先监控一段时间，收集行为数据；再逐步升级到通知、隔离、阻断。可别一上来就阻断，否则业务部门直接炸锅。
3.1.3 例外（Exception）
例外是策略中「留后门」的地方。没有例外的策略，在真实环境里活不过两周。常见的例外类型：
- 源/目标白名单：比如财务部门发给税务局的数据，就算包含敏感词也别拦。
- 时间窗口例外：审计期间、项目交付期间暂时放行。
- 内容例外：某些合法用途的数据（如测试样本、脱敏数据）不计入。
- 用户例外：安全管理员、高管（需审批）可绕过策略。
3.2 策略分类：终端、网络、存储
策略按部署位置分三大类。很多新人在同一个策略里混用三个维度的条件，结果策略冲突频繁。我建议分开管理。
3.2.1 终端策略（Endpoint DLP）
安装在员工电脑、服务器上的 Agent 负责监控。终端策略主要管控：
- USB 设备、外置硬盘、光驱的读写
- 打印、截图、复制粘贴
- 本地文件操作（移动、重命名、删除）
- 应用程序行为（如通过微信、钉钉发送文件）
记得在终端策略里加上「离线策略」——员工断开网络时，Agent 依然能执行缓存策略。我有一个项目上线后发现下班后 VPN 断连，策略失效，数据照样流出去，就是因为没配离线策略。
3.2.2 网络策略（Network DLP）
部署在网关或交换机旁路，监控所有出站流量。网络策略主要管控：
- SMTP/IMAP 邮件、Webmail 上传
- FTP/SFTP/SCP 传输
- HTTP/HTTPS 上传（云盘、网盘、社交平台）
- 即时通讯协议、P2P 下载
网络策略有一个头疼的问题：SSL 解密。不解密 HTTPS 基本白搭，但解密又涉及隐私合规。我的做法是：只对特定域名（如 cloud.xxx.com、dropbox.com）启用解密，其他流量走基于元数据的规则（如文件大小、连接次数）。
3.2.3 存储策略（Storage DLP）
扫描已存储的数据（文件服务器、SharePoint、NAS、数据库）。说白了就是「扫雷」，发现残留敏感数据并处理。存储策略常用于：
- 数据发现与分类
- 定期扫描检查合规
- 自动化 remediation（如移动文件、加密、删除）
你想想看，存储策略最容易遗漏的是「存档数据」——很多人觉得归档了就不扫，结果过等保审计时翻出十年前明文的客户资料。
3.3 策略生命周期管理
策略不是写一次就完事了。我建议按以下阶段管理：
- 设计：定义业务需求、梳理数据分类、确定条件动作例外。这个阶段我会拉上法务和业务部门一起评审。
- 测试：先在预发布环境、小规模用户群中跑「仅监控」模式，收集命中数据和误报率。我曾遇到过一条策略命中率 0.3%，原因是正则写错了——幸亏先做了测试。
- 发布：分批灰度上线，先开通知模式，再逐步升级到阻断。务必准备回滚方案。
- 监控：每季度或每月分析策略命中统计、误报/漏报申诉。我习惯建一个 Grafana 大盘实时展示 Top 10 策略命中率和误报率。
- 优化：根据监控数据调整条件权重、白名单、阈值。比如发现某个关键词误报高，就降低其权重或添加例外。
- 退役：当业务变更、系统升级、合规要求变化时，及时清理失效策略。退役前要确认无其他策略覆盖该场景。
下面这张图概括了策略体系的整体关系：
3.4 实战中的策略设计要点
讲完理论，我分享几个实战要点：
- 策略粒度要平衡：太粗漏数据，太细管理成本高。一个策略覆盖一类数据（如「身份证号」「合同金额」「源代码」）就够了，别把十种规则塞进一条策略里。
- 优先级排序：多个策略同时触发时，优先级高的动作先执行。比如阻断优先于仅监控。我习惯让「阻断」策略的优先级最高，而且尽量少。
- 测试环境要贴近生产：测试环境的数据样本一定要包含真实脱敏数据。我用过假数据测出来的策略，上线后误报率翻了三倍。
- 建立策略变更流程：任何策略修改都要经过审批->测试->发布三步，防止误操作。我曾经手滑把白名单删了，两小时拦截了 500 次合法外发邮件——之后立刻上了变更控制。
一句话总结： 策略体系 = 构成三要素 × 分类三场景 × 生命周期六阶段。三者交叉匹配，就是你 DLP 落地的完整地图。