去年某市社保系统的电政一次钓鱼邮件演练，八成参训人员点了恶意链接。外网安这个数据挂在会议室投影上时，全培台下没人笑得出来。电政电子政务外网承载着户籍、外网安医保、全培税务这些命脉业务，电政一旦被攻破，外网安丢的全培不是几份文件，而是电政整座城市的运转秩序。

很多人把政务外网当成“内部网”，外网安以为物理隔离就万事大吉。全培错。电政外网与互联网之间存在大量数据交换通道——公文流转、外网安跨部门协查、全培移动执法终端回传，每个接口都是潜在入口。我见过某区城管用私人U盘从外网机拷数据到内网机，结果把勒索病毒带进了违章处理系统，整个办事大厅瘫了两天。物理隔离防不住人，人才是最大的漏洞。

弱口令问题喊了十年，照样有人用“admin123”。某省政务云平台去年扫描发现，超过三百台虚拟机使用默认密码，其中四十多台直接暴露在政务外网可访问段。攻击者根本不需要什么高级漏洞，写个脚本批量试就能进去。更麻烦的是，这些机器往往跑着老旧业务系统，补丁打不上，杀毒软件装不了，运维人员只能靠“祈祷”维持安全。

再说边界防护。很多单位买了防火墙、入侵检测，配置却停留在出厂状态。规则库不更新，日志没人看，告警邮件直接进垃圾箱。我翻过某市政务外网的防火墙策略，发现有一条“any to any”的放行规则，问管理员，答“为了方便调试临时加的，后来忘了删”。这条规则存在了三年。安全设备不是买来供着的，不调优、不审计，就是一堆废铁。

移动办公把风险推到了新高度。疫情之后，大量政务App支持手机接入外网，但很多App的传输加密形同虚设。抓包一看，明文传token，甚至有的直接传账号密码。手机丢了、装了恶意应用、连了钓鱼WiFi，外网就跟着遭殃。某地卫健委的移动执法终端被root后植入后门，攻击者通过它跳板进入外网核心区，这事后来内部通报了，但没几个人真当回事。

供应链是另一个软肋。政务系统集成商层层分包，代码质量参差不齐。去年某省统一身份认证平台被爆出SQL注入，根源是外包公司用了三年前的框架，漏洞公开已久却没修。更离谱的是，有些项目验收时连渗透测试报告都是伪造的。你信任的不是某个厂商，而是一条长长的、你根本看不清的链条。

培训到底该怎么做？别搞念PPT那一套。把真实攻击案例拆开，让参训人员自己找入口点。某市网信办搞过“红蓝对抗”式培训，蓝队防守，红队用社工、钓鱼、漏洞利用轮番进攻，输的一方写复盘报告。这种疼过一次的教训，比十场讲座都管用。另外，把安全考核跟绩效挂钩，弱口令、违规外联直接通报到人，别搞“下不为例”。

技术手段要跟上，但别指望技术解决一切。零信任架构、微隔离、动态访问控制，这些概念很好，落地到政务外网却常被预算和体制卡住。我的建议是：先做资产梳理，把“有什么”搞清楚；再收紧边界，默认拒绝；最后才是上高级方案。很多单位连资产台账都是Excel手填的，谈零信任就是空中楼阁。

电子政务外网的安全，本质是管理问题，不是技术问题。人管不住，再贵的设备也是摆设。每次看到“安全月”拉横幅、发手册，我就想笑——横幅挡不住攻击者，手册也拦不住内部人员的一个误操作。把演练做实，把责任压到具体岗位，把每一次违规当事故处理，这比什么口号都有效。