发现泄密的第一反应，往往让事情更糟

杭州有家企业，发现核心客户名单疑似被前员工带走。老板的第一反应，是立刻把这人约来谈话。

结果对方一句"你有什么证据"，直接把他堵住了。约谈等于打草惊蛇——当事人当晚就把聊天记录和转存文件清理得干干净净。等律师介入要取证时，关键证据早没了。案子最后不了了之，客户流失照单全收。

数据泄露这件事，事后的头72小时，比前面所有的防线都决定成败。处置得对，损失可控、证据在手、责任能追；处置得乱，泄密扩大、证据灭失，最后连报警都立不住脚。

头72小时，按这个顺序做

第一个动作：固定证据，不是找人谈话。 先别惊动任何人。马上保全相关设备的状态：涉事电脑不要关机、也不要让人再碰，直接物理隔离；调取文件服务器的操作日志、外发记录、打印和拷贝记录，导出备份。如果部署了文档加密和行为审计系统，就把该账号近期的全部文件操作流水导出来——谁、什么时间、动过哪些文件、传到了哪儿，一清二楚。这些记录，是后续报警、仲裁、诉讼的底牌。

第二个动作：掐断扩散通道。 评估还在持续外泄的风险：涉事账号的远程访问权限立即停用，共享盘里的敏感目录临时收紧，外发通道暂时管控。已经发出去的文件，如果走了加密外发，直接远程销毁或让链接失效；明文发出去的，记录下接收方清单，作为损失评估的依据。

第三个动作：评估范围和分级。 搞清楚三件事：泄的是什么（客户数据、图纸、源代码，还是个人信息）、泄了多少、涉及哪些人。如果涉及个人信息泄露，按个人信息保护法的要求，可能需要告知用户并向主管部门报告——这一步要找专业法律人士确认，别自己拍脑袋。

第四个动作：正式处置。 证据固定完、通道掐断后，再谈追责：情节严重的报警立案，涉及商业秘密的走民事索赔，内部制度问题同步整改。这时候手里攥着完整的行为证据链，主动权在自己。

应急能力，平时就得备好

这份清单看着简单，真到事上能不能走通，全看平时有没有准备。三个前提要提前建好：

◆行为审计要先行——没有操作日志，72小时只能干瞪眼；

◆文档加密要打底——文件是密文，泄出去的只是"动作"而不是"内容"，应急处置直接省掉大半；

◆应急流程要写在纸上——谁负责隔离设备、谁对接律师、谁向管理层汇报，白纸黑字，别等出事再现场分工。

泄密没法保证百分百不发生，但能不能把损失摁在最小范围，取决于事发头72小时你手里有没有牌。而牌，是平时攒的。