文件传输团队管理:权限与角色

国家网信办（CAC）2022年发布的《数据出境安全评估办法》要求重要数据处理者对数据跨境传输实施严格的权限管控——这意味着文件传输平台的权限设计不再只是运营问题，而是合规要求。文件传输团队管理意味着定义谁可以发送什么、发给谁、保留多长时间，以及谁可以查看日志。可行的设置至少有四个角色：管理员（配置工作区）、经理（审批异常请求）、发送者（日常用户）、查看者（仅审计）。在此基础上叠加通过 SAML 2.0 的 SSO 或来自 Okta、Azure AD 或 Google Workspace 的 SCIM 配置、文件内容的 DLP 策略、不可变审计日志，并将整个系统连接到提供这些控制的团队计划传输服务。

四个角色覆盖大多数团队

角色过度设计会造成混乱，设计不足则会产生影子IT。可行的层级：

管理员：配置用户、设置保留默认值、制定 DLP 规则、管理计费、查看工作区内所有传输
经理：审批被策略标记的传输（超过20 GB、发往外部域、包含个人信息模式）、查看其团队的传输、无法更改工作区配置
发送者：日常用户。可在策略上限内创建传输、设置密码保护、在允许范围内设置有效期、删除自己的传输
查看者：合规或安全角色。对工作区内审计日志的只读访问。无法创建传输或修改配置

将这些角色映射到目录组。如果 Okta 已经有 engineering-leads 组，将其镜像为工程传输的经理角色，而不是创建新的成员资格。

通过 SCIM 配置优于手动入职

手动用户管理在50个用户以上就会崩溃。SCIM 2.0（跨域身份管理系统）让你的身份提供商自动将用户创建、更新和停用推送到传输服务。

Okta、Azure AD、OneLogin 和 JumpCloud 都支持 SCIM。配置一次，将新员工加入 marketing AD 组就会自动创建他们的传输服务账户。离职时反向操作——从 AD 中删除他们，几分钟内就会停用账户，关闭一个真实的泄露向量。大多数合规审计人员会要求提供自动化取消配置的证据；SCIM 就是那份证据。

值得配置的细粒度控制

传输服务随附的默认设置很少能匹配你的风险承受度。收紧这些：

按角色设置最大传输大小：发送者10 GB，经理50 GB，管理员100 GB
按角色设置最长保留期：发送者7天，经理30天，管理员90天
密码要求：发往外部域或包含超过1 GB文件的任何传输必须设置密码
有效期要求：不允许"永不过期"；最长上限90天
下载上限：每个链接默认10次下载；发送者可以填写原因说明后提高到50次
地理限制：如果合规要求，阻止来自运营区域以外国家的上传或下载

在一页策略文档中记录默认值，并在传输 UI 中显示这些规则，让用户在发送时就能看到规定。

不影响生产力的 DLP

传输内容上的数据丢失防护可以捕获你没有计划批准的发送。常见模式：

基于正则表达式的个人信息检测：信用卡号（PAN格式）、中国大陆居民身份证号（18位）、银行账户。阻止或要求经理审批
关键词列表："机密"、"内部使用"、"未公告"。标记为待评审
文件类型限制：对大多数角色阻止 .exe、.dll、.msi；仅允许合规导出的 .pst 和 .ost
内容哈希：将文件哈希与已知敏感文档列表（董事会材料、源代码发布）对比。阻止或警告

陷阱是误报。客服代理在培训示例中发送测试信用卡号，不应该被阻止。在执行之前，以"影子模式"（只警告，不阻止）运行 DLP 规则两周进行调优。

合规团队可用的审计日志

审计日志只有在捕获正确事件且有人审查时才有价值。最低限度需要捕获：

用户认证事件（登录、MFA 验证、SSO 重定向）
传输创建（用户、接收者域名、文件哈希、大小、有效期、是否设置密码）
下载事件（IP、用户代理、时间戳、成功/失败）
策略违规（尝试上传超大文件、DLP 匹配、尝试覆盖有效期）
配置变更（谁更改了什么设置、旧值和新值）

根据制度要求存储日志1-7年：SOX 7年，HIPAA 6年，ISO 27001 2年以上；《数据安全法》（DSL）对重要数据要求更长的保留期。导出到你的 SIEM（Splunk、Datadog、Elastic），让事件与其余安全遥测数据并排。由查看者角色进行季度日志审查，发现偏差——某人拥有他不再需要的高权限角色、成为习惯的 DLP 规则绕过、下班后大规模传输的模式。

能指导决策的使用分析

管理员仪表盘应该能回答问题，而不只是显示图表。有用的指标：

按量排列的顶级发送者——他们是合法的重度用户还是潜在的泄露源？
顶级接收者域名——它们都是预期的业务合作伙伴吗？
平均传输大小和保留期——策略是否被遵守？
失败和放弃率——工具在边缘情况下是否崩溃？
许可证利用率——你是否为没人使用的席位付费？

每月审查。精简未使用的许可证，发现异常值，并将模式反馈到策略更新中。

不开后门的外部协作者

发送者经常需要让外部合作伙伴上传文件回来（客户发送源素材，供应商发送交付物）。选项：

请求链接：管理员或发送者生成带特定接收者允许列表和有效期的单向上传链接。上传者无需登录，但上传内容落入发送者的工作区
访客账户：通过其自身身份提供商 SSO 的命名外部用户（B2B 联合）。设置更复杂，适合长期合作
匿名投递箱：适用于公开提交（求职者上传作品集），但需要积极的恶意软件扫描和大小上限

选择满足使用场景的最轻量选项。请求链接覆盖80%的外部协作。

值得写下来的安全策略

传输策略可以在两页内完成。涵盖：

获批的传输工具（以及被禁止的——包括个人 WeTransfer 账户）
分类方案（公开、内部、机密、受限）及每类的示例文件
每种分类级别要求的控制（加密基线、密码要求、最长有效期、审批工作流触发）
报告义务（如果你怀疑传输被拦截，在什么时间框架内告知谁）
事故处理手册（带活跃传输链接的丢失笔记本电脑、账户被盗、误发）

保持可读性。没人阅读的30页策略无法保护任何东西。

加密与密钥处理

你的团队计划应该满足的基准：内容静止状态使用 AES-256-GCM，传输使用 TLS 1.3，密码派生密钥使用迭代次数600,000以上的 PBKDF2 或 Argon2id。在客户端加密（在浏览器中、上传前）的工具意味着服务永远不持有明文。HexaTransfer 使用这种模式——加密密钥存储在 URL 片段中，浏览器不会将其发送到服务器。

对于团队计划，检查管理员是否仍然可以在发送者离开后恢复传输。真正的端到端加密意味着答案是"不，没有接收者的访问权限"。如果你的威胁模型假设服务可能被强制要求提供数据，这是一个特性，而非缺陷。

立即前往 https://hexatransfer.com 免费使用，无需注册，最大支持 10 GB。