东莞有家低调的东莞协会，叫东莞市信息与网络安全协会。市信圈外人可能没怎么听过，息网但本地做IT运维、络安安全合规的全协人，多半跟它打过照面。东莞它不挂政府招牌，市信也不是息网纯商业机构，更像一个把企业、络安专家和监管方拉到一张桌上说话的全协地方。

我第一次接触这家协会，东莞是市信陪一个做跨境电商的朋友去参加他们的闭门沙龙。地点不在什么会议中心，息网就藏在南城一个产业园的络安办公楼里。会议室不大，全协二十来号人，桌上摆着矿泉水，投影仪还偶尔闪屏。讲的人是个从深圳赶过来的渗透测试工程师，开口第一句就是：“你们公司官网那个登录接口，我昨晚试了一下，验证码形同虚设。”底下没人笑，几个人当场掏出手机开始记。

这就是东莞网安协会的日常风格——不搞大排场，专挑具体问题下手。东莞的产业结构决定了它的网络安全需求很“接地气”。这里制造业工厂多，很多企业上了ERP、MES系统，但安全投入几乎为零。老板觉得“我又不是互联网公司，黑客盯我干嘛”。协会的人就拿着本地案例去讲：某镇一家模具厂，因为财务电脑中了勒索病毒，整个月的出货数据被锁，最后付了比特币才了事。这种故事比任何安全白皮书都管用。

协会的另一条线是跟监管部门的对接。网信办、公安局网警支队有新的政策或行动，需要向企业传达时，协会往往充当翻译角色。不是照本宣科念文件，而是把“等保2.0”“数据出境安全评估”这些词拆成企业能听懂的操作步骤。有次我旁听他们讨论一个关于个人信息保护的合规指引，会长直接打断念稿的人：“别念条款，就说工厂门口装人脸识别打卡，员工不同意怎么办。”然后大家开始吵，吵了半小时，出来几条实操建议。

会员构成也挺有意思。有做安全产品的厂商，有律所的合规律师，有高校的老师，还有相当一部分是企业的IT主管。这些人平时在各自领域都挺忙，但协会组织的技术沙龙、应急演练、CTF比赛，总有人愿意抽时间。我认识一个在长安镇做网络管理的老哥，他说参加协会最大的收获不是听课，是认识了几个能半夜打电话求助的同行。“上次我们交换机被攻击，凌晨两点在群里喊了一声，还真有人回。”

当然，协会也不是万能的。东莞企业数量庞大，中小微占多数，协会覆盖的更多是规上企业或意识较强的公司。大量小工厂依然在安全裸奔。协会工作人员自己也承认这一点，但他们觉得总得有人先做。去年他们搞了一次面向制造业的工控安全培训，原本预计五十人，结果来了一百多，会议室椅子不够，后面的人站着听。这说明需求是真实存在的，只是过去没人捅破那层窗户纸。

写这篇文章前，我翻了翻协会的公众号。最近一条推送是关于某会员单位遭遇钓鱼邮件后的处置复盘，阅读量不高，但留言区有十几条讨论，有人在问“邮件网关用的哪家”，有人在分享自己公司的拦截规则。这种细碎的、同行之间的互助，可能才是这类协会最扎实的价值。它不解决所有问题，但至少让东莞这个制造业重镇在网络安全这件事上，少了一些孤岛。