摘要员工离职尤其是骨干离职往往伴随着数据风险。一个人在真正提离职前行为上通常已经出现信号频繁插 U 盘、非工作时间活动、消极怠工、大量拷贝文件。本文讲清如何通过终端行为分析结合离职风险模型、时间画像、终端画像和文档检测提前识别风险人员并在他们离开前做好数据保护和人事安排。一、离职风险为什么值得重视对企业来说普通员工离职影响有限但骨干离职往往意味着客户、资料、经验一起流失。更危险的是部分人在离开前会有意搬运数据把客户资料、报价单、设计图纸拷到 U 盘或私人网盘非工作时间回来整理文件提前把资料发到个人邮箱。等到员工正式提离职这些动作往往已经做完再想防范十分被动。所以离职风险的关键是提前发现。二、离职前的几个行为信号1. 非工作时间活动正常下班就走的人突然在深夜、周末频繁活动往往是在避开他人注意整理资料。2. 频繁使用 U 盘和外设平时不用 U 盘的岗位短期内反复插入 U 盘、移动硬盘是典型的拷贝信号。3. 工作状态明显下滑消极怠工、长时间浏览无关内容、应用使用时长异常通常说明心思已经不在工作上。4. 异常文件操作短时间内大量读取、复制文档尤其是把文件集中到一个目录或外发需要重点关注。三、离职风险模型工作效能中的离职风险功能会自动识别存在离职风险的骨干终端并输出潜在离职风险人员列表及风险等级离职原因分析离职风险人数的部门排行。这让 HR 和管理者不用靠主观猜测而是基于数据提前安抚、调整人事安排。四、时间画像还原一天的使用状态时间画像以图形化方式还原终端各时段的使用状态搭配完整的 24 小时时间轴点击任意时间节点可调取当时的屏幕快照统计出入站流量、键鼠活动次数和用户活动时长生成多维度使用时长排行。通过它可以清楚看到某台电脑在深夜究竟做了什么。五、终端画像汇总一段时间的行为终端画像统计员工或部门一段时间内的使用情况包括活动时长、浏览网站、网络搜索邮件发送、打印次数文件操作、USB 文件操作和聊天信息。把这些维度串起来就能看出一个人离职前完整的行为轨迹。六、文档检测盯住数据外流文档检测统一统计全网一段时间内的文档外流情况外传文件分类、外发途径文件趋势和泄密事件详情结合泄密风险分析标记风险等级。一旦发现集中外发可及时介入。七、落地配置我们在终端上落地这套能力时用的是**迪康端点安全一体化管理系统原迪康 Defender**的工作效能与行为分析模块实施步骤如下开启离职风险识别按部门查看风险人员和等级对骨干岗位开启时间画像和终端画像留存行为记录开启文档检测和泄密风险分析盯住集中外发对非工作时间活动、USB 拷贝设置告警发现风险后由 HR 提前沟通同时做好数据权限调整。总结员工离职并非毫无征兆提离职前的行为变化往往已经写在终端里。通过离职风险模型、时间画像、终端画像和文档检测企业可以把事后才发现变成提前就预警在骨干离开前做好沟通和数据保护。配合迪康端点安全一体化管理系统的集中分析人走得从容数据也能留得安全。