召开网络安全工作会议

上周三凌晨两点，召开我们监测到一次针对内部OA系统的网络异常登录尝试。IP来自境外，安全但账号密码是工作对的——这意味着有人拿到了凭证。值班同事当场切断了该账号权限，召开事后排查发现，网络是安全三个月前离职的一名测试人员账号没及时注销。这事不大，工作但足够让人后背发凉。召开今天召集大家开这个会，网络不念文件，安全不讲套话，工作就聊三个我们正在漏风的召开口子。

第一个口子：账号生命周期管理形同虚设。网络我让运维拉了最近半年的安全权限变更记录，发现超过40%的离职人员账号是在离职后一周以上才被禁用。最长的一个拖了23天。这中间如果有人恶意使用，我们连日志都查不全。行政部上周交来的离职清单还是Excel表格，靠邮件发给IT，IT再手动录入。这个流程必须改。下个月起，离职手续里增加“账号注销确认单”，HR、部门负责人、IT三方签字，当天办结。谁卡住流程，谁负责。

第二个口子更隐蔽。我们内部有个测试环境，用的是弱口令，数据库端口还开着外网访问。开发同事图方便，说“反正没真实数据”。但攻击者不需要真实数据，他们只要一个跳板。去年某电商平台被入侵，起因就是测试环境的一个Redis未授权访问漏洞。这事我已经让安全组做了扫描，发现类似暴露面还有7处。本周五之前，所有测试环境必须完成三件事：改强密码、关外网端口、加访问白名单。做不到的，直接下线。

再说第三个事——人的问题。上个月钓鱼邮件演练，我们发了1200封模拟邮件，点开链接的有217人，提交账号密码的有43人。财务部一位工作八年的老同事也中招了。他后来跟我说：“那个邮件看起来就像真的，发件人是我们供应商的名字。”我不怪他。攻击者的社工库比我们想象得详细。但反过来说，我们的培训太形式化了。每季度一次PPT宣讲，签到完就忘。接下来改成每月一次“真实案例复盘”，用我们自己的监测数据做教材。谁被钓了，脱敏后当案例讲。脸红一次，比听十次课管用。

技术层面的事，安全组已经在做EDR全覆盖和网络分段。但工具永远替代不了流程和意识。我干这行十二年，见过太多公司买了最贵的防火墙，结果被一个弱密码攻破。网络安全不是买出来的，是管出来的。从今天起，每周五下午五点，安全组出一份“本周风险简报”，只写三件事：发现了什么、处理了什么、还没处理的是什么。直接发到部门负责人群，不用美化，不用写成绩。

最后说个具体的事。下周三前，每个人把自己手头系统的账号清单理一遍，用没用的、权限过大的、共享的，全部报给安全组。别嫌麻烦。真出了事，第一个被问话的就是账号持有人。散会。