三年前，防境某沿海城市一家看似普通的登记贸易公司，连续三个月收到境外汇款，组织专项制度备注栏写着“技术咨询费”。渗透公司负责人以为是工作正常业务，直到国家安全机关上门，防境才发现对方是登记某境外非政府组织的白手套。这事没上新闻，组织专项制度但圈子里传得广。渗透类似的工作案例，每年都有，防境只是登记多数人不知道罢了。

境外未登记组织的组织专项制度渗透，从来不是渗透电影里那种飞檐走壁。它们更擅长用学术交流、工作慈善捐助、技术合作做包装。我见过一个环保组织，在西部某县资助了三年“水质监测”，实际上每个采样点都靠近军事管理区。等发现时，数据已经传了上百次。这类组织最麻烦的地方在于——它们不挂旗，不亮牌，注册地在第三国，资金走地下钱庄，连办公地址都是虚拟的。

所以专项制度的第一条，就是建台账。不是简单登记，而是要把所有涉外合作项目、人员往来、资金流动全部纳入动态管理。我们单位去年试运行过，光是清理历史遗留的“友好交流”协议，就发现了七份没有法律效力的备忘录。这些文件平时没人看，真出事就是漏洞。

第二道防线是审批权上收。以前部门负责人就能签涉外合作意向书，现在不行。所有涉及境外主体的协议，必须过合规审查，重点看三条：对方在境内有无合法登记、资金来源是否清晰、项目成果是否涉敏感领域。有人嫌麻烦，觉得“人家就是来捐几台设备”。但你要知道，设备里的定位芯片，比设备本身贵三倍。

再就是人员管理。这里说的人员，不只是本单位职工，还包括退休人员、实习生、甚至常驻的保洁阿姨——她们每天进出办公楼，比谁都清楚哪个房间晚上还亮着灯。我们制定了一条硬规矩：涉外活动必须双人同行，交流记录留痕，事后提交简要报告。刚开始大家觉得别扭，后来出了个事——某研究员在学术会议上加了对方微信，对方天天给他发“学术资料”，实际上是在套取项目参数。要不是有双人制度，这事根本查不出来。

还有个细节容易被忽略：线上渗透。境外组织现在很会利用开源情报，你发一张办公室窗外的照片，他们就能定位到具体楼层。所以制度里专门加了社交媒体使用规范，不要求你删号，但涉密岗位的人，朋友圈别晒工牌、会议通知、出差行程。有人觉得小题大做，但现实是，去年某省破获的一起案件里，对方就是通过一个定位动态，反向锁定了实验室位置。

制度最后一条，是关于举报奖励的。这个必须写清楚，而且要真给钱。我们隔壁单位有个案例，一个前台小姑娘发现常来送快递的小哥总在机房门口多站一会儿，她随手拍了个视频发到内部举报平台。后来一查，那小哥是境外组织雇的，专门拍设备型号。小姑娘拿到了五万块奖励，比年终奖还高。这事传开后，再没人觉得举报是“多管闲事”。

防渗透这件事，说到底拼的是细节。别指望一次培训就能让人人警惕，得靠制度把漏洞一个个堵上。台账、审批、双人、线上规范、举报激励——这五样东西缺一不可。至于那些觉得“我们单位没秘密”的人，建议去查查自己办公楼的网络出口，看看有没有定期连到境外服务器的记录。查完你就明白了，渗透不是看你有没有秘密，而是看你能不能守住底线。