密级也有保质期：大多数文件，其实不需要永久保密

见过不少企业做防泄密，上来就问一句话："能不能把所有文件都加密？"我说能，但别。为什么？因为把所有东西都当机密管，最后的结果是所有东西都管不好。

有个真实的反面例子。一家做机械设备的企业上了文档加密，全公司一刀切，五年前的老报价单和上周的方案初稿享受同等待遇，全部加密、全部要审批才能外发。结果员工天天在解密审批那边排队，业务被拖得哇哇叫，管理层压力大，半年后系统实际上被架空——密钥发放放得跟大白菜似的，谁申请给谁。加密是上了，形同虚设。

文件的重要性，是会过期的

这里有个被普遍忽略的概念：密级是有生命周期的。一款还没发布的新品图纸，是命根子；产品上市两年、市面上拆解图都满天飞了，它就是普通资料。一次竞标的报价底价，开标那天之前价值连城；开标完三个月，基本就是废纸。员工薪酬表、身份证复印件这类个人信息，法律要求你只在该用的场景里保住它，不是管一辈子。

反过来想：如果十年前定密的文件永远是最密级，那公司的加密系统里堆的九成都是"过期机密"。审批流量全被这些老文件占着，真正需要盯的新品、新标、新配方反而被淹没。安全资源花在了刀背上。

给文件定一个"保密到期日"

实操上不难，分三步走：

第一步，定密的时候顺手定时限。文件定密级的时候，多问一句"这个密级保持多久"。新品图纸可以定到发布后一年，报价单定到项目结束后三个月，个人信息按业务保存期限来。到期自动降级，或者到期进入复核清单，让文件的主人确认一次再续密。

第二步，降密要走流程，不是谁想起来就改。到期的文件由密级责任人复核，确认市场上没有敏感性了，正式降级归档，撤销原来的高等级管控。复核记录留痕，将来真出了事，责任链是清楚的。

第三步，配合加密系统的分级策略。高密级文件：加密+解密审批+外发管控+水印，一个都不能少；中密级：加密+外发审计；低密级：只审计不加密。让管控强度跟文件的真实价值挂钩，员工审批少了，抱怨少了，系统才立得住。

有人担心：降级降错了怎么办？所以复核这道关不能省——宁可到期降密慢半拍，也别图省事批量一键降。但方向要认准：保密是为了保住真正值钱的东西，不是为了把每张纸都供起来。会过期的密级，才是能长期运转的密级。