网络安全协议责任书

去年冬天，网络一家做跨境电商的安全小公司被勒索病毒锁死了全部订单数据库。老板后来复盘，协议发现入侵入口居然是责任一台前台电脑——那台机器上装着三年前离职员工留下的远程桌面账号，密码是网络“admin123”。安全设备买了不少，安全防火墙、协议EDR、责任备份系统一应俱全，网络可没人签过一份像样的安全责任书，谁该管什么、协议出了事找谁，责任全是网络糊涂账。

这就是安全问题所在：网络安全不是买几台设备就能解决的。设备是协议死的，人是活的。没有明确的责任划分，再贵的硬件也只是摆设。我见过太多团队把安全当成IT部门一个人的事，结果运维背着服务器跑，开发只管功能上线，行政觉得“电脑能开机就行”。真出了事，互相甩锅，最后老板拍桌子，罚了运维三个月奖金了事——下次照样出事。

责任书到底要写清楚什么

一份能落地的网络安全协议责任书，核心就三件事：谁负责什么、做到什么程度、没做到怎么办。

“谁负责什么”不是笼统写“IT部负责网络安全”。得拆到具体动作。比如：运维岗每周检查一次防火墙规则，每月更新一次系统补丁，离职员工账号必须在24小时内禁用；开发岗在上线前必须做代码安全扫描，不允许硬编码数据库密码；普通员工不得在办公电脑上安装未经审批的软件，收到可疑邮件要上报而不是自己点开看。这些动作写进责任书，每个人签字确认，比贴一百张“注意安全”的海报管用。

“做到什么程度”需要可验证的标准。别写“及时更新”，要写“高危漏洞修补不超过72小时”。别写“加强密码管理”，要写“系统密码长度不低于12位，每90天更换一次”。模糊的表述等于没写。

签字只是开始，执行才是关键

我见过一家公司，责任书签完就锁进抽屉，再也没人翻过。半年后中招钓鱼邮件，追责时发现，责任书里写的“每季度钓鱼演练”一次都没做过。签字是形式，配套的检查机制才是实质。每月抽半天做一次安全巡检，每季度搞一次模拟攻击测试，把结果和责任书对照，该表扬的表扬，该约谈的约谈。安全这件事，没有反馈循环就会迅速退化成纸面文章。

还有一个容易被忽略的点：责任书得跟着人和业务走。新员工入职要签，岗位调换要重签，业务系统上线要补签。外包人员、临时账号、第三方接口，这些边缘地带往往是事故高发区。去年某医院数据泄露，根因就是给设备厂商开的临时VPN账号半年没关，对方早就不维护了，账号却一直活着。

别把责任书写成免责声明

有些老板把责任书当成“出事别找我”的法律挡箭牌，通篇都是处罚条款。这种心态下写出来的东西，员工只会应付了事。好的责任书应该同时写清楚公司提供什么支持：安全培训谁来做，预算怎么申请，工具由谁采购。责任和资源对等，执行才有动力。否则你让运维用免费工具扛勒索病毒，他除了在责任书上签字，什么也做不了。

网络安全协议责任书不是万能药。它解决的是“有人管、知道怎么管、管不好有后果”这三个基本问题。剩下的，靠日常的较真和迭代。那家被勒索的电商公司后来重写了责任书，把每台设备的责任人钉到具体人头，每季度做一次全员钓鱼测试，连续三次点链接的人扣绩效。今年三月他们又收到一封钓鱼邮件，这次全公司只有一个人点了——就是那个被扣过绩效的前台。她点完立刻反应过来，自己上报了。这大概就是责任书真正起作用的样子。