系统水印和手机号脱敏，先开哪一个
数据安全那一页全是开关，一排下来十几个。老板通常的做法是全开，开完发现销售看不到客户手机号了，电话打不出去，第二天又全关。这一开一关，中间丢的是信任。
先分清楚两类。一类是防外流：系统水印、数据脱敏、操作日志。一类是防内部越权：谁能看哪个部门的数据、谁能导出。第一类影响的是"看到什么"，第二类影响的是"看到谁"。刚上线的团队，先动第一类里的水印，第二类先放着。
水印是给截图这件事准备的
客户名单被截图转发，是最常见的漏。水印开了之后，页面上会带着当前登录人的信息，截出去也知道是谁截的。这个功能没有使用成本，销售感觉不到，开了就开了。
脱敏要谨慎。手机号中间四位打星，对财务和对销售是两回事。销售的日常就是打电话，看不见号码等于废掉一半功能。可行的做法是按角色配：销售看全号，跨部门看半号，外部协作只看尾号。
操作日志开在什么时候
操作日志记的是谁改了什么、谁导出了多少条。这东西平时没人看，出事时是唯一的凭据。客户被批量导走的纠纷，最后能说清的就是这份日志。开通它不占谁的时间，代价是存储，量大了要清。
还有一个常被忽略的点：离职账号。人走了账号还在，水印上显示的还是他的名字，日志里也还是他。交接之前先把账号停掉，比他走后改密码更彻底。账号侧的几处设置，项目型销售CRM那页提到过按项目组收回权限的做法，可以照着走一遍。
导出权限才是真正的闸门
水印和脱敏解决"看见"，导出解决"带走"。一个能导出全库的人，把表拉走之后，前面所有的开关都没有意义。看导出这个权限，多数系统是跟着角色走的，配角色的时候顺手就给上了，事后没人回头看。
建议按这个顺序收拾：先把导出权限收到主管一级，销售要名单找主管导；再开脱敏，让跨部门看到的是打星号码；最后开水印。反过来做，先开的那个开关会被当成麻烦，第二天就有人要求关掉。
顺带说一句，数据安全挡不住内鬼。真实场景里泄露客户名单的，往往是离职前一周的人。账号停得比密码改得快，这条比什么开关都管用。
权限配置这块还有一个顺序问题：先定角色，再定数据范围，最后才开字段级的开关。反过来配，会发现自己一直在给别人开后门。按部门隔离数据的做法，装备制造CRM那页讲得比较细。
说句实话，这一页的开关全开并不等于安全。真正的风险在导出权限上——一个能导出全库的人，水印拦不住他。先把"谁能导出"这件事定下来，再谈别的开关。
