資安長做營業秘密保護：資訊分級與存取紀錄怎麼設計才站得住？

資訊分級要怎麼設計，法院才會認定是「合理保密措施」？

法院看的是措施是否存在、看得見、有執行。經濟部智慧財產局的判決彙編中，圖面沒有機密標示、保密協議沒有具體指明範圍、文件沒有分級，都曾是法院認定未採取合理保密措施的理由（法院會綜合多項缺失判斷）。

設計時要做到：

• 先判定：逐項對照營業秘密法第 2 條三要件，決定哪些資訊用營業秘密保護、哪些改用專利或契約
• 分級與標示：例如極機密、機密、內部三級，文件與圖面都有機密標示
• 限制知悉：知悉人員登錄，權限依分級給予
• 存取紀錄：誰在何時存取或下載了哪份資料
• 對外揭露前：先簽保密合約，且具體指明保密範圍

存取日誌要記什麼、保存多久，出事時才用得上？

營業秘密法沒有規定日誌保存期限，可以用請求權時效當判斷框架：依第 12 條第 2 項，損害賠償請求權自請求權人知有行為及賠償義務人時起 2 年間不行使而消滅；自行為時起逾 10 年者亦同。外流常在離職後一段時間才被發現，日誌保存太短，發現時證據可能已不存在。

• 記什麼：帳號、時間、存取或下載的機密資料、裝置、大量下載與外傳行為。Waymo 對 Uber 一案中，離職前的文件下載日誌是訴訟關鍵證據。
• 控制依據：ISO/IEC 27001:2022 附錄 A 8.15（日誌）。
• 誰決定：保存期限、個資最小化與儲存成本，由資安長與法務依風險決定；涉及訴訟策略的部分由律師判斷。

員工離職可能帶走資料，資安長第一時間要做什麼？

1. 停權與返還：離職程序寫明帳號停用、設備與文件返還的時點。
2. 證據保全：保存日誌、郵件與相關紀錄，並留下保管紀錄。制度可以事後再補，證據保全不能等。
3. 交給律師：已經外流、準備提告時，第一時間要找律師。訴訟、促請檢察官核發偵查保密令、聲請秘密保持命令，以及最終法律意見由律師負責。
4. 事先演練：導入後模擬一件離職帶走資料的事件，從日誌到證據保全實際跑一次，修正缺口。

離職後的競業禁止，要另外符合勞動基準法第 9 條之 1 的要件（期間最長 2 年、給予合理補償等），由人資與法務處理。

新進員工把前公司的機密帶進來，公司會被一起處罰嗎？資安長能做什麼？

有風險。營業秘密法第 13 條之 4 規定，受雇人等因執行業務犯第 13 條之 1、之 2 之罪，除處罰行為人外，對法人亦科罰金；但書規定已盡力為防止行為者，不在此限。

智慧財產局《營業秘密判決季訊》（114 年第 4 季）摘要的一件臺北地方法院刑事判決中，法院審酌公司在招募時要求人力仲介告知保密義務、任職時要求簽署不得使用他人機密的書面合約、依 ISO 27001 系列標準實施資安稽核，以及到職後的教育訓練，認定公司符合但書，不負法人罰金責任。

這是個案；是否「已盡力」由法院依公司規模與事實判斷，請由法律顧問評估。資安長能準備的，是到職聲明、教育訓練與稽核紀錄。

營業秘密的分級能和 ISO 27001 共用嗎？董事會與 ESG 要怎麼報告？

可以。技術面用 ISO/IEC 27001:2022 附錄 A 5.12（資訊分級）、5.15（存取控制）、8.15（日誌）落實，並與 ISO 56001 共用文件；營業秘密的認定、保密約定與競業禁止等法律面，27001 不處理。

證交所 ESG 評鑑（評鑑對象是上市櫃公司）有兩題相關：

非公開發行公司不受 ESG 評鑑規範，可自願參考。

積穗科研怎麼協助資安長處理營業秘密保護？

• 措施：依第 2 條判定保護路徑；三級分級、機密標示、知悉人員登錄、存取控制與日誌規格
• 約定與應變：到職、在職、離職、對外四套保密範本；離職與證據保全手冊，並模擬一件離職帶料事件
• 和律師分工：制度與證據鏈由積穗科研建立，訴訟與最終法律意見由合作律師負責
• 時程（服務頁所列）：四階段通常 3 至 6 個月
• 具名客戶：聯發科技、旺矽科技
• 誰主導：副總、董事級顧問全程親自輔導、不外包；第一次機制診斷免費

深入：營業秘密保護輔導、顧問怎麼選、ISO 27001、資安長角色頁