你最好的销售员刚在周五下午辞职了。到了周一，你三个最大的客户就接到了竞争对手的电话——报价比你的略低一点，说出的联系人名字只有内部人士才知道。你怀疑你的前员工带着你的客户名单、你的定价层级和你的利润率走了。下面这个问题决定了你到底有没有法律救济，还是只能得到一个惨痛的教训：你能否证明，在这些信息走出那扇门之前，你就已经把它当作商业秘密对待了？
大多数小企业做不到。针对离职员工的调查经常发现，大约一半的人承认带走了前雇主的一些机密信息，而商业秘密盗窃每年给美国企业造成的损失估计高达数千亿美元。然而法律保护其实很直接，而且基本免费：确定哪些信息符合条件，采取合理措施保密，并建立从招聘到离职的流程来证明你确实做了。本指南逐一讲解这三点，并涵盖通用建议会跳过的那些小雇主特有的细节。
什么才真正算得上商业秘密
忘掉那种藏着秘密配方的保险库形象吧。根据联邦法律和下文所述的州法律，商业秘密是满足以下三项检验的任何信息：
- 它并非普遍知悉或轻易可查。 如果竞争对手能从你的网站、公开名录或一次快速搜索中得到它，那它就不是秘密。但由公开信息汇编而成的集合仍然可能符合条件——当组装、整理和更新它所付出的努力正是价值所在时，一个带有购买历史的精选潜在客户数据库与一本电话簿是不同的。
- 它因保密而具有独立的经济价值。 知道它必须能给某人带来商业优势：能够压低你的报价、挖走你的客户，或省去你的研发。
- 你采取了合理措施来保密。 这是小企业最常失败的检验，下面有专门一节讲它。保护不是自动获得的——它是靠你的流程赢得的。
普通小企业拥有的、经常符合条件的资产包括：带有购买历史和定价层级的客户名单、供应商身份和谈判条款、利润率和成本结构、正在进行的投标和报价、营销和商业计划、配方和公式、制造工艺、软件代码和算法，以及内部培训方法。法院甚至保护过所谓的负面信息——知道哪些方法、供应商或市场行不通，而这些是竞争对手否则要花真金白银才能学到的同样教训。
不符合条件的东西同样重要。员工随身携带的一般技能和经验、公开或容易逆向工程的信息，以及没有具体、有据可查形式的模糊想法，都在保护范围之外。而且商业秘密不是专利：没有注册、没有审查、没有固定期限。保护持续到信息保持秘密为止——这正是为什么你的内部措施就是全部关键。
保护你的两层法律
美国的商业秘密保护分为相互配合的两层。
联邦法律：2016 年《保护商业秘密法》（DTSA）。 DTSA 为商业秘密盗用创设了联邦民事索赔，因此当有人窃取你的秘密时，你可以在联邦法院起诉。可用的救济包括命令停止进一步使用或披露的法院禁令、对你实际损失的赔偿，以及——对于故意和恶意的盗用——最高为实际金额两倍的额外惩罚性赔偿外加律师费。DTSA 对商业秘密的定义很宽泛，涵盖一切形式的财务、商业、科学、技术、经济和工程信息。一个实际陷阱，见下文 NDA 一节：如果你的协议缺少必需的举报人通知，你可能会失去获得这些加重赔偿和律师费的机会。
州法律：《统一商业秘密法》（UTSA）。 除纽约和北卡罗来纳外，每个州都通过了某种版本的 UTSA，而北卡罗来纳执行自己一部非常相似的成文法——只有纽约仍然纯粹通过法官创制的普通法处理商业秘密。州索赔经常与联邦 DTSA 索赔在同一诉讼中并行，州法律填补诸如你有多长起诉期限之类的细节。在实践中，这意味着你的保护手册在各州变化不大，但法院程序会变——这是又一个理由，让你在麻烦开始之前而非之后就让当地律师介入。
另一部值得了解的联邦成文法是《计算机欺诈与滥用法》（CFAA），它在有人未经授权访问你的计算机时提供民事索赔。当外部人员入侵时，它可以补充商业秘密索赔——但 2021 年最高法院的一项裁决大大缩小了它在内部人员案件中的适用范围，裁定被允许进入系统的员工不会仅仅因为将这种访问用于不当目的而违反该法。翻译一下：面对拥有有效凭证的离职员工，挑大梁的是你的保密协议，而不是黑客法。两者都要保持更新，但不要把其中一个当成另一个。
"合理措施"：大多数小企业失败的检验
当商业秘密案件崩盘时，通常就崩在这里。法官会问，你实际做了什么来保密，而"大家都知道这是保密的"不是答案。好消息是，合理措施会随你的规模而调整——法院期待的是相称、一贯的努力，而不是一个企业安全部门。围绕以下要素构建你自己的措施：
清点并标记重要内容。 你无法保护你没有识别出的东西。列出你真正的秘密——客户数据库、定价模型、供应商条款、流程文档——并把文件、文件夹和文档标记为机密。仅靠标记本身并不创造保护，但缺少标记会向法院表明你没有把该材料当作特殊对待。
将访问限制在需要知悉的范围内。 不是每个人都需要完整的客户名单、成本明细或管理员密码。把敏感文件夹和系统限制在直接接触它们的员工，使用个人登录而非共享凭证，并用密码或加密保护文件。物理措施也算数：纸质记录的锁柜、访客登记程序，以及不让敏感工作暴露在共享空间的视线内。
在所有该有保密条款的地方都写下来。 雇佣协议、承包商协议和涉及敏感信息的供应商合同都应承载保密义务，并具体描述受保护的内容。写着"所有公司信息均为机密"的模板条款比点名你实际清点过的类别的措辞要弱。在向外部方——包括潜在买家、投资者和开发合作伙伴——披露秘密之前，要求签署保密协议。
培训人员并把政策写下来。 一份简短的书面信息安全政策，在入职时与员工一起审阅并每年更新，能起到双重作用：它减少意外泄露，并成为你合理措施的证据。涵盖密码做法、个人设备和邮件转发的规则、清空桌面的要求，以及在对外分享任何东西之前该问谁。
这些都不需要企业级软件。共享盘权限、带多因素认证的个人账户、一个上锁的文件柜，以及一份被一贯遵守的两页政策，就能让大多数法官满意。失败的是那种再常见不过的配置：一个共享登录、一张被随意电邮的未标记电子表格，以及没有任何人签署的协议。
真正站得住脚的 NDA
你的保密协议是你内部措施与法庭之间的桥梁。一个签署了明确协议、将你的客户数据库和定价信息列为受保护商业秘密的离职员工，处境远比什么都没签——或签了一份没人解释过的含糊表格——的人要糟。审查你自己的协议时，检查以下几点：
具体描述秘密。 点名类别：客户名单和联系信息、定价表和利润率、供应商条款、产品配方、商业和营销计划。具体性有助于执行，也有助于员工理解他们必须保护什么。
加入 DTSA 举报人豁免通知。 这是容易被忽略却真有牙齿的要求。联邦法律要求雇主通知员工——该法将这一术语扩展至承包商和顾问——他们向政府官员披露商业秘密以举报涉嫌违法行为，或在某些法庭文件中密封提交时享有豁免。该通知必须出现在任何涉及商业秘密或机密信息的合同中，或出现在合同交叉引用的一份政策文件里。遗漏它的惩罚不是罚款；而是在针对该人的 DTSA 诉讼中失去惩罚性赔偿和律师费。一段话，可能价值数十万美元——让律师确认你的协议里有这段话且是现行版本的。
在正确的时间、从每个人那里取得签名。 入职时签署的协议，以雇佣本身作为对价，立足点最稳固；在职期间的更新可能需要新的对价，视你所在州而定。有访问权限的承包商、自由职业者和临时工需要在自己协议中的同等措辞——你的保护应该跟随信息，而不是组织架构图。
单独考虑竞业限制的格局。 竞业限制和禁止招揽条款经常与保密条款同行，但它们的可执行性各州差异很大。把它们当作一个单独的问题交给你所在州的律师——法院会独立于你的保密协议来分析它们。
小企业预算下的访问控制
你不需要一个安全团队来显得对访问控制很认真。你需要在简短的习惯清单上保持一致：
- 处处使用个人账户。 共享登录破坏问责——当五个人用一个密码时，你无法证明是谁在辞职前一晚下载了客户名单。在电子邮件、会计、CRM 和文件存储上使用带多因素认证的个人账户，是大多数小企业缺失的单项最高价值控制。
- 基于角色的权限。 给每个人其工作所需的访问权限，不多给。在角色变化时就审查权限，而不仅仅在人离开时——那个保留了旧部门文件夹访问权限的晋升员工是经典的漏洞。
- 设备和邮件转发规则。 以书面形式决定公司数据是否可以留在个人手机和笔记本电脑上，并禁用公司邮件自动转发到个人地址。离职员工最常通过你留开的渠道外泄，而不是你锁上的渠道。
- 基本日志。 大多数云平台默认记录文件下载、分享链接创建和登录历史。在你需要它们之前就知道这些日志在哪里——在可疑离职之后才发现你的保留设置是 30 天、而下载发生在 45 天前，那可不是好时机。
- 供应商访问卫生。 登录仍然有效的旧簿记员、代理机构和 IT 承包商是一种安静而常见的暴露。把每个第三方账户绑定到有结束日期的合同上，并按期撤销。
离职员工操作手册
大多数商业秘密损失都涉及曾为你工作的人，这使离职流程成为你最后也是最重要的防线。对每一次离职都执行同一份清单——友好的、中立的或敌意的——因为有选择性的严格看起来就像完全没有严格。
在最后一天之前。 保留访问日志，对于敏感职位，考虑悄悄审查最近的下载、邮件转发规则和 USB 活动。识别该员工能接触的一切，并排好撤销清单：电子邮件、VPN、CRM、会计、文件存储、管理控制台、门禁，以及他们知道的任何共享凭证（之后必须轮换）。
在最后一天。 在雇佣结束的当天撤销系统访问——不是下周，不是"等 IT 有空的时候"。收回笔记本电脑、手机、钥匙、门禁卡和文件。进行一次离职面谈，其中包括对持续保密义务的直接、书面提醒：他们同意了什么，它在离职后仍然有效，公司信息必须从个人设备上归还或删除。让他们签署一份确认书。保持语气专业；这是例行程序，不是指控。
离职之后。 在接下来的几周里留意危险信号：客户异常地流向某一个竞争对手、报价与你的定价贴得太近，或市场上传出你的打法在流传的消息。如果怀疑固化为证据，迅速行动——保存一切，及时聘请律师，并考虑在归还的设备被擦除和重新发放之前进行取证审查。早期、有记录的行动既保护你的证据，也保护你寻求紧急法庭救济的选项。
从竞争对手那里招聘时，做镜像操作：以书面形式指示新员工不要带来或使用任何人的机密信息，也不要索要。从员工盗用中获益的雇主可能继承责任，所以把"把它留下"作为入职流程的一部分。
毁掉保护的错误
案例和警示故事反复出现同样的失败。对照每一条检查你的企业：
- 把一切都标记为机密。 当午餐菜单和定价模型带有同样的标记时，标记就毫无意义。要把王冠上的珠宝单独保护起来。
- 不与承包商签协议。 构建你数据库的自由职业者和运营你广告的代理机构往往比你的员工看到的还多。如果他们的合同缺少保密条款和举报人通知，你的外围就有个洞。
- 共享密码和残留的访问权限。 每个共享登录都是一次无法归属的下载；每个仍然活跃的前员工账户都是一扇敞开的门。
- 公开或粗心的披露。 把客户名单作为网站推荐页发布、在公开论坛讨论定价，或未经 NDA 发送的推介材料，每一样都可能摧毁该信息的保密性——有时是永久性的。
- 执行不一致。 一份你对离职对手执行、却对朋友忽略的政策，在法庭上读起来就像完全没有政策。统一的程序就是你的措施真实可信的证据。
你的账本也是商业秘密
退一步，注意你的秘密清单的正中央是什么：你的财务记录。按客户划分的利润率、真实的人工成本、供应商定价、薪资水平、现金状况、所有者分配——你的账本集中了竞争对手愿意花钱去看的几乎每一类信息。这使簿记卫生成为商业秘密卫生的一部分。把会计系统的访问限制在真正需要它的人，在每个财务工具上保持带多因素认证的个人登录，审查谁可以导出完整报表，并像对待你的客户名单一样严肃对待你的会计科目表和历史财务数据。干净、控制良好的账本不仅能挺过报税季和审计——它们还能挺过关于你是否保护了重要东西的审视。
从第一天起就保持你的财务记录井井有条
当你在收紧企业守护客户名单、定价和流程的方式时，用适当的访问控制维护清晰的财务记录至关重要。Beancount.io 提供纯文本会计，让你对自己的财务数据拥有完全的透明度和控制权——版本受控、可审计、AI 就绪，没有黑箱，没有供应商锁定。免费开始使用，看看为什么开发者和财务专业人士正在转向纯文本会计。
