老张把投影仪遥控器按了三次才打开。幕布上跳出一张折线图——过去六个月，安全公司内部钓鱼邮件测试的工作点击率从2.3%爬到了11.7%。会议室里没人说话，网络空调出风口的安全嗡嗡声突然变得很响。

“上个月财务部小王那件事，工作大家应该都知道了。网络”老张放下遥控器，安全手指敲了敲桌面，工作“一封冒充供应商的网络邮件，附件是安全个.xlsm文件，他点开之后，工作勒索软件锁了三个共享盘。网络IT部折腾了整晚，安全最后付了0.5个比特币才拿回数据。工作”他顿了一下，“钱是小事。但客户合同扫描件、员工薪资表，全在那些盘里躺着。”

坐在角落的小李低头翻笔记本。他是上个月刚来的运维，第一次参加这种会。我注意到他本子上画了个拓扑图，旁边写着“DMZ区防火墙策略太松”。这小伙子倒是眼尖——上周我查日志时也发现，对外服务的几台机器竟然允许任意IP访问SSH端口。这种低级错误，放在五年前根本不可能出现。那时候每台服务器上线前，安全组要过三遍。现在呢？业务部门天天催着“快速迭代”，运维把端口一开，防火墙规则加个0.0.0.0/0就完事。

会议进入第二项议程。市场部负责人开始抱怨：“每次让你们审批个外部协作工具，流程走一周。我们等不起。”老张没接话，转头看向我。我清了清嗓子：“上周你们部门用的那个在线问卷平台，注册邮箱是个人QQ邮箱，收集的客户手机号直接存在平台服务器上。那家平台去年被曝过数据库泄露——你们知道吗？”市场部的人愣住，不吭声了。

其实这种事我见多了。业务要快，安全要稳，两边永远在拔河。但最近半年，拔河绳中间的红布明显往危险方向偏。远程办公常态化之后，员工用个人设备连内网，家里路由器固件还是2019年的版本。IT部发过三次通知要求装EDR客户端，安装率到现在只有67%。剩下33%的机器，就像没锁的后门，谁都能推一把试试。

老张让各小组报一下手头待处理的安全工单。运维组说还有14台服务器没打补丁，开发组说代码仓库里硬编码的密钥清理了80%，安全组说新上线的WAF规则误拦了三次正常业务请求。数字都不好看。我插了句嘴：“上周有个境外IP扫描我们测试环境，两小时试了四千多次弱口令。虽然没成功，但日志里显示它最后去爬了/api/v1/users这个接口——那个接口返回了用户列表，没做鉴权。”

会议室安静了几秒。开发组组长脸色变了：“那个接口是临时调试用的，忘了下线。”老张把笔往桌上一扔：“忘了？要是真被拖库，你拿什么跟客户解释‘忘了’？”

散会前定了三件事：第一，所有对外接口两天内过一遍权限审计，临时接口全部关停；第二，下周开始全员强制装EDR，不装的断内网权限；第三，每月做一次真实场景的攻防演练，不提前通知。没人反对——反对也没用，小王那事之后，老板在管理层群里发了火，说再出类似问题，直接扣年度安全奖金。

走出会议室时，小李追上来问我：“那个/api/v1/users接口，为什么开发环境能访问生产数据库？”我苦笑了一下。这个问题，比钓鱼邮件点击率从2%涨到11%更让人睡不着觉。安全这事，从来不是靠一次会议就能解决的。但至少今天，有人把遮羞布扯下来了。

走廊尽头的窗户开着，初秋的风灌进来，吹得告示栏上那张《信息安全意识培训通知》哗哗响。通知的落款日期是三个月前，签到表上只签了不到一半的名字。

(责任编辑：时尚)