网络无出口时
一位数据科学家在国防企业工作，手头有3,000份人员档案。她需要移除其中的姓名、社会安全号码和保密级别，然后才能按照CUI协议与研究合作伙伴共享这些数据。
她所在的网络没有互联网连接——这是设计使然。
她测试了所有她能找到的基于Web的工具，每一个都需要将数据发送到外部服务器。每个云平台都需要账户和实时网络连接，甚至"本地化"工具通常也会调用远程许可证服务器。
这就是气隙部署问题，它影响的团队远比大多数人预想的要多。
哪些场景需要离线PII移除
国防企业和政府机构是最常见的场景。DISA的FedRAMP项目要求数据保持在批准的网络边界内。ITAR限制技术数据只能使用美国受控系统。JWICS和SIPRNet等网络在设计上就是物理隔离的。
但离线需求远不止于此：
拥有分段网络的医院：PACS影像系统、EHR平台和研究数据库通常出于政策要求运行在无互联网的网络上。
交易大厅和清算所：专有交易系统和SWIFT连接系统使用严格的网络隔离。
工业控制系统：SCADA网络和关键基础设施将气隙作为核心安全措施，后斯塔克斯内特时代强化使这已成为常态。
欧洲数据法规：德国《联邦州数据保护法》等欧盟法律要求对敏感政府和健康记录进行本地化数据处理。2025年5月TikTok因数据传输至中国被处以5.3亿欧元GDPR罚款，这一事件推动更多团队转向本地化工具。
气隙部署的技术需求
离线PII工具必须满足服务于网络连接工作流的工具通常不需要满足的要求：
零外部调用：工具在运行时不得调用任何外部端点——不调用许可证服务器、更新服务器或遥测端点。这些外发调用在隔离网络上会失败，往往以不可预测的方式。
完整的本地模型：NLP模型必须完整地打包在安装包中。依赖在首次运行时下载模型权重的工具在无网络环境中无法使用。
离线安装程序：部署必须通过物理介质（USB、DVD）进行，或通过内部包管理器进行，而不依赖互联网包仓库。
本地审计日志：访问记录必须写入本地日志，不发送至任何外部系统。
无遥测：即使工具声称遥测是匿名的，任何外发的数据传输都违反气隙网络策略。
气隙场景的合规框架
FedRAMP：政府机构必须使用在FedRAMP授权边界内处理数据的工具。这排除了大多数商业云PII工具。
ITAR：技术数据——包括含有受控信息的文件——必须保留在ITAR授权系统上。将其发送至商业云进行PII处理可能违反出口管制规定。
HIPAA安全规则：虽然HIPAA不要求气隙，但它要求"防止未经授权访问电子PHI"的技术保障措施。对于运行在分段网络上的医院，这意味着PII工具必须在这些网络边界内运行。
GDPR数据处理协议：如果离线PII工具在欧盟监管实体内运行，仍需符合GDPR第28条——即使数据从未离开本地服务器，数据处理活动记录要求仍然适用。
了解anonym.legal如何满足这些框架，请参阅安全合规页面和法律合规文档。