南京市软件和信息服务业商业秘密保护工作指南

南京市市场监督管理局制定 一、总则 （一）背景与意义 南京市软件和信息服务业作为“1026”现代化产业体系中重点产业集群和关键产业链的重要组成部分，是支撑数字经济发展和推动新型工业化的重要基础性产业。在“1026”产业体系框架下，软件和信息服务业以产业集群统筹布局、重点产业链精准发力为导向，围绕数字技术赋能实体经济和产业链协同创新，持续提升产业发展能级和综合服务能力。依托软件和信息服务产业集群，南京市系统推进基础软件、工业软件、云计算服务、大数据与人工智能、网络与信息安全、系统集成、平台化运营等重点产业链方向发展，加快构建覆盖研发、应用和服务全链条的软件和信息服务产业体系。在“1026”产业体系中，软件和信息服务业不仅作为独立的重要产业集群存在，更通过工业软件、平台服务和数字解决方案等关键产业链，深度嵌入智能制造、集成电路、生物医药、智能电网等重点产业链运行体系，发挥数字底座和赋能中枢作用。 通过制度建设、技术支撑、风险管控和联动治理，形成统一标准与操作路径，解决源代码管理松散、云环境暴露频发、外包协作边界模糊、数据与模型资产易外泄、取证维权困难等问题，赋能南京市软件和信息服务业高质量发展。 （二）适用范围 本工作指南适用于南京市行政区域内从事软件开发、信息技术服务、云计算与大数据服务、平台运营、网络与信息安全服务等相关业务的企事业单位、科研机构、行业协会与园区平台。聚焦雨花台软件谷、江北新区、建邺新金融与科创功能区、江宁开发区等软件和信息服务业重点园区组织及管理部门。覆盖企业从需求分析、架构设计、软件开发与测试、上线部署、运行维护、数据处理与平台运营等全过程。 （三）基本原则 分类设防原则：根据信息的敏感程度、业务价值与泄露影响，将源代码、算法模型、数据集、配置脚本、运营规则等划分为核心级、重要级与一般级，实行差异化保护策略。 制度先行原则：企业应优先建立完备的保密管理制度，覆盖商业秘密识别、密级划分、账号权限配置、代码仓库管理、云资源使用规范、外发审批、员工保密承诺与合作协议设密条款等方面。 技术融合原则：鼓励企业在制度基础上采用代码仓库访问控制、加密存储、数字水印、日志审计、终端管控、零信任访问等技术手段构建安全闭环，实现“制度+技术”一体化防护。 重点环节控制原则；聚焦源代码托管、云环境配置、接口开放与API管理、数据采集与传输、远程运维与平台运营等高风险环节，制定操作规范与防泄预案，构建可追踪、可审计的闭环控制链路。 协同保护原则：发挥政府引导作用、园区平台组织作用、链主企业带动作用和行业协会协调作用，推动软件开发企业、云服务商、数据服务机构、平台运营方等多主体建立协同保护机制，形成全域联动的保护生态。 事前防范与事后追溯并重原则；不仅强调在项目立项、系统设计、环境搭建、账号开通等前端环节预先嵌入防控措施，也强化代码和数据访问留痕、操作行为审计、日志与证据固化，为后续调查取证、争议解决和司法维权提供支撑。 二、术语与定义 （一）基础术语 商业秘密：不为公众所知悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。 涉密人员：根据工作职责和业务交往能够接触、使用、掌握、管理商业秘密的企业员工或其他人员。 涉密物品：生产经营活动中使用的或产生的含有商业秘密信息的会议记录本、 文件、商业策划文案、商业资料、商业文件、图纸、技术手册、工艺指导文件、工艺卡片、生产记录、生产总结/报告、检查记录、检测报告或包含有生产加工参数、产品检测方法/要求等信息的设备、样品、半成品、产成品、原材料、废弃物等。 涉密载体：以文字、数据、符号、图形、图像、视频和音频等方式生成、记载、存储或处理商业秘密信息的各类有形物体。 涉密场所：形成、存放、保管、流转、使用涉密信息或涉密物品、涉密载体的实验室、车间、厂房、办公室、业务活动室、会议室、保密室、档案室、机房等区域。 （二）基础技术术语 源代码（Source Code）：指软件由开发语言（如Java、Python、C++、Go等）编写而成的程序文本，是实现系统功能、性能优化与技术差异化的核心载体。源代码通常存储在Git、SVN等版本控制系统中，是软件企业最重要的商业秘密形态之一。 算法模型（Algorithm/Model）：指软件系统内部执行的计算逻辑，包括检索算法、推荐算法、路由算法、推理模型、深度学习网络等，是人工智能软件与数据服务的核心能力基础。其训练方法、特征工程流程及模型权重属于高度敏感信息。 配置文件（ConfigurationFile）：包含系统运行必需的环境变量、密钥信息、服务端口、数据库连接、API凭证等内容，常见格式包括YAML、JSON、INI等。配置文件和密钥泄露会直接导致系统被非法访问，是软件泄密事件的高发载体。 数据库结构与脚本（DatabaseSchema&Script）：包括数据库表结构、字段逻辑、索引设计、存储过程、触发器与批处理脚本等，是企业数据处理流程与业务逻辑的集中体现。结构泄露可能使攻击者推断核心业务模式。 日志文件（LogFile）：记录系统运行、用户行为、错误响应、调用链路等内容，虽不具显性核心价值，但常包含内部IP、密钥片段、调试信息等敏感内 容，在远程调试与故障排查中属于风险较高的信息载体。 （三）产业链环节术语 需求分析环节：指系统建设初期开展的业务流程分析、用户场景建模与功能定义过程，形成的需求文档、流程图、用例图等资料属于高敏感经营信息范畴。 软件开发环节：包含架构设计、模块开发、接口对接、单元测试等，是源代码泄密的重点环节，常涉及跨团队、跨地域的协作。 系统集成环节：对不同模块进行部署、适配与联调，核心资料包括接口文档、API说明、协议规则、消息队列设计等，具备高度复用性，泄露风险较高。 上线部署环节：涉及环境配置、CI/CD流水线、密钥注入、容器镜像构建等工作，是配置脚本、密钥文件泄露的重点场景。 运维服务环节：包括远程运维、问题定位、版本升级与性能调优，常需要访问数据库、日志与配置文件，是客户环境泄密与内部资料外溢的高风险阶段。 （四）产业指标与政策术语 软件业务收入：衡量软件企业规模的重要经济指标，根据南京市工信部门统计，软件产业收入已成为当地数字经济的主体构成。 云资源自主率：指企业在软件开发与系统运行中使用国产或自有可控云资源的比例，关系到数据安全与技术控制能力。 数据要素市场规模：指数据采集、标注、治理、交换、交易与服务所形成的经济规模，是南京构建数据要素流通体系的重要基础指标。 模型迭代周期：人工智能企业从模型训练到上线推理的评估周期，周期越短对商业秘密保护要求越高，因为模型权重与训练方法价值巨大且高度敏感。 平台用户数与活跃度：衡量软件平台业务规模的重要指标，涉及敏感的用户画像、行为数据与运营规则，是商业秘密保护的重点内容。 三、商业秘密识别与分类分级 （一）分类方式 软件和信息服务企业主要从以下两个方面识别商业秘密： 1.涉密技术信息 涵盖软件产品全生命周期（SDLC）内产生的核心智力成果。具体包括： 研发与架构：核心算法逻辑、源代码（后端/前端）、系统架构图、数据库Schema设计、API接口文档、技术预研报告。 运维与测试：自动化测试脚本、部署配置文件（YAML/Docker）、压力测试报告、故障排查手册、云平台底层参数映射。 2.涉密经营信息 指软件服务在商业化运营中形成的资源。具体包括： 市场与销售：特定客户的定制化需求规格说明书、SaaS订阅价格策略、未公开的招投标方案、合作伙伴名录。 运营与数据：用户画像数据、交易记录、业务分析报表、服务等级协议（SLA）中的特殊条款、特定客户的交易习惯与需求偏好。 （二）分级标准 核心级：涉及软件底层能力（如自研引擎、模型参数）。禁止对外披露，仅限核心架构师及授权开发人员访问。 重要级：涉及具体业务逻辑或项目交付物。限制访问范围，需经技术负责人或项目经理审批后使用。 一般级：涉及标准化产品手册或公共组件库。允许内部有限共享，禁止擅自外传或用于非工作用途。 （三）识别与保护措施 资产识别与量化：由技术中心与各产品线负责人牵头，对源码仓（Git）、 知识库（Wiki）、项目群组等进行全面梳理。通过《商业秘密风险评估表》对代码泄密、非法调取、越权访问等风险进行量化评估。 分类登记与授权：对梳理出的数字资产按“产业链环节”与“敏感等级”归类。所有涉密资产须以《商业秘密登记清单》形式提交保密管理岗确认，并与代码权限管理系统（如GitLab RBAC）或文档加密系统挂钩。 （四）保护措施示例 核心源代码与算法（核心级）企业应实施“零信任”逻辑防护。核心源码存储于内网隔离的代码仓库，实施IP访问白名单限制，严禁在互联网环境克隆。开发环境采用VDI桌面云隔离，禁止复制粘贴及截屏；代码提交需强制执行双人评审（CodeReview）并留痕。核心研发岗位必须签署专项《核心代码保密协议》及竞业限制协议，从技术与法律双维度确保代码主权安全。 系统部署参数与测试脚本（重要级）企业应对运维环境执行严格的权限分级审批制度。查阅核心生产环境配置、数据库连接串或压测脚本，需经技术总监双重批准；电子信息实施动态脱敏与加密访问，限定特定终端操作，严禁私自通过个人网盘、即时通讯工具传输。所有操作执行全流程日志审计，确保信息在受控、可回溯的范围内流转。 客户需求方案与报价（经营信息）企业实施规范化的流程保护。项目投标期间，定制化需求说明与报价单由产品经理与市场负责人双授权方可导出；导出的PDF文档自动强制添加数字水印（含姓名、工号、时间戳），限制查看有效期；系统自动记录文档流向日志，在保障敏捷交付的同时，利用技术手段守住经营信息不被恶意扩散。 四、组织保障与运行机制 （一）组织架构与职责分工 企业应构建“统筹领导、专人负责、全员参与”的组织体系，确保保密管理与业务流程深度融合。 设立保密管理委员会：由企业主要负责人牵头，法务、研发、架构、数据、安全、行政等部门组成。负责统筹制定保护战略、分级制度，审批重大涉密事项及泄密处置方案，协调跨部门资源投入，形成内部自驱闭环。 明确保密管理专岗：负责商业秘密的全流程管理，包括识别分类、台账建 立、权限分配、载体管控及日常监督。引入第三方专业机构，如律所、网安测评等，协助开展制度建设、模拟演练与风险评估。 落实涉密业务部门责任：架构、算法、开发、运维、安全审计等部门遵循“谁主管、谁负责、谁涉密、谁管控”原则，负责本部门日常保密、风险自查与信息安全执行。 （二）分级分类的人员管理 针对不同接触层级，实行差异化管控，构建全周期的人员合规管理体系。 核心涉密人员：如核心算法或框架开发、源码审核、数据库超管等，实行岗前背景审查、在岗全程监督、离岗严格交接及竞业限制管理。 重要涉密人员：如测试、交付、客户数据对接、运维监控等，明确岗位职责，签订专项保密协议与岗位责任书。 一般涉密人员：如有限接触基础文档或日志人员，开展常态化保密教育，严格执行企业保密规范。 外部合作涉密人员：如外包团队、云供应商、实习生等，实行资质审查、区域限定及信息脱敏，签订保密协议后方可开展受限工作。 （三）运行保障与平台建设 依托数字工具与制度规范，实现保密工作的标准化与可追溯性。 完善制度体系：建立覆盖识别定级、涉密人员、涉密载体、涉密场所、涉密系统及应急处置的全链条标准化制度。 推进数字化能力建设：依托南京市商业秘密公证保护、知桥等数字工具，推动上线源代码日志固化、数字水印、配置文件加密、访问控制与自动审计功能。 强化人才培训：结合南京市保密培训体系，每年至少开展一次全员培训，并针对关键岗位开展专项风险复盘，形成长期能力建设体系。 （四）监督改进与内外联动 通过审计、抽查与典型案例导向，驱动管理体系持续优化。 建立内部闭环审计：设立专项自查制度，定期评估信息分类、权限控制、日志记录、外发审批及云资源配置的执行情况