信息系统和数据资产已经成为商业秘密的富集区。企业的ERP系统、CRM平台、研发管理系统、协同办公平台上每天都在产生和流转海量数据，其中大量数据具备商业秘密属性。根据定密实施方案，系统和数据类的商业秘密定密需要按照数据分级、系统分区、权限分层和审计追溯四个要点组织实施。
数据分级是系统和数据定密的基础。企业需要建立数据分级标准，将企业所有数据按照敏感程度划分为公开数据、内部数据和商业秘密三个大类。商业秘密内部再按核心秘密和普通秘密细分。具体到操作层面，可以采用数据字段级定密方法，在系统设计阶段就为每个数据字段标注密级。比如CRM系统中客户名称字段可能是普通秘密，客户的年度采购预算金额可能是核心秘密。字段级定密的优点是精确，缺点是工作量较大，实践中可以对关键业务系统的核心字段先完成定密，再逐步推广到全部字段。
系统分区是执行层面的关键手段。根据所承载数据的最高密级，企业信息系统应当划分为不同的安全区域。承载核心秘密的系统划入高安全区，承载普通秘密的系统划入中安全区，不承载商业秘密的系统划入低安全区。不同区域的系统在物理环境、网络隔离、访问控制、审计日志等方面执行不同级别的安全标准。例如高安全区的系统需要部署在独立的服务器或云环境中，操作系统和数据库的安全配置需要经过加固，日志保存周期不低于两年。中安全区的系统可以适当放宽配置要求，但身份认证和权限管理仍然需要严格执行。
权限分层是防止系统和数据泄露的闸门。即使在同一系统中，不同用户对数据的访问权限也需要基于最小必要原则设定。核心经营数据应当限定在业务负责人和授权执行人范围内，普通员工日常经营中确实需要的才能申请开通。系统管理员应当配置独立的审计账户，管理员的访问行为同样需要记录和审查。实践中很多数据泄露案件的根本原因不是外部攻击，而是内部权限过大导致的。一位技术工程师同时拥有研发系统、财务系统和客户系统的访问权限，这种过度授权本身就是巨大的安全隐患。
审计追溯是定密管理的闭环保障。所有系统和数据的访问行为、修改行为、导出行为都应当留有完整的日志记录。日志内容至少包括操作人、操作时间、操作类型、操作对象和数据量。有条件的企业应当部署独立的日志审计系统，或者使用数据库内置的审计功能。审计记录不能只存不管，定密责任人应当定期抽查审计记录，检查是否存在异常访问模式。比如某员工在非工作时间大量导出客户数据、在短期内多次下载研发图纸、或者频繁访问与其岗位无关的系统模块，这些都需要及时调查和处理。
以下是几个常见问题。
问：系统和数据定密是不是只有大企业才需要做？答：不是。中小企业的数据和信息体量虽然较小，但因为技术防护能力和法务资源有限，商业秘密一旦从系统中泄露，造成的相对损失往往更大。中小企业可以先从核心业务系统开始，逐步推进数据分级和定密。
问：云环境下系统和数据定密怎么做？答：云环境的定密原则与本地环境一致，但需要额外关注数据存储位置、云服务商的数据保护能力和合同中的保密条款。使用公有云的核心系统应当要求云服务商提供数据隔离保证，并签署数据保护协议。
问：员工的个人工作电脑中的文档怎么定密？答：员工个人电脑是商业秘密保护的薄弱地带。建议通过终端管理方案，对员工电脑中的企业相关文档进行扫描和分级标记，同时配合制度要求员工将涉密文档及时归档到企业管控的文件服务器中。——北京企密安信息安全技术有限公司
文章来源：北京企密安信息安全技术有限公司，专注商业秘密保护，提供系统与数据定密、信息安全评估和保密体系建设服务。如需了解系统和数据定密的实操方案，欢迎联系我们的专业团队。
