一句话定义

集成电路与半导体的文件交换，指设计企业、晶圆制造、封装测试、设备与材料供应商、IP 与工具提供方之间，围绕设计数据、工艺与制程文件、量产与质量数据、检测报告等内容的持续收发。 它的特点是：交换对象分布在产业链的多个环节、每一环的对接方式都不一样，而交换的内容往往是企业最核心的技术资产。

一、交换结构：一条产业链，多类对手方

半导体企业很少只面对一类对手方。一家企业在链条上的位置不同，对手方的组合也不同，但通常同时存在下面这几类：

最后一行需要说清楚：平台的组织单元是合作伙伴，部门之间的日常协作仍由企业既有的协作工具承担。 这里说的”内部”，指的是那些虽然在集团之内、但仍须按组织边界受控交付并留下记录的部分——多法人主体之间、境内外研发地点之间的数据交付，在管理要求上与对外交换是同一类问题。

二、三个行业特有的难点

对外账号的数量与归属都不由本方决定。

代工厂、客户、工具供应商各自有自己的门户或传输服务器，账号与密钥由对方发放。工程师为了干活，把这些凭据记在自己手里——记事本、浏览器保存、部门共享文档。这类凭据的共同特征是：发放方是外部，回收动作也在外部，本方既没有清单，也没有回收的抓手。 人员调岗或离职之后，谁还能登录哪一家，往往没人能完整回答。

交换的内容价值极高，但外发之后的路径不可见。

设计数据、工艺文件一旦发出，落到对方哪个账号、被谁下载、有没有被再次转发，本方通常什么也看不到。等到出问题时，连”这份文件是从我们这里出去的哪一版、什么时候、发给了谁”都要靠翻邮件确认。

大量交换本质上是系统对系统的，却被做成了人工动作。

周期性的数据交付、批次资料回传、检测报告收取，规律稳定、频次高。用人去做的原因往往不是做不了自动化，而是”每一家都不一样”——协议不同、目录规则不同、命名不同，写一次脚本只解决一家，且脚本随人走。

这三个难点单看都不致命，长期被容忍。它们的代价是集中爆发的：一次审计、一次泄露溯源、一次人员变动后的凭据盘点。

三、内外部收发收到一套伙伴档案下

产品不以目录或账号为组织单元，而以合作伙伴为业务组织单元。每一家外部企业——以及每一个需要按组织边界受控交付的内部主体——建立为一个伙伴，其下管理：

• 联系人：以外部账号形式存在，可精准授权与审计；
• 外部账号与密钥：由平台保管与使用；
• 伙伴库：分配给该伙伴的专属交换目录，按部门、用户组与伙伴联系人授权，权限细分为浏览、预览、下载、上传、管理、编辑，子文件夹权限可继承，权限可设有效期；
• 收发策略：内外部用户之间的收发关系与方向权限；
• 交换记录：来自该伙伴与发给该伙伴的全部收发记录。

对应到实际用法：

→ 以合作伙伴为组织单元的完整模型见 合作伙伴文件安全交换

四、外部凭据不下放到工程师个人

这是本产品在这个行业里最直接的那一条：外部伙伴的 FTP/SFTP 账号、对象存储 AK/SK、PGP 密钥统一由平台保管与使用，业务人员在平台内提交交换任务并查看结果，全程不需要、也无法获取外部凭据。

由此带来三处变化：

• 人员变动不再需要逐个回收账号——凭据轮换在平台一处完成，不必去问”这个人手上还有哪几家的密码”；
• 本方第一次有了完整的外部凭据清单——凭据以伙伴为单位归档，谁能用、用在哪条策略上，是可查的；
• 交换动作与凭据分离——工程师提交的是任务，平台执行的是连接。

需要正面回答一个问题：凭据集中之后，平台本身会不会成为风险点？这是应当被提出的问题。凭据集中的平台需要按更高的安全标准建设，密钥的存储形态、访问权限模型、操作审计、漏洞响应与升级机制都应当被逐条审查。我们建议在选型阶段就把这一项列为评审项，并配合企业安全部门完成评审。

→ 凭据收口的完整方案见 外部账号与密钥集中托管 → 托管的安全设计与评审配合见 外部凭据托管的安全设计与评审配合

五、系统对系统的对等加密交换

对于稳定的、周期性的数据交换，且双方都要求端到端加密与身份可验证的场景，产品提供匿名加密交换（可选组件）：

• 双方预先交换 PGP 公钥建立可信通道，文件自动加密、签名，接收方自动解密、验签；
• 以匿名识别码替代真实身份，实现去身份化传输；
• 可使用中间对象存储作为传输介质，双方无需网络直连——这一条在跨企业、跨地域的场景下往往是决定可行性的那一环；
• 全程无人工干预。

要说清楚的是：这套 PGP 对等加密与 OFTP2 协议是两套互相独立的体系，密钥与伙伴关系需要分别配置，不能互相复用。前者由双方自行约定，后者是伙伴方（通常是主机厂或欧洲客户）规定的行业标准协议。半导体企业若同时涉及汽车电子业务而被要求以 OFTP2 对接，那是另一条通道，两者在同一平台内并存。

→ 协议侧的对接见 OFTP2 文件收发

六、图纸与技术文档发出之后

外发不是终点。设计数据与技术文档的风险，一大半在送到之后：

• 下载时附加明水印与暗水印，暗水印支持文件被编辑后仍可识别，用于泄露溯源；
• 高敏感文件可配置为仅在线预览、不允许下载；
• 外发前经技术部门审核，审核动作可在企业既有的办公入口完成；
• 设置文件有效期，项目结束后自动失效；
• 配置 IP 访问限制，仅允许指定地址访问；
• 权限本身可设有效期，到期自动收回。

同时必须说明边界：这些措施的作用是提高转发成本并保留追溯能力，不能物理阻止二次转发，也不能替代管理制度与保密协议。水印与高级敏感信息检测为可选组件，需按需选配。

→ 出入向安全处理的顺序为什么不能换 → 文件出入向安全治理

七、谁在用

集成电路与半导体是本产品客户密度最高的行业之一。已服务的客户类型包括：

这些企业的共同点是：交换对象跨越设计、制造、封测与工具供应多个环节，交换内容属于核心技术资产，且相当一部分交换是长期、稳定、可预期的——这正是把交换方式固化为策略、而不是留给个人处理的前提条件。

八、落地路径与相关能力

不要求先改现状。第一阶段不改变现有端点：既有的 FTP/FTPS/SFTP、SMB、S3/OSS 等存储资源纳管为伙伴库目录，数据不迁移、对端不改配置，只把访问凭据收口到平台，叠加权限、审核与审计；之后再按伙伴与方向配置收发策略，把人工取送转为规则驱动；稳定的交换再启用系统对系统模式；最后通过接口与事件机制接入业务系统。可以先让平台接管一条新增的或风险较高的业务流，原路径保留作为回退。

• 不换现有 FTP 与对象存储怎么落地 → 零迁移纳管既有传输资源
• 与 PLM、ERP 等业务系统怎么协同 → 与既有业务系统协同
• 同为多头对接的汽车行业怎么做 → 汽车与零部件行业文件安全交换
• 图纸外发与供应商协同的做法 → 高端装备与精密制造的图纸外发