一、动作一：坚持定密结论先行
商业秘密密级划分的第一条落地原则，是先定密、再分级。也就是说，企业应先判断某项信息是否满足商业秘密三要件，再判断其保护等级。不能因为想加强管理，就直接把一切内部资料套上A级或B级；也不能因为资料暂时难以判断，就放弃管理。对不满足商业秘密三要件但仍需内部控制的信息，应纳入工作秘密、重要敏感信息或一般内部信息管理路径。
定密结论先行，可以避免两个问题。第一，避免“装成商业秘密”。如果信息本身已经公开、容易获得或缺乏商业价值，单纯提高密级并不能让它变成商业秘密。第二，避免“漏保”。某些信息尚未完成正式定密，但已经具有明显商业价值和非公开性，应先纳入候选清单并采取临时控制，防止在定密流程完成前被随意外发。
企业应把定密前置写入制度和流程。新项目立项、重大投标、研发阶段成果、客户资料沉淀、供应商合作、并购尽调、数据集建设、AI知识库上传前，都应有识别和定密触发点。只有触发点清楚，商业秘密不会等到泄露后才被发现。
二、动作二：建立评分锚点
五维评分模型要真正可用，企业必须建立评分锚点。同类事项如果每个部门评分差异过大，密级口径就会漂移。评分锚点不是僵化答案，而是企业根据自身行业和业务形成的参考样例。
例如，核心算法权重一般如何评分？重大投标报价模型一般如何评分？客户名单与客户画像如何区分？工艺参数和普通操作规程如何区分？项目实施方案在什么情况下属于C级，在什么情况下升为B级？公开计划取消时如何重评？这些样例一旦形成，就能帮助后续评分更稳定。
评分锚点可以通过培训案例、历史定密记录和审计复盘逐步积累。建议企业建立内部“商业秘密评分案例库”，每个案例包含对象描述、三要件判断、五维评分、事实依据、密级结论、控制动作和复核意见。培训新员工、关键岗位和保密员时，可以直接使用这些案例。
三、动作三：建立双人评分机制
商业秘密评分如果只由一个人完成，容易受个人经验、部门利益和责任压力影响。对于机密及以上事项，建议采用双人评分或联合评分机制。至少由业务负责人和保密管理人员共同参与；涉及合同、个人信息、跨境、重大客户或监管事项时，应加入法务合规；涉及系统权限、数据集、代码仓、AI工具和日志审计时，应加入IT或数据治理人员。
双人评分有三个好处。第一，减少个人偏差。业务部门更懂价值，保密部门更懂口径，两者结合更稳。第二，提升证据质量。不同部门共同写出理由，后续审计和维权更有支撑。第三，促进控制落地。IT和法务提前参与，就能在定级时同步考虑权限、外发、AI和合同条款，而不是事后补救。
企业可以设置分差处理机制。如果两个评分人对某一维度分差较大，应重新讨论并写明原因。对于总分处在边界、触发定性兜底或涉及重大事项的，应提交更高层级审批。这样，密级划分既有效率，也有质量控制。
四、动作四：书面理由留痕
没有理由的分数，很难经得起复核。商业秘密密级划分不是只填数字，而是要记录事实依据。特别是定性兜底、提级、降级、解密、例外外发、AI使用例外、对外披露净化版审批，都必须有书面理由。
书面理由应包括信息对象、价值说明、泄露后果、获取难度、合规敏感、原始分数、建议密级、是否触发兜底、审批依据、控制措施和复核期限。写得越清楚，后续越容易执行。比如“客户资料重要”不够，应写“该资料包含前三年采购节奏、价格承受力、流失风险、竞品替代倾向和内部评价，组合后可还原客户议价策略，泄露后可能导致客户被竞争对手精准挖取”。
留痕不仅是内部管理需要，也是合理保密措施和证据链的一部分。一旦发生泄密争议，企业需要证明自己识别了秘密、评估了价值、采取了措施、限制了知悉范围并保留了记录。评分表、审批单、培训记录、权限日志、外发记录、水印记录和复核记录，都会成为企业说明自身保护能力的重要材料。
五、动作五：标签权限映射
密级划分如果不进入系统，就会停留在课堂和台账。企业应把A/B/C代码映射到文档标签、数据字段、系统权限、代码仓权限、VDR权限、DLP策略、邮件网关、终端控制、AI工具策略和日志审计规则中。
例如，A级文档自动禁止外发到外部邮箱，禁止普通下载，禁止输入外部AI，下载和查看全量审计；B级文档外发需要审批，优先生成净化版，关键操作审计；C级文档保留基础水印和访问记录，外发至少登记。代码仓、模型仓、知识库和数据集也应使用类似规则，而不是只管理传统Word和Excel文件。
标签权限映射需要业务、保密和IT共同设计。业务部门负责说明资料使用方式，保密办公室定义控制规则，IT配置系统策略，法务审查对外披露和合同条款。建议企业先选取几个高风险对象试点，如核心研发资料、投标资料、客户价格条件、并购尽调资料、源代码和模型数据，再逐步推广。
六、动作六：建立定期复核机制
商业秘密密级不是永久不变的。企业至少应建立年度复核机制，检查密级是否准确、控制措施是否有效、知悉范围是否过宽、权限是否及时回收、外发记录是否完整、AI使用是否合规、日志审计是否可追溯。遇到公开、替代、异常下载、挖角、系统迁移、重大合作、项目终止、第三方退出、数据集组合和监管要求变化时，应及时触发专项复核。
复核不是走形式。复核至少要看两个问题：密级是否还准确，控制措施是否还有效。如果A级资料已经公开，是否应降密或解密？如果C级资料因组合形成客户画像，是否应升密？如果B级资料频繁外发，是否需要强化审批？如果某系统无法实现对应日志，是否需要补充控制或调整存储位置？复核结果要进入台账和系统，不应只停留在会议纪要。
七、培训如何转化为企业行动计划
课程结束后，企业可以设置30天、60天、90天落地任务。30天内，完成商业秘密密级制度口径确认、评分表模板、A/B/C控制矩阵和首批试点对象选择。60天内，完成重点部门候选清单、评分锚点案例库、外发审批和AI使用规则试点。90天内，完成系统标签权限映射、日志审计看板、年度复核计划和整改闭环台账。
对管理层来说，课程后的关键不是要求所有部门立刻一次性完成全部清单，而是形成可推进的路线图。先抓高价值、高外发、高流动、高第三方协作、高AI使用的场景，再扩展到全公司。保密工作真正有效的路径，是重点先行、制度固化、系统跟进、持续复核。
八、把责任落到岗位
商业秘密密级划分不能只由一个部门负责。业务负责人应对信息价值和使用范围负责；保密办公室应对口径、流程和复核负责；法务合规应对合同、权属、合规敏感和对外披露负责；IT和数据治理应对系统标签、权限、日志和AI策略负责；HR应对涉密人员、入离调转和培训记录负责；管理层应对重大事项和资源保障负责。
当责任明确后，密级划分就不再是一次培训任务，而是企业治理的一部分。每一份商业秘密都有归属部门、责任人、密级、期限、知悉范围、控制措施和复核计划。企业才能真正做到：谁能看，说得清；谁导出，查得到；谁审批，有记录；谁外发，可追溯；何时复核，有计划。
问：培训结束后最先做哪件事？
答：建议先形成统一评分表和A/B/C控制矩阵，再选择高风险部门试点。不要一开始追求全量覆盖，否则容易变成形式化盘点。
问：系统暂时不能支持全部控制怎么办？
答：可以先用流程和台账补位，但应形成系统改造计划。长期看，密级必须映射到标签、权限、外发、AI和日志策略中。
问：谁负责维护商业秘密清单？
答：通常由保密办公室统筹，业务部门作为责任主体维护具体事项，法务、IT、HR和审计按职责协同。
