一、身份准入与环境隔离需求（安全桌面最核心优势）

1. 双桌面隔离：区分【安全工作桌面】和【普通个人桌面】。敏感业务、PDM、研发图纸、代码只能在安全桌面内打开；普通桌面不能访问涉密业务系统 / 涉密目录，两个桌面之间剪贴板、文件拷贝、网络互相隔离。

2. 数据不落地管控：安全桌面内文件保存在加密虚拟盘，可配置禁止保存到本地实体硬盘；退出桌面后虚拟盘自动卸载，本地不留原始数据，适合高密项目、外包、外协临时调试场景。

3. 多因子登录准入：账号密码、UKey、指纹、证书登录，没有授权无法进入安全桌面。

 二、进程、软件与网络白名单管控

1. 应用白名单：安全桌面内只允许指定软件运行（SolidWorks、VS、Keil、Office、PLM 客户端），禁止微信、网盘、QQ、录屏、远程工具、浏览器等外传类软件；

2. 网络定向控制：安全桌面仅允许访问内网 PDM / 文件服务器，禁止访问互联网；普通桌面可以上网，内外网络通道隔离；

3. 阻断脚本、恶意程序运行，减少勒索病毒、木马在涉密工作环境执行。

 三、外泄通道封堵（剪贴板、外设、打印、截屏）

1. 剪贴板管控：安全桌面内部可以复制；禁止把内容粘贴到桌面外，阻断复制泄密（透明加密对跨进程剪贴管控弱于安全桌面）；

2. USB 外设精细化管控：安全桌面内 USB 策略独立，可以只放行扫码枪、调试狗，禁止存储 U 盘；

3. 打印管控：安全桌面内打印审批、强制水印、禁止虚拟打印导出；

4. 截屏、录屏拦截：在沙箱环境内拦截截图工具、录屏，叠加屏幕水印溯源。

 四、终端运维、基线与资产合规管理（传统桌管能力）

1. 终端资产台账、软硬件信息采集；

2. 漏洞扫描、补丁统一分发、基线加固（关闭高危服务、共享）；

3. 违规外联检测：终端私自插 4G 网卡、手机热点外网告警阻断；

4. 远程运维、消息推送、统一软件分发；

5. 自动锁屏、屏幕保护策略、闲置超时退出安全桌面。

 五、操作审计、行为追溯需求

记录安全桌面内全部行为：登录、退出、文件打开、拷贝、打印、剪贴、USB 接入、截屏尝试；日志集中留存，满足等保、保密检查。

 六、适配研发企业典型场景（和你前面方案结合）

1. 外协、外包工程师电脑：不给本机解密权限，只给安全桌面账号，在沙箱内看图纸调试，数据不能带出桌面；

2. 客户现场调试笔记本：可搭配 UKey + 安全桌面，进入隔离环境调试代码，退出后数据消失；

3. 高密研发工位：研发人员在安全桌面做设计写代码，禁止一边打开源码一边上外网聊天传文件；

4. 多项目密级隔离：不同项目独立安全桌面，项目之间数据隔离，防止跨项目泄露。

安秉网盾   https://www.anbingsoft.com