去年某电商平台被拖库，网络两千万用户数据挂在暗网叫卖。安全事后复盘，岗位问题出在一个离职三个月的职责运维账号没注销，权限还留着。网络这事跟黑客技术多高明没半点关系——就是安全岗位职责没落实。网络安全这行，岗位技术再牛，职责职责不清等于白干。网络

安全运维岗的安全人每天到公司第一件事，不是岗位打开电脑看邮件，是职责翻昨天的告警日志。WAF拦截了多少次注入，网络IDS报了几条异常流量，安全哪台服务器半夜三点突然往外发数据包。岗位这些事看起来琐碎，但漏掉一条，可能就是一个入口。我认识一个老哥，在某银行做安全运维，他有个习惯：每天手动过一遍所有高危告警，哪怕系统标了“已自动处理”。他说机器判断不了的上下文，只有人脑能补上。

渗透测试岗的职责边界经常被搞混。有人觉得就是拿工具扫一扫，出个报告完事。实际上，一次合格的渗透测试，前期信息收集能占整个项目一半时间。子域名、旁站、员工邮箱格式、甚至垃圾桶里翻出来的工牌照片，都是素材。测试过程中要严格记录每一步操作和时间戳，因为你不只是在找漏洞，还在为后续修复提供可追溯的证据链。最怕那种扫完就走的，报告里写一堆“高危漏洞”，修复建议却是“请及时更新补丁”——这种活儿，甲方第二年肯定不续约。

安全开发岗更憋屈。产品经理催着上线新功能，你非要在代码里卡安全审计，两边天天吵。但职责摆在那儿：每个对外接口必须做参数校验，每个用户输入必须过白名单，每个敏感操作必须留日志。有个做支付的朋友，他们团队规定所有涉及金额的SQL语句必须走ORM框架，禁止手写拼接。有一次新来的实习生图省事直接拼了个字符串，代码评审时被拦下来，全组加班重写。当时有人抱怨小题大做，三个月后隔壁公司就因为类似问题被注入了，损失七位数。

合规岗听起来最虚，其实最要命。等保测评、GDPR、数据出境安全评估，这些不是填表交差就完了。你需要把法规条文翻译成技术部门能听懂的话。比如“数据最小化原则”，落到具体系统里，就是用户注册时不能强制填生日和性别，后台数据库里不能存明文身份证号。我见过一个合规专员，硬是拉着法务和研发开了六次会，把用户协议里每个数据收集项都对应到具体的业务功能上，删掉了三个“为了未来可能的需求”而预留的字段。这种较真，才是岗位职责该有的样子。

安全响应岗的职责最像消防员。平时做预案、搞演练，真出事了要第一时间隔离、取证、恢复。但很多公司的响应流程是摆设——真被勒索了，发现备份数据三个月没更新，恢复个屁。所以响应岗的人平时就得盯着备份策略，定期做恢复演练。有个做医疗信息化的团队，每季度搞一次“断网演习”：拔掉生产环境网线，看能不能在四小时内从备份恢复核心业务。第一次搞的时候花了十一个小时，现在稳定在两小时以内。这活儿没人催，但不做，出事就是全责。

说到底，网络安全岗位职责不是写在JD里的那几行字。它是每天的具体动作：注销账号、审核代码、更新规则、演练恢复。技术会过时，工具会换代，但把该做的事做到位，这个道理不会变。那些出事的公司，缺的往往不是防火墙，是有人认真盯着自己那一亩三分地。