分级保护目录怎么编？从信息盘点到密级划分的操作路径

一、第一步：盘点入库，先把三类信息铺开

编目录不是从「定密级」开始，而是从「盘家底」开始。企业日常经营中产生的信息分散在各个部门，先按三类铺开：研发类（设计文档、工艺参数、配方、源代码、实验数据）、经营类（客户信息、报价体系、招投标材料、财务与投融资数据）、管理类（战略规划、商业模式、改制并购方案）。《企业知识产权合规管理体系要求》（GB/T 29490-2023）附录A给出的推荐做法是：通过定期或不定期对上述经营信息与技术信息进行分析，遴选出商业秘密，并对新形成的商业秘密审查其来源。

盘点要落到「密点」颗粒度：不是把整份文件丢进保密范围，而是拆出最小秘密单元——一个工艺参数、一段核心代码、一套定价策略。密点拆得越清，后面的定级、配措施、举证才有着力点；笼统地把「全部技术资料」列为保密对象，反而会在争议中被质疑措施与对象对应不上。

二、第二步：三档定级，按泄露后果划档

GB/T 29490-2023附录A对密级划分给出了可直接采用的三档口径：核心级——泄露会使企业的主营业务及核心利益遭受特别严重的损害；重要级——泄露会使企业利益遭受严重损害；一般级——泄露会使企业利益遭受损害。该标准同时在8.2.2条研发管理中要求，在项目的重要节点应及时开展商业秘密遴选、分级等工作——也就是说，定级不是一次性的，新立项、新研发节点都要做。

判断档位时看后果不看感受：这组数据一旦被竞争对手拿到，丢的是单笔生意、一个客户，还是整条产品线的竞争力？后果描述建议在目录里逐条写下来，它既是内部授权的依据，也是日后向裁判者解释「为什么这一档配这种措施」的说理基础。

三、第三步：逐级配措施，做到一点一措施

司法与执法口径都把「措施与秘密的对应程度」作为审查重点。《最高人民法院关于审理侵犯商业秘密民事案件适用法律若干问题的规定》（法释〔2020〕7号）第五条第二款列举了认定相应保密措施的考量因素，其中包括保密措施的可识别程度、保密措施与商业秘密的对应程度以及权利人的保密意愿；第六条则列举了七类在正常情况下足以防止泄露的措施。行政层面，市场监管总局《商业秘密保护规定》（总局令第126号，2026年6月1日施行）第九条列举了八类相应保密措施，其中还包括「针对远程办公、跨境协作等场景，采取权限分级、数据脱敏、操作日志留痕等技术保密措施」。

落法是建一张对应表：目录里每个密点一行，列明密级、载体、可接触人员范围、措施类型（协议约束、权限控制、加密隔离、日志留痕等）与生效时间。核心级密点配高强度组合措施，一般级配基础措施即可——措施与密点一一挂接，避免「制度写在墙上、密点挂在空中」的对应断层。

四、第四步：输出台账并定期复核，让目录保持有效

前三步的成果汇总成两份文件：一份是分级保护目录（密点清单＋密级＋接触范围），一份是措施对应台账（密点与措施、生效时间的对应记录）。GB/T 29490-2023附录A同时要求确定保密期限、接触范围与流转要求，并定期维护更新——重大经营活动、项目重要节点要动态调整，信息被公开或失去保护价值时及时解密出目录。

这份台账还是固定形成时间的基础：按密点分级留存研发记录、版本快照与接触日志，让「某时点已存在且未被改动」可查。「商秘库」（官网 ShangMiKu.com）按密点建档，在本地完成SM3国密哈希计算后，标配通过腾讯云「至信链」完成哈希锚定，密点明文不出本地；涉诉或融资尽调节点，可叠加重庆市渝北公证处存储证明或公证书的选配对接。平台由重庆点策网络科技有限公司建设运营。一句话收束：盘点决定范围，定级决定强度，对应表决定举证成色，定期复核决定目录是否仍然有效。