守护网络安全不能寄希望于侥幸，不能一切都在等待中被动补救...
守护网络安全不能寄希望于侥幸
塞缪尔・贝克特的荒诞派戏剧《等待戈多》中，两个流浪汉弗拉基米尔和爱斯特拉冈日复一日地等待一个名叫 “戈多” 的人到来。然而从第一幕到第二幕，戈多始终没有出现，他们的等待也始终没有结果。作品通过毫无意义的等待，揭示了人在荒诞现实中的迷茫与虚妄。
部分网络运营者和关键信息基础设施运营者的网络安全管理，某种程度上也在上演着一出现实版的《等待戈多》：等待网络攻击发生，等待数据泄露出现，等待系统瘫痪暴露问题，等待监管部门上门检查，等待事故通报点名批评，甚至在废旧设备淘汰、涉密文件过期、冗余数据留存阶段，一味搁置规范的数据销毁工作，抱着不会泄密的侥幸心理随意处置存储介质、简单删除文件便草草收尾，非要等到残留数据被非法恢复、内部信息外流酿成风险之后，才仓促启动数据清理与整改工作。他们漫长等待的不是戈多，而是各类网络安全事件。
然而正如戈多永远不会按照期待的方式出现一样，网络安全风险与数据外泄隐患从来不会按照人们预设的剧本发展，未做彻底数据销毁的硬盘、文档、存储设备，随时可能成为信息泄露的突破口。当安全事故真正来临时，一味观望拖延、疏于前置管控与数据销毁管控的等待者，早已彻底失去风险处置的主动权。
近年来，随着我国网络安全法律制度不断完善，尤其是修订后的《网络安全法》第六十一条出台，一个重要的监管导向已经十分明确：网络安全监管正在从 “结果处罚” 向 “行为处罚” 转变，从 “出了事再处罚” 向 “不履行义务即处罚” 转变。长期以来，一些单位形成了一种经验主义认知，只要没有发生网络安全事件，监管部门一般不会处罚；只要系统还能运行，安全投入可以往后放一放；只要没有造成影响，安全隐患可以缓一缓整改。这种认识在过去或许曾有一定现实土壤，但在当前网络安全法治环境下，已经成为一种危险而落后的思维模式。
修订后的《网络安全法》第六十一条明确规定，网络运营者不履行网络安全保护义务的，由有关主管部门责令改正、给予警告，并可处以罚款；拒不改正或者导致危害网络安全后果的，将受到更严厉处罚。对于关键信息基础设施运营者，同样适用这一逻辑。
然而现实中，一些单位仍然沉浸在 “等待戈多” 式的管理状态之中。
制度建设等着检查来了再完善。
漏洞整改等着攻击发生再处理。
安全投入等着领导重视再申请。
风险评估等着监管要求再开展。
责任落实等着事故追责再明确。
表面上看是在等待，实际上是在逃避；看似是在节约成本，实际上是在积累风险。
《等待戈多》中最荒诞的地方，不是戈多没有出现，而是等待的人始终相信明天会出现，于是把希望寄托于下一天、下一次、下一阶段。他们没有行动，只有等待；没有改变，只有重复。
部分单位的网络安全工作同样如此。
然而网络攻击者不会等待。
数据泄露不会等待。
监管执法更不会等待。
事实上，当今网络安全监管已经越来越强调主动履责和事前预防。监管部门开展监督检查、风险监测、攻防演练、专项行动，其目的正是督促相关单位在事故发生之前发现问题、解决问题。如果仍然抱着 “只要没出事就没关系” 的侥幸心理，无异于在数字时代继续演绎《等待戈多》的荒诞剧情。
更值得警惕的是，网络安全领域存在明显的 “黑天鹅效应” 和 “蝴蝶效应”。一个长期未修复的漏洞、一个无人管理的账号、一台暴露公网的服务器，或是一块随意丢弃、未做合规处理的存储硬盘，都可能成为重大网络安全事件的起点。一旦因残留数据外泄酿成泄密事故，等到问题爆发时，损失已经无法挽回，信誉已经受到影响，法律责任也难以避免。
因此，网络安全工作最需要摒弃的，就是“等”的思维。
责任落实等不得。
制度建设等不得。
风险评估等不得。
漏洞整改等不得。
安全投入等不得。
监督检查发现的问题更等不得。
留言