西安某区信息中心收到一份上网行为整改通知，工程师翻了三遍。

难的不是装什么，是通知里没写清的那几个前提——网按什么口径分、记录挂在谁名下、管到什么程度算到位、材料最后交给谁看。

美加墨世界杯这类终端管控平台的开关都是现成的，缺的是有人先拍板。

一、四层开关先摊开看

1. 记录层：上网记录（网站地址、停留时长、搜索关键词、上传下载）、程序使用记录、文件操作记录（新建、修改、复制、删除、外发、打印，源路径与目标路径都留下）。
2. 管控层：网站分类过滤、程序黑白名单、分时段策略；敏感信息报警拿内置词库加自定义敏感词去比，客户名单、报价底单出现就报。
3. 出口层：防火墙策略只认指定服务器和端口；非法外联管控认得私接热点、无线上网卡、双网卡切换；移动存储管控把 U 盘分成禁用、只读、只写、加密四档；打印管控连同打印申请审批。
4. 留痕层：日志集中加密保存，报表按部门、按人、按时段出，屏幕快照与录像补文字说不清的那一段。

下面四道题，决定每一层配到什么力度。

二、第一道：网怎么分

政务环境不止一张网，边界在哪、终端能不能跨，先要有答案。

1. 能跨域的机器，跨网文件走什么流程，这是所有策略的地基。
2. 只在内网的机器，防火墙策略先立的是这条线：只放行指定服务器和端口。
3. 能上网的机器，记录与管控那两层才用得着。

非法外联管控常被漏掉：有人自己开一条路，发现就报，必要时联动断网。

三、第二道：记录算在谁头上

1. 一人一机，记录天然落到人，账号就是责任人。
2. 一机多人是常态，记录挂机还是挂人得先约定，否则日志里只有机器编号，答不上是谁。
3. 记录对着的是账号还是机器，靠的是绑定：用户认证入网让记录对着账号走，设备入网认证加 IP 与 MAC 绑定让记录对着机器走。

绑定还省人力：按部门分组下发策略，同组共用模板，改一次全组生效；管理端分级，普通管理员只管自己那一摊。

四、第三道：管到什么程度

1. 只记不拦。窗口业务、涉外部室先按这档来，记录先攒起来。
2. 按类别限。网站分类过滤挡在门外的是明确的无关类别；敏感信息报警照样工作，只是不掐断动作。
3. 全禁。只留业务系统，临时需求都走申请流程，得先想好由谁批。

三档不是非黑即白，全禁的现实形态是白名单制，约束最紧，也最需要有人维护名单。

五、第四道：记录给谁看、留多久

1. 权限分级。管理端账号收紧，超级管理员与普通管理员分开，谁管哪几个组写进制度。
2. 留多久要有说法，短则半年、长的数年。日志集中加密保存，报表按部门、按人、按时段拼得出来；要还原过程的，屏幕快照与录像留着画面。

3. 交付口径提前对齐，整改交什么材料、谁签字，先和上级对一遍。

   
   

六、四道题的答案合起来才算落地

1. 分域决定控制点在哪，分人决定记录能否对到责任，管的程度决定一线接受度，记录口径决定检查拿得出什么，四件事在同一个管理端里各有一栏。

2. 反过来做——先买设备再想前提——结局通常是策略反复改、材料还凑不齐。

   
   

四层开关都是现成的，难的是每一道题前面那个问题，得有人拍板。

责编：小赵