办公室里，小李正忙着把一堆合同扫描归档。他顺手用个人U盘拷了一份备份，想着回家也能随时查看。可他没意识到，这一举动已经踩中了合规审计的一个典型风险点。
纸质文件数字化≠随意复制
很多单位现在都要求文件电子化，但“电子化”不等于“私有化”。扫描后的文件，尤其是涉及财务、人事、客户信息的文档，本质上和原件具有同等法律效力。一旦未经审批外传，哪怕只是存到私人设备，就可能违反数据保护规定。
比如某公司内部审计时发现，多个部门的扫描件被上传到了公共网盘，链接甚至通过邮件群发。这种行为不仅不符合ISO 27001信息安全管理要求，还可能触发《个人信息保护法》的合规审查。
打印日志不是摆设
你以为按下打印键没人知道？现代办公打印机基本都带日志功能。谁在什么时间打印了什么文件，系统都有记录。审计人员调出这些日志，就能还原操作轨迹。
曾经有家企业查内泄事件，就是从打印日志发现端倪——某员工每周五下午固定打印数十页客户名单，且设置为“无水印”。这种反常行为立刻引起警觉，最终查实存在数据违规导出。
共享打印机的隐患
开放式办公区里，一台打印机多人共用很常见。但问题在于，很多人打印后不及时取走文件，导致敏感内容长时间暴露在公共区域。这在GDPR或国内数据安全评级中，都属于典型的物理安全漏洞。
更隐蔽的是“打印缓存”问题。部分老旧设备不会自动清除临时文件，维修时若被第三方技术人员读取硬盘，可能造成批量信息泄露。
扫描命名也有讲究
别小看一个文件名。有人习惯把扫描件命名为“XX项目合同-最终版-给老板看的.pdf”，这种命名方式在审计时会被视为非受控文档，缺乏版本管理和访问权限控制，属于管理流程缺陷。
规范做法是采用统一编码规则，比如：
SCAN-Y2024-M04-D15-001.pdf家用打印机也不安全
远程办公流行后，不少人把工作文件拿回家打印。家用打印机没有审计功能，也无法保证网络环境安全。一份带二维码的报销单在家打印，可能被路由器劫持或Wi-Fi嗅探，数据就在不知不觉中外流。
企业若未明确禁止此类行为，审计时会被认定为内部控制缺失。哪怕员工出于好意，也难逃制度漏洞的责任。
合规不是贴在墙上的标语，而是藏在每一次点击扫描按钮的细节里。管好你的打印队列，就像管好钱包里的身份证——毕竟，数据一旦出事，补救的成本远比想象中高得多。