先说个在松江工厂里不算罕见的事。一家做精密零件的机械厂，设计部有位工程师三月提了离职，交接单签得挺齐：图纸交了、项目移交了、工牌还了。到五月，客户拿着一张几乎同款的零件图来问价，老板才急了。回头一查才发现——那台电脑离职当天没人动过，还搁在工位上；企业微信账号没停，异地还能登录；共享盘里"设计部"整个目录他还有读写权限；U盘插拔记录里，离职前一周有 17 次拷贝。
这不是哪个人不上心，是离职这件事，天然没人管 IT。人事管流程、部门管交接、财务管结算，IT 往往是最后一个知道的，甚至根本不知道。而员工离职，恰恰是数据外流风险最高、也最难补救的一个时间窗口。
这篇就把"员工离职时 IT 到底该回收什么、什么时候收、怎么留证据"讲清楚，中小工厂照着做就能补上这个大窟窿。
一、为什么离职回收总烂尾？三处断点
我们把松江几十家工厂的情况归了归类，问题基本落在三个地方：
- 流程断点：离职审批走人事线，IT 不在抄送名单里。人事知道人要走了，IT 不知道；等人走了、工位空了，才有人顺口说一句"那台电脑你收一下"。
- 技术断点：电脑收了，账号没停；账号停了，权限没摘；权限摘了，本地缓存、离线文件、手机端 App 还能继续用。设备回收≠数据回收，这两件事经常被当成一件。
- 证据断点：真出了事，要证明"他带走了什么、什么时候带的"，得靠日志。可很多工厂的防泄密客户端只装不管，日志没开、留存没设、审计没人看，最后手里一张纸都拿不出来。
说白了，离职 IT 回收不是"收台电脑"这么简单，它是一条从人到设备、从账号到数据、从动作到证据的完整链条。少一环，前面全部白做。
二、离职 IT 回收要收的六类东西
建议直接照这张表做成清单，每次离职勾一遍，谁勾谁签字：
| 类别 | 具体要收的 | 常见漏项 |
|---|---|---|
| 物理设备 | 台式机/笔记本、显示器、键鼠、工牌门禁卡、公司手机/平板、随身 WiFi、加密狗 | 备用机、旧机器、放在车间的那台、借给同事用的那台 |
| 账号与权限 | 域账号、ERP/OA/邮箱、企业微信、共享盘权限、VPN、数据库账号、各业务系统子账号 | 只停主账号，ERP 里另开的采购/报价子账号还活着；共享盘权限没摘 |
| 数据归属 | 本地文档、桌面与下载目录、聊天记录中的工作文件、移动硬盘与 U 盘中的公司资料 | 只收电脑不收移动硬盘；离职前把资料"整理"到了私人网盘 |
| 外设与移动介质 | U 盘、移动硬盘、手机、相机、录音笔、私人笔记本的接入记录 | U 盘管控没开，插了多少次、拷了什么完全没记录 |
| 软件与授权 | CAD/PLM/加密客户端、正版软件许可证、绑定的手机号与邮箱 | 加密客户端卸载了，但历史解密记录没核 |
| 物理与访问 | 门禁、机房钥匙、机柜钥匙、工位钥匙、监控查看权限 | 机房钥匙经常"人手一把"，走了也没人回收 |
这六类里，最容易出事的是第二类和第三类——设备好收，账号和数据难收。因为设备是看得见的，账号是看不见的。
三、时间轴：离职前一周、当天、之后一周
回收动作如果都堆在离职当天做，一定做不细。我们习惯把它拆成三段：
| 时间点 | IT 要做的事 | 目的 |
|---|---|---|
| 离职前 5~7 天（拿到审批单即启动） | 核对资产台账，确认名下设备清单；导出并备份其工作目录；检查共享盘权限与是否有对外共享链接；开启/确认其操作日志采集 | 先把"数据留下来、证据存下来"，再谈收设备 |
| 离职前 1 天 | 与部门确认工作文件已归档到指定目录；通知其停止使用私人 U 盘与个人网盘传文件；准备回收清单 | 避免最后一天集中"清理"，把资料一起清走 |
| 离职当天 | 现场收设备并验机（外观、硬盘在位、加密客户端状态）；停账号、禁邮箱、摘权限、退出企业微信与 VPN；收回门禁与钥匙；双方签字 | 当天做到"人走、号停、权摘" |
| 离职后 3~7 天 | 检查是否有异地登录、邮箱自动转发、共享链接仍在生效；对回收电脑做数据备份后重装标准化镜像；更新资产台账 | 堵住"影子账号"和"人走了还能进"的后门 |
关键就一句：离职前先把数据留下，离职当天把通道关掉，离职后一周再看一眼有没有漏网的。
四、四个最容易被忽略的"暗门"
很多工厂流程都走了，事还是出了，问题基本出在这四处：
- 个人账号绑着企业数据。员工用私人手机号注册了企业网盘、协同文档、甚至某些业务系统，人走了账号还在他手里，公司资料跟着账号走。这类"影子账号"必须靠一次全面的账号盘点才能挖出来。
- 本地缓存与离线文件。共享盘权限摘了，但电脑里同步下来的离线副本还在；邮箱停了，但 Outlook 本地 OST 文件里躺着三年的邮件和附件。所以回收的电脑不能直接转给下一个同事用。
- 邮箱自动转发与共享链接。离职前设一条"转发到私人邮箱"的规则，人走了照样每天收件；或者把某个文件夹生成一个"任何人可访问"的链接发出去，权限摘了链接还活着。这两个点必须在离职后一周复查。
- 共享盘目录权限没摘。这是最常见的一个。人停用了，但共享盘里还挂着他所在的组，随便找个同事的电脑映射一下就能进。所以权限要按"组"管，人走了从组里移出去，而不是一个个目录去删人。
五、要留证据：别等出事才想起日志
真到了要追究的那一步，能救命的不是"我记得他拷过"，而是日志。工厂至少要保证这四类记录是开着的、留得住的：
- U 盘与外设记录：谁、什么时候、插了哪个设备、拷了什么文件、多大。
- 文件操作记录：图纸、报价单、BOM 这类核心文件的打开、复制、另存、外发行为。
- 打印与截屏记录：谁打印了什么、打印了几份；有没有截屏、录屏动作。
- 邮件与外发记录：附件外发、网页上传、网盘同步的行为留痕。
这里要说清楚一件事：日志不是装了就有，得开、得配留存周期、得有人看。我们见过太多工厂，防泄密客户端装得整整齐齐，一查日志——采集策略没开，一条记录都没有。等到要用的时候，什么都补不回来。
顺带提醒：日志采集要守住边界，只采与工作相关的行为，不窥探员工私人内容，制度里写清楚、入职时告知到，这既是合规要求，也是避免劳资纠纷的前提。
六、中小工厂怎么落地：三张表、一套系统、一个责任人
不用一上来就搞大平台，先把最小闭环跑通：
- 三张表：资产台账（谁名下有什么）、账号权限表（谁在哪个组、有哪些系统账号）、离职回收清单（勾选+双签）。这三张表是全部流程的地基。
- 一套系统兜底：防泄密客户端 + U 盘管控 + 打印审计 + 上网行为日志，四件事打通，人走了通道才真正关得掉。这套东西如果和弱电、网络是同一家做的，排查起来会快很多，因为不用在两个供应商之间互相"证明不是我的问题"。
- 一个责任人：明确"离职审批必须抄送 IT"，IT 收到即启动。没有这条，前面所有流程都是纸面流程。
如果厂里没有专职 IT，这件事通常就落在 IT 运维托管服务商身上。好的托管不只是"电脑坏了来修"，而是把入职、离职、权限变更这类人员生命周期事件接过去，形成固定 SOP：人事一提交，IT 自动收到、按清单执行、留档备查。松江本地有服务团队的，2 小时内到场处理紧急情况，比等人从市区赶过来现实得多。
七、离职 IT 回收自查清单
- 离职审批单是否固定抄送 IT？
- 名下设备是否按台账逐项核对，含备用机、旧机器、外借设备？
- 工作目录是否在离职前完成归档备份，而不是等人走了再找？
- 域账号、邮箱、ERP/OA、企业微信、VPN 是否当天全部停用？
- 共享盘是否按组摘权，而不是逐个目录删人？
- 是否存在私人手机号/私人邮箱绑定的企业系统账号？
- 邮箱自动转发规则、对外共享链接是否复查？
- U 盘、打印、文件外发日志是否开启并有留存？
- 回收电脑是否备份后重装标准化镜像，而不是直接转给下一位同事？
- 门禁、机房钥匙、机柜钥匙是否收回并登记？
- 资产台账是否当天更新，设备状态改为"待分配/待报废"？
- 整套流程是否留档，出了问题能追溯？
十二条里能做到八条以上，基本就不会再出现"人走了三个月，图纸还在外面跑"这种事。做不到的，通常不是不想做，是没人把这条链子串起来——而这恰好是 IT 外包服务最该干的活。
上海企敬信息科技有限公司（企福集团旗下IT公司）
📍 服务重心：松江 ｜ 深信服、绿盾金牌代理
🔧 主营业务：网络弱电综合布线、机房建设、无线覆盖；绿盾/IP-Guard 防泄密软件部署、图纸加密、U盘管控、打印审计；IT运维托管
⭐ 核心优势：松江大量工厂案例，2小时本地响应；弱电施工和防泄密实施一套团队，不用分开找两家；擅长制造企业图纸防泄密（含员工入职/离职 IT 回收 SOP、账号权限全生命周期管理、日志留存与离职取证配合）
🎯 适合：生产工厂、中小科创企业，弱电改造+防泄密一起落地