风险防控存在漏洞

去年冬天，风险防控某市一家三甲医院的存漏挂号系统被一个离职员工用旧账号登了进去。他没做别的风险防控，只改了两百多个专家号的存漏放号时间，把上午的风险防控号挪到凌晨两点。第二天一早，存漏几百个患者扑了空，风险防控投诉电话打爆了院长办公室。存漏事后查原因，风险防控发现那个账号在他离职三个月后依然有效，存漏权限也没变。风险防控IT部门说“忘了关”，存漏科室主任说“以为系统会自动清理”。风险防控一个“忘了”，存漏一个“以为”，风险防控漏洞就这么敞着。

这种事听着离谱，但翻翻近几年的安全事件通报，类似的“低级失误”一抓一把。某银行把测试环境的数据库密码设成“123456”，还跟生产环境用的是同一套；某政务平台的前端代码里直接写着管理员密钥，按F12就能看见。不是没有防火墙，也不是没买安全软件，可这些玩意儿防的是外面的黑客，挡不住里面的人随手一推。

风险防控最怕的就是这种“灯下黑”。大家盯着外部攻击，盯着APT、勒索软件、零日漏洞，PPT上画满了攻击链路图。结果自家后门没锁，钥匙还插在锁孔上。我见过一个做安全审计的朋友，他跟我说，去企业查漏洞，十次有八次最先发现的问题不是技术层面的，是流程层面的。比如离职流程里没有“账号回收”这一项，比如外包人员能直接连内网，比如备份数据和源数据放在同一台服务器上。这些东西不需要什么高级黑客技术，一个稍微懂点电脑的普通人就能捅出大篓子。

为什么会这样？因为风险防控在很多人眼里是“合规动作”，不是“生存动作”。上面要检查，就买几台设备摆着；要填表格，就让行政小姑娘照着模板抄一遍。真正该较真的地方——权限分级、日志审计、应急演练——反而没人愿意碰。权限分级意味着要跟各部门吵架，谁都不愿意自己的权限被削；日志审计意味着要有人天天盯着看，枯燥又不出成绩；应急演练更麻烦，得停业务、拉队伍、真刀真枪地模拟。这些事做了不出彩，不做也不一定出事。于是大家都赌那个“不一定”。

可风险这东西，你赌它不来，它偏偏就来。而且来的时候专挑你最疼的地方下手。前阵子有个做电商的朋友，半夜给我打电话，说数据库被删了，备份也打不开。我问怎么回事，他说半年前搞过一次“安全加固”，把备份服务器的访问权限收紧了，但忘了给备份任务用的那个服务账号加白名单。结果备份任务跑了半年，其实一条都没成功，日志里全是报错，没人看。黑客进来的时候，他们连个能恢复的备份都没有。最后花了十几万找数据恢复公司，救回来七成，剩下三成永久丢了。

你说这算技术问题还是管理问题？我觉得都算，但根子上是态度问题。风险防控不是买几套设备、写几份制度就完事了。它得有人真当回事，得有人愿意为了“万一”去得罪人、去花时间、去干那些看起来没什么技术含量的脏活累活。比如定期翻日志，比如盯着离职流程，比如把备份恢复真跑一遍看看能不能用。这些事不酷，也不出活，但能保命。

漏洞从来不在系统里，在人心里。心里觉得“差不多就行”，系统就一定会给你来个“差很多”。