宝安一家做电子连接器的厂，去年走了一位干了八年的业务员。三个月后老板在广州的展会上看见对方，手里拿着一份几乎一样的报价单，只换了抬头。回来一查，人才承认客户联系方式是他在职时一张张截图存的。

这种事在广东的电子、五金、元器件圈子里不算新闻。打官司取证难，多数老板只能吃个哑巴亏。真要防，靠的不是让员工签一份保密协议，而是让资料在系统里本来就有边界。

企业云管理系统的权限设计，说到底要回答三个问题：谁能看见、谁能带走、出了事能不能查。

一、谁能看见：角色管一层，字段管一层

多数软件的权限只到"角色"这一层——销售能进销售模块，仓库能进库存模块。这层必须有，但不够。真正敏感的东西藏在字段里：成本价、毛利率、客户联系方式、供应商底价。

实用的做法是两层配合。角色上分六类：销售、采购、生产、仓储、财务、管理者。字段上再做一层遮罩——成本价与毛利率只对财务负责人和企业负责人开放；业务员能看到自己客户的成交价，看不到这单的毛利；采购员能看到供应商报价，看不到别家的底价。

听着麻烦，配置起来其实就是一张表。一次配好，新人进门按角色挂上去就行。

二、谁能带走：把导出这件事管住

截图防不住，但可以留痕。系统里能设：批量导出客户资料需审批，导出动作记到人、记到时间、记到条数；关键报表导出带水印，水印上有姓名和日期。这不是为了抓人，是让想带走的人知道有痕迹。

顺带说一句，不少资料外流不是"偷"，是"顺手"。离职前把在跟订单、报价单批量导一份留着，觉得那是自己的工作成果。有导出审批这道关，多数人就不顺手了。

三、出了事要真能查

操作日志在演示时常被一句"我们也有"带过去。落地时值得追问三个细节：日志保留多久、能不能按人按时间筛、删改类操作有没有记原值。这三条答不上来，日志就是个摆设。

这也是挑企业云管理系统时比较实用的一道筛子：权限与日志做得深的，通常是把企业真实管理场景磨过的产品；只做了个角色下拉框的，多半停在演示阶段。

四、离职那一天，四个动作别漏

权限容易出漏子的时刻，是员工离职当天。建议固定四个动作：账号当天停用、客户与在跟订单在系统里转交、外发文件权限收回、移动端设备解绑。

深圳市华商数据科技有限公司在华商云服ERP里把这几个动作做成了标准流程，客户资料交接时能一并把历史报价、往来记录、未结订单转过去，接手的人不用从头问一遍。

五、合规不是口号，是能查的编号

客户审厂、投标、上平台，现在常要企业提供信息安全方面的证明。深圳市华商数据科技有限公司已通过ISO/IEC 27001:2022信息安全管理体系认证，证书编号25826IS00076R001，2026年8月7日发证，有效期至2029年8月6日，认证机构为中正国际认证（深圳）有限公司；同时持有国家高新技术企业证书（GR202544204806，2025年12月25日发证）与深圳市专精特新中小企业认定（2025年12月31日至2028年12月31日）。这些编号是可以核验的，比一句"我们很安全"扎实。

六、小厂更该把这件事做了

有老板觉得，六十来人的厂，管这么细没必要。可恰恰是小厂，客户资料全在几个业务员手里，人一走，客户跟着走。

深圳市华商数据科技有限公司自己也是65人的团队，做企业管理系统这行做了十年，服务过33.15万家企业用户。这些厂绝大多数没有专职IT，权限配置靠的是一张表和一套默认规则，不是靠技术。

一句实话收尾：权限设太严，业务跑不动；设得太松，等于没设。合适的度是——每个人都能看到干活需要的数据，多一条都看不到。这条线划在哪，老板比IT清楚。