客户信息泄露，客户从来不是信息泄露技术问题，是客户人心问题。

上个月，信息泄露我朋友的客户公司丢了八千条客户数据。不是信息泄露黑客攻破防火墙，不是客户系统漏洞被利用——是销售部的老张，离职前用U盘拷走了所有联系方式。信息泄露老张干这行十二年，客户跳槽五次，信息泄露每次走人都带点“纪念品”。客户这次他卖给了同行，信息泄露一条信息两毛钱，客户总共赚了一千六。信息泄露公司请安全公司调查，客户折腾两周，最后发现泄露源头是自家员工的个人邮箱。老板气得拍桌子：“我每年花几十万买安全设备，结果败在一个U盘上？”

这事听着荒诞，但太常见了。你去任何一家公司问，安全部门最怕的从来不是外部黑客，是内部人。黑客攻击需要技术门槛，需要寻找漏洞，需要持续试探——而内部员工，他们知道密码放在哪，知道哪个文件夹没设权限，知道打印机里还躺着昨天的合同。他们不需要攻破什么，只需要正常上班，正常下班，正常把文件拷走。

更讽刺的是，很多公司把精力全花在防外贼上。装最贵的防火墙，请最好的渗透测试团队，每年做两次红蓝对抗演练。可员工培训呢？一年一次，还是线上点个视频就完事。我问过一家金融公司的IT主管，他苦笑：“我们给员工讲钓鱼邮件讲了四年，还是有人会点陌生链接。上周刚有个财务，把全公司工资表发到了骗子邮箱。”
这不是员工蠢，是制度设计有毛病。公司一边要求员工“注意信息安全”，一边又用各种方式逼着他们走捷径。比如，很多公司内部系统密码三个月强制改一次，规则复杂到没人记得住，于是人人都在显示器底下贴张便利贴。便利贴上写着“Abc@1234”，旁边还画了个笑脸。这能防谁？防君子不防小人，可泄露客户信息的，从来不是君子。

还有个常被忽略的角落：外包人员。写字楼里那些做保洁的、修电脑的、送快递的，他们能自由进出办公区。去年某地产公司泄露了十万业主信息，查到最后，是外包保洁阿姨在清理废纸时，把没碎掉的客户登记表卖给了收废品的。阿姨不知道那是什么，只知道“纸挺厚，能卖钱”。公司追责，外包公司说“临时工，已辞退”，然后就没有然后了。

说到底，客户信息泄露的根源，是公司把数据当资产，却忘了员工是活人。数据存在服务器里，但经手数据的每一个环节，都是活生生的人。人有情绪，有贪念，有疏忽，也会被生活所迫。老张不是天生就想着卖数据，他离职时公司欠他三个月提成，讨了五次都没结果，HR还阴阳怪气说“你走了就别惦记了”。他那天晚上坐在出租屋里，看着银行卡余额，突然就想到了那个U盘。

我不反对用技术手段防泄露——加密、权限分级、行为审计，这些都该做。但如果你只做这些，就像给家门装了十把锁，却把钥匙挂在门框上。真正的防护，是让员工觉得“不值得冒险”，是让外包人员“碰不到核心数据”，是让制度别把人逼到墙角。否则，今天走了老张，明天还有小李；今天防住保洁阿姨，明天还有快递小哥。

信息安全的短板，从来不在服务器机房，而在人心最软的角落。

(责任编辑：焦点)