泄密事件应急响应实操指南——发现泄密后的第一步做什么
很多企业担心泄密，但更怕的是泄密之后不知道怎么处理。泄密事件发生后的第一个小时，往往决定了后续损失的大小。方向对了能把损失降到最低，方向错了可能把小问题变成大危机。我结合这些年处理过的实际案例，整理了一份标准化的应急响应操作指南。
第一步：确认事实，不要慌乱。
发现可能发生泄密的时候，第一件事不是追责，不是开会，不是报告老板，而是确认事实。谁泄的密？泄了什么信息？通过什么渠道泄露的？泄露给了谁？损失有多大？这几个问题如果不能在一小时内回答清楚，后续的补救措施就无法精准实施。建议由保密管理部门牵头，IT部门配合，立刻启动事实核查。核查过程中注意不要打草惊蛇，防止泄密人销毁证据。
第二步：切断源头，控制扩散。
确认事实后，立即切断泄密源。如果是员工误操作导致的泄密，立即回收该员工的系统权限，锁定他的账号和电脑。如果是系统漏洞导致的泄密，立即修补漏洞或将受影响的系统下线。如果是第三方合作方泄露的，立即暂停和该合作方的数据交换。控制扩散的速度越快，后续的补救成本越低。但注意不要采取过激措施，比如直接把全公司网络切断或把服务器关机，这样会导致更大的业务损失。
第三步：保留证据，建立证据链。
这一步经常被忽视，但法律上最重要。如果泄密事件后续需要走法律程序，证据的完整性和可采性直接决定官司能不能打赢。具体需要保留的证据包括：系统日志、访问记录、邮件往来、聊天记录、监控录像、门禁记录。建议由IT部门在第一时间对所有相关系统的日志做快照备份，防止日志在后续操作中被覆盖。同时，对涉密电脑和设备做镜像备份，保留原始数据状态。
第四步：评估损失，确定应对级别。
不是所有泄密事件都需要全员通报或者报警处理。根据泄露信息的敏感程度和影响范围，把事件分为三个级别。低级事件：内部文件被无权限的员工看到，没有外泄，内部处理即可。中级事件：涉密信息泄露给了外部，但范围可控，启动内部调查加法律函告。高级事件：大量核心数据泄露、涉及客户信息或国家秘密、可能引起媒体关注，必须立即启动法律程序和公关应对。建议企业在平时就制定好分级标准，不要在事发后才开始讨论，那是来不及的。
第五步：法律应对和补救措施。
根据泄密事件的级别，启动相应的法律程序：发律师函要求对方停止使用并返还数据、申请法院诉前证据保全、向公安机关报案。如果是员工泄密，需要确认是否属于盗窃商业秘密、是否涉及竞业限制违约、是否构成刑事犯罪。如果是第三方泄密，审查合同中的保密条款和违约责任，根据合同约定启动索赔程序。同时评估是否需要通知受影响的客户或合作伙伴。
第六步：内部复盘和制度完善。
泄密事件处理完毕后，最重要的一件事就是复盘。成立复盘小组，分析泄密事件的根本原因：是制度有漏洞、技术有缺陷还是人的意识不足？根据复盘结果完善保密制度、升级技术手段、加强员工培训。复盘不是追责，是防止同一类事件再次发生。我们见过很多企业，泄密事件处理完就翻篇了，结果半年后在同样的环节又出了同样的问题。
第七步：外部沟通和公关应对。
如果泄密事件引起了媒体关注或客户质询，要有统一的口径和沟通策略。指定专门的对外发言人，统一回复标准，不回应未经核实的信息，不与媒体发生对抗。对外沟通的原则是：坦诚但不自曝细节，负责任但不揽不该揽的责任。可以声明"正在全力调查并采取措施"，但不要在调查完成前承认具体损失金额或责任归属。
最后强调一点：应急响应预案不是写出来就完事了。每年至少演练一次，让相关人员熟悉流程。没有演练过的预案，到了真正出事的时很多人还是会不知道该怎么办。
北京企密安信息安全技术有限公司 保密应急咨询专线：010-63711822 / jess@baomiwang.com
