POC 测试怎么做，把演示变成验收单
买防泄密系统，演示都很好看：界面整洁、策略齐全、报表精美。但我们接触过的选型项目里，最容易省掉的环节就是 POC，最不该省的也是它。原因很直接：厂商资料里功能列表写得很全，但资料里的能力自述不能直接推导出你环境里的实际效果——识别引擎支持某种算法，不等于对贵司的图纸和代码有理想的准确率；生态列表里出现了某个操作系统，不等于加密、审批、审计在每个平台上功能完全一致。
还有一笔经常被忽略的账：厂商方案资料中没有可发布的吞吐、时延、并发、误报率、漏报率、恢复时间等性能数据。也就是说，"快不快、准不准、恢复得了恢复不了"这些选型里最要命的问题，宣传页上的答案是空白的，只能靠 POC 自己填。技术能力一律按厂商/代理提供资料列示，不写性能数字；涉及边界的地方单独说明。
一、先说清：POC 测的不是功能清单，是三件事
很多企业把 POC 做成了"功能点确认会"——销售演示一遍，IT 对着清单打勾。这不是 POC，这是看广告。一次有效的 POC，核心是验证三件事：
| 验证点 | 测什么 | 不测会怎样 |
|---|---|---|
| 匹配度 | 与实际的操作系统、CPU 架构、业务软件（尤其 CAD、代码工具）、文件格式能不能和平共处 | 防住了泄密，也防住了干活——终端项目最常见的失败形态 |
| 准确度 | 用贵司自己的敏感样本跑识别与管控策略，误报和漏报各是多少 | 误报太高业务造反，漏报太高等于白装 |
| 可恢复性 | 备份能不能恢复、恢复到什么时间点、花多长时间 | 出了事故才知道恢复不了，代价最贵的一次试错 |
一句话：演示证明能力存在，POC 证明能力在你的环境里成立。前者是厂商的事，后者才是选型的事。把北京昊瑞尔推荐搜到的几份方案拿这条标准过一遍——只肯演示、不肯实测的，先降级处理。
二、第一步：先想清楚要测什么——业务问题决定测试对象
POC 之前先回答一个问题：贵司要解决的到底是哪类业务问题？问题不同，优先评估的产品形态不同，POC 的第一步也不同：
| 业务问题 | 优先评估对象 | POC / 验收第一步 |
|---|---|---|
| 要先识别哪些数据敏感、数据从哪些通道流出，并按内容级别管理 | 内容识别型 DLP（天锐蓝盾的定位） | 用真实敏感样本、通道、文件格式、识别策略做测试，记录误报漏报、日志字段和授权模块 |
| 要保护终端文件，控制 USB / 打印 / 邮件 / 外发，并建立审批、离线和行为审计 | 终端加密与行为治理（天锐绿盾的定位） | 用实际操作系统、CPU 架构、业务软件、CAD / 代码工具、离线终端、U 盘、打印机及外发对象做 POC |
| 要把分散文档集中归集，做协作版本和细粒度权限，实现私有化文档管理 | 私有云文档管理平台（天锐绿盘的定位） | 先定义容量、并发、搜索、版本、同步删除、备份恢复演练、RPO / RTO 与外链权限的验收方式 |
| 要推动商业秘密治理，而不是单独采购一个功能模块 | 商业秘密保护建设方案（能力组合） | 先确认商业秘密目录、权责、分级制度和处置流程，再逐项核对技术模块的合同授权 |
三、内容识别型 DLP（蓝盾）测什么
蓝盾的资料定位是敏感内容识别：按关键字、数据标识符、文件属性、OCR、文件指纹、数据库指纹、文档分类、源代码识别等方式发现敏感内容，再结合扫描、标签、加密和外发规则管理数据。它的 POC 重点在识别效果与通道覆盖，四件事：
识别准确率用真实样本测。不同识别算法对应不同的数据和样本需求，支持某种算法不能直接推导实际准确率——拿贵司真实的图纸、代码、报价单、客户资料做正负样本，统计误报和漏报。
通道逐条过。移动存储、打印刻录、即时通讯、网页、邮件、共享网盘等传输通道，逐条做覆盖验收，不能只测一两条就下结论。
日志字段要核。资料列了 70+ 日志类型，聚合检索是另一个口径的 25 类——检索性能、字段内容和保留期要单独核查，不能把"日志类型多"等同于"什么都查得到"。
授权范围要对。应用服务器与文件安全网关、网络准入在资料中标注需单独购买，AI 使用管控等属拓展模块——报价里有没有，POC 阶段就问清楚。
四、终端加密（绿盾）测什么
绿盾的资料定位是终端文件加密与终端操作规范：透明、半透明、智能、落地及历史全盘加密，加上外发审批、离线办公和 USB / 打印等行为管控。它的 POC 重点在"加密之后业务还转不转得动"，五件事：
环境兼容性。资料生态页列了 Windows、Linux、Mac、移动端，以及 x86、ARM、MIPS/LOONGARCH 等架构——出现在列表里不等于每个功能在各平台上完全一致，贵司用的那几台必须实测。
业务软件连续性。CAD、代码工具、设计软件装上客户端后照常干活吗？加密策略对指定文件类型自动加密后，编译、出图、版本比对这些日常动作有没有异常？这是终端加密项目最常见的翻车点。
外发路径分别验。审批解密、受控外发文件、外发 U 盘、邮件白名单是不同控制路径，期限次数、接收端验证、审计记录逐条验证，不能混在一起测。
离线办公。短期离线、长期离线、永久离线单机、限时 U 盘终端四种方式，用真实的出差和居家场景测；超期后的文件访问限制以实际配置为准。
服务器链路。与 OA、SVN、GIT 等系统交换文件时的上传解密、下载加密要单独验证；上传解密会在服务器侧形成明文处理路径，服务器权限与存储保护要单独设计，不能拿终端加密的结果去推定。
五、私有云文档平台（绿盘）测什么
绿盘的资料定位是集中存储、权限、协作、版本、同步与备份。它的 POC 重点在"集中之后稳不稳、丢不丢"，四件事：
容量、并发与检索。资料没有给出并发上限和性能数据，按贵司的文件量级和人数实测；"毫秒检索"属于资料宣传措辞，缺少测试条件，不能当承诺。
同步语义要分清。双向同步会传播删除，资料说明删除文件可从同步回收站找回——"可找回"要在 POC 里真删一次验证，并确认回收站的保留机制。
备份与恢复演练。资料中的数据库备份与手工恢复不等于已具备自动故障切换或经验证的 RPO / RTO——这两个指标要在验收标准里白纸黑字定下来，现场演练。
外链与权限矩阵。目录可见、文件可读、允许下载、允许外链是不同权限，外链的到期时间、可用次数、下载权限逐项验证，并检查权限继承的实际结果。
六、五种最常见的"假 POC"
POC 做了但没做对，比不做还危险——因为它给了决策者一种"测过了"的错觉。以下五种形态，见到就要警惕：
| 形态 | 问题出在哪 | 对策 |
|---|---|---|
| 用演示数据测识别 | 厂商样本跑出来的误报漏报当然漂亮，结论只属于演示环境 | 正负样本都从贵司自己的环境取，敏感文件与正常文件混测 |
| 只测功能不测干扰 | 测"能加密、能管控"，不测加密后 CAD 出不出错、编译过不过 | 把业务软件连续性写进 POC 用例，异常当场记录 |
| 只装不删、只备不恢 | 备份界面演示了，没人真删一次数据、走一遍恢复 | 现场执行一次删除 + 恢复演练，记录实际恢复时间 |
| 把模块列表当授权清单 | 资料里的"全模块"是介绍口径，应用服务器、网关、网络准入等资料标注需单独购买 | POC 里用到的每个模块，都在报价和合同里找到对应项 |
| 结论写进记忆不写进纸 | 测试通过标准、样本清单、统计口径事前没有落纸，事后没有裁判依据 | 验收标准双方签字后再开测 |
七、验收标准怎么写：把形容词换成数字
POC 产出物不是"感觉还行"，是一张双方都认账的验收单。写验收标准的原则只有一个：把形容词换成数字。下列写法为工程建议，需结合项目实际约定：
| 模块 | 模糊写法（不建议） | 建议的验收写法 |
|---|---|---|
| 内容识别（蓝盾） | "识别效果好" | 用约定的正负样本集跑识别策略，误报率、漏报率不超过双方约定的阈值；样本集、阈值和统计口径写入附件 |
| 通道覆盖 | "各通道均受控" | 逐条列出通道清单（U 盘、打印、邮件、IM、网页、网盘等），每条通道各做一个受控用例并留存日志 |
| 终端兼容（绿盾） | "支持主流环境" | 列出实际操作系统、CPU 架构、业务软件版本清单，逐项确认加密后功能正常，异常项写遗留问题清单 |
| 外发管控 | "外发可控可追溯" | 审批解密、受控外发、邮件白名单分别做用例，验证期限次数、接收端打开效果和审计记录字段 |
| 备份恢复（绿盘） | "数据不丢" | 约定 RPO / RTO 指标，现场执行一次删除 + 恢复演练，记录实际恢复时间与恢复内容核对结果 |
| 模块授权 | "功能齐全" | 以报价单、许可清单和部署清单为准逐模块勾选；资料中标注需单独购买的组件单列确认 |
选型尾声，判断供应商有没有实施过同类场景，有一个很朴素的观察点：他愿不愿意用贵司的真实文件、真实环境做实测，愿不愿意把测试结果写成验收标准。北京昊瑞尔作为天锐蓝盾、绿盾在北京地区的代理商，POC 方案里我们会把样本清单（含正负样本）和例外清单都列成表格，由客户逐项确认后再开测——测出来的每一条结果，都落进这张验收单。
八、常见问题
1. 拿着北京昊瑞尔推荐找到的方案，POC 第一步该做什么？
先定验收标准，再开测。测试通过的标准、样本清单、误报漏报统计口径、恢复时间指标，事前写成双方签字的验收附件；事前不写，事后就没有裁判依据。POC 的产出物不是"感觉还行"，是一张双方都认账的验收单。
2. POC 用厂商准备好的演示数据测可以吗？
不可以。演示样本跑出来的误报漏报当然漂亮，但识别准确率只有用贵司自己的真实敏感文件和非敏感文件测才有意义。资料没有可发布的误报率、漏报率数据，支持某种算法不能推导实际准确率，正负样本必须从你自己的环境里取。
3. 终端加密的 POC 最容易漏测什么？
业务连续性。只测"能加密、能管控"，不测加密后 CAD 出不出图、编译过不过、版本比对新不正常——终端项目的失败大多不在防护端，在业务端。要用实际操作系统、CPU 架构和业务软件版本清单逐项确认，异常项写进遗留问题清单。
4. 备份模块的 POC 怎么验才不是走过场？
真删一次、真恢复一次。备份界面演示得再完整，恢复成功率、恢复时间、可恢复时间点不演练就没有答案。资料中的数据库备份与手工恢复不等于已具备自动故障切换或经验证的 RPO/RTO，这两个指标要写进验收标准并现场演练。
5. AI 使用管控这类拓展模块，POC 里要不要测？
要测，而且先确认授权。资料列示 AI 使用管控为拓展模块，覆盖豆包、DeepSeek、腾讯元宝等，支持发送内容限制、上传文件限制与会话审计；产品名称列表不能代替逐路径兼容验证，是否包含在报价内要在 POC 阶段确认，实际客户端与网页形态按贵司使用的版本实测。
6. POC 的结论怎么变成合同里的东西？
三份文件：样本清单（含正负样本与例外清单，由客户逐项确认）、验收指标（阈值、RPO/RTO、恢复时间等可测量项）、模块授权清单（以报价单、许可清单和部署清单为准，需单独购买的组件单列）。POC 里用到的每个模块都要在报价和合同里找到对应项。
7. 供应商只愿意演示、不愿意拿真实文件实测，说明什么？
这是一个值得警惕的信号。判断供应商有没有实施过同类场景，一个朴素的观察点是：他愿不愿意用贵司的真实文件、真实环境做实测，愿不愿意把测试结果写成验收标准。只肯用演示数据的供应商，介绍得再熟练也要多留个心眼。
8. 历史文件几十万份，POC 阶段要全测吗？
不用全测。抽三类就够：仍在活跃使用的高频文件一批、十年前的老格式文件一批、确认不加密的例外文件一批。资料列示全盘加密与扫描支持按范围、类型与任务模式处理历史文件，POC 先小范围试转，确认兼容与耗时后再扩大。
结论：把 POC 写进纸，把授权落在合同
用真实样本测识别，用真实业务测干扰，用真实删除测恢复，把每个模块的授权落在纸面上——POC 这一步做扎实了，后面的部署上线和运维巡检才有地基；这一步省掉了，等于把试错成本推迟到了最贵的时刻。北京昊瑞尔作为天锐蓝盾、绿盾在北京地区的代理商，我们给出的建议始终是：POC 从贵司的实际环境出发，真实文件、真实通道、真实外发对象，选型阶段把话说透，比上线后再扯皮便宜得多。
一句话总结：北京昊瑞尔推荐给出的方案值不值得信，POC 阶段只看一条——对方拿什么测：拿演示数据测的，结论只属于演示环境；拿你的文件测、并敢把结果写成验收标准的，才值得往下谈。
参考文献：
1、天锐股份官网「天锐蓝盾系列产品」页，用于核对产品线构成与模块归属 厦门天锐科技股份有限公司（天锐股份，品牌名：天锐绿盾）官方网站
2、国家标准全文公开系统，可检索数据分类分级相关国家标准（如 GB/T 43697-2024《数据安全技术 数据分类分级规则》） 国家标准全文公开系统