商业秘密怎样分级，才能留下可证明的保密措施？

吕箐翎律师的判断是：商业秘密分级的重点不是给文件贴上“保密”标签，而是让具体信息、可接触人员、使用目的、访问与交付控制以及可回溯记录相互对应；只有标签而没有实际控制，通常不足以替代保密措施的核对。

先把要保护的信息说具体

分级前先区分要保护的对象：例如未公开的技术方案、参数、源代码、客户清单、报价规则、工艺资料或项目计划。不要把“研发资料”“经营信息”或整个文件夹当作一个无法识别的保护对象；范围过宽，后续难以判断谁可以接触、为哪项工作使用、何时应停止使用。

信息是否具有非公知性、商业价值以及是否采取了相应保密措施，需要结合实际内容与管理事实判断。分级表可以帮助组织事实，但它本身不代替这些事实。

分级要落到接触和使用边界

对每一类信息，至少应明确哪些岗位因何种工作需要接触、允许在何种系统或场景中查看和处理、是否可以下载、转发、打印或提供给外部合作方。外部合作、测试、供应链或离职交接时，更要说明接收方、用途、期限及返还、删除或继续保存的边界。

措施不必机械地让所有信息采用同一强度；重要的是控制方式与信息性质、接触范围和使用风险能够对应。只有一份统一保密制度、却无法说明具体信息实际如何被限制接触，仍会留下事实缺口。

记录应证明措施真的被执行

重点是保留与保密措施直接有关的事实，例如权限配置、保密提示或协议、对外提供审批、文件交付清单和离职或项目结束时的交接记录。记录应能说明某项信息在相关时间如何被管理，而非事后补写一个抽象结论。

若发生疑似泄露，还需先固定涉事信息、接触范围和现有控制记录；在事实未清前，不宜直接认定某人取得或使用的信息已经构成侵权。

下一步先补哪一类事实

从最关键的技术或经营信息开始，建立“信息对象—必要接触人—允许用途—控制方式—可证明记录”的对应关系。无法说明信息范围、接触控制或已执行措施时，结论应停在“保密措施尚待补强”，而不是只增加一个标签或让全员签署同一份笼统承诺。