理清文档流转边界，区分“域内留存”与“向外流出”，守住数据不出域合规底线
数据不出域，是政企、金融、制造等行业非常关键的合规要求。简单来说，就是业务数据、涉密文档，不能未经许可流出企业可控的系统边界（数据域）。很多企业在使用文档平台时容易混淆：文档预览、在线编辑、AI解析、日志采集等操作，到底会不会把原始文档传到外部服务器？本文结合联想Filez文档处理场景，清晰划分数据流动边界。
1. 先明确：什么是“数据域”
数据域指企业拥有控制权的基础设施范围，私有化部署环境下，一般是企业本地机房、专属私有云资源；公有云环境下，则是企业专属租户隔离空间。
- 数据不出域：原始文档、业务敏感数据，始终存储、运算在企业可控域内，不向外传输。
- 数据出域：原始文件、完整文本被传输到第三方、公有平台或者厂商侧服务器。
> 注意：元数据、访问日志这类非文档内容，和原始业务文档需要分开评估，不能一概算作敏感业务数据。
2. 文档处理场景：哪些数据不会离开原系统（域内）
在联想Filez私有化部署模式下，下面这些文档操作，原始文件始终在企业数据域内，不会向外流出：
- 文档上传、分片存储、端到端加密：文件保存在企业本地/私有云存储，原始密文不对外发送。
- 在线预览、文档转码：转码服务部署在域内，仅在企业内部服务器完成渲染，原始文档不对外传输。
- 在线协同编辑：文档的编辑、版本记录全部保存在企业域内存储。
- 权限校验、动态水印、防泄露策略执行：鉴权与水印渲染在域内或终端完成，文档本身不出域。
- 本地审计日志：访问操作日志默认存储在企业域内，用于内部安全审计。
- VDR尽调项目：尽调文档全部存放在企业域内项目空间，外部访客仅能在线预览，原始文件不离开域（除非管理员主动允许下载）。
3. 文档处理场景：哪些数据会离开原系统
下面这些行为，会造成数据离开原有系统域，属于需要重点管控的出域场景：
- 用户主动下载文档到本地终端：文件从系统域导出到电脑，属于数据出域；可通过Filez离线加密管控限制扩散。
- 文档外部分享、发送给外部合作方：将文件链接/文件本身发给外部人员，文档访问主体超出企业域。
- 文档导出、另存为，通过邮件、IM工具转发：原始文件流出平台。
- 对接外部第三方AI服务：开启外部大模型解析文档内容时，文档文本会传输到外部AI服务，产生数据出域。如需AI能力，可选择域内部署AI引擎。
- 系统配置将审计日志、文档备份同步到企业以外的存储：跨域备份会造成数据出域。
- 跨租户、跨云迁移原始文档：迁移动作会把文档拷贝到另外一套系统，发生数据跨域。
4. 容易混淆：元数据不等于业务文档数据
| 数据类型 |
说明 |
是否属于敏感业务文档 |
| 原始文档内容 |
Word、PDF、图纸里的业务文字、数据 |
是，严格要求不出域 |
| 文档元数据 |
文件名、大小、创建时间、所属部门 |
一般非核心敏感内容，仍需评估 |
| 访问审计日志 |
谁、何时访问了文档，IP、操作类型 |
安全类数据，可单独配置存储位置 |
| 运维监控指标 |
服务器CPU、内存、接口调用状态 |
不属于业务文档 |
5. 如何借助Filez管控数据出域风险
- 权限策略：针对密级文档关闭下载、另存，仅允许在线预览，阻断主动导出。
- 离线加密管控：确需下载的文件，绑定设备、设置有效期，即使出域也无法随意扩散。
- 访客账号管控：外部人员访问文档使用限时访客账号，禁止下载，项目结束一键回收权限。
- 私有化部署：全套文档处理能力部署在企业本地域，原始文档全程不出企业可控环境。
- 全量审计：所有下载、分享、导出操作留痕，一旦发生数据出域可快速追溯。
- 外部接口管控：按需开启第三方对接，默认禁止文档内容向外传输。
6. FAQ：数据不出域常见疑问
Q：私有化部署Filez，厂商后台能看到我的文档内容吗？
私有化部署环境下文档存储在企业自有基础设施，密钥由企业管理，厂商运维人员无法直接获取原始文档内容。
Q：文档在线预览，算不算数据出域？
私有化部署，转码预览服务在域内，只是把渲染后的页面下发给终端，原始文档不离开企业域，不属于数据出域。
Q：数据不出域是否等于绝对不能把文档给外部人看？
不是。可以通过VDR访客在线预览方式对外提供查阅，限制下载导出，文档原始文件仍保存在企业域内；只有下载保存本地，才会发生数据出域。
Q：公有云租户模式下，如何理解数据不出域？
公有云租户隔离的数据不出域，指文档隔离在该客户专属租户空间，不和其他客户数据互通；和私有化本地机房的数据不出域，适用的合规要求不一样，需要根据监管要求选型。
获取Filez数据不出域合规方案
免责声明：本文对数据出域场景介绍仅作为产品科普参考，不能替代行业合规评估。企业需要结合自身监管要求，完成数据分级、边界管控方案。
