零信任能防住员工把资料拷走吗？它管的是门，不管口袋（2026）

一个做设备代理的客户，销售离职前一周把客户名单导成了表格，转手发进自己微信。等老板发现，人已经走了，名单跟着去了对面公司。

老板问得很直接：我们不是上了零信任吗？

答案是：上了也没用。不是产品不行，是这件事压根不在零信任的射程里。

进得来，和带走，是两回事

零信任解决的问题是”谁能进哪扇门”。它盯的是入口：这个人是谁、用的是不是公司认的设备、这次要访问的是哪个系统、有没有超范围。

员工把已经看到的资料拷走，是出口的事。门看得再严，人进了屋以后往口袋里装东西，门是看不见的。

把这两件事混在一起谈，最常见的后果是买了一套东西，以为万事大吉，真出事才发现防的和怕的不是同一件。

它真正管得住的三件事

• 谁能进。按人发号，不再是一个账号全公司传着用。人走了，号当场停，不用等他想起来交电脑。
• 能进哪个系统。财务只看财务系统，仓库只看进销存。同一栋楼里，两个人登录以后看到的东西可以完全不同。
• 进来以后干了什么。谁在几点几分访问了哪个系统，记录留得下来。这条最容易被忽略，但查内鬼的时候是唯一能拿出手的东西。

这三件事恰好覆盖了大部分真实事故的起点：账号共用、权限过宽、出了问题查不到人。前面那篇共用管理员密码讲的也是这个逻辑，一个人操作、全公司背锅。

它管不了的三件事

说清楚边界，比夸大能力有用。

1. 已经授权范围内的批量导出。有权限的人把整张表导出，这是合法操作。零信任只能记录，不能阻止。
2. 人眼看到的东西。屏幕拍照、手机拍屏、口头转述，任何软件都拦不住。
3. 进了系统之后的数据去向。复制到 U 盘、发到私人邮箱、传到网盘，这些属于终端管控和数据防泄漏的范围。

一张表看清谁管哪一段

这张表不是给采购看的，是给自己看的。先知道怕的是什么，再决定买什么，不然钱花了还留着洞。

把权限做细，比多买一台设备管用

多数内部数据外流，靠的不是技术手段，是权限太宽。一个客服账号能看到全国客户名单，一个离职半年的主管还留着系统入口，这些都是零信任能帮你收掉的口子。

具体到操作，三句话：按岗位给权限，不按部门给；敏感字段单独授权，看得到名字不等于看得到手机号；导出这种动作单独设一道门槛，别跟查看混在一起。

日志要看什么

系统说”我们有审计”，你得知道审的是什么。有价值的至少三类：登录记录、访问记录、导出记录。

出事那天，能回答三个问题就够了：谁、什么时候、拿走了多少条。答不上来的，等于没记。

顺带提一句，日志本身也要留住。有些公司日志只存七天，真等法务来问，早滚没了。

小公司落地，三步足够

几十人的公司用不着一步到位，按顺序来。

第一步，把人号理顺。一人一号，离职工号当天停，管理员账号单独管。第二步，把系统按人分。谁需要什么，写一张对照表，别用”大家都方便”当理由。第三步，把敏感数据圈出来。客户名单、报价单、设计图纸，这三类单独设权限和导出规则。

供应商和外部工程师这类短期人员另算，给临时权限有它的做法，临时权限怎么给怎么收那篇写得比较细。

常见问题

问：那是不是还得再上数据防泄漏那套？
答：看你的数据有多要紧。客户名单、图纸这种核心资产的，值得；日常办公文件，先把权限和导出管住，性价比更高。

问：零信任能不能记录员工看了哪些文件？
答：访问层面的记录可以，具体到打开了哪个文件、停留多久，通常要业务系统自己支持。别指望一个入口层的东西干这个活。

问：员工自己电脑连内网，能管住拷走吗？
答：更难。设备不是公司的，终端上装不了管控，只能在”能访问什么”这一层收紧。

小结：零信任管的是门，不是口袋。它能让不该进的人进不来、进来的人只能到该去的地方、事后查得到是谁来的。至于把桌上的东西揣走，得靠权限细分、导出审计和终端管控一起上。