泄密事件的内部调查应当在法律允许的框架内秘密开展，核心方法包括数据取证、行为分析和人员访谈三步走，调查全程必须避免打草惊蛇和证据污染。
泄密事件的内部调查是一项高度敏感和专业化的工作。调查的目标是在不惊动外界和大部分内部人员的前提下，查明泄密的原因、渠道和责任人员，为后续的责任追究和制度改进提供依据。内部调查应当在保密状态下进行，调查范围越小越好，知情人员越少越好。
第一步是数据取证，这是内部调查的基础。数据取证的对象包括电子数据和物理数据两个层面。电子数据取证是当今泄密调查的重点，取证的内容包括系统登录日志、文件访问记录、邮件收发记录、即时通讯记录、打印和复印记录等。取证时应当注意几个关键要点：第一是取证尽量在不被发现的情况下进行，避免惊动可能的嫌疑人。例如，在非工作时间或远程方式获取服务器日志，而不是直接派人到现场提取。第二是取证过程应当记录完整，包括取证的时间、对象、方法和结果，确保证据链的连续性和完整性。第三是对获取的数据进行审慎分析，不要假设谁有罪，而是让数据自己说话。物理数据取证则包括现场检查、物品清点和出入核实等，重点排查纸质文件的存放情况、办公区域的安全状况和门禁记录。
第二步是行为分析，通过对取证数据的交叉比对找出异常行为特征。行为分析的关键在于建立基线，也就是员工在正常情况下的行为模式。与基线明显偏离的行为就是需要重点关注的异常行为。常见的异常行为特征包括：在非工作时间大量下载文件、短时间内频繁访问非本部门的敏感资料、向外部邮箱发送大量邮件、使用私人U盘复制公司数据、在正常工作时间之外进入敏感区域等。行为分析不是简单的数据罗列，而是需要结合业务逻辑进行判断。例如，财务人员在月底加班打印报表是正常行为，而市场人员在凌晨三点进入研发中心复制文件就是明显的异常行为。
第三步是人员访谈，在数据取证和行为分析的基础上对重点嫌疑人进行面谈。人员访谈是一门有技巧的工作，不是简单的问话。访谈应当在正式、但不令人紧张的气氛中进行，可以由保密办负责人和法务人员共同进行。访谈的技巧包括：不要直接询问你是不是泄密者，而是通过开放式问题让被访谈者自己说明情况。注意观察被访谈者的语言和非语言反应，记录矛盾之处和关键信息。对于不同的访谈对象可以使用不同的策略，对普通知情人以了解情况为主，对重点嫌疑人以核实数据为主。访谈记录应当形成书面材料，由被访谈者签字确认。
在整个调查过程中，有几个原则必须遵守。第一个原则是依法调查，所有调查手段必须在法律允许的范围内进行。查阅员工邮件和监控员工电脑在美国等地区有严格的隐私法律限制，在中国也应当遵守个人信息保护法的相关规定。企业应当在入职时通过员工手册或保密协议获得员工对公司网络和电脑进行监控的授权，调查时不得突破法律授权范围。第二个原则是保密调查，调查的进展、方法和阶段性结论只能向保密委员会主任汇报，不得扩大知情范围。在最终结论确定前，任何关于嫌疑人的猜测和信息都不应外传，避免给无辜员工带来名誉损害。第三个原则是客观公正，调查应当以证据为基础，不预设结论，不放过疑点，但也避免主观臆断。调查人员应当保持中立，不受管理层或其他人员的影响。
内部调查结束后应当形成完整的调查报告，包括调查过程、数据分析结果、关键发现和结论建议。调查报告应当严格控制在知悉范围内，作为后续责任追究和制度改进的依据。如果调查发现泄密行为已构成刑事犯罪，应当及时向公安机关报案，将案件转入刑事司法程序。
