2023年5月，国内某省直机关的网络信息系统遭遇勒索病毒攻击，所有数据库文件被加密，安全屏幕上跳出比特币地址。国内技术人员尝试恢复备份，网络发现离线备份竟是安全三个月前的。这场事故的国内直接后果是：该单位连续两周无法办理业务，办事群众在门口排起长队，网络有人拍视频发到网上，安全舆论发酵后，国内分管副厅长被调离岗位。网络

这并非孤例。安全国内一家头部安全厂商的国内内部报告显示，2023年针对政府机构的网络勒索攻击同比增长了217%，其中超过六成攻击者成功入侵的安全路径，不是高深莫测的零日漏洞，而是最普通的弱口令——比如某单位财务系统的密码是"123456"，而该账户拥有导出所有报表的权限。

国内网络安全现状，最尴尬的地方在于：我们建了很高的墙，却常常忘记锁门。等保2.0、密码法、数据安全法，制度框架在快速补齐。但制度落地需要人执行，而执行层面普遍缺人、缺钱、缺意识。某三线城市政务云平台的安全运维人员只有两人，要管理数百台服务器，日常巡检基本靠脚本自动跑，告警邮件堆在收件箱里无人点开。

企业端的处境更分裂。头部互联网公司愿意在安全上砸钱，安全团队规模上百人，攻防演练做得像真实战争。但大量中小企业连专职安全工程师都没有，服务器被入侵后往往靠第三方应急响应公司上门"救火"，一次服务报价够他们半年IT预算。这种两极分化带来的后果是：攻击者根本不需要费力对付大厂，专挑防护薄弱的中小企业下手，再通过供应链关系横向渗透进大型机构的合作网络。

普通人的感受可能更直观。手机里各类App索要的权限越来越离谱，一个手电筒应用要读取通讯录，一个计算器应用要定位。个人信息在暗网交易市场明码标价，你昨天在电商平台搜过"婴儿奶粉"，今天就能接到早教机构推销电话。这些乱象背后是数据黑产的完整链条，而个人用户维权的成本高到几乎没人真正走完过法律程序。

好在变化也在发生。2023年国家网络安全宣传周上，一位安全研究员演示了如何用智能音箱漏洞窃取家庭Wi-Fi密码，台下观众第一次直观感受到智能家居的风险。监管层对App违规收集信息的处罚力度明显加大，去年有数十款应用被下架整改。一些地方开始尝试"安全托管服务"，由专业团队远程代管中小企业安全设备，按年收费，比雇专职人员便宜得多。

但根本问题还在：安全投入不产生直接收益，企业看不到回报，自然不愿持续投入。某制造业CIO私下说得很直白："不出事是运气好，出了事认倒霉，反正罚款也比全面防护便宜。"这种博弈心态短期难解，除非监管处罚力度高到让"出事成本"大于"防护成本"。否则，国内网络安全还会在"建墙不锁门"的怪圈里打转。

墙已经修得很高了，是时候回头检查那些没锁的门。毕竟，数据泄露的后果，最终会落在每个普通人的头上。