对于科技公司来说，代码和技术资料就是命根子。一旦发现核心技术可能泄露了，老板们第一反应往往是慌，然后就是直接找员工对质。

千万别！技术泄密取证是个精细活儿，一步走错，证据就废了。今天就讲讲，发现技术泄密嫌疑，正确的处理流程是什么。

技术泄密取证，第一原则是：先固定证据，再找人对质。打草惊蛇是大忌。

第一步：控制现场，封存设备

发现可疑情况，第一件事不是去找人，而是把涉事的电脑、服务器、手机、U盘这些设备先控制住。

注意，是"封存"，不是让你开机去翻文件。你一开机一操作，很多痕迹就被覆盖了，删除的文件也恢复不了了。

正确做法：断电（笔记本直接拔电源），装进防静电袋，贴封条，记录序列号，全程最好录像，两个人在场见证。

服务器也是一样，先做镜像备份，别直接在原服务器上操作。原始数据一定不能动，动了证据效力就打折扣。

千万别犯的错：让IT去员工电脑上翻文件，看看有没有拷走代码。你这一翻，原来的操作痕迹都被覆盖了，删了的文件也恢复不了了，鉴定机构来了都没用。

第二步：内部排查，找泄密源头

在不惊动当事人的前提下，先从内部系统查起。

代码仓库日志：看有没有异常的clone、fork、大量下载？有没有提交到外部仓库？谁在什么时间操作了什么，Git日志都有记录。

服务器日志：文件服务器、SVN、FTP，有没有异常下载、异常访问？非工作时间有没有人登录？

邮件系统：有没有发大附件到私人邮箱？有没有发压缩包、加密文件？

上网行为：有没有访问网盘、云存储、代码托管平台？有没有上传大文件？

USB记录：涉事电脑有没有插入过未知U盘？有没有大量文件拷贝到移动设备的痕迹？

这些日志全部导出来，保存好，时间、账号、IP、操作内容，越全越好。

第三步：司法鉴定，还原真相

如果怀疑严重，建议直接找有资质的司法鉴定机构做电子数据鉴定。专业的事交给专业的人。

鉴定机构能做什么？

• 恢复删除数据：哪怕员工删了文件、格式化了硬盘，专业工具也能恢复大部分。

• 提取操作痕迹：文件什么时候创建的、什么时候修改的、什么时候拷贝过、拷到哪里去了，都能查出来。

• USB使用记录：所有插过的U盘，什么时候插的、什么时候拔的，拷了什么文件，都能还原。

• 代码同一性比对：怀疑对方用了你的代码？做个同一性鉴定，相似度多少，是不是抄的，鉴定意见说了算。

• 文件外发痕迹：邮件、聊天、网盘上传，删了的记录也能找回来。

为什么要做司法鉴定？因为你自己查出来的东西，法院不认。司法鉴定机构出具的鉴定意见，才是法定证据形式，证明力强得多。

第四步：外部取证，固定侵权事实

内部查到了泄密源头，还要证明对方确实用了你的技术。

产品取证：如果对方出了同类产品，买一个回来，做技术比对。公证购买，全程留痕。

公开信息公证：对方官网、宣传资料、招聘信息里提到的技术点，跟你的技术对得上的，全部公证。

暗记验证：如果你的代码或技术资料里特意放了"暗记"——比如一段没用的特殊代码、一个独特的参数错误——对方产品里也有一模一样的，那就是铁证。

第五步：法律行动

证据收集得差不多了，再考虑发律师函、起诉、报警。

民事途径：起诉侵犯商业秘密，要求停止侵权、赔偿损失。

刑事途径：如果损失大、情节严重，可能构成侵犯商业秘密罪，可以报警，让公安介入。

起诉的时候可以同时申请证据保全，让法院去查封对方的代码、资料，防止对方销毁证据。

几个重要提醒

第一，速度要快。电子证据最容易灭失，发现苗头立刻动手，拖得越久，能恢复的东西越少。

第二，程序要合法。别私自破解员工手机、别入侵别人电脑，非法取得的证据法院不认，你自己还可能违法。

第三，平时留后手。代码里放点暗记，重要文件加水印，系统日志保留时间长一点，真出事了这些都是证据。

第四，别冲动。别一上来就全公司通报、就报警，万一搞错了很被动。先悄悄收集证据，实锤了再动手。

技术泄密是科技公司的重大风险，平时做好防护，出事了冷静应对，按流程来，该找专业人士就找专业人士，别自己瞎操作把证据搞废了。