風控長看營業秘密保護：外流情境、合理保密措施與 KRI 怎麼設？

營業秘密外流在風險地圖上怎麼定位？衝擊從哪裡來？

依《上市上櫃公司風險管理實務守則》第 18 條，營業秘密外流同時是營運風險與法遵風險：核心技術流失，以及外流時法院能否認定已採取合理保密措施。營業秘密法第 2 條三要件中，秘密性與經濟價值主要取決於資訊本身（企業自行公開也會喪失秘密性）；合理保密措施是企業最能主動建立、也是訴訟中經常被爭執的一項。此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。

已經簽了保密協議，風控長可以把這項風險評為「已控制」嗎？

不夠。光簽保密契約不足以單獨構成合理措施。經濟部智慧財產局判決彙編中，圖面沒有機密標示、保密協議沒有具體指明範圍、文件沒有分級，都曾是法院認定未採取合理保密措施的理由（法院會綜合多項缺失判斷）。

風控長評估控制有效性時可用四項檢核：

• 資訊有分級與機密標示
• 保密約定具體指明範圍
• 知悉人員受限且有存取紀錄
• 對外揭露前有保密合約

營業秘密風險的 KRI 可以從哪些紀錄抓？

措施要看得見，才有紀錄可抓。服務交付的分級與證據設計包括：極機密、機密、內部三級分級辦法，機密標示、知悉人員登錄，以及存取控制與日誌規格；離職程序含返還、權限停用與證據保全。

風控長可從這些紀錄選指標，例如分級與標示的涵蓋情形、知悉人員名冊的更新、離職程序的完成情形、存取日誌的異常，按季追蹤。技術面可對應 ISO/IEC 27001:2022 附錄 A 5.12、5.15、8.15。

離職帶料或外洩情境，風控長要怎麼驗證應變真的可行？

離職返還、權限停用、證據保全的程序要事先建立，並實際演練一次。服務頁所列的最後階段，會模擬一件離職帶料事件，從日誌到證據保全跑一次，修正缺口，並交付維運清單與年度檢核表。

已經發生外洩、準備提告時，第一時間要找的是律師；制度可以事後再補，證據保全不能等。分工上，制度與證據鏈由顧問建立；訴訟、偵查保密令與契約的最終法律意見由律師負責。

ESG 評鑑 S-10 的智慧財產管理計畫，和營業秘密風險有什麼關係？

S-10（115、116 年度文字相同，題型 A+）：制訂並揭露與營運目標連結的智慧財產管理計畫及執行情形，且至少一年一次向董事會報告。導入台灣智慧財產管理系統（TIPS）、ISO 56001 或類似標準並經第三方驗證者，總分另加一分。對應服務是營業秘密保護與 ISO 56001。

營業秘密保護本身沒有證書；要取得加分，須以 TIPS、ISO 56001 等標準經第三方驗證。ESG 評鑑對象是上市櫃公司；非公開發行公司不受此評鑑規範，可自願參考。

建立營業秘密保護制度要多久？

服務頁所列：依企業規模與資訊範疇，四階段通常 3 至 6 個月。

1. 盤點與認定（2–4 週）
2. 制度設計（4–6 週）
3. 導入與訓練（4–8 週）
4. 驗證與交接（2–4 週）：模擬一件離職帶料事件，修正缺口

若同步整合 ISO 27001 或 ISO 56001，時程併入該專案。

積穗科研怎麼協助風控長處理營業秘密保護？

• 只做法院看得見的措施：每一項措施都對應判決彙編中的失敗樣態或法條要件
• 法律 × 管理 × 技術：以營業秘密法設計分級、契約與離職程序；以 ISO/IEC 27001 的分級、存取控制與日誌控制落實技術面
• 律師銜接而非取代：訴訟、偵查保密令申請與契約最終法律意見由合作律師出具
• 誰主導：副總、董事級顧問全程輔導，不外包
• 具名客戶：聯發科技（營業秘密保護輔導）、旺矽科技（ISO 27001 資訊安全管理系統與營業秘密保護輔導）

營業秘密保護制度輔導、營業秘密顧問怎麼選、ISO 56001 顧問怎麼選。申請免費機制診斷