一、安全高级功能是什么

安全高级功能包含企业信息防泄漏、统一管理文件权限等高级能力，可以为企业提供更丰富的安全与管理功能，保障企业安全。

二、核心使用场景

完整介绍请参考：安全高级功能介绍

安全解决方案

● 此部分主要针对企业内不同安全等级人员和不同安全场景，给出相应的功能启用建议。
● 企业可参考此部分，完成安全高级功能的购买、分配和启用。

一、启用前准备工作

● 为需要进行安全管理的成员购买和分配安全高级功能。详见：如何购买和分配安全高级功能账号？
● 提醒成员将客户端版本升级到最新。
● 为成员按需配置安全高级功能。

二、不同安全等级人员启用功能概览

三、事前权限管控

场景1：限制文件对外分享

● 企业中有部份员工，在日常办公时，会接触和生产大量仅可对内的机密文件。企业希望限制这些成员对外分享文件。
● 建议功能：文件防泄漏——文件对外分享限制
● 配置方式

配置流程	示意图
1. 将本企业中，日常会接触到大量内部机密文件的成员设置进「文件防泄漏」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 在「文件防泄漏——文件对外分享限制」中，启用「禁止向企业外分享文件」。若第1步生效范围内有成员无需使用此功能，可将成员添加进白名单。 ● 如果禁止分享文件对象包含“上下游联系人”（上下游联系人需启用企业微信上下游、企业互联、互联企业），请选择「禁止向外部联系人、上下游联系人分享」，否则，请选择「仅禁止向外部联系人分享」。
3. 点击「开启」按钮，开启该功能。

• 生效效果

生效效果	示意图
1. 设置进「文件防泄漏——文件对外分享限制」生效范围中的生效成员，他们在聊天中直接发送的本地文件/图片，将无法被分享到企业外。
2. 设置进「文件防泄漏——文件对外分享限制」生效范围中的生效成员，对外发送邮件中的文件、对外日程中的附件、所拥有的微盘文件及文档，企业外成员均无法访问。

● 常见应用场景

场景2：限制文件下载/导出

● 企业中有部份员工，在日常办公时，会接触和生产大量机密文件。这些机密文件，仅允许被下载到可信企业设备上，或完全禁止下载权限，以免文件被下载后进一步传播泄漏。
● 建议功能：文件防泄漏——文件下载/导出限制，同时搭配 设备管理
● 配置方式

配置流程	示意图
1. 将本企业中，日常会生产和接触到大量限制下载文件的成员设置进「文件防泄漏」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 在「文件防泄漏——文件下载/导出限制」中，添加所需的限制规则。 ● 文件下载/导出限制共有三类不同程度的限制可供选择： （1）对于严格高密人员，可为之启用「禁止在所有设备上下载/导出」。 （2）对于中密人员，可为之启用「仅允许在可信企业设备上下载/导出」。 （3）对于低密人员，可为之启用「仅允许在可信设备上下载/导出」。 ● 若选择了「仅允许在可信企业设备上下载/导出」、「仅允许在可信设备上下载/导出」，需同时启用「设备管理」，并配置可以下载这些文件的设备。详见：如何启用「设备管理」？ ● 若在启用了上述文件下载/导出限制规则后，仍希望在某些特殊情况下，被限制的成员的文件能够被下载，可以额外配置「向文件所有者申请下载」。管理员可以根据实际情况，选择申请下载对象为收到该文件的企业内或企业外成员。
3. 点击「开启」按钮，开启该功能。

● 生效效果

生效效果	示意图
设置进「文件防泄漏——文件下载/导出限制」生效范围中的生效成员，他们所拥有的文件，可以被在线预览，但是无法被任何人（无论是否在生效范围内）下载，或仅可下载到指定设备上。支持预览的文件包括：小于100MB的Word/Excel/PPT/txt/图片，小于10GB的视频/音频。

● 常见应用场景

● 常见问题

• 我需要将谁设置进「文件下载/导出限制」中？
  A：「文件下载/导出限制」针对的是某个成员的文件的下载权限，而不是成员本人的下载权限。管理员将需要限制文件下载权限的文件所有者设置进规则中，无需将禁止下载文件的成员设置进规则。
  例如：若成员a的文件被设置了「禁止在所有设备上下载/导出」，成员b的文件没有被设置任何文件下载/导出限制，那么成员a将自己的文件发给成员b，成员b无法下载该文件，但是成员b将自己的文件发给成员a，成员a可以下载该文件。

场景3：限制截屏/录屏行为

● 企业微信中的聊天内容、通讯录组织架构、往来邮件、工作台等，都可能涉及敏感内容，一经截图传播，很容易在网络发酵，给企业带来不利影响。
● 建议功能：截屏/录屏管理（目前仅支持移动端）
● 配置方式

配置流程	示意图
1. 将本企业中，日常会接触到敏感信息的成员设置进「截屏/录屏管理」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 点击「开启」按钮，开启该功能。

● 生效效果

配置流程	示意图
● iOS系统 ○在企业微信中截屏时，会记录截屏操作，并提示成员。管理员也可以在“管理后台-截屏/录屏管控-截屏记录”中，查看截屏操作具体信息。 ○在企业微信中录屏时，不会直接拦截，而是在录屏页面中，将企业微信页面展示为黑色背景提示。
● Android系统 ○安卓手机在企业微信中截屏、录屏时会被拦截，无法完成截屏、录屏操作。

● 常见应用场景

场景4：限制外部分享能力

● 在企业微信中，员工可通过「分享到微信」，将企业内的文件、消息等，直接通过拉起微信客户端的方式转发；也可以将企业内的文件通过「用其他应用打开」，从而在其他应用中查看文件。但是这两个功能对于部份需要严格管控文件和消息分享行为的高密人员而言，是非常容易在不经意中泄漏敏感信息的。
● 建议功能：分享到外部管理
● 配置方式

配置流程	示意图
1. 将本企业中，需要严格管控文件和消息分享行为的高密人员设置进禁止成员使用「分享到微信」、禁止成员使用「用其他应用打开」生效范围中。 ●需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2.勾选选项，开启所需要的功能。

● 生效效果

配置流程	示意图
1. 启用禁止成员使用「分享到微信」后，成员无法将消息、文件等，通过「分享到微信」功能对外发送。
2.勾选选项，开启所需要的功能。

● 常见应用场景

场景5：限制账号登录设备

● 对于掌握企业核心技术、财务数据的成员，如果他们在不安全的电脑登录企业微信，那么企业微信中的机密文件、消息等内容，很有可能被有心之人窃取。
● 建议功能：设备管理——成员登录限制
● 配置方式

配置流程	示意图
1. 将本企业中，需要管控桌面端登录的成员设置进「设备管理」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 点击「导入可信企业设备信息」，下载可信企业设备信息填写模板，将可信企业设备信息填写进模板后，上传文件。上传成功的设备信息，将展示在「可信企业设备」列表中。
3. 点击「开启」按钮，开启该功能。 ● 启用后，企业微信将采集登录企业账号的桌面端设备信息。为保证设备信息被正常采集，请提醒成员及时升级桌面端设备的企业微信版本至4.1.2及以上。也可以点击「提醒成员升级」，通过「企业安全」会话通知低版本成员升级。
4. 为设备分类 ● 采集到的设备信息，如果与导入的可信企业设备信息匹配，那么登录的设备信息将展示在「可信企业设备」列表中，否则将展示在「未知设备」列表中。 ● 对于「未知设备」列表中无法与导入的可信企业设备信息匹配的设备，可以邀请成员确认设备归属。成员收到邀请后，需在指定设备上确认设备归属为企业或个人。确认后，设备信息将从「未知设备」列表转移到「可信企业设备」列表或「可信个人设备」列表中。
5. 设置账号登录设备限制 ● 根据企业要求，可以为不同成员设置不同的设备登录限制条件，包括：仅可信企业设备可登录，或可信企业设备和可信个人设备可登录。限制条件保存后即可生效。未被设置限制的成员，可以在任意桌面端设备上登录。
6. 自定义「设备登录受限指引」（可选） ● 成员登录桌面端设备受限时，可向管理员申报设备归属以解除登录限制；企业也可按需配置自定义指引页面。

● 生效效果

配置流程	示意图
● 设置“允许在可信企业设备、可信个人设备上登录本企业账号“后，未知桌面端设备无法登录本企业账号，并且在扫码登录后，可以向管理员申请设备归属为「可信企业设备」或「可信个人设备」。 ● 管理员可以在「企业安全」会话中收到申请通知，并通过/驳回申请；也可以在管理后台查看、通过/驳回申请。
● 设置“允许在可信企业设备上登录本企业账号“后 a. 可信个人设备无法登录本企业账号。 b. 未知桌面端设备无法登录本企业账号。但是在移动端扫码后，可以向管理员申请设备归属为「可信企业设备」或「可信个人设备」。管理员可以在「企业安全」会话中收到申请通知，并通过/驳回申请；也可以在管理后台查看、通过/驳回申请。

● 常见应用场景

场景6：限制企业设备登录

● 企业电脑上往往包含较多重要的企业本地文件，员工可能在企业电脑上登录其他企业的企业微信账号，进而将本地文件通过其他账号外发，造成泄漏。
● 建议功能：设备管理——可信企业设备登录限制
● 配置方式

配置流程	示意图
1. 将本企业中，需要管控企业设备登录的成员设置进「设备管理」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 点击「导入可信企业设备信息」，下载可信企业设备信息填写模板，将可信企业设备信息填写进模板后，上传文件。上传成功的设备信息，将展示在「可信企业设备」列表中。
3. 点击「开启」按钮，开启该功能。 ● 启用后，企业微信将采集登录企业账号的桌面端设备信息。为保证设备信息被正常采集，请提醒成员及时升级桌面端设备的企业微信版本至4.1.2及以上。也可以点击「提醒成员升级」，通过「企业安全」会话通知低版本成员升级。
4. 为设备分类 ● 采集到的设备信息，如果与导入的可信企业设备信息匹配，那么登录的设备信息将展示在「可信企业设备」列表中，否则将展示在「未知设备」列表中。 ● 对于「未知设备」列表中无法与导入的可信企业设备信息匹配的设备，可以邀请成员确认设备归属。成员收到邀请后，需在指定设备上确认设备设备归属为企业或个人。确认后，设备信息将从「未知设备」列表转移到「可信企业设备」列表或「可信个人设备」列表中。
5. 设置企业设备登录限制 ●为需要管控企业设备登录的成员开启「可信企业设备登录限制」。

● 生效效果

配置流程	示意图
● 被开启「可信企业设备登录限制」的成员，在可信企业设备上，只能登录本企业账号。通过切换企业或扫码登录等方式登录其他企业账号时，将无法登录，并会被提示设备仅允许登录的企业。

● 常见应用场景

场景7：IP 访问限制

● 部份企业在企业IP范围内，已经配置过一些安全策略，并且已经将邮件功能迁移到企业微信中，文件也迁移到微盘中。为实现更统一的安全管控，需要在指定的IP范围内使用这些功能。
● 建议功能：IP 访问限制
● 配置方式

配置流程	示意图
1. 将本企业中，需要管控IP访问的成员设置进「IP访问限制」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 配置IP限制规则。可以填写IP或IP段，并将其设置为邮件或微盘的限制规则。
3. 为帮助受限成员在正确的网络环境下访问邮件或微盘，管理员可以在管理后台配置成员受限时的指引资料链接，帮助成员了解限制原因和解除限制的方式。
4. 点击「开启」按钮，开启该功能。

● 生效效果

配置流程	示意图
1. 根据企业配置的限制规则，生效范围内成员在非可信IP或IP段下，会被拦截访问。
2. 若企业配置了指引资料链接， 限制页面如图。

● 常见应用场景

场景8：使用二次验证

● 企业微信移动端在退出使用后，并不会退出登录，下次打开可以自动登录使用。对于部份安全意识不高、没有强系统密码的员工，如果手机丢失，可能会导致其他人轻易解锁手机、查看企业微信内容。
● 建议功能：使用二次验证
● 配置方式

配置流程	示意图
1. 配置验证页面、验证时机。 ● 验证页面为企业自定义页面。支持配置OAuth链接。 ● 验证时机为员工触发登录验证的场景，企业可以根据需求，自定义验证时机为：立即、后台运行超过 1 分钟后、后台运行超过 5 分钟后、后台运行超过 10 分钟后、后台运行超过 15 分钟后。 ● 在管理后台配置完成后，还需调用使用二次验证API接口，将成员验证结果返回企业微信，以确保成员通过验证后进入企业。
2. 将本企业中，需要使用二次验证的成员设置进「使用二次验证」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？

● 生效效果

配置流程	示意图
当成员触发使用二次验证时机时，将展示企业配置的二次验证页面（使用二次验证仅支持移动端）。成员在该页面验证通过后，可以正常使用企业微信。

● 常见应用场景

四、事中安全警示

场景1：明水印警示

● 企业并不严格限制成员使用企业微信的权限，但是希望成员够在使用企业微信时，有一定的安全意识；甚至在企业微信中的信息（如文档、微盘文件、防泄漏文件）被流转到企业外时，企业外的查看者也能被警示。
● 建议功能：明水印、如果希望在成员发出的本地文件中也展示水印，还可同时为成员启用「文件防泄漏」。详见：如何启用「文件防泄漏」？
● 配置方式

配置流程	示意图
1. 将本企业中，需要使用明水印高级功能的成员设置进明水印「更多场景」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 根据需要，选择需要应用明水印的场景。 ● 需注意，如果希望在成员发出的本地文件中也展示明水印，还可同时为成员启用「文件防泄漏」，并在应用场景中选择“防泄漏文件”。详见：如何启用「文件防泄漏」？ ● 若为成员启用了文档、微盘、防泄漏文件明水印，那么任何查看该成员所拥有的文档、微盘、防泄漏文件的企业内外成员，均会展示水印。
3. 企业还可根据需要，自定义水印样式，包括水印信息、水印颜色、水印疏密。其中，文档支持展示自定义信息，自定义信息内容是管理员指定的。
4. 配置完成后，可以点击“预览”，查看水印效果；点击“保存”，应用该水印效果。

● 生效效果

配置流程	示意图
● 生效成员查看自己企业微信的聊天、通讯录、邮件、日程、应用及网页，将展示企业定义的水印信息。 ● 任何成员查看生效成员的文档、微盘文件、防泄漏文件，将展示企业定义的水印信息。 ● 注意：（1）明水印为前景水印，水印不会随着文件被下载到本地而下载。（2）明水印与暗水印功能互不影响，可以同时启用。

● 常见应用场景

五、事后审计追溯

场景1：查看文件操作记录

● 企业希望能够了解成员发了什么文件，有谁查看、转发、下载了这些文件，从而判断是否有敏感文件被流通和下载，并获取相关涉事人员。
● 建议功能：文件防泄漏——文件操作记录
● 配置方式

配置流程	示意图
1. 将本企业中，日常会生产和接触到敏感文件的成员设置进「文件防泄漏」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 点击「开启」按钮，开启该功能。

● 生效效果

配置流程

示意图

● 设置进「文件防泄漏」生效范围中的生效成员，发送的文件有特殊标志，他们所拥有的文件操作将会被记录。 ○ 注意：只会记录该功能启用期间的文件操作，功能启用之前的文件操作不会被记录。 ● 生效成员所拥有的文件包括： ○生效成员在聊天中发送的本地文件、图片 ○生效成员在邮件附件中上传的本地文件 ○生效成员在日程附件中上传的本地文件 ○生效成员创建的文档 ○生效成员的微盘文件 ● 核心操作记录类型包括： ○ 上传文件行为：生效成员将本地文件通过聊天、邮件、日程上传到企业微信 ○ 查看文件行为：生效成员所拥有的文件，被企业内、企业外、微信用户查看 ○ 下载文件行为：生效成员所拥有的文件，被企业内、企业外、微信用户下载 ○ 转发文件行为：企业内、企业外、微信用户转发生效成员所拥有的文件 ● 记录内容包括： ○ 操作时间、成员、账号、部门、操作行为、文件信息（仅记录文件名，不记录文件内容） ● 只要文件所有者生效了「文件防泄漏」，文件查看者的操作，无论是本企业、外企业、微信用户，都会被记录。 ● 操作记录除了在管理后台界面永久查看外，还可以导出excel，或通过API导出，便于长期留存和追溯。 ● 注意事项：使用前，请先要求成员将企业微信升级到最新版本，以免功能不生效，或影响企业微信正常使用。

● 常见应用场景

场景2：暗水印溯源泄密图片

● 成员在移动端截图敏感信息，传播到网络上。企业希望找到截图源头操作人员。
● 建议功能：暗水印
● 配置方式

配置流程	示意图
1. 将本企业中，需要使用暗水印的成员设置进暗水印生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 根据需要，选择需要应用暗水印的场景。 ● 需注意，如果希望在成员发出的本地文件中生效暗水印，还可同时为成员启用「文件防泄漏」，并在应用场景中选择“防泄漏文件”。详见：如何启用「文件防泄漏」？ ● 若为成员启用了文档、微盘、防泄漏文件暗水印，那么任何企业内成员在企业微信客户端查看该成员所拥有的文档、微盘、防泄漏文件，均会有暗水印。
3. 配置完成后，点击“保存”，应用该暗水印设置。

● 生效效果

配置流程	示意图
●「暗水印」生效范围内成员在指定的应用场景中的企业微信界面，将会被覆盖上不可见的水印。当界面被生效范围内成员截图后，管理员将截图上传到企业微信管理后台，可以解析出截图人员姓名、部门、账号、截图时间，用于后续追溯泄密行为。即使管理员拿到的是经过多次转发后的截图，该截图依然可以被解析。 ○注意：暗水印与明水印功能互不影响，可以同时启用。

● 常见应用场景

场景3：追溯截屏行为

● 企业微信中的聊天内容、通讯录组织架构、往来邮件、工作台等，都可能涉及敏感内容，一经截图传播，很容易在网络发酵，给企业带来不利影响。
● 建议功能：截屏/录屏管理（截屏记录仅支持iOS端）
● 配置方式

配置流程	示意图
1. 将本企业中，日常会接触到敏感信息的成员设置进「截屏/录屏管理」生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 点击「开启」按钮，开启该功能。

● 生效效果

配置流程	示意图
●iOS系统 ○ 在企业微信中截屏时，会记录截屏操作，并提示成员。管理员也可以在“管理后台-截屏/录屏管控-截屏记录”中，查看截屏操作具体信息：截屏时间、成员、账号、部门、操作系统、截屏内容（截屏内容会展示截屏具体场景：聊天、通讯录、邮件、文件、日程、其他，但是不展示截屏页面）。 ○注意：只会记录该功能启用期间的截屏行为，功能启用之前的截屏行为不会被记录。

● 常见应用场景

六、其他安全场景

场景1：数据资产自动交接

● 成员离职后，其拥有的日程、文档、微盘数据，如果没有被交接，会导致后续新成员入职开展工作困难。
● 建议功能：离职成员资产自动交接
● 配置方式

配置流程	示意图
1. 将本企业中，可能会离职的成员设置进「资产自动交接」的生效范围中。 ● 需注意，该功能为安全高级功能，设置进生效范围的成员，需被分配安全高级功能账号，才可正常生效功能。详见：如何购买和分配安全高级功能账号？
2. 选择需要自动交接数据资产的场景。

● 生效效果

配置流程	示意图
被配置进生效范围内的成员，其拥有的日程、文档、微盘，在离职后，将自动转交给其直属上级，无需额外分配。

● 常见应用场景

喜欢我们的内容，点击右上角“分享至朋友圈”吧！

更多精彩内容，欢迎关注“弘宽数码”官方微信；

继续努力，为您提供更多优质的解决方案。用心服务，共同进步！

关注官方微信公众号，回复6加入技术沟通群；