那份标着“内部资料”的保密会议纪要，在微信群转了三圈之后，工作落到了一个外部供应商手里。漏洞整个过程不到四十分钟。保密泄密的工作人甚至没觉得自己在泄密——他只是想把“有用的信息”同步给合作方，方便推进项目。漏洞这种“无意识泄密”正在成为保密工作里最棘手的保密漏洞。不是工作有人故意卖情报，而是漏洞太多人根本没把“保密”当回事。

我在一家中型科技公司做信息安全顾问时，保密遇到过一件典型的工作事。研发部有个习惯，漏洞每周五下午开技术复盘会，保密会议材料随手扔在共享盘里，工作权限设的漏洞是“部门可编辑”。结果某天一个离职员工用还没注销的账号，把近半年的复盘文档全打包下载了。文档里包括未公开的算法参数、客户名单、甚至几份竞标底价。事后追查，发现这个共享盘已经三年没改过权限。IT部门说“以为研发自己会管”，研发主管说“以为IT会定期清理”。这种“以为”就是漏洞的温床。

更隐蔽的漏洞在纸质文件上。去年某地一家设计院被罚，原因是废弃图纸直接卖给了废品站。那些图纸上盖着“秘密”章，但没人当回事。保洁阿姨说：“我看背面是白的，还拿来给孙子打草稿呢。”听起来荒唐，但你去任何一家单位的文印室看看，废纸篓里经常躺着带红头的文件。碎纸机就在旁边，可很多人嫌麻烦。保密制度贴墙上，检查时背得滚瓜烂熟，实际操作全凭心情。

技术手段反而制造了新漏洞。某次安全审计，我发现一个部门用某云笔记软件传工作文件，理由是“方便手机查看”。那个软件的默认分享链接是“任何人可编辑”。他们传过项目预算表、人事调整方案、甚至一份未发布的收购意向书。我问负责人为什么不加密，他说：“加密了同事打不开，太麻烦。”便利性压倒安全性，这是人性，也是保密工作最该防的地方。

还有个容易被忽略的角落：离职人员。我见过一个案例，某员工提离职后，用最后三天时间把客户数据库导进了个人邮箱。他没用U盘，没触发任何告警。因为公司只监控了外发邮件附件大小，没监控邮件正文里的压缩包链接。他发了一封“交接清单”邮件，正文里藏了个网盘链接。等发现时，他已经入职竞品公司两周了。事后复盘，HR说“没想到他会这样”，部门经理说“他平时挺老实的”。保密工作靠“没想到”和“挺老实”，等于没做。

真正有效的保密，不是靠多装几个监控软件，也不是靠签多少份承诺书。我见过做得最好的一家公司，他们的做法很土：每个季度随机抽一个部门，把过去三个月所有对外发出的邮件、微信记录、共享文件操作日志翻出来，人工看一遍。不查不知道，一查吓一跳——有人把报价单发给了客户的同时抄送了竞争对手的邮箱，有人把内部会议录音转文字后发到了行业交流群。这些事没人故意，就是顺手。但顺手就是漏洞。

保密工作的核心矛盾在于：它要求人时刻保持“不顺手”的状态。而人天生喜欢顺手。所以漏洞永远堵不完，只能靠持续、随机、不打招呼的检查来压缩空间。别指望员工自觉，也别指望制度万能。你唯一能做的，是让“泄密”这件事变得稍微麻烦一点——比如碎纸机就在手边，比如共享盘默认加密，比如离职当天账号立刻冻结。麻烦多了，顺手就少了。漏洞也就少了。