文档加密用什么方式最稳妥？

最安全的文档加密方法就是用系统的全盘加密加上专业的透明加密软件来共同保护数据的安全。其中BitLocker和FileVault是由操作系统自带的功能，在TPM芯片的帮助下可以做到开机级别的身份认证，从而防止因为物理盗窃造成的资料丢失；而透明加密软件则是在应用程序层面对重要的文件进行实时、细致粒度的自动加解密，并且还具有权限分级、操作记录以及对外发送控制等功能，符合企业的合规需求。两者各司其职：前者负责大门的把守工作，后者则负责文件本身的保护任务，在保证底层存储安全的同时也实现了文件整个生命周期中的动态控制。除此之外还可以配合Office软件设置密码以及启用高强度密码策略来进行全方位的安全防护。

一、系统的全部都进行加密防护，这是最基础的一道屏障

对于使用Windows系统的用户来说，在“设置→更新和安全→设备加密”的地方就可以打开BitLocker（需要的是专业版或者企业版），如果本机有TPM 2.0的话，那么系统就会自动把密钥绑定到一起了，在开机的时候还会强制进行身份验证；而对于Mac OS X系统的使用者而言，则可以通过“系统偏好设置→隐私与安全→文件加密”来开启全盘加密功能，在第一次使用的时候会自动生成一个恢复密钥并且会被提示保存到iCloud或者是打印出来做备份；此级别的保护可以给所有的磁盘数据提供持续性的保护措施，在任何情况下都不能够绕过启动认证而读取原始文件。需要注意的是：BitLocker要在BIOS里面先开启TPM，并且要保证系统分区是NTFS格式；而FileVault一旦开启了之后就需要重新启动才能生效，在整个过程中后台运行但是不会影响正常使用，但是第一次开启的时候比较费时间所以最好插上电源并且一直开着电脑。

第二部分是专业的、公开透明的、有保障的安全防护措施，可以对文件进行全过程管理

以Ping32和域智盾为例，在部署之后不需要改变员工的操作习惯——打开Word就会自动加解密，保存就会产生密文，内部授权终端双击就可以正常编辑；如果文件被拷贝到未经许可的U盘或者上传到非白名单的云端存储空间，则会立刻启动锁屏模式，生成空白文件或者乱码内容。安装的时候需要由管理员在服务器端设置策略：比如规定“财务部门的文档只能读取不能截屏打印”，“研发图纸对外发送要经过三级审核并且自动加上水印”。它的日志功能可以详细地记录下是谁、什么时候、在什么地方、做了什么操作，并且符合等保2.0以及GDPR的要求。该方案不用依靠用户的自觉性来防止遗忘加密的情况发生，但是仍然需要企业在服务器端进行统一部署终端代理和策略中心。

第三部分是办公软件密码加解密以及使用强密码的方法

对于敏感性较高的文件（比如合同扫描件、身份证PDF等），一定要用到Office或者WPS自带的安全措施来加密：在WPS里选择“文件→文档加密→设置打开密码和编辑密码”，而在Office里面则选择“文件→信息→保护文档→用密码进行加密”，并且要输入一个包含大写字母、小写字母、数字以及特殊字符组成的不少于12位的强密码，并且单独保存好这个密码本。千万不要把压缩包加密当作上述步骤之一来做——虽然WinRAR可以支持AES-256算法，但是它的文件名还是裸露在外的，而且由于缺乏足够的安全防护措施，所以很容易被暴力破解掉。最好使用密码管理系统自动生成并储存好自己的密码，在每个季度更换一次以保证安全性。

四、不能忽略的相关措施：密钥管理和应急预案

不管用什么方法，一旦密钥丢失就会造成数据永远无法挽回的损失。BitLocker恢复密钥要导出成文本文件并且放在保险箱里保存；FileVault恢复密钥需要和苹果账号绑定，并且再做一次身份认证；透明加密软件的主要密钥应该由信息科技部门分成三部分分别保管（比如让三个员工各自持有其中的一部分）。另外还要定期把加密日志导出来放到别的地方去备份，在每年举行一次模拟勒索攻击演习的时候看看能不能在U盘被偷走的情况下远程删除掉设备上的所有密钥以及阻止文件解码的过程。

所以真正安全的做法并不是只依赖一种最强大的技术来实现，而是在各个层面都建立起一个全方位的安全体系，并且要通过制度化的方式对密钥进行管理以及提高人们的防范意识。