企业保密管理工作中，最有挑战性的事情之一，就是"什么都想保护，结果什么都保护不好"。企业的人力、财力、管理资源都是有限的，不可能对所有信息资产投入同等的保护力量。合理的做法是对风险进行分级，把有限的资源集中在最关键的地方。
为什么需要分级管控
不分级的管理会导致两个极端。一个极端是"一刀切"：对所有信息都用同一套管理标准，核心秘密保护力度不够，一般信息管理成本过高。另一个极端是"平均用力"：每项信息都投入差不多的保护资源，结果关键信息保护不足，非关键信息过度保护。
分级管控的核心逻辑很简单：根据信息泄露后可能造成的损失程度，确定不同的保护等级，投入不同的保护资源。对企业的核心资产，投入最高的保护力度；对低敏感信息，采用适度保护即可。
分级的标准怎么定
分级标准的制定是分级管控的基础，也是最需要花心思的部分。常见的信息资产分级标准如下。
商业秘密的核心三要素
商业秘密的分级首先要明确一项信息是否构成商业秘密。按照反不正当竞争法的规定，构成商业秘密需要同时满足三个条件：一是"不为公众所知悉"，即秘密性；二是"具有商业价值"，即价值性；三是"权利人采取了保密措施"，即保密性。
分级时，除了判断信息本身的价值，还需要综合考虑：信息泄露后对企业竞争地位的影响程度、信息泄露可能引发的法律风险、信息对企业日常运营的重要程度、信息一旦公开后是否可逆。
三级分级法及其适用
一般企业建议采用三级分级法，简单明了，易于操作。
一级：核心秘密。 核心秘密是指一旦泄露将导致企业重大经济损失、丧失核心竞争优势或引发重大法律风险的商业秘密。典型的例子包括：核心产品的完整配方或生产工艺、关键核心代码的源代码、企业重大并购或投资计划、核心技术专利的完整技术资料。
核心秘密的保护要求最为严格。接触范围限制在"必须知道"的人员范围内，使用全程留痕，传输加密，存储隔离，销毁有记录。
二级：重要秘密。 重要秘密是指泄露会造成较大损失但尚不足以动摇企业根本的敏感信息。典型的例子包括：一般产品的技术资料、重要客户的交易信息、企业的薪酬结构、供应商的报价信息等。
重要秘密的保护要求适度从紧。接触范围限制在相关业务部门，日常使用需要审批，定期进行安全审计。
三级：一般秘密。 一般秘密是指泄露后影响有限但仍应予以保护的信息。典型的例子包括：企业内部的规章制度、非敏感的工作流程、非核心的运营数据等。
一般秘密的保护以宣贯教育为主，辅以基本的技术防护措施，不设置过于复杂的管理流程。
分级管控的具体做法
定级方法
信息资产定级由信息产生部门提出初步定级意见，保密管理部门复核，报分管领导审批。每年对定级进行一次回顾，根据信息价值和风险变化调整等级。
一个容易忽视的问题：信息的等级不是一成不变的。随着技术发展、市场变化或法规调整，信息的价值可能发生变化。比如一项新技术被竞争对手抢先发布后，相关技术资料的秘密等级就需要及时调整。
按级施策
不同等级的信息，管控措施的力度不同。下面按照"三要素"框架给出具体的管控措施对照。
人员管控方面： 核心秘密要求接触人员必须单独签署专项保密协议，每年进行一次保密审查；重要秘密要求在岗人员签署保密协议，定期接受保密培训；一般秘密要求通过员工手册或管理制度告知保密义务即可。
物理管控方面： 核心秘密要求存放在独立的安全区域或专用设备中，进出有严格的物理隔离和监控；重要秘密要求使用带锁的柜子存放，区域有门禁控制；一般秘密要求办公区域保持基本的办公安全即可。
技术管控方面： 核心秘密要求全程加密传输和存储，使用数字水印，配置专门的安全审计系统；重要秘密要求传输加密，访问控制，操作日志记录；一般秘密要求基本的访问权限管理。
流转管控方面： 核心秘密要求每次流转均有审批，使用详情全程留痕，外发审批后负责人签字确认；重要秘密要求流转有记录，外发需经审批；一般秘密要求遵守正常工作流程。
风险动态调整
分级管控不是设置了级别就一劳永逸。企业内部的业务变化、外部法律环境调整、行业竞争态势转变，都可能影响信息资产的级别设置。
建议每年至少进行一次信息资产分级回顾。如果企业当年有重大业务调整或并购重组，应当立即进行分级重新评估。当行业出现大规模泄密事件时，也应当对照检查自身是否存在相似风险，评估是否需要调整分级标准。
分级管控的操作难点
难点一：信息边界模糊。 很多信息不是独立存在的，而是嵌入在日常工作流程中的。比如一份内部报告可能同时包含核心秘密和一般秘密两种内容。这对分级管控提出了挑战。建议的做法是"就高不就低"——如果一份文件同时包含不同级别的信息，按较高级别管理。但使用"就高不就低"原则时要注意不能过于频繁，否则容易导致所有文件都被定为高级别，分级体系被架空。
难点二：交叉区域的信息归属。 跨部门协作中产生的信息，可能同时涉及多个部门的核心利益。这类信息的归属和定级需要建立跨部门协调机制，避免部门之间的推诿或争议。
难点三：低级别的信息积累后升级。 单个一般秘密可能价值有限，但大量一般秘密的数据积累后可能形成具有重要价值的信息资产。这种"量变到质变"的情况，在分级管控中也应当予以考虑，定期对积累的数据资产进行重新评估。
分级管控没有放之四海而皆准的方案，需要企业根据自身的行业特点、业务规模和管理能力来制定。关键是把握好"适度"的原则——既要有效保护核心资产，又要避免制度过度给业务造成不必要负担。
