公司内网能访问外网，外网不等于可以随便用。使用去年隔壁部门一个同事，规范用公司邮箱注册了某国外代码托管平台，外网图省事设了个跟内网一样的使用密码。三个月后，规范境外IP撞库成功，外网攻击者拿着他的使用令牌在内网横向扫了三台服务器。安全团队连夜断网排查，规范最后这哥们被通报批评，外网季度奖金扣光。使用这事儿传开之后，规范大家才认真看那份《外网使用规范》——之前都当它是外网墙上的装饰。

外网访问权限分三档。使用普通浏览，规范比如查资料、看技术文档，走代理就行，但代理日志保留六个月。带数据出站的，比如往外部API传参数，得单独申请白名单，每次调用都记日志。最严的是远程连接类，像SSH到境外VPS，必须走跳板机加双因子认证，而且操作录屏。很多人嫌麻烦，直接拿手机热点绕开公司网络，这本身就是违规。IT部门不傻，终端装了EDR，检测到网卡切换会告警。

密码这事儿值得单独说。外网账号跟内网账号必须不同，这是底线。有人觉得记不住，用密码管理器，但管理器的主密码又设成Company@2024。去年有个真实案例，某员工用公司域名邮箱注册了三个国外论坛，密码全是姓名拼音+123。其中一个论坛数据库泄露，攻击者拿邮箱和密码去试公司VPN，居然登进去了。后来查日志，发现攻击者只是进去逛了一圈，没干别的。但这事儿暴露的问题很直接：外网账号的脆弱性会直接传导到内网。

再说说浏览器。公司配发的Chrome装了策略，禁止安装未签名的扩展。有人自己下个绿色版浏览器放U盘里运行，以为能绕过监控。实际上终端管控软件会扫描进程，发现非白名单浏览器直接阻断网络。更隐蔽的是DNS查询，有人改hosts文件访问某些站点，但DNS请求还是走公司解析器，照样留痕。别想着耍小聪明，安全团队看的维度比你想象的多。

文件传输是另一个重灾区。用个人网盘传工作文件，哪怕文件本身不涉密，也违反了数据出境规定。去年有个项目组，为了跟海外同事同步设计稿，用了某国外云盘。结果云盘自动同步了本地一个包含测试数据的文件夹，里面有几万条用户手机号。虽然测试数据是脱敏的，但格式跟真实数据一样，触发DLP告警。整个项目组被要求写检查，云盘链接全部作废。后来他们改用公司自建的加密共享盘，虽然慢点，但至少不违规。

有人问，我就看看技术博客，不登录不传文件，能出什么事？风险在于水坑攻击。攻击者会入侵你常看的小众技术站，挂个恶意脚本。你浏览器没打补丁，或者Flash没禁用，脚本就跑起来了。去年某前端框架的官网被挂马，三个同事中招，终端被植入远控。安全团队查了一周才清理干净。所以外网浏览尽量用只读模式，别开JavaScript，或者用公司提供的隔离浏览器。那玩意儿虽然卡，但安全。

最后说个观察。规范里写“禁止使用外网邮箱收发工作邮件”，但很多人用Gmail跟客户沟通。理由是企业邮箱附件限制太小。这其实是IT部门的锅，他们后来把附件限制放宽到50MB，用Gmail的人少了一半。规范要落地，光靠罚不行，得让合规路径比违规路径更顺手。否则大家嘴上说遵守，身体很诚实。

外网使用规范不是用来限制效率的，它是把风险控制在可接受范围内。你绕开它省下的五分钟，可能让整个团队加班五天。这笔账，自己算。