凌晨两点十七分，公司我的网页手机屏幕在黑暗中炸开一道白光。监控系统推送的信息警报显示，公司官网的被盗办数据库正在被异地登录，每秒有上百条查询请求涌入。公司我盯着那个跳动的网页IP地址，它在三个小时内跨越了四个国家——从首尔到法兰克福，信息最后停在一个俄罗斯的被盗办服务器节点上。这不是公司演习，也不是网页什么黑客炫技，是信息真真切切的商业盗窃。

那晚之后我花了整整一周处理善后。被盗办说实话，公司大部分网络公司遭遇信息被盗后的网页第一反应都是错的——急着查漏洞、封端口、信息改密码，但真正该做的第一件事是取证。我见过太多企业主慌乱中把服务器日志清空重装系统，结果把攻击者的痕迹抹得干干净净，连报警都没了依据。正确的顺序应该是：先切断外网连接，但别关服务器，用另一台干净的电脑登录管理后台，把所有访问日志、数据库操作记录、文件修改时间戳全部打包加密保存。这些电子证据的价值远超你的想象。

我处理过一个客户的案例，他们的客户名单被竞争对手拿到手，对方挨个打电话挖墙角。客户急得跳脚，嚷嚷着要打官司。可当我们把数据库的修改记录调出来，发现有个账号在事发前两周就被人异地登录过，而且那个账号的权限恰好覆盖客户信息表。顺着登录IP一查，居然是从竞争对手公司内部的WiFi发起的。你说巧不巧？但如果没有提前备份日志，这事就只能吃哑巴亏。

接下来要面临一个现实问题：要不要通知客户？我的建议是，如果泄露的信息涉及身份证号、银行卡、家庭住址这类敏感数据，必须通知，而且要快。别想着瞒，纸包不住火。但通知的方式有讲究，别发那种冷冰冰的群发邮件，要一对一电话沟通，语气诚恳，给出具体的补救方案，比如免费提供一年的信用监控服务。前年某知名社交平台泄露了3亿用户数据，拖了两个星期才发公告，结果被骂得狗血淋头。反观另一家做在线教育的公司，发现泄露后48小时内就主动联系所有受影响用户，还自掏腰包给每人买了保险，虽然损失了几百万，但口碑反而上去了。

处理完对外的事务，内部排查才是重头戏。别以为黑客都是外来的，八成以上的数据泄露都跟内部人员有关——离职员工带着账号数据跳槽、财务人员被钓鱼邮件骗走密码、开发人员把密钥传到公开的GitHub仓库。我们那次排查发现，一个半年前离职的销售主管的账号还在正常使用，而且他的子账号权限居然没被回收。你猜怎么着？他离职前把自己的账号权限提升到了管理员级别，然后悄悄复制了整整两个G的客户资料。这种事，光靠技术手段防不住，得定期做权限审计，每个季度把员工账号列表和岗位名单对一遍，该销的销，该降的降。

对了，别忘了检查那些看似无关紧要的第三方服务。很多公司喜欢把网站统计代码、客服插件、在线支付模块外包给第三方，但你们想过没有——这些第三方服务商的数据安全水平参差不齐。有个做电商的朋友，网站本身固若金汤，结果栽在一个聊天插件上。那个插件的开发公司被黑客攻破，连带他们网站的访客IP、聊天记录全被拖走。所以，签合同的时候一定要约定数据安全条款，明确第三方泄露的责任。

最后说个反常识的事：数据备份不是越频繁越好。我们曾经有个客户，网站被勒索病毒加密了，他们每天都有自动备份，但恢复的时候发现，备份文件里也被植入了病毒。为什么？因为攻击者早就渗透进了他们的备份系统，每次备份的时候顺便把病毒也复制一份。所以备份要遵循“3-2-1原则”——三份数据副本，两种不同存储介质，一份离线存放。而且，离线备份的那份一定要物理隔离，别接在同一台交换机下面。

处理完所有事情已经是第八天，网站重新上线，客户通知也发了，内部权限也重新梳理了一遍。我在复盘报告里写了一句话：数据安全不是一道防火墙的事，而是一整套流程的博弈。你永远不知道敌人从哪里进来，但你可以确保自己每一步都留有余地。那个凌晨的警报声现在还会偶尔出现在我的梦里，但至少，下次再响的时候，我知道该先摸哪个开关了。