2023年秋天，自身责任主体某大型电商平台被曝出用户数据泄露，产品超过两千万条订单记录在暗网流通。和系事后复盘，统漏攻击者利用的自身责任主体并非什么高深漏洞，而是产品一个三年前就已被公开披露的API接口未授权访问问题。这个接口的和系补丁，开发团队一直没打。统漏理由很熟悉：排期太满，自身责任主体优先级不够。产品

把锅甩给黑客太容易了。和系真正该问的统漏是：为什么一个已知漏洞能存活三年？答案不在外部，在内部。自身责任主体产品从设计到上线，产品每一行代码、和系每一次迭代、每一个被搁置的修复工单，都是企业自己签的字。漏洞不是天上掉下来的，是攒出来的。

我见过一个做SaaS的小团队，产品上线两年，用户量涨到几十万。创始人跟我说他们最怕的不是竞品，是每次发版前夜。因为代码仓库里躺着四百多个已知但未修复的缺陷，有些从第一版就存在。他们的测试流程？靠人肉点击。安全审计？没做过。问就是“等融到下一轮再说”。这种状态下，不出事是运气，出事是必然。

有人会辩解说，微软、谷歌也天天被爆漏洞。对，但区别在于响应速度和修复机制。微软每月固定补丁日，谷歌有专职安全团队和漏洞奖励计划。他们的漏洞是“发现—响应—修复”的循环，而很多公司的漏洞是“发现—记录—遗忘”的死循环。前者是技术问题，后者是管理问题，更是责任问题。

法律层面其实很清晰。《网络安全法》第二十二条、第四十二条都写明了网络运营者的安全保护义务。《数据安全法》第二十七条要求建立全流程数据安全管理制度。去年某车企因车机系统漏洞导致车辆可被远程解锁，监管部门直接开罚单，依据就是“未履行安全维护义务”。条文不新鲜，新鲜的是执行力度在收紧。

但法律只是底线。真正的问题在于，很多产品经理和研发负责人打心底里不觉得漏洞是自己的事。安全团队提了风险，业务方一句“影响体验”就能把修复排期推到下个季度。这种博弈里，安全永远是输家，直到出事。出事后呢？发声明、道歉、请安全公司救火，然后呢？然后下次还敢。

我观察到一个反直觉的现象：越是小公司，越容易把安全责任外部化。买了个云服务，就觉得云厂商该兜底；用了开源组件，就觉得社区该负责。可用户数据在你手里，业务逻辑是你写的，配置是你改的，凭什么让别人替你扛？云厂商只负责基础设施安全，应用层漏洞从来都是租户自己的事。这个边界，很多技术负责人装糊涂。

说回那个电商平台。泄露事件后他们发了一封内部信，强调“加强安全意识培训”。可真正该做的是把安全指标写进每个研发的OKR，把漏洞修复率跟绩效挂钩，把安全评审变成发版的硬卡点。培训解决不了系统性问题，只有机制可以。

产品是你做的，系统是你运维的，漏洞是你选择不修的。责任主体这四个字，没有模糊地带。安全不是功能，是底线。底线守不住，其他都是白搭。