分析员导出了一份KYC表格，下个月谁还能打开它？

把每次身份数据导出视为新的访问决定。创建文件前，明确用途、最少必要字段、负责人、接收者和下一次复查日期。共享之后，检查实际文件及其存储位置的权限。

受限控制台无法保护被复制到开放文件夹的表格。将同事从控制台中移除，也不会撤销他们对独立副本的访问。

先判断是否真的需要文件

案件引用或受限视图，可能已能满足需求，而不必复制身份材料。如果导出确有必要，只包含该用途需要的字段。

以审计请求为例，审查人员可能需要决定、日期和引用，而不是证件照片或完整身份号码。导出前先与接收者约定范围。

真实身份数据不应出现在常规培训幻灯片和非正式调试表格中。很多有用示例，都可以使用专门创建的测试记录展示。

为副本指定负责的人

记录谁创建了文件、保存在哪里、谁需要访问，以及何时复查访问权限。使用批准的位置和明确指定的接收者。

除了文件自己的共享面板，还要检查文件夹和群组权限。Google Drive共享文档 （在新标签页中打开）说明，访问权限可能取决于文件夹与共享设置。应检查实际存储系统，而不是认为“私密”标签就能解决问题。

不要在公开链接、文件名或工单标题中放入完整客户标识。

在实际工作位置关闭访问

用途结束后，检查直接接收者、群组、共享链接和下游副本。要求每个批准位置的负责人确认相应措施已经完成。

撤销链接无法收回别人已经下载的文件。不要向客户或同事作出这种承诺。如果导出发给了错误接收者，应执行事件处理流程。

OWASP授权指南 （在新标签页中打开）支持最小权限原则；导出流程也必须在原应用之外执行它。

从请求到关闭，完整测试一次导出

选择获授权的样本，追踪请求、选定字段、发送、接收者和关闭证据。除了导出数量，还应衡量无人负责的文件，以及逾期未复查的访问。

参考Toden工作区运营指南了解平台内部权限，再结合自己的存储控制与安全审查。每份复制文件，都应有明确的存储位置和负责人。