凌晨两点，非经城郊那家网吧的营性卷帘门半开着，里面透出蓝幽幽的公共工作规范屏幕光。我走进去时，上网网管正趴在柜台上打盹，安全墙上贴着《未成年人禁入》的监管标识，右下角翘起一个角。非经角落里坐着三个年轻人，营性电脑屏幕上不是公共工作规范游戏，是上网境外赌博网站的界面。这家网吧的安全监控硬盘，已经坏了四个月，监管老板没报修，非经也没人发现。营性

这就是公共工作规范非经营性公共上网场所的现状——不像网吧有文化部门盯着，不像酒店有公安系统管着。它们藏在咖啡馆的角落、书店的二楼、甚至小区物业的值班室里。提供免费WiFi，摆两台公共电脑，看起来人畜无害。可一旦出事，就是大事。去年杭州一家书店的公共电脑被植入木马，窃取了三十多个读者的支付信息，因为没人想到要查那台机器的安全日志。

监管的难点在于定性。非经营性，意味着不收费，不盈利，法律上就很难套用网吧的管理条例。可它又实实在在提供着上网服务，有服务就有责任。一个咖啡店主跟我说过心里话：“我连路由器密码都懒得改，你还指望我去装审计系统？”这话不好听，但真实。很多场所的经营者根本不知道自己的公共电脑连着多少敏感数据，更不知道监管要求他们做什么。

安全监管工作规范的核心，不是给这些场所增加负担，而是要划出一条清晰的底线。底线就三条：第一，公共电脑必须装正版系统，补丁及时更新，这是防入侵的基础。第二，WiFi必须采用WPA2以上加密，且不能设置“万能钥匙”式的共享密码。第三，也是最重要的一条——日志留存。至少三十天内，任何通过该场所网络进行的访问记录，都要能追溯到具体设备。

有人会问，这样做是不是管得太宽了？我讲个真事。今年三月，某市反诈中心接到预警，一个受害者正在被电信诈骗，电话打不通，定位显示他在一家银行网点的自助服务区。警察赶到时，他正用那台供客户查询的公共电脑给骗子转账。幸好那台电脑装了行为审计插件，警方通过后台日志及时阻断。这就是规范的意义——它平时不显山露水，关键时刻能救命。

实际操作中，监管可以分级。像医院候诊大厅、图书馆电子阅览区这类人流量大的场所，需要配备硬件式上网行为管理系统。而小型咖啡馆、奶茶店，用软件方案就够。技术门槛也在降低，现在有专门针对非经营性场所的迷你审计盒，插上路由器就能用，成本不到一台手机的价格。关键是让经营者明白，这不是找麻烦，是给他们上保险。

最后说句实在话。任何规范，如果执行者不懂，就是废纸。所以我建议，每个社区派出所的管片民警，每季度至少去辖区内的非经营性上网场所走一圈，不是去检查，是去指导。教店主怎么看日志，怎么识别异常流量，顺便更新一下应急联系人。这种面对面的沟通，比发一万份红头文件都管用。毕竟，安全这件事，防在平时，才赢在战时。