内容摘要：去年秋天，集团总部信息中心被一封钓鱼邮件撕开了口子。攻击者伪装成“财务部季度对账表”，三个分公司的OA账号在四小时内陆续沦陷。事后复盘，问题不在防火墙，而在某位老员工把密码设成了“admin123”。

去年秋天，国企工作集团总部信息中心被一封钓鱼邮件撕开了口子。网络攻击者伪装成“财务部季度对账表”，安全三个分公司的总结OA账号在四小时内陆续沦陷。事后复盘，国企工作问题不在防火墙，网络而在某位老员工把密码设成了“admin123”。安全这件事让整个安全团队意识到，总结再贵的国企工作设备也堵不住人的疏忽。

国企的网络网络环境跟互联网公司完全两码事。我们内网跑着上世纪九十年代遗留的安全COBOL系统，财务用的总结U盾驱动只兼容Windows 7，生产车间的国企工作PLC控制终端甚至没法打补丁——一重启整条流水线就得停摆。安全部门最头疼的网络不是黑客多高明，而是安全业务部门那句“别动，动了就出生产事故”。

今年三月做了一次真实攻防演练。红队用一台未登记的上网本接入了会议室网口，十五分钟就摸到了人力资源系统的数据库。蓝队那边还在等态势感知平台告警，结果平台因为规则库半年没更新，压根没识别出异常流量。演练结束后的总结会上，运维组长说了句实话：“我们买的安全设备能堆满一间机房，但没人会调策略。”

后来调整了思路。把全集团一千多台服务器按业务重要性分成四类，核心交易系统单独划了微隔离区，访问关系精确到端口级。剩下的边缘系统干脆上云，用云服务商的原生安全组兜底。这个决定在内部吵了两个月，财务担心数据出园区，技术团队坚持认为自建机房的物理防护反而比不过云厂商的DDoS清洗能力。最后是主管安全的副总拍了板：先拿测试环境跑三个月，出问题他担着。

人的问题还是最难啃的骨头。全员钓鱼邮件演练做了六轮，第一轮点击率38%，第六轮降到9%。但有个分公司的老会计每次都会点，找他谈话，他说：“我知道是假的，但万一真是领导发的急事呢？”后来给他单独配了硬件令牌，登录任何系统都得按一下。麻烦是麻烦，总比真出事强。

供应链安全是另一个暗雷。去年采购的一批国产交换机，固件里被挖出三个高危漏洞。厂商补丁倒是发了，可我们两百多台设备分布在二十几个偏远站点，运维人员跑一圈得半个月。最后是让厂商工程师驻场，带着我们的人连夜刷固件，刷到凌晨三点，食堂送来的包子都凉透了。

数据分类分级这事推进得慢。业务部门总觉得“我的数据我做主”，直到有次审计发现营销中心的客户名单被离职员工拷走，卖了不到两千块钱。现在所有敏感数据导出都得走审批流，单次超过五百条自动触发脱敏。有人抱怨效率低了，安全团队就一句话：“要不您跟审计解释去？”

年底盘点，全年拦截外部攻击十二万次，内部违规操作四十三起，真正造成损失的只有两起——都是因为弱口令。这个数字比去年少了七成。但没人敢松劲，因为上个月刚监测到针对工控系统的定向扫描，IP来自境外，手法跟三年前攻击乌克兰电网的样本高度相似。

安全这活儿干久了会得强迫症。看见USB接口就想贴封条，收到陌生邮件先看发件人域名，连家里路由器都设了MAC地址白名单。但值得。上周生产系统升级，新来的小伙子问：“咱们花这么多钱防谁啊？”我指了指窗外那排厂房：“防那些想让你停产的人。”