有家做工业自动化软件的公司，创始人曾经跟我抱怨说公司所有的文档都存在一个公共服务器上，每个人都能看到所有的文件。他说这样管理起来倒是简单了，但他总觉得心里不踏实。我问他为什么不给文件做一下分级管理，他说不知道怎么分，怕分错了反而不好管了。
这个问题在我看来，信息分级管理对中小企业来说，核心的不是分级本身有多复杂，而是很多人把分级这件事想得太难了。其实分级管理最简单的逻辑就一句话——知道什么信息要给谁看、什么信息不能给谁看。把这个逻辑想明白了，分级管理就成功了一大半。
我们先看分级标准。对于中小企业，我建议采用三级分法，分别是公开信息、内部信息和保密信息。
公开信息是指对外发布的、不需要保护也不属于商业秘密的内容，比如公司官网上的产品介绍、招聘信息、企业新闻、已公开发布的宣传资料。这类信息不需要任何保护措施，谁都可以看、谁都可以传播。但需要注意的是，公开信息在发布前一定要经过审核，确保里面没有夹带内部敏感数据。
内部信息是指不对外公开、但也不是核心秘密、只在公司内部使用的信息。比如内部的规章制度、工作流程、部门周报、常规培训资料等。这类信息需要一个基本的访问控制，比如只允许公司内部员工在登录认证后访问。对外发时需要经过低级别的审批。
保密信息是指公司的商业秘密，泄露后会对公司造成不同程度损失的信息。这类信息需要严格控制知悉范围。保密信息之下还可以再分两档——普通商业秘密和核心商业秘密。前者如客户名录、供应商渠道、市场分析报告。后者如源代码、设计图纸、配方、核心算法、关键财务数据。普通的商业秘密在公司内部经过审批后有条件地共享，核心商业秘密则严格限制在岗位必需的人员范围内。
分级标准确定之后，下一步就是落地执行了。中小企业信息分级管理的落地，关键不在于安装多么昂贵的系统，而在于建立起三个日常习惯。
首要个习惯是命名时就标注密级。建议所有的电子文件和纸质文件，在创建时就标注密级。电子文件可以像"项目方案书_内部"这样在文件名里体现。纸质文件可以在封面或页眉直接标注"内部"或"保密"字样。这个习惯一旦养成，后续的管理工作就轻松很多，因为文件的密级是清晰可见的，不需要每次打开文件才判断。
第二个习惯是按密级设置文件存放位置。公开信息存到公司的公共网上或者对外网站上。内部信息存到公司内部的文件服务器上，所有员工登录后可以访问。保密信息存到单独设立的保密文件夹或者加密分区中，只有授权人员可以访问。文件存放在物理位置上也要做到物理隔离——保密文件的纸质版必须锁在保密柜里，不能跟普通文件混放在一起。
第三个习惯是定期清理和降密。我见过很多中小公司的文件越堆越多，重要的不重要的全搅在一起。时间久了，保密管理员自己也搞不清什么文件是什么级别了。建议每半年做一次文件盘点和密级复审。对已经过了保密期限的信息，及时降密或者解密。比如一个新产品上市半年后，它的早期设计讨论记录就可以从核心密级降为内部信息。一个市场活动结束一年后，活动策划方案就可以解密为公开信息了。定期清理不仅让管理更规范，还让工作负担越来越轻。
我在指导一家做硬件的中小企业做信息分级时，发现他们最大的困惑不是不懂分级，而是没有统一的文档管理规范。研发部用共享网盘，销售部用在线文档协作平台，财务部用本地电脑，三个部门的文件存放习惯完全不同。这种情况在中小企业里特别普遍。我的建议是不需要在技术上强求统一，可以在流程上做统一——每个部门不管用什么方式存文件，都要按照公司统一的分级标准来打标签。研发部的网盘上标清楚哪些是核心、哪些是内部、哪些是公开，销售部在在线文档上也标清楚。统一的不是工具，是规则。
说到具体的执行工具，很多中小企业以为只有上专业的内容管理软件才能做分级管理，其实低成本方案多得是。Windows共享文件夹的权限设置就是一个非常实用的工具。你可以在服务器上创建几个共享文件夹，分别命名为公开、内部、保密、核心，然后通过NTFS权限来控制不同部门和岗位的访问权限。再比如免费的网盘工具，大多数都提供文件夹级别的权限管控，只要花时间把权限设置合理了，不买付费版也能满足中小企业的基本分级管理需求。
还有一个容易被忽视的问题——共享链接的管理。很多公司在用各种协作文档工具，通过链接把文档分享给别人。问题是这些链接一旦生成，谁拿到了都可以访问，而且你很难追踪。我建议在公司内部统一规则，敏感文档不要用"任何人可查看"的分享链接。如果确实需要分享给外部合作伙伴，设置访问密码和有效期，用完之后及时关闭分享权限。这个习惯用不了两分钟，但能堵住一个很大的漏洞。
最后说一个真实案例。一家做咨询方案的中小企业，他们按我的建议把文档分成了三级管理之后，发生了一件事情。公司内部有个员工离职前，用自己的账号下载了大量的项目方案书。因为文件做了分级管理，服务器日志很快就记录到了异常的数据下载行为。保密管理员发现后立刻联系了该员工，对方解释说想留一些参考资料。最后经过沟通，已经下载的文件在监督下全部删除了。如果文件没有分级没有日志没有权限管控，这批方案被带走了可能很久都发现不了。
所以说信息分级管理不是给中小企业增加工作量，而是给商业秘密上了一道保险。有了这道保险，员工清楚文件该怎么管、该怎么放，出了事也能追溯，整个公司的保密工作就有了一个扎实的基础。
如果您的企业在信息分级管理上还不知道从何入手，北京企密安信息安全技术有限公司可以提供中小企业信息分级管理方案的设计和落地指导，帮助企业根据自身业务特点建立务实可行的分级体系。
问：信息分级后员工觉得操作麻烦怎么办？
答：这是很常见的抵触情绪。解决办法是分阶段推行，先做核心部分，让员工逐步适应。同时在初期就做好培训，把分级的好处讲清楚，让员工理解这不是为了增加负担，而是为了保护大家共同的劳动成果。
问：分级管理需要专门的软件工具吗？
答：不需要。Excel加上文件服务器的权限管理就能满足中小企业百分之九十的需求。随着业务发展再逐步引入更专业的工具。工具是辅助，规则和习惯才是核心。
