某地政务云平台在2023年的电政的管洞一次渗透测试中，安全工程师只用了一个弱口令就登进了后台数据库。全问密码是题中“Admin@123”，管理员三年没换过。理漏这事不稀奇，电政的管洞我见过太多类似的全问案例——电子政务的安全漏洞，十有八九不是题中技术不行，而是理漏管理上漏成了筛子。

最要命的电政的管洞管理漏洞，是全问权限分配像撒胡椒面。某市信息中心给每个科室都开了系统管理员账号，题中连食堂阿姨都能登录后台改菜单。理漏你说食堂阿姨能造成多大危害？电政的管洞她不会攻击系统，但她可能把账号密码写在便利贴上，全问贴在电脑显示器边框。题中这就够了。攻击者不用费劲搞什么0day，翻翻垃圾桶就能拿到进入政务系统的钥匙。权限该收就收，不该给的别给，这个道理简单，但执行起来，总有人觉得“方便第一”。

另一个大坑是外包运维的“甩手掌柜”心态。很多单位把系统运维包给第三方公司，合同签完就万事大吉。去年某省社保系统出过事，外包公司的技术人员在离职后，居然还能用原账号远程登录服务器——因为甲方根本没要求乙方做人员变更报备。那位离职员工后来干了什么？登录进去改了条缴费记录，给自己多缴了几个月社保。被抓时他说：“我就试试还能不能进去。”管理上的松懈，就是给人留这种“试试”的机会。

更隐蔽的漏洞藏在“应急演练”里。不少单位的安全预案写得漂亮，但一年到头不演练一次。真出了事，应急响应流程卡在“逐级上报”上，等领导批完字，病毒早就把内网扫荡三遍了。我认识一位区级网信办的哥们儿，他私下抱怨：“演练？领导觉得浪费时间，说真出事再说。”可真出事时，光确定谁负责指挥就能吵半天架。

还有一类漏洞特别讽刺——安全设备成了摆设。某单位花几百万买了防火墙、入侵检测、日志审计，结果部署后没人会配策略。设备默认配置跑了两年，规则库里全是过期的。安全厂商打电话提醒续费升级，负责的科长说：“能用就行，别老想着让我们花钱。”等到被勒索病毒盯上，才发现那些昂贵的设备根本没拦住任何东西。这不怪设备，怪的是买完不管、用而不精的管理习惯。

说到底，电子政务的安全防线，七成靠管理，三成靠技术。技术产品堆得再高，如果账号口令随手丢、权限边界模糊、运维流程松散、应急响应走过场，那这些设备不过是昂贵的心理安慰。别总盯着黑客的高超手段，先低头看看自己办公室抽屉里，有没有写着密码的便利贴。