发现员工离职后复制源代码、带走技术方案，或者把工艺流程发给竞争对手，第一反应通常是删账号、改密码、找员工对质。
这些措施可以做，但顺序不能乱。商业秘密案件最怕的不是没有材料，而是原始数据被覆盖、证据链断裂，甚至公司自己把涉密内容公开了。
第一时间：先保留现状，再阻止继续泄露
先记录发现时间、涉事人员、使用的设备、系统账号和异常行为。能够合法控制的服务器、代码仓库、网盘、邮箱、CRM系统，应及时导出原始日志、下载记录、访问记录和文件版本。
如果涉及电脑、手机、U盘、硬盘等载体，不要急着格式化、重装系统或者删除文件。在不影响继续止损的情况下，应先保留设备现状，并由专业电子数据取证机构进行镜像、备份或者提取。
如果泄露正在持续，可以立即停用账号、收回设备、修改密码，但应同时记录操作时间、操作人员、操作内容以及修改前后的权限状态。
不要未经授权登录员工私人设备、私人邮箱或私人账号，也不要为了取证擅自安装监控程序。证据取得方式本身不当，可能影响法院对证据的采信。
当天做一张“证据地图”
不要只保存一个被下载的文件，而要把证据分成四个部分：
第一，秘密内容。
明确是哪一段源代码、哪一套工艺步骤、哪一份技术方案，记录文件名称、版本、形成时间、功能用途和与公开技术的区别。
第二，秘密载体。
记录资料原来存放在哪里，是代码仓库、服务器、内部网盘、纸质图纸，还是邮件和聊天记录。
第三，接触权限。
证明谁有机会接触这些资料，包括员工的岗位、账号权限、项目参与情况、登录记录和下载记录。
第四，泄露或者使用行为。
固定复制、下载、转发、发送外部邮箱、上传网盘、带离公司以及竞争对手产品使用相同技术方案等事实。
技术方案不一定只存在于一份文件中。最高人民法院知识产权法庭公开案例明确，技术秘密可以分散在图纸、工艺规程、质量标准、操作指南、实验数据等多份文件中，但公司需要说明这些材料如何共同构成完整的技术方案。最高人民法院知识产权法庭关于技术秘密技术方案的案例
自己拿不到的证据，及时申请法院保全
如果关键服务器、员工电脑、竞争对手设备或者后台数据由对方控制，公司无法自行取得，应尽快考虑申请证据保全。
最高人民法院规定，申请证据保全时，法院会审查是否已经有初步证据、证据能否自行收集，以及证据灭失或者日后难以取得的可能性。涉及技术方案的，法院可以通过现场勘验、拍照、录像、复制设计图纸和生产图纸等方式固定证据。最高人民法院《关于知识产权民事诉讼证据的若干规定》
申请材料中不要只写“对方偷了技术资料”，而应当写清楚：
- 需要保全的设备、账号、文件或者系统；
- 这些证据与商业秘密的对应关系；
- 对方为什么能够接触或者控制；
- 如果不立即保全，证据为什么可能被删除、修改或者转移；
- 希望法院采取复制、提取、勘验、封存等哪一种措施。
仍在继续使用的，别只等赔偿
如果源代码、技术方案或者工艺流程正在被上传、销售、生产使用，等到普通诉讼结束后再处理，商业秘密可能已经失去价值。
在有初步证据证明存在非法获取、披露或者使用，且不及时制止会造成难以弥补损害的情况下，可以同步考虑申请行为保全。最高人民法院的商业秘密司法解释已经明确，商业秘密即将被非法披露或者使用的，属于可以审查行为保全的情形。最高人民法院《关于审理侵犯商业秘密民事案件适用法律若干问题的规定》
取证时最容易犯的三个错误
第一，只截几张聊天记录，却没有保存原始设备、原始文件和完整上下文。
第二，只证明员工下载过资料，却没有说明下载的具体内容为什么属于商业秘密，以及对方后来如何使用。
第三，为了证明资料重要，把源代码、工艺流程或者技术图纸直接发到公开平台，导致秘密性受到破坏。
商业秘密案件的证据固定，核心不是材料越多越好，而是要把“秘密是什么、由谁控制、谁接触过、如何被带走、后来如何使用”连成一条完整链条。
源代码、技术方案、工艺流程发生异常外传时，冉迪律师可以根据资料类型、系统记录和泄露路径，判断应先做电子数据取证，还是直接申请证据保全、行为保全。