贺州市委网信办最近搞了一次网络安全演练，贺州模拟的市委是本地一家医院的挂号系统被勒索病毒攻击。演练结束后，网信网信办的贺州人没急着走，把医院信息科的市委人拉到会议室，一条条过流程：哪一步响应慢了，网信哪一步数据备份没跟上，贺州哪一步对外通报的市委措辞有风险。这种“事后复盘”现在成了他们的网信常规动作。

我去年跟过一次他们的贺州专项检查，去的市委是钟山县一家做农产品电商的小公司。公司就十几个人，网信服务器托管在南宁，贺州老板觉得“网络安全是市委大公司的事”。网信办的网信技术人员没讲大道理，直接打开一个后台日志，指着上面密密麻麻的异常登录记录说：“你看，从境外IP尝试登你后台的，过去一周有三百多次。你卖的是昭平红茶和富川脐橙，人家盯的是你的客户数据和支付接口。”老板当场就变了脸色。这种“拿数据说话”的方式，比发文件管用。

贺州这个地方，互联网产业底子薄，但网络安全的隐患一点不少。政务系统、教育平台、县级融媒体中心，还有那些散落在各乡镇的电商服务站点，都是风险点。市委网信办编制不多，要覆盖全市两县两区，靠的就是一套“技术监测+人工研判”的笨办法。他们和公安、大数据局拉了联动群，一有预警，群里直接@具体负责人，不搞层层转发。有次平桂区一个政务公众号被篡改，从发现到处置完毕，用了不到四十分钟。

但光靠堵漏洞不行。他们花了不少精力在“人”身上。去年搞的网络安全培训，没请外面的专家念PPT，而是让本地被攻击过的单位自己上台讲。八步区一个街道办的年轻人分享了自己误点钓鱼邮件导致电脑被控的经历，台下听得比听教授讲课还认真。这种“身边人讲身边事”的土办法，效果反而实在。

当然，问题也有。我跟网信办一个工作人员聊过，他说最头疼的是基层单位“重建设轻安全”。很多项目上马时，预算里压根没有安全这一块。等系统跑起来了，再让他们补漏洞、加防护，往往推不动。还有技术人才留不住，贺州本地招不到也养不起高水平的网络安全工程师，很多时候只能靠跟第三方公司合作，但第三方对本地情况又不熟。这个矛盾短期内看不到解。

不过，他们有些做法挺有意思。比如把网络安全纳入绩效考评，但分值不高，更多是起提醒作用。再比如，定期给各县区发“网络安全风险提示单”，不点名，只列问题类型和整改建议，让各单位自己对号入座。这种“留面子”的做法，反而让下面的人更愿意配合。

说到底，贺州市委网信办干的是“守门”的活。门守得怎么样，外面的人不一定看得见，但一旦出事，就是大事。他们没有太多花哨的东西，就是盯着那些具体的系统、具体的人、具体的漏洞，一个一个过。这种笨功夫，在网络安全这件事上，恰恰是最需要的。