核心商业机密信息外包时，防护要做对三件事

外包前先把“不能碰”的范围划清楚

外包不等于把整个服务器或整张客户表都交出去。真正该给服务商的，只是完成项目必需的那部分数据。客户名单能只给区域不给全量，算法参数能只给接口不给底层，定价策略能脱敏或切片后再给。每次共享前，先问一句：这个文件对方看不到，活儿还能不能干？干不了再给，但给出去的版本、日期、接收人都要记在交接单上。

边界不能只靠项目群里的口头强调。把“哪些文件能看、哪些系统能登、哪些数据能导出”写成一张清单，甲方项目负责人和乙方现场负责人各签一份。以后对方多要一个权限，就更新一次清单，别怕麻烦。清单没签字，后面出了事，谁也说不清当初给没给。

合同里哪些条款不写清楚，后面容易扯皮

保密条款最怕写“乙方应当对甲方商业信息保密”这种空话，因为打官司时很难证明什么叫“商业信息”。要写清楚具体保护的信息类型，比如产品配方、测试数据、供应商名单、报价逻辑，再把禁止复制、禁止转授、禁止个人设备存储、违约后的停止使用和赔偿责任写进同一段。保密期限别写“长期”，写“本合同终止后持续有效，直至该信息进入公有领域或不再具备商业价值”。

外包结束后的清除义务也要落在纸上。合同可以约定：项目终止后五个工作日内，乙方需书面说明哪些设备、网盘、移动硬盘存过甲方的文件，并删除副本、撤销共享权限，经甲方抽查后才结清尾款。谁签这份清除说明，后面就找谁；不写清楚，项目一结束，对方没动力清理。

找外包服务商，别只看报价还要看岗位和权限

外包报价低不等于省心。要问清楚实际干活的是专职员工还是临时拉的人，是否有同组权限隔离，能不能提供员工保密培训记录。账号权限只给到项目需要的范围，管理员账号自己留着，不给外包方。如果服务商只能用共用邮箱、共享盘随便分发，没有单人权限，那这类安排不适合接触核心商业机密。

可以要求服务商把项目人员名单、岗位、权限范围列进合同附件。名单里的人变动，要通知甲方并重新授权，不再参与项目的人立即关闭账号。这比什么“专业团队背景强”都实在。

文件交接和账号回收，这两件事最容易被拖

交接前先建文件清单，列明文件名、版本、交付日期和接收人。清单别用“资料一批”糊弄，要能对得上。给文件时优先用不可下载的只读链接，或者加动态水印，限制打印和截图。每次共享都留记录，别到结束才翻聊天记录。

项目收尾时，先回收所有外部账号，修改共享密码，检查是否有新增登录、异常导出。让对方提交书面删除说明，并保留一份文件目录供抽查。这些动作不复杂，但被拖到结款之后，对方配合度会低很多。

用技术手段给文件做“水印”和“分权”，比口头叮嘱管用

有条件的企业可以上文件加密、动态水印、操作日志。没条件也可以把Excel分工作表加密、云盘只读分享、限制下载转存。技术手段不追求复杂，关键是让每个导出、复制、截图动作都有记录。对方知道有日志，动手前就会多想想。

如果没预算买系统，至少用OFFICE自带的“保护工作簿”，把敏感Sheet隐藏并加密；会用云盘的，把文件夹权限设为“仅查看”，不开“可编辑”和“允许下载”。别把整个团队盘共享出去，那样等于没设防。

出了泄密苗头，第一时间要做什么

发现外包员工批量下载、拍照、传到个人网盘，先固定证据：截图、操作日志、聊天记录、文件版本。同时暂停对方账号权限，通知服务商对接人，先别在群里质问。企业内部先评估暴露的是哪部分信息、能不能控制扩散，如果只是测试数据或已脱敏内容，处理方式可以不同。

证据固定后，按合同启动违约处理流程，必要时请律师做电子证据保全。如果前期没做日志和清单，这时就会很被动。所以上面那些步骤，不是为了增加工作量，而是为了出问题时能拿出东西来。

中小企业没有法务团队，也能落地的三板斧

前一项板：把所有敏感文件整理成一个“机密清单”，只有项目负责人能调取，其他同事要临时用，走登记。第二板：合同里加一条“项目终止后，乙方需书面确认所有副本已销毁，并配合甲方抽查”，这条自己写不难。第三板：保留每次共享、权限开放、文件导出的记录，哪怕只是表格手工记录也比没有强。

这三板斧不用买系统、不用请专职法务，但能把大部分常见外包泄密风险挡在门外。等企业规模大了，再补技术工具，也清楚工具要解决的是哪个环节。