政务外网的政务安全风险，八成出在“边界”上。外网去年某省大数据局的安全一次攻防演练，红队只用了不到两小时就摸进了内网核心区——入口是风险一台连着政务外网的旧打印机，固件三年没更新，排查默认口令都没改。报告这事听起来离谱，政务但排查过十几家单位后，外网我发现类似漏洞遍地都是安全。

边界模糊是风险第一个大麻烦。很多单位的排查政务外网和互联网之间只靠一台防火墙硬扛，策略却写得像筛子。报告比如某市社保系统，政务防火墙规则里赫然写着“any to any”，外网问起来运维人员还理直气壮：“业务要调用第三方接口，安全不开全通怎么跑？”结果扫描一下，数据库端口直接暴露在公网。更常见的是VPN设备，老版本漏洞一抓一大把，补丁永远排在“下个月计划”里。

终端侧的问题更接地气。我去过某个区政务大厅，窗口电脑清一色Windows 7，杀毒软件图标灰了半年没人管。工作人员拿U盘拷材料，插来插去，病毒跟着到处跑。一台机器中招，整个内网跟着遭殃。这不算新鲜事，但每次排查都能撞见。还有一种情况：为了图方便，有人私接路由器开WiFi，把政务外网信号扩展到办公室外，隔壁楼都能连上。问就是“领导要手机看文件”，安全制度在便利面前经常让路。

数据流动这块，风险藏得深。政务外网内部跨部门交换数据，很多走的是FTP或者共享文件夹，权限设得粗放。某次我帮一个单位做审计，发现财务系统的备份文件放在一个“所有人可读”的共享目录里，里面包含身份证号、银行账号。更离谱的是，备份脚本里明文写着数据库密码。这种“内鬼”式漏洞，防火墙根本拦不住。跨网交换数据时，网闸摆在那，但有人为了传大文件，直接拿移动硬盘两头插——物理隔离就这么被绕过去了。

运维管理上的松懈是根子。不少单位把政务外网运维外包，乙方派个新人驻场，连拓扑图都画不全。密码管理靠Excel表格，离职人员账号半年不删。漏洞扫描报告出来，高危项列了一长串，整改却挑简单的做，难啃的骨头就写“业务特殊性，暂缓处理”。我见过最夸张的，一台服务器上跑着三个不同业务系统，补丁版本差了好几年，问就是“动不了，一重启就崩”。

排查这些风险，光靠扫描器没用。得蹲在机房看设备指示灯，翻防火墙日志找异常外联，跟一线人员聊他们怎么“绕开”规定。技术手段要上，但人的习惯和惰性才是最大的变量。政务外网的安全，说到底不是买多少设备的事，是肯不肯把每一条策略、每一个账号、每一台终端当回事。那些觉得“内网没人攻击”的，往往最先中招。