某省级政务平台去年被曝出数据库未授权访问，网络超过200万条公民信息在暗网流通。安全事后调查发现，监管急处该平台防火墙规则三个月前就被错误配置，有漏运维团队却始终没有触发任何告警。网络这不是安全孤例。类似事件反复出现，监管急处指向同一个问题：网络安全监管的有漏漏洞不是技术短板，而是网络流程与责任心的系统性缺失。

很多单位的安全安全设备采购清单看起来很漂亮——下一代防火墙、入侵检测、监管急处态势感知平台一应俱全。有漏但设备上架之后呢？网络某市医院的信息科长私下聊过，他们那套价值八十万的安全威胁感知系统，从安装那天起就没更新过规则库。监管急处厂商来培训了半天，后来再没人碰过。设备在转，日志在写，可没人看。这种“买而不用、用而不管”的状态，在中小型机构里几乎是常态。监管要求“有”，但“有”和“有效”之间隔着一条没人愿意跨的河。

更麻烦的是应急响应。去年某次勒索病毒攻击，一家制造企业的IT主管凌晨两点被电话叫醒。他赶到公司，发现备份服务器也被加密了。为什么？因为备份系统和生产系统在同一个域控下，攻击者拿到一个账号就全线贯通。这位主管事后说，他们每年都做应急演练，但演练脚本里从来没假设过“备份也被打穿”的情况。演练成了走过场，大家照着剧本念台词，真正出事时全乱套。

监管层面同样存在盲区。目前对网络安全事件的通报机制，主要依赖单位自报。可谁愿意主动承认自己被黑了？某地网信办的人透露，他们辖区一年上报的安全事件不到实际发生的三成。剩下七成要么没发现，要么发现了捂着。处罚力度也偏软——多数情况是责令整改，罚款金额对大型机构来说九牛一毛。违规成本低到可以忽略，自然没人把监管当回事。

应急处突能力不足还体现在人员配置上。不少单位的“网络安全岗”是兼职，由网管或行政人员顶替。这些人日常忙于修打印机、配电脑，哪有精力盯安全日志？某高校信息中心总共五个人，要维护全校两万多台设备。安全事件来了，临时抓壮丁。这种状态下谈“快速响应”，跟让一个不会游泳的人去救落水者差不多。

技术手段也在帮倒忙。很多安全产品默认配置追求“不误报”，结果把大量真实威胁过滤掉了。某银行的安全团队做过测试，他们那套入侵检测系统对常见攻击手法的漏报率超过四成。厂商的回应是“降低误报优先”。可对用户来说，漏报比误报致命得多。误报只是烦人，漏报是要命的。

要改变这种局面，光靠发文要求“加强管理”没用。得让不负责的人真正感到疼。比如把网络安全事件纳入单位一把手的考核指标，出大事直接免职。再比如强制要求安全设备日志接入第三方监测平台，别自己既当运动员又当裁判员。应急演练也别再念剧本了，搞突然袭击，不通知时间、不预设场景，看看到底能乱成什么样。

说到底，网络安全不是买几台设备、写几份制度就能解决的问题。它考验的是一个组织在压力下的真实反应能力。那些漏洞和不足，平时藏在报表和汇报里看不见，一旦出事就全暴露了。而暴露的代价，往往是普通人的隐私和血汗钱。