去年秋天我接手了一个挺特别的咨询项目。一家在行业里干了十几年的软件公司，突然发现市面上出现了一批和他们的技术文档几乎一模一样的培训资料。那些资料被包装成某某职业培训机构的内部教材，在各类在线教育平台上公开售卖，价格还不便宜。公司的法务团队查了一下，发现那些文档就是从他们公司自己的内部知识库里流出去的。内部知识库是这家公司多年积累的技术沉淀，包含了核心产品的架构设计文档、API接口规范、性能调优方案、甚至是源代码注释中的一些关键逻辑说明。这些东西虽然不是每一样都申请了知识产权保护，但组合起来就是公司最值钱的技术资产。经过调查，泄密的源头锁定在了一个半年前离职的高级工程师身上。这位工程师在公司干了五年，离职前的一个月里，每天下班前都会把自己电脑上的大量文件通过公司内网批量上传到知识库系统，同时又用浏览器插件把知识库里的文档一页一页地下载到自己的移动硬盘里。离职面谈时他承诺已经交还了所有公司资料，可实际上他手里保留了一份完整的技术文档镜像。
从风险分析来看，这个案例有很强的典型性。很多人觉得知识库本来就是用来分享的，下载几篇文档算什么。但问题在于，当一个人的下载量在短时间内远超正常工作需要时，系统应该有异常行为检测的机制。这家公司的知识库系统没有设置下载频率限制，也没有对批量下载行为进行实时告警。离职员工在最后一个月下载的文档数量超过了两千篇，而同期其他知识库活跃用户平均只有几十篇，这个数据差异在事后复盘时非常明显，可惜当时没有任何人注意到。另外，离职流程也存在漏洞。面谈时完全依赖员工口头承诺已经交还公司资料，没有做技术层面的检查，比如查看他的账号在离职前的下载记录、检查他最后一次登录的时间和设备。如果当时就发现异常，至少可以在交接时要求他彻底删除，或者在他入职竞品公司前做好法律防范。
说到警示和建议，企业的知识库建设不能只从"方便共享"这个角度出发，必须从一开始就把安全管控机制嵌入进去。我建议所有运行内部知识库的企业从三个方面加固。第一，建立下载分级管控体系。普通文档允许自由查看和下载，但标注了核心或机密的文档，下载必须走审批，而且系统要对单日和单月的下载总量设置上限，超过阈值自动触发告警并锁定操作。第二，离职流程必须和IT系统联动。员工发起离职流程时，HR系统中的状态变更应该自动通知知识库系统、OA系统、邮件系统同步锁定账号。建议在离职前一周就开始启动数据交接审计，由直属上级和IT共同签字确认员工没有异常下载行为后再推进正式离职。第三，对离职前期的操作进行重点审计。很多泄密事件都发生在离职前的最后几周，这个时间窗口的系统操作日志应该自动生成一份专项报告供HR和管理层审阅。用制度堵住漏洞，比出事后再追责要轻松得多。
