去年，一家中国生物科技公司在跟一家欧洲药企谈合作时，建立了一个在线数据室来存放尽调需要的技术资料。数据室里放了两百多份文档，包括研发数据、临床试验结果和专利信息。尽调进行到一半的时候，数据室的所有者发现了一个异常：有数据室的访问记录显示，一个被授权查看A部分文档的欧洲审计师，在非工作时间访问了C部分的文档。虽然C部分的文档只有标题没有下载成功，但这也说明数据室的权限配置出了严重问题。
虚拟数据室是跨境尽调中的标准配置，但很多时候大家只关注了数据室的便利性，忽视了它本身也是一个需要精细管理的安全系统。一个设计良好的数据室能让信息在透明度和安全性之间取得平衡，而一个配置不当的数据室就等于在敞开的房间里给客人看你的核心资料。
先说说数字层面的安全措施。数据室平台的选择是首要关。市场上有很多虚拟数据室服务商，专业程度差距很大。选择数据室平台时应该从这几个维度来评估：加密标准，数据在传输和存储过程中使用的加密算法是否达到行业标准水平；权限管理的粒度，是否支持按文件夹、文件甚至文件内的特定页面来设置访问权限；访问审计的完整性，每一次登录、浏览、下载和打印是否都被完整记录；平台本身的合规认证，平台是否通过了相关的信息安全认证。
数据室的权限配置是一个技术性很强的工作。基本原则是对每一个用户设置最小化权限。比如法律团队的成员只看到跟法律相关的文档，财务顾问看到跟估值相关的数据，技术专家看到跟技术相关的报告。不需要互相看到对方领域的文档。权限配置还需要考虑时间维度。用户只能在预先设定的时间段内访问数据室，超过时间自动失权。对于特别敏感的文档，还可以设置IP地址限制，只允许从特定国家或者特定IP段访问。
文档在数据室中的呈现方式也要控制。对于核心级别文档，应该设置为在线预览但不允许下载和打印。在线预览模式下用户只能在屏幕上阅读，无法把文件存到本地。有些专业数据室还支持防截屏功能，检测到用户截图时系统自动阻止或者记录。对于需要手动下载的文档，下载后的文件自动添加动态水印，显示下载者的姓名、时间和IP地址，即使文件被转发出去也能追溯到源头。
还有一个非常实用的功能是动态水印。传统的静态水印是标注在PDF文件上固定不变的信息。动态水印是在文档被打开时系统在每一页上都实时叠加查看者的身份信息。这种水印无法在文档被阅读时被提前去除，所以即使有人用手机拍屏幕，拍下来的照片里也带有泄露源的身份信息。
数据室的访问监控不能仅仅依赖平台自带的日志功能。专业的做法是在尽调期间设置专人定期查看访问日志，分析用户的访问模式。一个用户是否在非工作时间频繁登录？一个用户是否大量访问了自己工作领域之外的文件？一个用户是否在短时间内下载了大量文件？这些异常行为可能是信息泄露的前兆，早发现早预防。
数据室的物理安全听起来有些矛盾，但其实非常现实。数据室的服务器保存在什么地方？数据中心的物理安全措施怎么样？有没有门禁系统和监控摄像头？如果数据室的管理员能从云端访问服务器上的数据，那管理员自身的安全管理又怎么做？这些问题在跟数据室服务商签约之前就应该问清楚。有些服务商的服务器设在法律保护较弱的国家或者地区，即使服务器的数字安全做得再好，物理层面的风险也是悬在头顶的一把剑。
在尽调数据室中，除了已经存进去的文档之外，还应该留出一个专门的安全预警机制。一旦数据室中的某个文件被异常访问或者下载，系统应该立即向尽调管理团队发送预警通知。这样即便不能阻止泄密行为本身，也能在最短时间内启动应急响应，尽量减少损失。
使用数据室进行跨境尽调的高标准做法，是邀请总部的信息安全团队派人驻场支持。或者在尽调开始前，由信息安全团队对数据室的安全配置做一次全面的安全评估，给出评分和改进建议。尽调期间，信息安全团队保持跟尽调团队的日常沟通，随时处理突发的安全事件和权限变更请求。
说到底，尽调数据室就是一个信息堡垒。堡垒里的每一份文件都对应着企业的商业价值，堡垒的每一扇门和每一道锁都决定着信息的保护水平。把堡垒建得越坚固，信息越安全，尽调的节奏和结果也越可控。
