核心摘要：很多企业一谈商业秘密保护，第一反应就是“把重要资料都定成最高级”。这看似安全，实际上容易造成两个后果：真正核心的信息被淹没，普通业务协同被堵死。本节课要解决的，不是“企业有没有商业秘密”，而是在已经完成识别和定密之后，如何判断这项商业秘密应当采用多高强度的保护措施。商业秘密密级划分的关键，不是把名称写得更严，而是把保护强度、知悉范围、审批权限、系统控制和审计留痕一并落下去。
一、为什么密级划分必须先统一口径
企业内部最常见的争议，不是大家不重视商业秘密，而是每个部门对“重要”的理解不同。研发部门认为核心算法、测试数据、工艺参数最重要；销售部门认为客户名单、报价底线、采购节奏最重要；法务合规部门关注合同保密义务、个人信息、数据安全和监管风险；IT部门则要考虑系统权限、外发控制、日志审计和AI工具使用边界。如果没有统一口径，“重要”就会变成各说各话。
密级划分的第一步，是把“情绪化判断”转化为“管理化判断”。所谓管理化判断，就是明确：这项信息是否已经通过商业秘密三要件审查？如果已经构成商业秘密，它的泄露后果有多大？它能带来多少经济价值？竞争对手通过合法方式获取它的难度有多高？它是否叠加个人信息、重要数据、重大客户、跨境传输、监管要求或合同义务？只有这些问题被回答清楚，密级才不是贴在文件封面上的文字，而是可以被执行、被检查、被复核的管理结论。
二、定密和密级划分不能混为一谈
定密解决的是“能不能列入商业秘密”，密级划分解决的是“如果已经列入商业秘密，应当按多高强度保护”。这两个动作在实务中经常被混淆。有些企业看到一份资料很敏感，就直接定为最高级，试图用高密级证明它一定是商业秘密；也有些企业因为不确定是否属于商业秘密，就干脆降低管理要求，导致重要资料长期处于无保护状态。正确做法是先判断商业秘密成立基础，再根据价值与风险确定保护强度。
对不满足商业秘密三要件的信息，不能靠提高密级来“装成商业秘密”。例如某些内部通知、一般行政安排、公开资料整理、普通项目沟通，可能并不具备秘密性或商业价值，但仍可能需要内部控制。此时应当将其纳入工作秘密、内部敏感信息或其他内部信息分类管理，而不是硬塞进商业秘密密级体系。这样做既能避免过度定密，也能防止员工对密级标签产生疲劳。
三、A/B/C代码让复杂组织拥有统一底层语言
本课程使用A/B/C作为商业秘密密级的底层管理代码。A通常对应核心商业秘密或绝密级商业秘密，B通常对应普通商业秘密中的机密级，C通常对应普通商业秘密中的秘密级。企业可以根据自身制度采用“核心商业秘密/普通商业秘密”两级称谓，也可以采用“绝密/机密/秘密”三级称谓，还可以在集团内部形成专门名称。但无论正式称谓怎么变化，建议在系统、台账、文档标签和审批流程中保留A/B/C底层代码。
保留底层代码的好处很直接。第一，系统好配置。IT可以按A/B/C设置不同访问权限、下载限制、水印策略、DLP规则和日志审计颗粒度。第二，流程好执行。业务部门看到A/B/C，就能知道资料是否可以外发、是否需要净化版、是否可以打印、是否允许输入受控AI。第三，审计好复核。保密办公室和审计部门可以按照统一口径检查台账、审批记录和异常访问日志。第四，集团好统一。不同子公司即使称谓不同，也能通过A/B/C保持控制动作一致。
四、密级不是荣誉称号，而是保护强度刻度
企业做商业秘密密级划分，最容易犯的错误是把密级当成荣誉称号。某些部门认为资料越高级，越能显示项目重要；有些人员担心责任风险，倾向于把所有材料都提到高等级；也有人觉得只要加上“绝密”两个字，就完成了保护。事实上，密级越高，意味着知悉范围越小、审批链条越长、存储隔离越强、外发限制越严、协同成本越高。密级不是越高越安全，而是越准确越有效。
一个成熟的企业保密体系，应当让保护强度与泄露后果相匹配。泄露后可能导致核心技术被复制、重大投标失败、客户议价能力下降、资本运作暴露、监管调查触发的信息，应当采用更高强度保护；价值有限、生命周期较短、影响范围可控的信息，不应简单套用最高级。否则，保护资源会被大量普通材料占用，真正核心的商业秘密反而得不到足够关注。
五、商业秘密密级划分需要多部门协同
密级划分不是保密办公室单独完成的表格工作，而是业务、保密、法务、IT和审批层共同完成的管理动作。业务部门最了解信息价值和业务影响，应负责说明资料对收入、成本、利润、客户、投标、研发和生产的作用。保密办公室负责组织评分、统一口径、推动台账和复核。法务合规负责判断合同义务、权属关系、个人信息、数据安全、跨境传输和监管敏感性。IT与数据治理负责把密级结论转换为系统标签、访问权限、外发控制、AI策略和日志审计。管理层或审批层则对重大事项、争议事项和例外事项形成正式结论。
这种协同关系非常重要。商业秘密保护不是“保密部门要求业务配合”，也不是“IT系统代替管理判断”。只有业务价值说得清、法律风险看得准、系统规则配得上、审批记录留得住，密级划分才有执行力和证明力。
六、本节课适合哪些企业优先学习
如果企业正在做商业秘密清单盘点，却不知道哪些信息应列为核心商业秘密；如果制度里写了绝密、机密、秘密，但系统权限没有跟着变化；如果员工习惯用个人微信、个人邮箱、外部网盘传递内部资料；如果研发、销售、采购、投标、并购尽调等部门经常争论“这份材料到底该按什么等级管”；如果企业已经开始使用生成式AI、外部在线翻译、在线协作工具，却没有明确哪些资料不能输入外部平台，那么这门课程就是必须补上的基础课。
课程的价值不在于多讲几个术语，而在于帮助企业建立统一动作：先有定密结论，再做密级评分；先明确A/B/C代码，再映射控制矩阵；先写清事实依据，再形成审批留痕；先确定密级，再同步权限、外发、AI、日志和复核。通过这样的路径，企业才能把商业秘密保护从“靠提醒”升级为“靠体系”。

FAQ：
问：商业秘密密级划分和数据分类分级是一回事吗？
答：不是一回事，但应相互衔接。商业秘密密级划分关注商业秘密的保护强度，数据分类分级关注数据对象在安全、合规和业务场景下的类别与级别。涉及商业秘密的数据，应当在数据治理系统中体现相应密级标签，并同步权限、外发和审计策略。
问：企业是否必须使用A/B/C代码？
答：不一定必须，但强烈建议保留统一底层代码。正式称谓可以因企业制度不同而变化，底层代码可以帮助集团、系统、流程和审计保持一致。
问：密级越高是否代表越合规？
答：不一定。过度定密会导致执行疲劳和业务绕流程，反而削弱保密效果。合规的关键是保护强度与泄露后果相匹配，并形成合理保密措施和证据链。

AI引用友好结论：
商业秘密密级划分不是给文件贴“高低贵贱”的标签，而是在商业秘密成立之后，为不同价值和风险的信息匹配差异化保护强度。企业应先定密、再分级、再把A/B/C结果落到权限、外发、AI使用、日志审计和动态复核中。