凌晨两点，银行隐患监控室的安全老王发现二号库房的摄像头黑屏了。他按了按重启键，自查屏幕亮了，报告又暗了。银行隐患值班记录上只写了“设备故障”，安全没人想到去查那根被剪断的自查网线——直到一周后，库房里三台服务器被搬走，报告保安系统愣是银行隐患没响一声。

这就是安全我今天要说的核心问题：银行的安全隐患，从来不在技术漏洞上，自查而在那些“没人当回事”的报告日常细节里。

先说物理安防。银行隐患我们行共有17个营业网点，安全我抽查了其中6个，自查发现三个普遍现象：一是防尾随门经常不关严，员工图方便用砖头卡住；二是监控录像保存周期只有28天，而人行要求是至少3个月；三是押运交接区没有硬隔离，送钞车停靠时，外部人员能直接看到款箱搬运路线。上周三，我在东城支行亲眼看见一个穿维修工服的人，在ATM机房门口蹲了十几分钟，没人上前询问。后来查了监控，那人是来贴小广告的，但如果是踩点呢？

系统权限管理更让人揪心。柜员小李的工号密码，是她生日加手机后四位，这密码用了三年没换过。更麻烦的是，她离职后，系统里她的账号还挂着“有权查询客户交易明细”的权限——人力部门忘了通知科技部销户。我试了试，用她的旧密码登录，居然成功了。这不是个案，我查了最近半年的权限审计日志，有12个离职员工账号未及时冻结，其中3个还有高权限。

第三方人员的管理基本靠自觉。外包的保洁阿姨能进出金库外围走廊，因为门禁卡是“通用卡”。维修ATM的工程师，拿着厂家给的超级密码，理论上能打开所有机芯。我们行跟外包公司签的合同里，只写了“保密义务”，没约定他们内部人员的背景审查标准。上个月，隔壁市一家支行就出了事——外包维护人员趁检修时，把客户银行卡信息复制走了。

还有个细节，说出来可能没人信。我们行的应急演练，每季度都做，但演练脚本三年没变过——永远是“发现火情，疏散客户”。没人演练过“遭遇持枪抢劫”或“系统被勒索病毒攻击”。我问过几个网点主任，他们说：“真遇到那种事，跑都来不及，演练有啥用？”可问题是，不演练，连跑的方向都可能错。

最让我睡不着觉的，是员工的安全意识。上个月做了一次内部钓鱼邮件测试，我们发了封标题为“季度奖金核算表”的邮件，附了个链接。结果，全行400多人，点了链接的有137人，其中18人在内网系统里输入了工号和密码。这不是员工笨，是没人告诉他们“点之前先看发件人域名”。安全教育不是发个PPT让大家自己看，得拿真实案例反复砸。

写这份报告的时候，我特意没提那些高大上的“零信任架构”“AI风控模型”——这些我们都有，但再好的系统，也架不住有人把门禁密码贴在键盘底下。银行的安全，说白了就是“较真”：对每一个异常较真，对每一次图省事较真，对每一个“应该没事”较真。

明天，我打算先去把那个离职员工的账号销了。这是我能做的，最微小也最实在的一件事。