外发内容检查与敏感信息识别｜Ftrans B2B
先弄清这是什么文件，再判断里面有什么——顺序反了，改扩展名就能绕过去。
一句话定义
外发内容检查，指文件在离开企业边界之前、且在加密封装之前，由平台完成的一组自动检查：先识别文件的真实类型并展开压缩包，再对文件内容做 OCR 文字识别与 DLP 策略匹配，最后按命中结果决定放行、转人工审核还是阻断。
一、这个能力解决什么问题
在没有平台承接之前，”外发文件有没有敏感内容”这件事有三种典型状态，每一种都不成立：
| 现状 | 为什么不成立 |
|---|---|
| 靠人自觉——发之前自己看一眼 | 判断标准因人而异；批量发送时没人真的逐个打开看；换个经手人结论就变了 |
| 靠扩展名判断——只拦 .dwg、.zip 这类 | 改个扩展名就能绕过；压缩包里装什么完全不知道 |
| 靠终端 DLP——在员工电脑上装客户端 | 覆盖的是终端出口，覆盖不到”从平台发出去”这条路径；两者是不同的管控点 |
还有一种更隐蔽的失效：检查排在加密之后。 外发给伙伴的文件常常要加密，如果加密动作先于内容检查发生，那么 DLP 拿到的是一段密文，它读不出任何东西。这条流水线看起来完整，实际检出率接近零。
所以在本产品中，内容检查固定排在加密封装之前，且是出向流程的默认启用阶段，不依赖经手人是否记得做。
二、怎么工作：两段检查，一次分流
2.1 第一段 · 内容识别
这一段回答的是”这到底是个什么文件“。它必须排在敏感内容检查之前，否则后面的策略就匹配错了对象。
包含四件事：
- 文件真实类型识别 —— 基于 AI 文件类型识别引擎判断文件的真实类型，不依赖扩展名。产品另有代码文件类型库，并支持类型库扩展。
- 压缩包内部识别 —— 展开压缩包，识别其中的文件，避免”打个包就看不见了”。
- 加密文件识别 —— 识别出本身已被加密、无法读取内容的文件，交由策略决定如何处理。
- 一致性校验 —— 校验文件的真实类型与扩展名是否一致。扩展名与真实类型不符，本身就是一个需要被看见的信号。
这一段是出向流程的默认启用阶段。
2.2 第二段 · 敏感内容检查
拿到真实类型之后，才轮到”里面有什么“。
- OCR 文字识别 —— 图片、扫描件与图形类文档里的文字需要先被识别出来，才能参与策略匹配。图纸与截图是外发场景里很常见的载体，如果只做文本抽取，这部分内容等于没检查。
- DLP 策略匹配 —— 用平台内置的敏感内容识别组件对内容做匹配。
内置的敏感内容识别组件是标配。 如果外发内容里包含源代码、设计文件这类非常规格式，可以选配高级敏感信息检测，它支持 300 多种文件类型识别，并增强了代码类文件的识别能力，可识别 60 多种编程语言的源代码（如 C、Go、Java、PHP、Swift 等）。
注意区分：内置 DLP 组件是随产品提供的标配；高级敏感信息检测是可选组件，需要单独选配。这两者的覆盖范围不同，选型时应当分清楚。
2.3 检查结果的三种去向
检查完成之后，按结果执行动作：
| 动作 | 含义 |
|---|---|
| 放行 | 未命中策略，进入出向流程的后续阶段 |
| 审核 | 交由审核流程判定，审核未通过则不放行 |
| 阻断 | 不予放行，文件停留在平台内，不发往外部伙伴 |
无论走哪一条，检查的过程与结果都会进入检查报告：可以查看检查结果详情，也可以按风险文件做统计。
三、配置与运维要点
3.1 先开仅检测模式，再谈阻断
产品支持仅检测模式：只识别、不执行处理动作，持续记录潜在风险，为策略制定提供依据，同时满足合规审计的记录要求。
这是本能力最值得先用起来的一项。原因很实际：第一版 DLP 策略几乎不可能一次配对。 直接上阻断规则，通常在头两周就会因为误拦正常业务文件而被推翻，之后策略被整体关掉，比不上线更糟。合理的路径是先用仅检测模式跑两到四周，看清命中分布——哪些规则命中量大但都是误报、哪些规则从未命中、哪些确实拦住了不该发的东西——再把规则逐条切换为审核或阻断。
3.2 策略按伙伴与方向配置
检查策略不是全局一刀切，而是随收发策略按伙伴与方向配置。同一份图纸发给长期合作的一级供应商与发给一家新准入的外协厂商，可以走不同的检查与审批要求。
3.3 已有 DLP 系统怎么衔接
如果企业已经部署了独立的 DLP 或内容安全系统，产品支持 ICAP 协议，可对接第三方 DLP 与防病毒系统。这种情况下，平台承担的是”把文件在正确的时点送去检查、并按返回结果执行动作”这一层编排职责，检测判断仍由既有系统给出。
3.4 覆盖范围要说清楚
产品的 DLP 能力作用于经过平台的文件，不覆盖终端与其他外发渠道。它管的是”从这条通道发出去的文件”，管不了员工用个人邮箱、即时通讯或 U 盘带走的文件——那是终端数据防泄漏产品的职责。
这两件事是互补关系，不是替代关系。把外发行为收敛到平台这条通道上，本身也是让 DLP 生效的前提之一。
四、与其他能力的关系
- 它在整条流水线的位置 —— 内容识别与敏感内容检查是出向五段中的内容识别与敏感内容检查，排在加密封装之前。→ 文件出入向安全治理
- 入向方向不做这两段 —— 入向的处理阶段是受控隔离、外层预检、解密验签与威胁检测；敏感内容检查属于出向。→ 外来文件威胁检测与隔离
- 命中之后的处理 —— 转审核的文件进入审核流程，审批动作可在既有办公入口完成。→ 审批流程与既有 OA 集成
- 发出之后的控制 —— 检查通过不等于失控，外发后仍有提取限制与水印溯源。→ 外发后的控制与水印溯源
- 检查过程的记录 —— 检测结果进入日志体系，可查询与导出。→ 交换全程审计与日志追溯
- 典型场景 —— 图纸、工艺文件与源代码的外发是本能力价值最高的场景。→ 集成电路与半导体的内外部文件交换 · 高端装备与精密制造的图纸外发
常见问题
Q：改了扩展名的文件能识别出来吗？
A：可以。产品的文件真实类型识别基于 AI 文件类型识别引擎判断文件的真实类型，不依赖扩展名，并会校验真实类型与扩展名是否一致。压缩包会被展开做内部识别，本身已加密、无法读取内容的文件也会被单独识别出来交由策略处理。
Q：图片和扫描件里的文字能检查吗？
A：可以。敏感内容检查阶段包含 OCR 文字识别，先把图形类载体中的文字识别出来，再参与 DLP 策略匹配。图纸与截图在外发场景里很常见，只做文本抽取会漏掉这一部分。
Q：能识别源代码吗？
A：内置的敏感内容识别组件是标配。如果外发内容包含源代码、设计文件等非常规格式，需要选配高级敏感信息检测——它支持 300 多种文件类型识别，代码类文件识别能力增强，可识别 60 多种编程语言的源代码。这是可选组件，需要单独选配。
Q：检出敏感内容之后会怎么处理？
A：按策略执行三种动作之一：放行（未命中，进入后续阶段）、审核（交由审核流程判定，未通过不放行）、阻断（不予放行，文件停留在平台内）。检查结果会形成检查报告，可查看详情并按风险文件统计。
Q：怕误拦业务文件，能先不拦吗？
A：可以。产品支持仅检测模式，只识别、不执行处理动作，持续记录潜在风险。建议先用这个模式跑一段时间，看清命中分布之后再把规则逐条切换为审核或阻断。直接上阻断规则通常会因为误拦被整体推翻，反而更糟。
Q：我们已经买了 DLP 系统，还需要这个吗？
A：取决于既有 DLP 覆盖到哪里。终端 DLP 管的是员工电脑这个出口，本产品的内容检查管的是”从平台通道外发的文件”这个出口，两者是不同的管控点。如果希望沿用既有系统的检测判断，产品支持 ICAP 协议对接第三方 DLP 与防病毒系统，由平台负责在正确的时点送检并按返回结果执行动作。