晨会刚结束，渗透安全部的管理老赵就把我堵在工位上。他手里捏着一份红头文件，培训说集团要搞一次全员渗透管理培训，渗透让我准备课件。管理我问他是培训哪类渗透，他说就是渗透那个“钓鱼邮件”和“U盘乱插”的事。我说这不叫渗透管理，管理这叫安全意识普及。培训他摆摆手，渗透说别抠字眼，管理领导定的培训名字，你照着讲就行。渗透

这事其实挺有意思。管理真正的培训渗透测试，是拿着授权去攻击自己的系统，找漏洞。可大多数公司搞的所谓“渗透培训”，讲的是别让外人溜进来，或者更直白点——别让员工自己把门打开。这两件事，一个主动一个被动，混在一起讲，效果往往南辕北辙。

我见过最典型的反面教材，是某制造企业的机房。门禁卡分三级权限，监控探头密密麻麻，防火墙规则写了三百多条。可就是这么个铁桶阵，被一个外包保洁员破了功。她每天下午三点准时进机房拖地，拖把桶里塞着个充电宝大小的无线网卡，连着隔壁车间的开放WiFi，愣是把生产数据传了两个月才被发现。后来查原因，保洁公司换人太勤，门禁卡注销流程要走两周，外包经理嫌麻烦，就让新人用旧卡先顶着。这哪是技术问题，纯粹是管理流程烂了。

所以我说，渗透管理培训的第一课，不该教怎么配防火墙，得先教大家认清一个事实：人永远是链条上最脆的那一环。你花五十万买的入侵检测系统，可能还不如前台小姑娘多问一句“您找谁”管用。我认识一个银行的老安全主管，他每年搞演练，专门雇人假装快递员往办公区扔U盘，捡起来插电脑的，十个人里至少有三个。后来他不罚钱了，改成让中招的人请全部门喝奶茶，一个月后中招率降了七成。这招比扣绩效管用，因为丢脸比丢钱疼。

话又说回来，培训不能只讲吓人案例。你得告诉员工，真碰上可疑邮件该按哪个键，误点了链接第一步该拔网线还是关机。具体动作比抽象概念重要得多。上个月我们给某设计院做培训，现场让学员模拟收到“工资条补发”邮件，结果二十多个人里，有十七个点了附件。问他们为什么点，回答出奇一致：“看着像HR发的。”你看，问题从来不是技术多高明，是攻击者太懂人性。

培训方案最后我改了标题，叫《渗透管理培训（员工版）》，副标题写“别替黑客开门”。老赵看了说太直白，我说直白才好记。培训那天我开场只放了一张截图——某公司内网被勒索病毒加密后的桌面，背景是一只像素风格的卡通蟑螂，底下配字：“你猜它是怎么进来的？”全场安静了三秒，然后有人小声说：“不会是我上次点那个中奖广告吧？”

对，就是这个反应。培训要的就是让人心里咯噔一下，而不是听完打个哈欠，领个纪念品走人。至于那些真正搞技术渗透的兄弟，咱们私下再聊，别跟普通员工混一堂课，互相耽误工夫。