网络安全工作领导小组会议

“3·15”那批泄露的网络用户数据，是安全从一个没人记得关的测试接口流出去的。安全团队发现的工作时候，数据已经在暗网上挂了三天。领导这事发生在去年，小组涉事企业事后被约谈，网络罚了八十万。安全负责人坐在会议室里说，工作他们一直以为那个接口早就下线了。领导

这就是小组我们今天坐在这里的原因。网络安全不是网络买几台防火墙、装个杀毒软件就完事了。安全它是工作一个持续的过程，需要人盯着、领导制度管着、小组技术撑着。任何一环松了，都可能变成下一个上新闻的案例。

我先通报一下近期排查的情况。上个月我们对全公司的对外系统做了一次资产梳理，结果不太好看。有十七个对外服务没有走统一的网关，直接暴露在公网。其中三个还在用两年前的老框架，漏洞库里有记录的就有五个高危。更麻烦的是，这些系统的负责人有一半已经转岗或离职，交接文档基本没有。

这不是技术问题，是管理问题。谁建的谁负责，谁运维谁负责，这句话不能只挂在墙上。从今天起，所有对外系统必须登记在册，每季度更新一次责任人。找不到责任人的，直接下线。没有商量余地。

再说一个具体的事。上个月我们做了一次钓鱼邮件演练，发了一千二百封模拟邮件，点开链接的有三百多人，提交账号密码的有一百一十七个。这个比例放在真实攻击场景里，等于大门敞开。后来我们找了几个提交密码的同事聊，有人说“看着像公司IT发的”，有人说“当时在开会没细看”。攻击者要的就是你这一秒的疏忽。

所以培训得改。不能一年两次放个视频就完事。我建议按部门做小范围演练，针对不同岗位设计不同场景。财务的邮件、研发的代码仓库、行政的会议通知，各敲各的警钟。培训记录要跟绩效考核挂钩，不是扣钱，是让每个人知道这事跟自己有关。

技术层面，有几件事必须马上推。第一，所有对外系统接入统一身份认证，禁止单独开账号。第二，数据库操作全部留日志，谁在什么时候查了什么数据，要有记录可追溯。第三，核心数据加密存储，密钥管理跟运维权限分离。这三件事给两个月时间，完不成的部门自己打报告说明原因。

预算方面，今年的安全投入比去年增加了百分之四十。钱要花在刀刃上。我倾向于把大部分投在自动化的监测和响应工具上，人力盯屏幕盯不出安全感。但工具是辅助，关键还是人。我们需要至少两名专职安全工程师，不能总让运维兼职干这个。招人的事人事部门配合一下，待遇按市场价走，别拿“公司发展空间”这种话去谈。

最后说一个观察。我参加过几次外部安全会议，发现一个规律：出事的企业，往往不是没技术，而是没把安全当业务的一部分。安全团队说话没人听，提的需求排期永远在最后。这种文化不改，买再多设备也是摆设。从我开始，以后每个季度的经营分析会，安全指标要占一页PPT。不是走形式，是让所有人看见，这件事跟营收、跟利润一样重要。

散会前把今天的任务清单发到群里。各自认领，下周一之前给反馈。谁拖了，我直接找谁。