DLP 策略核心要素：策略组成、生效模式与优先级

这节课，我们来聊聊 DLP 策略到底是由什么组成的。说白了，你写一条策略，其实就是在告诉系统三件事：什么时候触发、触发后怎么办、对谁执行。这三件事，我习惯称为策略的“三要素”。

很多新手刚接触 DLP 时，特别喜欢上来就写策略。结果呢？策略一上线，不是误报满天飞，就是该拦的没拦住。我自己也踩过这个坑——有一次，一条关键数据的保护策略因为条件写得太宽，结果把正常的同事报表全给拦了，搞得人家下班前还在跟我扯皮。从那以后，我对策略的每个要素都格外小心。

策略的组成：条件、动作、目标

一条完整的 DLP 策略，至少得包含三个部分。我们一个个来看。

条件（Condition）—— 什么时候触发？

条件是策略的“眼睛”。它决定了一条数据流是否命中了你的规则。常见的条件包括：

• 数据源：比如文件服务器、数据库、邮件服务器
• 文件类型：比如 .docx, .xlsx, .pdf
• 数据内容：正则表达式、关键字、指纹匹配、机器学习模型
• 用户行为：复制、粘贴、打印、上传、发送邮件

我见过最坑的配置是：把自己所有规则的条件全写成“包含任何敏感数据”。这会导致什么呢？后果是，只要文件里出现一个手机号，甚至“密码”两个字，就给拦截了。嗯，这就属于典型的条件太宽。

动作（Action）—— 触发后怎么办？

动作就是策略的“手”。它决定了系统到底要干什么。常见的动作有：

• 阻断：直接禁止传输或复制
• 告警：记录事件并通知管理员
• 审计：只记录，不阻断（用于复盘）
• 加密：自动对敏感文件加密
• 隔离：把文件移动到安全区域

你想想看，动作选错了，后果可能比不部署 DLP 还严重。我见过一个团队，为了省事，把所有敏感数据外发全设成了“阻断”。结果呢？市场部正常向客户发合同都被打断，业务投诉直接打到了 CEO 那里。避坑指南就是：动作必须跟业务风险匹配。高风险行为用阻断，中风险用告警+手动审批，低风险只用审计。

目标（Target）—— 对谁执行？

目标就是策略的“范围”。它定义了这条策略作用在哪些对象上。常见的目标包括：

• 用户/用户组：比如“财务部”、“研发团队”
• 设备/端点：比如“所有公司电脑”、“未安装补丁的设备”
• 应用/服务：比如“Outlook”、“钉钉”、“网盘”
• 位置：比如“公司内部网络”、“VPN 远程访问”

我个人习惯，在写策略时，目标一定要尽量精确。比如，财务部的文件外发规则，就不要应用到客服部。否则，策略数量少但影响范围大，容易误伤。

策略的生效模式

策略写好了，但什么时候让它生效？这里有两种常见的模式：

• 模拟模式（Test Mode）：只记录不阻断。用来验证策略的准确度，避免直接影响到正常业务。
• 阻断模式（Enforcement Mode）：真的开始执行动作，该拦的拦，该告警的告警。

我建议，一条新策略刚上线时，一定要先跑模拟模式至少一周。为什么呢？因为数据是在变的，你今天以为的正则表达式能识别“身份证号”，下周可能因为某种新格式就失灵了。我遇到过不止一次，模拟模式帮我提前发现了策略漏洞。

另外还有一种模式叫审计模式。它跟模拟模式很像，但区别是：审计模式会保存完整的事件记录，包括传输文件的内容片断。模拟模式可能只记录元数据。审计模式对于事后调查取证非常有用，但副作用是存储成本很高。

策略的优先级

如果有两条策略同时命中了一条数据流，系统听谁的？这就是优先级要解决的事。优先级是个很容易被忽略的点，但它的影响力非常大。

我记得在某家企业做数据治理时，他们有三条 DLP 策略：

你觉得，如果财务部员工发了一封带有机密级附件的邮件，附件里又恰好包含了客户手机号。三条策略都命中了。结果是什么？系统会执行优先级最高的策略动作。也就是“阻断+告警”。而不是三条一起执行。

为什么会这样？因为 DLP 引擎在处理时，通常遵循“第一个命中且优先级最高的策略”原则。所以，你一定要把最严格、最关键的保护策略，设成高优先级。别把“通知管理员”这种低风险动作的策略优先级设得很高，否则，真出了紧急事件，它会把阻断策略给覆盖掉。

核心逻辑与知识体系

聊了这么多，我把这部分内容的核心逻辑整理成一张图。你一看就明白了。

总结一下

这一章内容，你只需要记住三件事：

• 策略由条件、动作、目标构成，缺一不可。上线前先模拟，再调整，最后阻断。
• 优先级决定了多条策略命中时的执行顺序。严格策略优先级设高，审计类设低，防止覆盖。
• 生效模式要逐步推进，宁慢勿乱。

嗯，这些概念听起来不难，但实战中处处是坑。下一部分我们来讨论如何把这些策略跟数据标签打通，实现自动联动。这才是真正拉开 DLP 水平的地方。