数据防泄漏（DLP）怎么选：先分级再防泄漏，顺序反了就是白花钱

DLP 是安全产品里 最依赖「先有制度」 的一类。数据没分级、敏感字段没定义，DLP 上线后只能靠关键字猜，结果要么天天误报把业务卡死，要么什么都不拦。设备只是执行层，前面两步做不好，买多贵的盒子都没用。

一、三种部署位置，管的是三条不同通道

三者不是替代关系。只买网络 DLP，U 盘拷走 10 万条客户信息它看不到；只买终端 DLP，员工用手机拍屏幕、用个人邮箱网页版外发，它也只能干看。合规验收通常要求「终端 + 网络」双层，预算不够时优先终端。

二、内容识别方式决定误报率

实际产品通常组合使用。招标时写「支持机器学习识别」没有约束力，要写清楚 识别准确率与误报率的验收方法（例如用 500 份已知样本测试）。

三、终端数、协议数、并发数：钱花在哪

• 终端授权数：按点数卖，1,000 点与 5,000 点差一个量级；扩容单价要写进合同
• 协议覆盖：邮件、HTTP/HTTPS、FTP、SMB、IM、打印、刻录，每多一类都是钱，也是实施工作量
• 是否含加密与脱敏：加密（文档透明加密）与脱敏（动态/静态）通常是独立产品线，DLP 本身不做加密
• 是否含 CASB：管 SaaS 与云盘外发要额外模块，很多单位的实际外发通道是网盘与个人邮箱

一个常见误解：把 「文档加密」当成 DLP。加密解决的是「拷走打不开」，DLP 解决的是「拷走能被发现并阻断」。加密产品（如各类文档保险箱）在离线、外发协作场景体验代价很大，通常用于研发图纸、涉密文档这类高价值少数场景，而不是全公司铺开。

四、上线顺序：分级 → 试点 → 阻断 → 全员

1. 定分级：至少分公开、内部、敏感、核心四级，明确每级的流转规则（谁能发给谁、能不能出内网）
2. 找数据：用存储 DLP 或数据资产扫描跑一遍，摸清敏感文件分布，这一步通常比买设备更花时间
3. 试点观察：选 1–2 个部门，只记录不阻断，跑 2–4 周拿到真实误报率与主要外发通道
4. 分级阻断：先阻断「核心级 + 明文外发」这一组合，其余保持审计，逐步收紧
5. 全员推广 + 例外流程：必须有正式的例外申请通道，否则业务部门会绕过整个系统

五、真实成交价基准

同一项目、同一档位，两家报价相差约 7%，说明这一档 DLP 的市场价高度收敛。数据来自库内 2026 年政采公示，含税与实施，终端授权数与协议模块需按项目核对。

对比同项目的其他单品可以看到预算分配的实际情况：数据库审计 10 万、堡垒机 15 万、日志审计 6.38 万、网闸 18 万、态势感知 50 万。DLP 在整体安全预算里大约占 2%–4%，不是一个能靠单点堆出来的能力。

六、验收看什么

• 识别准确率：用本单位 200–500 份真实文件（含正样本与负样本）测试，要求给出准确率与误报率数字
• 阻断有效性：U 盘、邮件、网页上传、IM、打印五条通道逐条验证，截图留证
• 离线场景：断网状态下终端策略是否生效，出差笔记本能不能管住
• 审计完整性：任意一次外发尝试能否还原「谁、什么时候、什么文件、发到哪、是否被阻断」
• 性能影响：终端 DLP 对开机时间、文件拷贝速度的影响，要求给出可接受的量化上限（例如拷贝 1GB 文件耗时增加不超过 20%）

本站可对比的型号

明 Chinasec（安元）数据安全保险箱明朝万达 · 安全 参考价格单品无公开价；厂商价位锚点：终端 DLP 项目中标 46 万、大型终端防泄漏项目 180 万产品定位终端敏感数据隔离沙箱：驱动层把本地文件夹映射为保密磁盘，与本地数据完全隔离；生产数据下载到保险箱全程不落地核心能力敏感文件导入保险箱隔离操作；导出须走审批流；细粒度权限按敏感等级分级；标准化接口对接业务应用/云盘/分类分级系统 参数 → 格 网盾保险箱格尔软件 · 安全 特性网盾保险箱本身存放格式为一个文件，可方便的复制到其他 参数 → 中 中孚密保卫士系统中孚信息 · 软件 产品形态管理平台 + 客户端点数授权；平台 ¥146,000/套，客户端按点计价；小型单位可整套装直购点数单价¥206/点；¥550/点核心功能终端统一管理、U 盘存储控制、敏感信息检查检测、恶意代码辅助检测联动；管理端 + 客户端成套交付 参数 →

这三款属于「终端侧数据保护」范畴：明朝万达数据安全保险箱与格尔网盾保险箱走文档加密/沙箱路线，中孚密保卫士面向涉密终端管控。它们与网络 DLP 是互补关系，不是替代。

延伸阅读：数据安全品类页、数据库审计怎么选、堡垒机怎么选、等保三级设备清单。