Web 数据保护策略用于检测员工通过网站、云应用传输的数据，帮助企业发现敏感信息外发风险，并对敏感文本外发执行审计或阻断。您可以针对不同应用和员工范围，配置文本外发、文件外发和文件下载的检测规则。 ## 功能说明 ### 什么时候会触发策略您可以为指定员工或设备设置规则，检查他们在指定网站、云应用中发送的文本和文件。例如，检查销售部门向公共云盘上传的文件是否包含客户信息。在这个例子中，您需要选择销售部门、目标云盘和**文件外发**，再添加用于识别客户信息的分类分级规则。销售部门员工向该云盘上传文件时，如果文件包含规则定义的客户信息，系统就会记录一条审计日志。被列入**排除对象**的员工或设备不受这条策略管控。 **分类分级规则**用来定义需要识别的敏感内容，例如客户手机号、身份证号或企业业务数据。您可以在数据识别中准备好规则，再在策略的**外发内容**中选择这些规则。文本外发和文件外发都通过这种方式识别敏感内容；文件下载只检查文件大小和类型。 ### 可以检查哪些行为 |行为 |检测依据 |适用场景及处置 | |---|---|---| |文本外发 |外发文本是否命中分类分级规则。 |检测网页表单、在线消息等提交的敏感文本，可审计或阻断当前外发。 | |文件外发 |上传文件的内容是否命中分类分级规则。 |审计向网站、云应用上传敏感文件的行为，不阻断本次上传。

文件外发采用上传后异步检测的方式实现，文件先上传到后台，系统再检测其中的敏感内容，并记录命中策略的结果。因此，文件外发仅支持审计，不会拦截本次上传。 | |文件下载 |文件大小、文件类型及应用范围。 |记录或阻断符合条件的下载行为，不扫描下载文件中的敏感内容。 | ## 前提条件 * 已配置引流策略，使需要管控的终端流量经过安全 Web 网关（SWG）。详细操作请参见[配置引流策略](https://docs.volcengine.com/docs/6427/2371431)。 * 已完成企业根证书配置与分发，确保终端信任企业根证书。对于 HTTPS 流量，还需确保目标应用的流量能够被解密；如果命中了“不解密”的 SSL 解密策略，将无法检测其中的敏感内容。详细说明请参见[配置 SSL 解密策略](https://docs.volcengine.com/docs/6427/2371429)。 * 如果需要检测文本或上传文件中的敏感内容，已准备好对应的分类分级规则。您可以使用内置规则，或按企业需求添加自定义规则。详细操作请参见[管理分类分级规则](https://docs.volcengine.com/docs/6427/158192)。 ## 新增Web 数据保护策略 ### 步骤一：填写基础信息 1. 登录飞连管理后台。 2. 在左侧导航栏，选择**数据安全** \> **策略中心**。 3. 在**管控策略**页签中，选择**Web 数据保护**，单击**创建策略**。 4. 在**新建 Web 数据保护策略**页面，填写以下基础信息。 |配置项 |说明 | |---|---| |策略名称 |必填。自定义名称，用于标识该策略，例如“公共协作平台敏感文本外发阻断”。 | |策略描述 |选填。补充说明策略用途和适用范围，最多支持 100 个字符。 | |匹配优先级 |定义策略的执行顺序（0\-100），**数值越高，优先级越高**。当多条相同优先级的策略被命中时，执行更新时间最新的策略。策略未修改过时，更新时间即创建时间。 | |管理标签 |选择将当前策略关联至指定的标签（非必填）。下拉选项中仅展示当前管理员被授予的标签。通过关联标签，可实现不同区域或业务线管理员之间的策略权限隔离。

如需增加或调整下拉框中可见的标签选项，需要超级管理员在**企业设置** \> **管理员权限**中为您所在的管理员角色修改“管理标签范围”。具体操作请参见[编辑管理员权限](https://docs.volcengine.com/docs/6427/382727)。 | ### 步骤二：选择处置方式在**处置方式**区域选择命中策略后的处理方式。处置方式在策略层统一设置，随后配置需要检测的行为。处置方式仅作用于当前外发行为，不影响用户访问应用本身。文件外发仅支持审计方式处置。需要检测上传文件中的敏感内容时，请选择**审计**；如果选择**阻断**，则不支持检测**文件外发**行为。 |处置方式 |说明 | |---|---| |审计 |记录命中策略的行为，不影响员工访问应用。适合先观察敏感数据外发情况，再调整保护范围。 | |阻断 |阻止命中策略的行为，并记录阻断原因。可用于阻断敏感文本外发。 | ### 步骤三：配置检测行为在**配置外发行为**区域，开启需要检测的行为开关，然后单击对应的**展开**，配置应用范围和检测条件。各行为分别设置应用范围，请逐项检查所选应用。 #### 文本外发检测员工通过网站、云应用输入、粘贴或提交的敏感文本，例如网页表单、在线消息和在线文档中的文本。 1. 开启**文本外发**并单击**展开**。 2. 在**选择云应用**区域，选择需要检测的应用。可按应用名称或域名搜索，在**内置应用**中按分类选择应用，或在**自定义资源**中选择企业已配置的资源。 3. 在**外发内容**区域，单击**添加分级分类数据**。 4. 在弹出的窗口中，按分类浏览或搜索需要检测的规则，勾选相应数据。可通过**详情**查看规则信息，确认后单击**确定**。 5. 检查已添加的**分类分级数据**及**数据密级**，确认规则与保护目标一致。如果没有合适的规则，可通过选择窗口中的**前往管理分级分类数据**进入数据识别页面，准备好规则后再返回配置。应用资源的维护方法请参见[SWG Web 资源库管理](https://docs.volcengine.com/docs/6427/1337101)。如果分类分级规则通过敏感词识别内容，应引用**数据安全** \> **数据识别** \> **敏感词库**中的敏感词库。您可以选择内置敏感词库，也可以先添加企业自定义敏感词库，再在分类分级规则中引用，最后将该规则应用到 Web 数据保护策略。详细操作请参见[管理敏感词库](https://docs.volcengine.com/docs/6427/2249516)和[管理分类分级规则](https://docs.volcengine.com/docs/6427/158192)。 #### 文件外发检测员工通过网站、云应用上传、发送或提交的文件，例如上传附件、导入文件和提交材料中的敏感内容。 1. 确认策略的**处置方式**为**审计**。 2. 开启**文件外发**并单击**展开**。 3. 在**选择云应用**区域选择需要检测文件外发行为的应用。 4. 在**外发内容**区域单击**添加分级分类数据**，勾选需要检测的分类分级规则并确认。配置方法与文本外发相同。文件外发审计用于发现和追溯敏感文件外发行为，不会拦截当前文件上传。 #### 文件下载文件下载按应用范围、文件大小和文件类型设置检测条件，不通过分类分级规则扫描下载文件中的敏感内容。 1. 开启**文件下载**并单击**展开**。 2. 在**选择云应用**区域选择需要检测下载行为的应用。 3. 设置**文件大小**，单位为 MB，用于限定需要检测的文件体积下限。设为 **0** 时，表示不限制文件大小，仅检测应用范围、文件类型及生效对象等其他策略条件。 4. 设置**文件类型**。可以选择内置的常见文件类型，例如压缩文件、WPS 表格、演示文稿等。 ### 步骤四：设置生效对象 1. 在**生效对象**区域，选择策略适用范围。 * **员工**：按部门、角色或成员选择。可通过搜索快速定位目标员工。 * **设备**：按设备或分组选择。可通过员工、设备名称或设备 ID 搜索。 2. 如需为部分对象设置例外，开启**排除对象**，选择需要排除的对象。 3. 检查处置方式、各行为的应用范围、检测条件以及生效对象，单击**确定**保存策略。 4. 返回策略列表，检查策略的**生效状态**，按需启用策略。 ## 管理策略生命周期在**Web 数据保护**策略列表中，您可以执行以下操作。 * **查看数量与状态**：列表顶部按审计、阻断分别统计已开启和未开启的策略数量。列表中可查看单条策略的优先级、处置方式、创建时间、最近修改时间、生效对象和排除对象，便于检查当前保护范围。 * **搜索与筛选**：按审计或阻断类型、生效状态、人员、设备、策略名称及分类分级规则名称定位策略。例如，调整某条分类分级规则前，可先按规则名称筛选引用它的策略，检查影响范围；排查某位员工的管控问题时，可结合人员和生效状态筛选。 * **启用或停用**：通过**生效状态**开关控制策略是否参与管控。临时暂停策略时可停用并保留配置，后续按需重新启用。停用前，请检查受影响的应用和生效对象。 * **编辑**：在目标策略的**操作**列单击**编辑**，调整应用范围、检测内容、处置方式或生效对象后保存。由审计调整为阻断前，建议先结合历史日志确认命中情况；文件外发只支持审计，不能通过调整处置方式实现文件上传阻断。 * **删除**：在目标策略的**操作**列单击**删除**，按页面提示移除不再需要的策略。 ## 查看相关日志策略配置操作与员工命中策略的行为分别记录在不同日志中。 * **Web 数据保护日志**前往**数据安全** \> **调查审计** \> **审计日志** \> **Web 数据保护**，查看员工文本外发、文件外发和文件下载命中策略的记录。日志用于追溯发生了什么行为、由谁触发、命中了哪条策略以及采用了什么处置方式。结合事件时间、员工、应用、外发行为和命中策略定位记录，再查看详情中的敏感数据识别结果及相关行为信息。文本和文件外发关注命中的敏感数据；文件下载关注文件名称、类型和大小，不将下载日志理解为文件内容已完成敏感检测。 * **管理员操作日志** 前往**日志审计**中的**管理员操作日志**，按操作模块**Web 数据保护策略**筛选，查看策略新增、修改和删除等管理操作，用于追溯策略配置变更。