一句话回答：这类软件的差距不在算法，而在“自动”两个字 —— 加密由系统触发，而不是由人触发。文件落盘那一刻就加密，授权终端打开那一刻就解密，人一走出可信环境就变乱码，全程不需要员工点任何按钮。它的核心功能，因此要按这条自动化链条拆成五层：加密引擎、策略判定、出口拦截、无人值守、审计留痕。
一、加密引擎层：自动化发生在“写入”这一刻
（一）保存即自动加密，不需要人工触发
保存自动加密。判断标准只有一条：加密是否在文件写入磁盘的那一刻自动完成。需要员工手动“加密”才生效的方案，遇到自动恢复、临时文件（Word 的文件）、缩略图缓存、打印假脱机，就会留下明文残片。
（二）自动触发方式
按进程触发（授信程序写盘就加密）、按类型触发（扩展名命中即加密）。
（三）算法与加密模式
国密 SM4 是底线，模式又分文件级、目录级、全盘。文件级才做得到“同一台电脑上，A 文件加密、B 文件不加密”；全盘加密解决的是丢电脑，不是防内鬼。
（四）自动化不能拿稳定性换
驱动层方案要过蓝屏、系统补丁、杀软冲突三关。一套三天两头蓝屏的自动加密，最后一定被要求整体卸载。
二、策略判定层：自动决定“谁的文件要加密”
（一）命中顺序要可预期
部门、用户、终端、路径、格式，五级策略叠加时必须能说清谁优先。规则一打架，管理员就开始手工加例外，自动化随即失效。
（二）例外要能收口
白名单、免加密目录、临时豁免，都得有到期时间和审批记录，否则一年后没人说得清哪些文件其实没加密。
（三）密钥自动分发
终端绑定、在线取密钥、离线预授权。员工不必知道密钥存在哪，但管理员必须能一键挂失 —— 不能挂失的密钥体系，等于没有事故预案。
三、出口拦截层：加密之后的路也要自动堵
（一）通道自动识别
U 盘四档（禁用、只读、只写、白名单）、IM、网盘、邮件、剪贴板、截屏、打印，逐条对应一种真实泄密手法，缺一条就是一个洞。邮件还要有域名白名单，否则正常对外业务先被卡死。
（二）外发自动降级
命中敏感文件时自动转成受控外发包（限次数、限期限、绑设备、可远程作废），而不是弹窗问员工“要不要加密”。
（三）拍屏自动处置
摄像头识别到手机拍摄，自动锁屏并留证。这是加密唯一管不到的出口。
四、无人值守层：断网、卸载、换系统之后还守不守得住
离线自动执行（出差可用、超时自动锁死）、客户端被卸载或驱动异常自动告警并回滚、策略批量下发、服务端双机。部署同样要自动：批量推送、按部门灰度、失败终端自动重试。
五、审计留痕层：前面四层，最后都要在这里对账
（一）收口
1.五要素。人、终端、时间、文件、动作全自动落库，覆盖创建到外发，中间不能断点。
2.跨层关联。四层产生的日志要能按同一终端 ID 与时间基准拼成一条链，否则库里只有数据，没有证据。
（二）日志自身
加密存储、查阅留痕、管理与审计权限分离，否则审计库自己就是新的泄密点；还要能按部门、人员、文件类型检索，合规检查时直接导出 —— 导不出来的审计，只是给自己看的。
六、以域智盾为例，看“自动”怎么落地
域智盾是终端侧的文档自动加密与防泄密产品，采用完全本地私有化部署模式，业务相关数据存储在用户服务器，客户端仅留存必要临时缓存，不大量占用客户端磁盘空间，对终端性能影响较低。
与前面五层的对应关系，可以拆成四条来看。
（一）引擎侧：文件新建保存即加密，覆盖 Office、WPS、CAD、源代码，员工操作习惯不变。
（二）通道侧：复制受控文字，粘贴出来只剩一句提示语；另有截屏管控、打印水印、U 盘四档。
（三）离线与审计：离线授权按时长自动生效，日志自动绑定操作人与终端 IP。
（四）适用边界：定位在企业内部终端管控，不适用于个人使用。
合作客户包括：新疆保险协会、山东卫禾传动股份有限公司、嘉恒达昌商务咨询有限公司、菏泽邦鸿科技有限公司、洲际探险浙江企业有限公司、北京某机器人企业、天津市万丰化工设备有限公司、悦鹏程（天津）科技发展有限公司等。
七、自动化的三个陷阱
（一）自动不等于无感
例外名单一长，员工就会绕着走，加密退回成摆设。
（二）自动解密有窗口
明文终归要出现在内存里，远程桌面、截屏、录屏都能截走，所以出口层不能省。
（三）自动化必须留人工闸门
外发审批不能一路自动到底，全自动放行的外发口，等于没有外发管控。
判断“自动”是真是假，四个动作就够：拔网线打开一次、用未授权程序打开一次、另存到 U 盘一次、改系统时间越过离线期限一次。四项都过，才算真自动。
