邱 斌/文

2009年，力拓集團4名駐華員工因涉嫌侵犯商業(yè)秘密罪被逮捕，經(jīng)查證，力拓上海辦公電腦里存有數(shù)十家與力拓簽署長期合作的鋼鐵企業(yè)內(nèi)部資料，這些資料涉及企業(yè)的采購計劃、產(chǎn)量和銷售情況等重要信息。這起跨國企業(yè)商業(yè)間諜案為所有的企業(yè)敲響了警鐘，在全球經(jīng)濟一體化的背景下，各種形式的競爭日趨激烈，如何通過保護商業(yè)秘密維護企業(yè)利益，日益受到企業(yè)的重視。

一、天網(wǎng)恢恢

侵犯商業(yè)秘密事件造成的后果非常嚴(yán)重，影響也是相當(dāng)惡劣，因此國家非常重視對于企業(yè)商業(yè)秘密的保護，《反不正當(dāng)競爭法》和國家工商局《關(guān)于禁止侵犯商業(yè)秘密行為的若干規(guī)定》對侵犯他人商業(yè)秘密的不正當(dāng)行為進行了定義和處罰。這些法律條文震懾了侵犯商業(yè)秘密的行為，為違法人員處理提供了依據(jù)，在法律上保護了企業(yè)的商業(yè)秘密。據(jù)報道，深圳市人大常委會今年還對1996年實施的《深圳經(jīng)濟特區(qū)技術(shù)秘密保護條例》進行了修訂，員工跳槽后泄密將付出高額賠償。國家的法律站在較高的層面上，為所有企業(yè)的商業(yè)秘密保護指明了方向，奠定了基礎(chǔ)。因此保護商業(yè)秘密首先要站在法律的基礎(chǔ)之上，不能同國家的法律背道而馳，靈活運用法律手段保護自身的合法權(quán)益。

二、追本溯源

企業(yè)的商業(yè)秘密簡單說就是文檔。從承載的形式上看，文檔分為電子文檔和紙質(zhì)文檔；從文檔的生命周期上看，文檔經(jīng)歷了產(chǎn)生、存儲、借閱、傳遞、使用、銷毀的過程。電子文檔有著其極為特殊的特性，它是由一組特殊的符號組成的，容易修改、刪除、復(fù)制和損壞；而對于紙質(zhì)文檔，其載體就是紙張，可以修改和復(fù)制，但無法損壞和從紙張上刪除，僅能通過銷毀紙張本身來銷毀信息。紙質(zhì)文檔和電子文檔之間也是可以相互轉(zhuǎn)化的，電子文檔打印后可以轉(zhuǎn)換成紙質(zhì)文檔，紙質(zhì)文檔掃描后也可以轉(zhuǎn)換成電子文檔。無論是電子文檔還是紙質(zhì)文檔，他們存在于文檔的整個生命周期之中，因此對于文檔的保護，需要放眼于整個生命周期的過程，對于文檔的保護需要一個整體的體系架構(gòu)，不能僅僅只局限于某個方面，或者是想到什么方面就從什么方面入手。

對于企業(yè)商業(yè)秘密的保護最簡單的劃分就是技術(shù)和管理。技術(shù)是手段和工具，管理是方法和途徑，管理需要技術(shù)的支持，技術(shù)需要管理去驗證。信息安全里面有一個說法“三分技術(shù)，七分管理”。筆者對這種說法的理解是技術(shù)可以解決30%的問題，而管理能解決70%的問題。但是這并不是說明技術(shù)不重要，其實技術(shù)和管理之間的地位是平等的。我們對于商業(yè)秘密的保護是遵循一個“水桶效應(yīng)”的，只有桶壁上的所有木板都足夠高，那水桶才能盛滿水；只要這個水桶里有一塊不夠高度，水桶里的水就不可能是滿的；水桶里面水的多少，直接取決于最短的那塊木板。技術(shù)與管理需要并重，只發(fā)展技術(shù)，或者只發(fā)展管理，都是畸形的發(fā)展，花費了大量的資源，但是效果卻是微乎其微。

文檔的類型、文檔的生命周期和保護方法組成了一個三維立體結(jié)構(gòu)。例如對于電子文檔在存儲過程中的技術(shù)保護方法，可以包括加密、備份；紙質(zhì)文檔產(chǎn)生時的管理保護方法，包括打印機的管理、文件打印的審批。企業(yè)商業(yè)秘密保護制度通過不同類型的文檔在整個生命周期中技術(shù)和管理上的保護，來達到自己的目標(biāo)。當(dāng)三維立體結(jié)構(gòu)建立以后，也就是說我們的商業(yè)秘密保護制度的整體框架建立好了，剩下的工作就是不斷豐滿整個體系框架，將具體的制度添加進去。例如限制上網(wǎng)、限制使用聊天工具、限制上傳下載、進行網(wǎng)絡(luò)監(jiān)控、實施加密措施，對系統(tǒng)實施訪問控制、日志審計、數(shù)字水印、強制使用強密碼、禁止使用攝像頭、簽訂競業(yè)限制協(xié)議和保密協(xié)議、相應(yīng)的各項處罰和獎勵、詳細(xì)的文件借閱使用記錄等等。

三、生生不息

世界上不會存在一模一樣的企業(yè)，而對于不同的企業(yè)，出于企業(yè)規(guī)模不同、涉及行業(yè)不同、商業(yè)秘密類型不同等原因，企業(yè)對于商業(yè)秘密的保護制度也是不同的。我們不能說哪種制度是不好的，哪種制度是好的，只能說哪種制度是最適合的。不同的企業(yè)對商業(yè)秘密保護會有不同的答案，甚至是完全相反的答案，因此對于一個企業(yè)，要找出最適合自己的商業(yè)秘密保護制度，需要不斷地嘗試、總結(jié)以及改進。

首先是商業(yè)秘密的確定。根據(jù)企業(yè)涉及行業(yè)類型、業(yè)務(wù)特點、組織結(jié)構(gòu)、資產(chǎn)和技術(shù)等等，確定制度保護的范圍和邊界，即對一個具體的公司而言商業(yè)秘密到底是些什么，確定好保護目標(biāo)才能讓后面的工作能夠圍繞著一個確實不變的中心進行。對于商業(yè)秘密的解釋，《中華人民共和國刑法》指出：“商業(yè)秘密是指不為公眾所知悉、能為權(quán)利人帶來經(jīng)濟效益、具有實用性并經(jīng)權(quán)利人采取保密措施的技術(shù)信息和經(jīng)營信息”。不過這只是一個大的總體方向，對于商業(yè)秘密的識別還需要企業(yè)自己花大力氣去識別。兵法有云：“知己知彼，百戰(zhàn)不殆”。想要保護商業(yè)秘密，就必須了解自己到底有哪些商業(yè)秘密。

接著是商業(yè)秘密的評定。當(dāng)我們的商業(yè)秘密確定出來后，人事信息、財務(wù)信息、物流信息、研發(fā)信息、銷售信息、客戶信息等等紛繁復(fù)雜，多不勝數(shù)。全部都管理起來是不現(xiàn)實的，即使勉強完成也不會起到好的效果。其實在這些信息中有20%會直接影響企業(yè)80%的效益。能切實有效地抓好這20%的商業(yè)秘密的保護，我們的工作效果就會非常明顯地表現(xiàn)出來。對于商業(yè)秘密的評級，一般都是按照敏感程度，也就是說如果泄密將會造成的影響和損失來進行評定的。例如我們的高考試題，如果泄密那就是全國所有考生的利益遭到損失，因此高考試題的密級是最高的；但是高考結(jié)束后，就算所有人都知道考題內(nèi)容，也不會有什么影響，因此此時考試題的密級也就是最低的。打蛇要打7寸，做事情要抓住重點，對于商業(yè)秘密的評級尤為重要。

然后才是編寫制度，確定如何對商業(yè)秘密進行保護。我們制定各項制度保護商業(yè)秘密，保護到一個什么樣的程度是此時我們需要考慮的問題。因為進行保護必然會影響日常工作，改變一直以來的習(xí)慣。過多的保護會降低工作效率，為企業(yè)帶來負(fù)面的效應(yīng)；而過少的保護，顯而易見，必然增加商業(yè)秘密泄露的風(fēng)險，因此需要有一個原則，一個底線。實施某個制度的總支出必須低于該風(fēng)險產(chǎn)生的損失，或者說，如果其他方法可以用更少的支出實現(xiàn)差不多的目標(biāo)甚至更好，那么這項制度也就沒有存在的意義。確定具體制度需要綜合多方面的考慮，公司規(guī)模、企業(yè)文化、資源配備等等。制度制定出來的目的是需要實施的，沒有可行性的制度是沒有任何用處的。例如軍工企業(yè)文件傳遞需要專人護送、文檔打印需要領(lǐng)導(dǎo)審批同意，文檔加密必須要最先進的加密算法。這些制度確實可以最大限度地保護商業(yè)秘密，但是對于民用企業(yè)，基本上是不可能得到實施的。一個制度的制定，需要多方面的調(diào)研，驗證實施的可行性，不能因為其他企業(yè)做得好，卓有成效，就直接拿過來使用。其他企業(yè)好的制度我們可以借鑒，但是要有限度的借鑒，別人的東西永遠只適合別人，只有將別人的東西變?yōu)樽约旱囊院?，才能夠更好地使用?/p>

商業(yè)秘密保護制度并不是一成不變的。一個企業(yè)不同時期的保護制度制定應(yīng)該是一個動態(tài)的過程，是一個不斷優(yōu)化呈螺旋式上升的過程。通過一個又一個PDCA循環(huán)過程，計劃、執(zhí)行、檢查和行動，不斷地自我調(diào)整，適應(yīng)公司的各項變化。PDCA循環(huán)是管理學(xué)中的一個通用模型，無數(shù)的成功案例不斷證明它的正確性和優(yōu)越性。實踐是檢驗真理的唯一標(biāo)準(zhǔn)，沒有得到執(zhí)行的制度即使再完美也是失敗的。

四、任重道遠

企業(yè)的商業(yè)秘密是企業(yè)的命脈，必須要將其牢牢掌握在自己手中。對商業(yè)秘密的保護是一個長期而艱巨的任務(wù)，需要企業(yè)花費大力氣實現(xiàn)。本文主要論述了商業(yè)秘密保護制度的流程和框架，為商業(yè)秘密的保護提出一個大體的建議，而具體的各項商業(yè)秘密保護制度則需要企業(yè)根據(jù)自身的條件量身打造。沒有最好的制度，只有最適合的制度。EIP