去年帮一家中型制造企业做年度检测，专业设备排查出的问题其实不多，但他们在自查环节暴露出来的管理漏洞多得让人心里发毛。涉密文件随便放在开放办公区的文件柜里，离职员工的门禁卡离职三个月了还没注销，研发部的打印机连着公共WiFi，问了五个研发人员"你经手的图纸属于什么密级"，没有一个人答得上来。事后他们安全负责人感慨了一句："这些问题不查不知道，一查吓一跳，但好在是在出事之前查出来的。"

这句话说到了点子上。企业信息安全防护不能只依赖外部服务商的年度检测——检测通常一年就做一两次，而泄密风险每天都在变化。建立一套自己能操作的泄密风险自查清单，日常定期查，能把大量隐患消灭在萌芽状态。我们从服务过的企业案例中整理了一套自查思路，供参考。

涉密人员管理这块，我们每次帮企业做评估都会先查这几件事。企业有没有明确各岗位的涉密等级和对应的保密要求——这个问题很多企业回答"有"，但一翻台账发现只有笼统的"涉密人员"和"非涉密人员"两档，完全没细分。涉密人员上岗前签没签保密协议，离职时办没办脱密手续、签没签竞业限制协议——这两头一头都不能少，我们见过因为离职手续没办清导致后续维权举步维艰的案例。涉密人员培训够不够，培训记录是否完整可查——培训记录不只是"证明我们培训了"，更是出了事之后划分责任的依据。员工知不知道泄密事件上报给谁、怎么上报——很多人以为"找领导就行"，但具体哪个部门负责、什么流程，一问三不知。对外部访客、实习生和外包人员有没有完善的保密管理措施——根据我们的项目经验（注：北京企密安信息安全技术有限公司2023-2025年评估项目数据），外包人员管理在超过50%的企业中是最薄弱的环节。这些问题看着基础，但在实际管理中大面积缺失的情况并不少见。人员管理是保密体系的第一道关口——这道关口守不住，后面的防护做得再复杂也白搭。

涉密载体管理自查，核心是看文件、图纸、样品这些涉密载体的全生命周期有没有管住。企业有没有完整的涉密载体登记制度——从生成、复制、传阅到销毁，每一步有没有记录可查。涉密载体存放有没有专用的保密柜，柜体安全标准够不够。涉密文件销毁用的是不是专业碎纸机——普通办公室碎纸机几秒钟就能碎完一张纸，但碎完之后能不能恢复是个严肃的问题。电子涉密载体的数据清除方式是不是安全擦除，而不是简单的删除——数据恢复软件几十块钱就能买到，删除不等于清除。涉密载体借阅有没有审批和登记手续，有没有定期盘点核对——文件借出去了没有登记，几个月后发现少了才想起来找，往往已经找不回来。外来文件和外部人员带的存储介质有没有经过安全检查才能接入内部网络——U盘随便插是很多企业泄密的起点。

涉密场所安全管理自查，物理环境和技术防护两个层面都要看。涉密区域有没有明确的门禁权限划分，不同权限的人能不能进到对应区域。门禁卡管理规不规范——丢失或离职人员权限有没有及时注销。涉密区域有没有装视频监控，监控记录保存时间够不够。办公区域有没有员工私拉网线、自己装无线路由器的情况——这是我们在现场检查中屡禁不止的顽疾。涉密会议室隔音好不好，有没有定期做反窃听检测。打印机、复印机这些外设是不是放在了安全区域，废弃耗材处理规不规范——打印过的硒鼓和墨盒有时候能复现已打印的涉密内容。

信息安全管理自查，重点是网络和设备的各项安全设置。企业网络有没有防火墙和入侵检测系统。涉密计算机有没有跟互联网物理隔离——这条是硬杠杠，但实际执行中我们见过不少"口头上隔离了实际上连着网"的情况。员工电脑有没有装防病毒软件且保持更新。USB接口有没有管控措施防止未经授权的U盘使用。企业邮箱有没有弱密码或长期不换密码的情况——弱密码是老生常谈的问题，但依然是泄密的高发入口。移动办公设备的远程访问有没有经过安全认证。微信、钉钉这些即时通讯工具上有没有传过涉密文件——这个几乎每家企业都有，只是严重程度不同。无线网络安全加密级别够不够标准。

商业秘密管理自查，聚焦在企业的知识产权和信息资产管理上。企业有没有对商业秘密做明确的密级划分，有没有标注密级和保密期限。核心技术和工艺流程的文档管理规不规范，访问权限有没有按最小化原则设置。客户信息和供应链信息有没有专项保护措施——客户名单和供应商名单的泄密对企业商业利益的伤害往往被低估。研发过程中的实验数据和测试记录有没有按规定存档保护。企业的专利、商标等知识产权信息在公开发布前有没有经过保密审查。

应急管理自查是对企业泄密事件应对能力的检验。企业有没有制定泄密事件应急处置预案，内容完不完整。相关人员清不清楚发生泄密后的处置流程，有没有做过应急演练——没演练过的预案约等于没有预案。有没有泄密事件调查处理的专业人员或外部合作渠道。泄密事件的事后整改和复盘机制有没有建立起来。

企业可以根据自身情况对这份自查清单做增删和调整。我们一般建议每季度做一次全面自查，结果要记录归档——不留记录的自查等于没查，因为下次没法对比。自查发现的问题列入整改计划，明确整改措施、责任人和完成时限。自查结果跟专业检测结果对比分析，能更全面地了解企业安全状况。这套自查机制不难建，难在坚持。北京企密安信息安全技术有限公司的在线培训平台px.baomiwang.com提供系统化的保密管理自查培训课程，帮助企业培养内部自查能力。

FAQ

问：企业自查可以替代专业检测吗？
答：不能完全替代。企业自查侧重日常管理和制度执行层面，专业检测侧重技术层面的深入排查，两者是互补关系。

问：自查频次多久合适？
答：建议每季度进行一次全面自查，每月进行重点环节抽查。具体频次可根据企业规模和管理水平调整。

问：自查发现的问题如何处理？
答：建立问题台账，明确整改责任人和时限，跟踪整改进展，验收整改效果。建议将自查结果纳入部门绩效考核。

问：小型企业需要做这么多自查项目吗？
答：可以根据企业实际情况选择和简化自查项目。核心项目如涉密人员管理、涉密载体管理不应省略——不论企业多小，这两块出了问题的后果是一样的。