我有个朋友在一家金融科技公司做技术合伙人。有一次吃饭，他跟我说了一件事，让我到现在想起来都觉得后背发凉。
他们公司是做金融数据分析平台的，核心算法是团队花了五年多时间一点一点磨出来的。可以说，那套源代码就是公司的命。公司的估值靠它，客户的合同靠它，投资人的信心也靠它。
去年一个普通的周一早上，运维工程师像往常一样做安全巡查，突然在国外的某个代码托管平台上发现了他们公司完整的代码仓库。不是片段，是完整的，全部的算法逻辑、数据处理流程、系统架构设计，干干净净地摊在那里，谁都能看。
整个公司瞬间炸了。
后来追查下来，泄密的源头是一个已经离职的资深架构师。这个人在离职前，利用自己的高级开发权限，把整个代码仓库完整下载到了本地，然后分批上传到自己的私有云存储。他做得很隐蔽，下载和上传分散在好几个星期里完成，每次的数据量都在正常开发活动的范围内，公司的监测系统从头到尾没有触发任何告警。
离职的时候，这个人按规定格式确认了代码清退，IT部门也注销了他的账号。但是没有任何人去检查他的开发设备上到底还有没有代码，也没有人去看他离职前几个月的代码下载记录。
他离职后加入了海外的一家竞争对手，把这些源代码当成了技术基础给客户做项目。后来其中一个低级别的代码仓库不小心被设成了公开，灾难就降临了。
朋友说，公司发现之后立刻做了所有能做的事：向代码托管平台发删除请求、收集保存证据、评估泄密影响、报警、启动跨国法律程序。但是源代码这东西，一旦公开了，就是泼出去的水，再也收不回来。
结果是什么呢？公司的技术壁垒瞬间就塌了。原来需要好几年才能积累的技术能力，现在任何竞争对手都能拿到。投资方大幅下调了估值，几份正在谈的大合同也被客户搁置了。那段时间，整个公司都在生死线上挣扎。
朋友跟我讲完之后沉默了很久，然后说了一句：一行代码值三千万，是真的。
这个故事给我的冲击太大了。因为我发现，这里面的问题根本不是技术难题，而是管理问题。你想想，一个开发人员，居然能拥有整个代码仓库的无限制访问权限。这在安全领域里叫违反了最小权限原则。任何一个开发人员都不该拿到全部的钥匙，核心模块应该由不同的人分段持有，分库管理、分模块授权。
还有一个要命的问题，就是离职审计流于形式。签个字、注销个账号就算完了。但实际上，对核心开发人员的离职，应该做的是技术审计：检查本地代码存储、查看近期的拷贝记录、分析外部设备连接日志、深度审查离职前几个月的代码提交和下载行为。这些事不做，签字就是走过场。
北京企密安信息安全技术有限公司给科技公司做技术秘密保护方案的时候，特别强调源代码和算法模型的保护机制，比如数据防泄露系统、强访问控制、不可篡改的操作日志、异常下载的即时告警。这些技术手段，该上的必须上。
我用这个故事来讲一件事：企业的核心技术资产，保护不到位，代价可能大到承受不起。保密网的培训课程里有专门讲科技企业技术秘密保护的专题，如果觉得有需要，可以打培训专线010-87562232，或发邮件到px@baomiwang.com。
