说到商业秘密保护，很多老板第一反应就是签了保密协议就行了。但实际接触过商业秘密纠纷的人都知道，保密协议只是最基础的一步，真正的保护需要一整套体系来支撑。这篇文章我就从实际操作的角度，把商业秘密保护管理体系怎么建讲清楚。
先明确一个概念，商业秘密到底包括什么。按照反不正当竞争法的定义，商业秘密是指不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息和经营信息。这里面有几个关键词，不为公众所知悉就是非公知性，具有商业价值就是价值性，采取相应保密措施就是保密性。三个条件缺一不可，少一个就不构成法律意义上的商业秘密。
很多人以为，只要我在合同里写了保密条款，我的商业信息就受保护了。这是一场误会。法律要求的是采取了相应的保密措施，这不是签一份协议就完事的事情。企业必须证明自己真正采取了合理的保密管理措施，才能在发生纠纷时获得法律保护。没有实际措施支撑的保密条款，在法律上会被认为保护不力。
所以，体系化建设就很关键了。我把它分成几个层面来说明。
第一个层面是组织建设和制度建设
组织建设方面，企业要明确商业秘密管理的责任主体。建议成立保密管理领导小组或者指定专门的保密管理部门，明确各层级的保密职责。总经理要对保密工作负总责，各部门负责人对本部门的保密工作负责，每个员工对自己接触的保密信息负责。有了清晰的责任体系，保密工作才能有人抓有人管。
制度建设方面，需要制定一套完整的保密管理制度。包括商业秘密保护管理办法、保密信息分类分级制度、员工保密行为规范、保密检查与考核办法等。制度不求多，但求管用。每一条制度都要考虑能不能执行，在执行中能不能检查，检查后能不能改进。
制度制定过程中要注意几个细节。保密信息的分类分级要结合企业实际情况，不能照搬别的公司的分类标准。比如研发型企业，技术秘密是重点。销售型企业，客户信息和报价策略是重点。每个企业的商业秘密构成不一样，分类分级的标准也不一样。
第二个层面是信息资产识别和分类分级
这一步是很多企业容易忽略的。你得先知道自己有哪些商业秘密，才能谈得上怎么保护。建议做一次全面的信息资产盘点，把企业的商业秘密梳理清楚。
梳理的时候要问几个问题。这个信息是不是不为公众所知悉。这个信息有没有商业价值。如果这个信息泄露了，会给企业带来什么损失。对每个信息资产做出评估，然后根据重要程度划分保护等级。一般可以分成绝密、机密、秘密三个等级，不同等级采取不同的保护措施。
绝密级信息是企业最核心的商业秘密，比如核心技术配方、关键研发数据、重大战略规划等。这类信息的接触范围要严格控制到最小，只有必需的人员才能接触，而且要有完整的接触记录。
机密级信息是企业重要的商业秘密，比如客户信息、项目方案、采购渠道等。这类信息可以控制在部门或项目组范围内，要有相应的访问控制措施。
秘密级信息是一般的商业秘密，比如内部的作业流程、管理规范等。这类信息在合理的范围内可以共享，但也要有基本的保护措施。
第三个层面是物理保护和技术保护
物理保护方面，包括涉密区域的物理隔离、门禁管理、监控覆盖等。存放重要商业秘密的场所要有专门的保护措施，比如机房、档案室、研发实验室等。对进入涉密区域的人员要登记，非授权人员不得进入。
技术保护方面，手段就比较多了。访问控制，对重要信息系统的用户进行严格的身份认证和权限管理。加密保护，对涉密数据进行加密存储和加密传输，即使数据被非法获取也无法读取。水印技术，在重要文件上嵌入数字水印，一旦泄露可以通过水印追溯到来源。日志审计，对信息系统的访问操作进行全面的记录和监控，及时发现异常行为。
在技术和物理保护上，一个重要的原则是最小权限原则。每个员工只能接触到他工作必需的保密信息，不能多给。很多商业秘密泄露事件，根本原因就是权限管理太松，不该看的人也看了。
第四个层面是人员管理和培训教育
人员是商业秘密保护中最关键也最薄弱的环节。员工入职时就要签订保密协议、竞业限制协议，进行保密教育，明确告知企业有哪些商业秘密、保护要求是什么、违反的后果是什么。
在职期间要定期开展保密培训，培训内容要结合行业特点和企业实际案例。还有就是员工的离职管理，这是商业秘密泄露的高发环节。员工离职前要完成工作交接和信息清理，回收所有涉密资料和权限，签署离职保密承诺书。重要岗位的员工离职，还可以考虑做一次离职谈话，了解其去向，提醒保密义务。
第五个层面是检查审计和持续改进
体系建好之后不能当摆设，要定期检查运行效果。可以每季度做一次保密检查，每半年做一次内部审核，每年做一次管理评审。检查发现的问题要有记录、有分析、有整改、有验证，形成管理闭环。
保密管理不是一成不变的。企业的业务在变化，人员有更替，外部环境也在变化。保密体系要定期评估，及时调整保护策略。比如企业上了新业务线、开拓了新市场、引进了新合作伙伴，都要重新评估保密风险，看看现有的保护措施是不是够用。
常见的痛点和对策
在实际建设过程中，企业经常遇到几个难处。
一个是资源投入的平衡。小企业预算有限，不可能在所有方面都做到高标准。这种情况下可以采用风险导向的方法，把有限的资源优先投入到最核心的商业秘密保护上。比如一家小型技术公司，核心专利配方是最重要的，那么研发实验室的物理防护和图纸资料的管理就要做到极致，其他的方面可以适当从简。
另一个是员工配合度的问题。保密管理会带来一些工作的不便，比如使用加密系统后操作变复杂了，访问权限控制后协作变麻烦了。有些员工会觉得麻烦就找漏洞绕过管理措施。应对这个问题，一方面要加强培训和教育，让员工理解保密的重要性。另一方面管理措施也要考虑用户体验，尽量在安全和便捷之间找到平衡。
还有就是外部合作中的保密。跟供应商、客户、合作伙伴打交道时，商业秘密很容易外泄。建议对外合作时签订保密协议，明确双方的保密义务。重要的合作项目要控制信息的披露范围，只披露合作必需的信息。对合作方接触核心信息的人员也要要求签署保密承诺。
我想说的是，商业秘密保护不是搞几份文件应付审核，而是真正把保护意识和管理能力建起来。对于企业来说，商业秘密就是核心竞争力。把这些制度建设好、执行好，就是对企业的核心资产负责。保密这件事，早做比晚做好，系统做比零星做好，坚持做比突击做好。
