做安全工作這么多年，遇到或聽聞不少讓人瞠目結舌的“奇葩”事件。今天舉幾個例子和大家聊聊。希望給大家帶來一些提醒和思考。

看似挺奇葩的事件，其實很多事兒可能就發生在你身邊，但也許你還未意識到那是個問題。

1.技術熟練VS安全意識淡薄

早些年做項目，曾接觸過一位網絡管理員。這個小伙子技術很不錯，路由交換協議、安全策略配置得都很熟練，一般性的問題處理起來也得心應手。但是他卻有一個不好的習慣，就是很多網絡設備都不配置Console（管理控制臺）密碼，做過網絡項目的小伙伴都知道，網絡設備的Console控制臺是最基本的網絡管理接口，所有初始化的配置都要從這里開始。如果不配置密碼，被別有用心人得到機會，插上管理線纜就可以“大開殺戒”為所欲為。

和他聊起這個事，他的理由很輕描淡寫:平時柜子是鎖著的，沒事。這個密碼不常用，一旦忘記了，遇到緊急情況處理起來會比較麻煩。

這是典型的“圖省事”類型的管理員。

和他去現場的時候，發現園區內部分機柜并沒有鎖緊，只是虛掩著，他也不以為意。

“好人假定”是很多“圖省事”型管理員的慣性思維。就象《天下無賊》中的傻根，“哪有那么多賊咧”是一種默認思維定式。然而事實上，你永遠不知道，一截車箱里有沒有賊，或者什么時候會突然冒出個賊。

這類問題并非個案，即使在一些大企業里也時有發生。走在北京的街頭，你偶而會看見一些街邊的通信機柜可能是這樣的：

不僅柜門大開，而且線纜混亂。設備的維護人員也許在配置命令行的能力上并不差，但對于外面的人來人往“過于放心”了吧。這樣完全裸露讓人頭皮發麻的“壯觀”景象，何談安全呢？

事實上這樣的機柜很可能連接著千家萬戶的寬帶網，不用多復雜的攻擊，只要把光纖輕輕一拔，就完全可以造成用戶的斷網。

家里的寬帶突然斷網？也許就和這樣的安全管理有著直接的關系。

2.從內部“飄”出的企業數據

許多企業在安全技術設備上投入很多，防范互聯網攻擊看似做得無懈可擊。對于內部的安全管控卻非常松散。數據沒有分級，賬戶權限管理混亂，對內部人員的操作行為，也缺乏必要的限制和審核。

在不少企業里都存在這種“自己人，一般沒事兒”的內部安全管理漏洞。

企業對員工的信任和企業的安全管理規則并不矛盾，并非立規矩就是對員工不信任，也并非有信任，就可以放松了規則。在實際工作中由于缺乏必要的內部安全管控，造成信息安全損失的事件，并不少見。

在筆者以往的工作中，曾接觸過一家企業，該企業的重要內部數據居然“飄”到了互聯網上。后經追查，發現是內部某職員“不小心”泄露出去的。

這樣的安全事件本不應該發生，也完全可以避免。雖事后可以對責任人問責，但給企業已經造成的損失卻無法挽回了。

對于企業來說，嚴格外部安全管理和嚴格的內部安全管理，缺一不可。而內部安全管控是更容易忽視的地方。做好內部安全保護工作，是保護企業資產的需要，也是真正對員工的負責任的做法。

3.自做聰明的程序（管理）員

程序開發人員或運維管理員，常常能接觸到企業的核心應用系統或數據。而為了個人維護方便，有時就可能做出一些出格的操作。這對企業來說，同樣是巨大的安全隱患，安全風險不亞于黑客攻擊。

這類問題其實在企業里也很常見，只是“沒出過車禍的人”常常對“酒后駕駛”的危險性體會不深，造成長期的麻痹大意。最近發生的一個案例，可以說是“血”的教訓，值得IT從業人員和企業引以為戒。

2018年12月，外包運維人員北京某科技公司的夏某某，利用私自記錄的數據庫賬戶密碼，在未經授權許可的情況下，運維中使用私自編寫的“數據庫性能觀測程序”和鎖表語句，導致“鄭州大學第一附屬醫院系統癱瘓2小時”，造成損失800萬元。

2019年5月份，法院最終裁決，判處夏某某有期徒刑五年零六個月。

這個案例中，夏某某是運維人員，“私自記錄客戶的賬戶密碼”和“執行違規的操作”，是為了維護方便。主觀上并無惡意，但造成的嚴重后果仍然需要自己買單。這個教訓對于一個程序員而言不可謂不慘痛，但判決結果卻并不冤，這是漠視安全和規則應受到的懲罰。

當個程序猿也能坐牢？

恩，是的

希望您在以后的工作中不要露出這樣的表情……

反觀這一事件，被害企業也應該從中吸取足夠的教訓，涉事人員安全意識不強可能會犯錯，企業也應扎好安全管理的籬笆，不給別人以犯錯的機會。安全工作才能真正發揮其應有的作用。

不論網絡安全、信息安全還是云安全領域，業內都有這樣一個共識，即：“安全工作是三分技術，七分管理。”

難道安全技術不重要嗎？當然不是！象上面這些例子，因為個人圖方便圖省事，有技術沒有妥善去用；或企業的安全管理工作落實不到位，沒有充分運用安全技術做好防范。那么即使企業購買了昂貴的安全產品，又如何能產生其應有的作用和價值呢？

這才是“三分技術，七分管理”背后的含義。

既有精湛的安全技術，又能通過嚴謹的管理將安全工作落到實處，上面這些看似奇葩的安全事件，才能夠有效的避免。