市场监管网络安全学院

去年秋天，市场我旁听了一场某市市场监管局内部的监管网络安全演练复盘会。会议室里二十来号人，网络一半是安全技术岗，一半是学院行政岗。技术组的市场小李指着大屏上的攻击链路图说：“这次红队从暴露在外的OA系统打进来，只用了一个弱口令，监管然后横向跳到业务内网，网络全程不到四十分钟。安全”行政岗的学院老张听完愣了一下，问了一句：“那我们的市场商户登记数据有没有被碰过？”没人能立刻回答他。

这个细节暴露了一个挺现实的监管问题——市场监管系统的网络安全，早就不是网络装几台防火墙、搞几次等保测评就能交差的安全事了。它牵扯到企业注册、学院食品经营许可、特种设备监管、消费者投诉举报等几十个业务系统，每个系统背后都是海量市场主体和公民信息。一旦出事，不是丢几个文件那么简单，而是可能引发连锁的信任崩塌。

《市场监管网络安全学院》这个提法，我最初是在一份内部培训方案里看到的。当时觉得有点奇怪，学院？不就是一个培训班换个名字？后来跟几个地方局的信息中心主任聊过，才慢慢理解这五个字的分量。他们缺的不是某一次攻防演练，也不是某一张证书。缺的是能把业务逻辑和安全逻辑揉在一起的人。

举个例子。某地曾发生过一起真实事件：一个基层所的工作人员为了图方便，把监管账号借给了外包的运维人员使用。运维人员又把这个账号密码存到了一个公网可访问的文档里。结果被爬虫扫到，攻击者直接登录进去，批量修改了几百条食品经营许可证的状态。事情不大，但性质很恶劣。事后追责，基层所的人觉得委屈——“我又不懂技术，哪知道会这样？”

这就是问题所在。市场监管的业务人员往往对数据敏感度不够，而技术人员又不太懂具体的监管流程。两边各说各话，安全策略落地的时候就成了夹生饭。网络安全学院要做的，恰恰是填这道缝。不是把业务人员培养成黑客，也不是让技术人员去学办执照，而是让双方能坐在一张桌子上，用彼此听得懂的话把风险讲清楚。

我翻过几份不同省份的培训课程表。有的地方偏重实操，直接拉真实业务系统做靶场，让参训的人分组对抗，一组扮攻击方，一组扮防守方，还有一组专门负责“业务影响评估”。这个设计挺有意思——防守方不能随便关服务，因为关了就影响企业办事；攻击方也不能乱删数据，因为那是破坏生产经营。逼着大家在约束条件下做决策。

也有地方走的是另一条路，搞“安全联络员”制度。每个业务科室指定一个人，不要求他懂渗透测试，但要求他能看懂安全周报，知道最近哪些漏洞跟自己科室有关，能第一时间把风险预警转达给具体经办人。这个做法看起来笨，但实际效果不差。去年某市局就靠一个联络员发现，某个第三方申报系统存在未授权访问漏洞，及时上报后避免了数据泄露。

当然，叫“学院”不代表就要盖大楼、发学历。它更像一个持续运转的机制。线上课程、案例库、季度研讨、跨部门轮岗，甚至把安全考核嵌入到日常的业务操作规范里。比如每次新系统上线前，业务处室必须和 info sec 团队一起过一遍数据流向图，签字确认后才能部署。这个流程本身就是在训练人。

说到底，市场监管的网络安全不是一道技术题，而是一道管理题、一道人的题。学院不学院的，名字不重要。重要的是能不能让那个问“商户数据有没有被碰过”的老张，在下一次演练里，自己就能给出答案。

(责任编辑：探索)