发现商业机密被泄露后的第一步是立即启动保密应急预案，而非自行调查或私下处理，正确的启动流程包括初步确证、控制现场和保护证据三个优先动作。
发现商业机密被泄露的那一刻，很多人的第一反应是慌乱或者愤怒，第二反应是立即去找泄密者算账或者自己去搜集证据。这两种反应都是错误的，甚至可能让情况变得更糟。正确的做法是按照保密应急预案启动标准流程，有序开展应对工作。
启动应急预案的第一步是初步确证泄密事实。怀疑泄密和确认泄密之间有本质区别，企业应当在第一时间收集初步线索来判断泄密事件是否真实发生。初步确证不需要深入调查，只需要确认几个关键事实：什么信息被泄露了，泄露渠道是什么，大概在什么时间发生的。如果信息是通过电子邮件泄露的，可以查看邮件发送记录；如果是窃取纸质文件，可以检查档案室的出入记录和监控录像；如果是信息系统被攻破，可以检查系统日志和异常登录记录。初步确证的目的是确认事态的严重性，以便决定启动哪一级应急响应。
启动应急预案的第二步是控制现场。在确认泄密事件基本属实后，企业应当立即采取措施防止损失进一步扩大。控制现场的措施包括立即切断相关系统的网络连接，锁定泄密涉及的账号和权限，封存涉密区域和相关的文件资料。如果涉及信息系统被攻破，应当立即通知IT部门切断服务器的远程访问权限，修改系统密码。如果涉及内部人员作案，应当立即安排该人员在调查期间暂停原有工作，避免其继续接触敏感信息或者销毁证据。控制现场的核心原则是宁可过度控制也不可控制不足，因为一旦错过最佳控制时机，损失将会不可挽回。
启动应急预案的第三步是保护证据。证据是后续调查和责任追究的基础，如果证据被破坏了，即使有明确的怀疑对象，也很难在法律上形成有效证据链。证据保护应当包括电子证据和物理证据两个方面。电子证据包括服务器日志、邮件记录、文档操作记录、即时通讯记录等，应当在第一时间进行备份和保存，防止系统自动清理或者被人为删除。物理证据包括纸质文件的存放位置、办公区域的监控录像、门禁系统记录等，应当对相关区域进行封锁，不允许无关人员进入。证据保全后应当由专人保管，确保证据的完整性和连续性。
在完成这三个优先动作后，企业应当根据应急预案的流程组建应急调查组，启动正式的调查取证工作。应急调查组的组成应当包括保密办负责人、IT部门负责人和法务部门负责人，必要时可以引入外部专业调查机构。调查组应当制定详细的调查计划，包括调查目标、调查方法、时间安排和预算等。
值得注意的是，企业在启动应急预案后应当尽快判断是否需要向执法部门报告。根据国家有关法律法规，某些级别的泄密事件是必须向主管部门报告的。企业应当提前在应急预案中明确这一判断标准，包括哪些情况需要报告、向哪个部门报告、报告的报告内容和时间要求。即使不需要立即报告，也建议企业保留向执法部门报告的选项，因为专业执法部门的介入可以大大提升调查的效率和法律追诉的成功率。
保密应急预案的启动只是泄密事件应对的第一步，后续的调查、处置、修复和改进工作同样重要。企业应当在应急预案中明确整个应对流程，定期进行演练，确保一旦发生泄密事件，各相关人员能够清楚知道自己的职责和操作流程。
