写安全协议，安全最怕写成“我们承诺不泄密”这种空话。协议写去年一家做SaaS的安全朋友给我看他们和客户签的协议，通篇都是协议写“采取合理措施”“尽最大努力”，结果服务器被撞库，安全客户数据丢了一大半。协议写打官司时法官问：你说的安全“合理措施”具体指什么？他们答不上来。协议里没写，协议写等于没做。安全

安全协议不是协议写法律文书里的装饰品。它得让双方都清楚：谁在什么时间、安全用什么方法、协议写保护哪些东西、安全出了问题怎么算。协议写我见过写得最实在的安全一份，是一家支付公司和外包团队签的，开头直接列了一张表——哪些数据算敏感数据，包括用户手机号、银行卡后四位、交易流水号，连日志里可能出现的IP地址都标了黄。这种颗粒度，才是协议该有的样子。

具体怎么写？先定范围。别用“所有业务数据”这种笼统说法。我习惯让团队把数据分成三档：公开的、内部的、核心的。核心数据必须加密存储，密钥不能和密文放同一台机器。传输过程用TLS 1.2以上，别再用SSL了，那玩意儿早就不安全。有个做医疗软件的朋友，协议里专门写了一条：测试环境禁止使用真实患者数据。结果新来的实习生图省事，直接拷了生产库，差点被罚到关门。

责任划分要具体到动作。比如“乙方应在发现漏洞后24小时内通知甲方”，这比“及时通知”强一百倍。通知谁？邮件还是电话？邮件发到哪个地址？这些细节不写，出事时对方说“我发微信了”，你一点脾气没有。我见过一份协议，连“通知后甲方应在4小时内确认收到”都写进去了。看着啰嗦，但真出过事——甲方邮箱满了，乙方发了没收到，扯皮扯了三个月。

访问控制得写死。别写“最小权限原则”，要写“运维人员只能通过跳板机访问生产数据库，且每次操作需二次审批”。有个做电商的团队，协议里要求所有数据库操作留痕，结果发现DBA偷偷用root直连，日志里全是乱码。后来改成强制走审计平台，每条SQL都记录，连select * from users这种都跑不掉。麻烦是麻烦，但心里踏实。

出事了怎么办？别只写“双方协商解决”。要写清楚：谁负责取证、多长时间内提交报告、要不要请第三方机构。我见过最狠的一条：发生数据泄露，乙方必须在2小时内冻结所有相关账号，并在6小时内提供完整访问日志。做不到？按次罚款，一次五万。钱不是目的，但没这条，对方的技术团队根本不会半夜爬起来干活。

最后，协议得有人真的看。很多公司签完就锁进柜子，员工连里面写了啥都不知道。我的做法是：把协议里的技术条款摘出来，做成一张A4纸的检查清单，贴在开发工位上。比如“新上线服务必须配置WAF”“数据库备份每周恢复一次验证”。协议是给法务看的，清单是给干活的人看的。两码事。

写安全协议，别追求辞藻漂亮。把“谁、在什么条件下、做什么、做不到怎么办”这四件事说清楚，比什么都强。你写的时候可以问自己：如果明天系统被黑了，我拿着这份协议，能不能直接找到责任人？能，就差不多了。

(责任编辑：休闲)