一、不清楚有什么秘密，就谈不上保护
商业秘密保护的基础工作，是清楚了解企业自身拥有哪些商业秘密。然而在实际管理中，相当数量的企业对于"哪些信息属于商业秘密"这一基本问题缺乏系统认识。许多企业能大致说出自己的核心技术或客户名单是商业秘密，却难以完整、准确地列明全部涉密资产。这种"心中有数、档案不清"的状态，使得后续的保密措施建立在模糊的基础上，既可能导致保护不足留下漏洞，也可能因保护范围过大造成资源浪费。
商业秘密资产的系统化盘点，就是要帮助企业回答三个基础问题：企业有哪些商业秘密、这些秘密的价值和敏感程度如何、它们分布在哪些部门和岗位。只有在这些问题得到清晰回答之后，企业才能有针对性地设计和实施保护措施。
二、资产盘点的范围和方法
商业秘密资产的盘点范围应覆盖企业的全部业务领域和职能部门。从信息类型来看，主要分为技术信息和经营信息两大类别。技术信息包括研发设计图纸、技术方案、工艺流程、配方、算法、源代码、实验数据、技术诀窍等。经营信息包括客户名单、供应商信息、定价策略、营销方案、招投标文件、合同条款、财务数据、战略规划、管理决策等。
盘点工作宜采用"自下而上"与"自上而下"相结合的方式。自下而上是指由各业务部门和职能部门对本部门产生、持有和使用的信息进行梳理，识别其中具有商业秘密属性的信息，填报涉密资产登记表。自上而下是指由保密管理部门对企业整体情况进行审视，从业务流程角度补充可能遗漏的涉密信息类型。
盘点过程中需要特别关注一些容易被忽视的涉密信息。例如，研发过程中的失败数据和实验记录，虽然不直接产生商业价值，但其中包含的技术路径信息可能对竞争对手具有参考价值。又如，企业内部的会议纪要、工作邮件、即时通讯记录中，可能散落着涉密信息片段。这些"散落"的信息同样是盘点需要覆盖的对象。
三、商业秘密的分级标准
完成资产盘点后，下一步是对识别出的商业秘密进行分级。分级的目的是为不同价值等级的秘密资产配置差异化的保护措施，实现保护效果与保护成本的合理平衡。
常见的分级模式是将商业秘密分为三个等级。核心商密是关系到企业核心竞争力或生存发展的商业秘密，一旦泄露可能对企业造成严重损害或不可逆转的竞争劣势。对于核心技术、配方、关键工艺参数、战略性客户数据等信息，通常应划入核心商密等级。
重要商密是泄露后会对企业利益造成较大损害，但不至于危及企业生存的商业秘密。一般的客户信息、供应商清单、定价方案、内部管理制度等可归入此等级。
一般商密是泄露后可能对企业造成一定不利影响，但影响程度相对有限的商业秘密。如一般性的工作流程文档、常规业务数据等。
分级的核心在于制定明确、可操作的分级标准。标准应综合考虑信息的稀缺性和不可替代性、泄露可能造成的损失程度、信息的市场价值、以及信息的形成成本等因素。分级不是一次性完成的，应随业务发展定期复核和调整。
四、分级保护措施的差异化配置
不同等级的商业秘密应有不同强度的保护措施。在物理安全方面，核心商密区域可能需要独立的门禁系统和监控设备，限制非授权人员进入。重要商密区域可采用普通门禁系统，实行登记进入制度。一般商密区域则主要依靠常规的办公区管理措施。
在信息系统安全方面，核心商密数据应实施高强度的加密存储和传输、严格的访问控制和详细的操作审计。重要商密数据需要基本的加密和访问权限管理。一般商密数据可主要依靠用户身份认证和基础访问控制。
在人员管理方面，接触核心商密的员工应经过更严格的背景审查、签署专门的保密协议、接受更高频次的保密培训和检查。接触重要商密的员工执行标准涉密人员管理流程。
在载体管理方面，核心商密的纸质文件和电子文件应有特殊的标识和管理要求，如限制复印、禁止带离指定区域等。
五、资产盘点的常态化管理
商业秘密资产的状态是动态变化的。新的商业秘密在不断产生，旧的有可能解密或失去保护价值；员工岗位的变动可能改变涉密信息的分布；业务发展可能使某些信息的密级需要调整。因此，资产盘点和分级不应是一次性的工作，而应建立常态化机制。建议每年至少进行一次全面的涉密资产普查，并在发生重大业务变化、组织调整或信息安全事件时进行专项核查。
同时，应建立商业秘密资产管理台账，记录每项涉密资产的基本信息、所属密级、知悉范围、保护措施、责任人、盘点记录等，实现对商业秘密资产的规范化、系统化管理。
