文件外发审批与管控 | Ftrans B2B
放行之前的四道检查，放行之后的五种控制，以及一条完整的记录。
一句话定义
文件外发审批与管控，指企业向外部组织发送文件时，由平台强制执行的一组前置检查与后置控制：外发内容在放行前依次经过受控入库、内容识别、敏感内容检查与人工审批，未通过的文件不放行；放行之后仍可通过提取码、有效期、提取次数限制、仅预览不下载与水印等手段保留控制与追溯能力。
一、“这份文件能不能发给外面”，今天靠谁判断
大多数企业都有外发管理制度。问题出在执行位置——制度写在文件里，执行落在经手人身上。
一份图纸要发给供应商，业务人员的判断链条通常是这样的：这份能不能发？大概能吧，之前也发过；要不要走审批？急，先发了再补；里面有没有不该带的内容？没细看；发出去之后对方会不会再转给别人？管不了。
于是外发的实际状态是：
| 现状 | 后果 |
|---|---|
| 外发走的是邮件、即时通讯与个人网盘 | 大文件发不出去，发出去的无法控制转发、无法设有效期、无法追溯 |
| 检查取决于经手人是否记得做 | 同一类文件，不同的人发，检查力度完全不同 |
| 审批在群里“说一声” | 审批发生过，但没有记录，事后无法举证 |
| 文件发出即失控 | 对方转发给谁、什么时候看的、看了几次，全部不可知 |
| 外发记录散在个人邮箱与聊天记录里 | 被审计或发生纠纷时，无法完整回答“哪个文件、什么时候、谁发的、发给谁、对方取没取” |
这些问题不会导致系统瘫痪，因此长期被容忍。但一旦发生泄露或纠纷，追溯链条从第一步就是断的。
二、一次受控外发经过什么
产品对出向与入向采用不同的处理顺序，这一顺序不是配置选项，而是安全设计的一部分。出向的完整路径如下。
起点·外发发起。 业务人员在平台内以三种方式之一发起：伙伴邮（类邮件操作，批量发送文件与文件夹给内外部联系人）、伙伴库（把文件批量发送到分配给该伙伴的交换目录）、或对外部对象生成文件包链接。收件对象来自伙伴联系人与组织结构，不需要手工填地址。
受控入库
文件就绪与批次封口，形成不可变的受控副本。之后的检查都针对这份副本，避免边检查边改动。（默认启用）
内容识别
文件真实类型识别、压缩包内部识别、加密文件识别，并校验真实类型与扩展名是否一致。改扩展名躲检查是最常见的一种绕过方式，这一步专门处理它。（默认启用）
敏感内容检查
OCR 文字识别与 DLP 策略匹配，按检查结果执行动作——转审核、阻断或放行。可以配置为仅检测模式：不执行处理动作，先持续识别风险分布，为策略制定提供依据。（默认启用）
人工审批
按伙伴与方向的策略启用。支持自定义审核流程、多分支流程设计与自定义审核表单；提供代理审核机制与过期自动撤销；审核动作可以在企业既有的办公入口完成。（可选，按策略）
加密封装
自动加密与 PGP 签名。（可选，按策略）
送达外部
推送到内置传输服务目录、内部自建传输服务器、伙伴的 FTP/SFTP 或对象存储、经 OFTP2 协议直连投递，或生成受控文件包链接并回传提取回执。访问外部端点所用的凭据由平台托管与使用，业务侧不接触。
这里有一条顺序上的硬约束：DLP 与人工审批必须在加密之前完成。 加密之后不再具备明文内容检查能力——一份被加密的文件，检查引擎看到的只是密文，检查等于没做。把加密放在检查之前，是外发管控里最容易犯、也最难被发现的一个错误。
放行闸：安全治理通过后方可投递或发布。未通过的文件停留在隔离区，不发往外部伙伴。
→ 出入向为什么必须是这个顺序，以及审批流程的完整设计与 OA 集成方式见 文件出入向安全治理
三、放行之后还能做什么
文件发出去不等于失控。产品提供的控制手段有五类：
提取码
收件方需输入提取码才能取件，链接被转发也不等于内容可取
有效期
到期后链接失效，避免“三年前那个链接现在还能下载”
提取次数限制
限定可提取的次数
仅预览不下载
高敏感文件只在线预览，不落到对方本地
明水印与暗水印
下载时转换为带水印格式；暗水印不可见，支持文件被编辑后的溯源识别
另有提取通知与提取回执：文件被取走时可通知发送人，文件包链接形态还会回传提取回执。已发出的文件包支持撤回。
必须说清作用边界。 这些手段的作用是提高转发成本并保留追溯能力，不能物理阻止二次转发。收件方拍照、转录、重新排版都是技术手段管不到的，它们替代不了管理制度与保密协议。把水印当成“防泄漏”来买，上线之后一定会失望；把它当成“泄漏之后能查到源头”来买，才是它真实的价值。
其中明水印、暗水印、高级敏感信息检测、服务端落盘加密均为可选组件，需单独选配。
四、配置与运维要点
4.1 先开仅检测模式，再开阻断
多数企业不清楚自己的外发内容里到底有什么。直接上阻断策略的结果通常是业务侧大量误报、然后要求关掉。
更稳的做法是先用仅检测模式跑一段时间：不执行处理动作，持续识别潜在风险，同时满足合规审计要求。等风险分布摸清楚了，再决定哪些类型转审核、哪些直接阻断。
4.2 审批要落在业务人员已经在用的入口里
审批流程最常见的失败方式不是设计不合理，而是审批人不去那个系统看。产品的审核动作可以在企业既有的办公入口完成，支持与主流移动办公平台与 OA 系统集成，以及基于 OpenAPI 的第三方审批系统对接。
配套的是代理审核机制与过期自动撤销——审批人出差不该成为业务停摆的理由，但也不该变成“超时自动通过”。
4.3 按伙伴与方向配策略，不按人配
策略的粒度是伙伴与方向，不是个人。这意味着新来的对接人不需要单独开权限，离职的对接人也不需要逐条清理——变动的是人，不变的是这家伙伴的收发规则。
4.4 外发记录要能被导出
访问会话、文件操作、文件传输、系统管理、身份管理、身份认证、安全检测七类日志完整记录交换过程，支持条件查询、详情查看与 Excel 导出，保留时长与归档策略可配置。另有协作统计——用户发送文件包统计、文件下载转存记录、文件流出情况统计与异动发现。
4.5 DLP 的识别边界要按实际文件类型确认
内置敏感内容识别组件为标配；高级敏感信息检测为可选组件，支持 300+ 种文件类型与 60+ 种编程语言源代码识别。
如果外发内容以设计类文件为主（如各类 CAD 与 PDM 格式），建议在项目评估阶段用真实样本做一次识别验证，不要按文件类型清单直接推断效果。
五、与其他能力的关系
- 凭据收口的整体主张
外发用的外部端点凭据由谁掌握。→ 外部账号与密钥集中托管
- 凭据在外发过程中怎么被使用
送达那一步的机制。→ 外部凭据统一保管与使用
- 业务侧的实际操作体验
不接触凭据之后怎么发文件。→ 业务人员不接触外部凭据的交换方式
- 安全治理的完整顺序与审批流程设计
出入向的编排、DLP 与审批的具体做法与 OA 集成。→ 文件出入向安全治理
- 交换方式与伙伴组织
伙伴邮、伙伴库、文件包链接分别适合什么场景。→ 合作伙伴文件安全交换
- 图纸外发的行业场景
制造业最典型的外发对象。→ 汽车与零部件行业文件安全交换 · 集成电路与半导体的内外部文件交换
常见问题
Q：外发的文件能不能防止对方二次转发？
A：可以降低风险，但不能物理阻止。产品提供提取码、有效期、提取次数限制、仅预览不下载、明水印与暗水印等手段，其中暗水印支持文件被编辑后仍可识别，用于泄露溯源。这类措施的作用是提高转发成本并保留追溯能力，不能替代管理制度与保密协议。收件方拍照、转录这类行为，任何技术手段都管不到。
Q：为什么加密要放在检查和审批之后？
A：因为加密之后不再具备明文内容检查能力。一份被加密的文件，DLP 引擎看到的只是密文，检查等于没做；人工审批同样无法看到实际内容。所以出向的顺序固定为：受控入库、内容识别、敏感内容检查、人工审批、加密封装，最后送达。这个顺序是安全设计的一部分，不是可以调整的配置项。入向方向反过来——加密来件必须先解密再杀毒。
Q：所有外发都要审批吗？会不会太慢？
A：不是全部。审批按伙伴与方向的策略启用——可以只对高敏感伙伴、特定目录或命中敏感内容规则的文件触发。流程支持多分支设计与自定义审核表单，并提供代理审核与过期自动撤销，避免审批人不在导致业务停摆。审批动作可以在企业既有的办公入口完成，不需要业务人员额外登录一个系统。
Q：文件发出去之后能撤回吗？
A：已发出的文件包支持撤回，未被提取的内容随之失效。但如果对方已经下载了文件，撤回只能停止后续提取，无法删除对方本地的副本。这也是有效期、提取次数限制与仅预览不下载这几项存在的原因——在文件落到对方本地之前控制，比落地之后补救有效得多。
Q：这和企业网盘的外链分享有什么区别？
A：企业网盘的外链围绕的是“把这个文件给某个人看”，控制点在链接本身。本产品的外发围绕的是“本方与这家伙伴之间的交付关系”：收件对象来自伙伴档案与联系人，检查与审批按伙伴与方向的策略强制执行，送达方式可以是链接、也可以是推送到伙伴的 FTP/对象存储或协议直连，全部记录归集到该伙伴名下。偶发的对外分享用企业网盘通常够用，两者可以并存。
Q：敏感内容检查支持哪些文件类型？
A：内置敏感内容识别组件为标配，可自动检查交换文件并按结果执行审核、阻断或放行；高级敏感信息检测为可选组件，支持 300+ 种文件类型与 60+ 种编程语言源代码识别。如果外发内容以设计类文件为主，建议在项目评估阶段用真实样本做一次识别验证，按实测结果定策略。另可先启用仅检测模式，摸清风险分布再决定阻断范围。