商业秘密到底怎么保护？保密措施要做到什么程度才够？

第一步·圈起来：先明确要保护的「密点」

商业秘密不是把全部资料笼统保密，而是先从信息里拆出主张保护的最小单元——一个工艺参数、一份配方、一段源代码、一套客户定价策略，都可以是一个密点。《反不正当竞争法》（2025修订，2025年10月15日起施行）第十条第四款给出的定义是三个要件：不为公众所知悉、具有商业价值、经权利人采取相应保密措施的技术信息、经营信息等商业信息。任一要件不成立，该信息就不按商业秘密认定，所以建档时必须逐密点核对。

范围上，市场监管总局《商业秘密保护规定》（总局令第126号，2026年6月1日起施行）第五条把信息类型说得很具体：与技术有关的结构、原料、配方、材料、样品、样式、工艺、方法、数据、算法、计算机程序、代码等属于技术信息；与经营活动有关的创意、管理、销售、财务、计划、样本、客户信息、数据等属于经营信息。企业先按这两类做涉密信息盘点，形成清单，后面每一步都挂在这份清单上。

第二步·锁起来：措施要「相应」，不必「极致」

保密性的标准是「相应」而非「极致」——措施应与商业秘密及其载体的性质、商业价值等因素相适应，并能被相对人识别。126号令第九条列举了八类属于「相应保密措施」的情形：（一）签订保密协议或者在合同中约定保密义务；（二）通过建立规章制度、开展培训、书面告知等方式，对能够接触、获取商业秘密的员工、前员工、供应商、客户、来访者等提出保密要求；（三）禁止或者限制进入涉密的厂房、车间、实验室、办公室等生产经营场所或者对其进行区分管理；（四）针对远程办公、跨境协作等场景，采取权限分级、数据脱敏、操作日志留痕等技术保密措施；（五）以标记、分类、隔离、加密、封存、限制能够接触或者获取商业秘密及其载体的人员范围等方式，对商业秘密及其载体进行区分管理；（六）对能够接触、获取商业秘密的计算机设备、网络设备、存储设备等，采取禁止或者限制使用、访问、存储、复制等措施；（七）要求离职员工登记、返还、清除、销毁其接触、获取的商业秘密及其载体，继续承担保密义务；（八）采取其他合理保密措施。

司法口径与行政口径一致：法释〔2020〕7号也列举了在正常情况下足以防止泄露的合理保密措施类型，并要求结合秘密及其载体的性质、商业价值、措施可识别程度、措施与秘密的对应程度、保密意愿等因素综合认定。实务上最容易踩的坑是「措施与密点对不上」——笼统签一份全员保密协议，却拿不出某项核心配方与具体措施的对应记录。建议建立「一点一措施」对应台账：每个密点对应到协议编号、制度发文号、培训签到、权限记录，形成可追溯的证据链。

第三步·留痕迹：存证固定形成时间与内容

商业秘密没有登记公示制度，发生争议时要自己证明「这个密点在我的手里、形成于某个时间」。所以第三步是把研发记录、密点文本的形成时间与内容通过存证方式固定下来。要清楚存证的作用边界：存证解决的是「该内容于某时点已存在且未被篡改」的证明问题，它不产生登记、设权的效力，也不替代三要件的认定；它的价值在于遇到「信息早已公开」「你这是独立研发」这类抗辩时，拿得出有说服力的证据。

日常可操作的留痕包括：研发过程文档按版本留存、涉密载体发放与回收登记、密点台账随措施与存证记录同步更新。留痕质量直接决定日后维权时初步证据的质量，也影响举证责任转移规则的适用效果。

六环节路径与自查清单

把三步展开成可执行的闭环，是六个环节：盘点入库（涉密信息清单与密点拆分）→存证固定（形成时间与内容留痕）→制度体系（保密制度、协议、培训）→人员管控（入离职流程、权限分级）→对外流转（供应商、客户、来访者的保密要求与审批）→泄密应对（止损、固定证据、民事举报报案三条路径并行）。

商秘库线上工作台支持逐密点登记对应措施、自动分级并导出分级保护目录，把「一点一措施」台账线上化；如需先自查企业当前保护状况，可先做一次免费商业秘密体检。