数据安全常识，正在变成一门必修课

前阵子看到一份公开的监管通报，某地一家医院因为把患者信息表放在一台联网的旧电脑上，被外部扫描到，涉及记录约3.2万条。通报里没有提什么高级攻击手段，问题出在一台没人管的设备。这类案例在近三年的通报里反复出现，比例不低。数据安全这件事，很多时候不是攻防对抗，而是常识有没有落地。

先看一组公开数据。国家互联网应急中心近年的报告显示，发生在境内的数据泄露事件中，因配置错误、弱口令、未授权访问这几类基础问题导致的比例，长期维持在一半以上。2021年某快递企业泄露约40万条用户信息，起因是内部员工账号被撞库；2022年某高校数据库暴露，原因是测试环境直接连了公网。这些事件的技术门槛都不高，但造成的记录外泄量动辄以十万计。把这几年的案例排在一起看，走势很清楚：大攻击在减少，低级失误在增加。

普通人最容易忽略的是自己的操作。比如在社交平台上晒登机牌，二维码里包含票号和身份信息；比如多个网站用同一个密码，一个论坛被拖库，邮箱和常用账号跟着遭殃。有安全团队做过统计，在泄露的账号密码组合中，重复使用的比例超过六成。这意味着一次小网站的泄露，可能连锁影响到你的支付账户。数据安全常识的第一条，其实就是把密码分开，把敏感照片里的信息遮掉。

企业侧的变化更明显。2021年《数据安全法》和《个人信息保护法》相继实施后，合规从“建议”变成了“义务”。一家中型互联网公司的安全负责人跟我聊过，他们2020年安全预算占IT总预算约3%，2023年涨到了8%左右，增加的部分主要花在数据分类分级和访问审计上。这不是个例。行业报告显示，金融、医疗、物流三个行业的安全投入增速最快，年增幅在15%到25%之间。成本在涨，但比起一次泄露可能带来的罚款和用户流失，这笔账企业算得过来。

有一个值得留意的观察：数据安全的短板正在从技术层向管理层转移。技术工具越来越多，防火墙、加密、脱敏方案都相对成熟，但“谁有权访问哪些数据”这个问题，很多公司答不清楚。某电商平台曾做过内部审计，发现超过三成的员工账号权限与岗位不匹配，有人离职半年账号还能登录。这类问题靠买设备解决不了，得靠制度和定期核查。换句话说，数据安全常识不只是技术人员的常识，也是管理者的常识。

对趋势做个谨慎的预测：未来两三年，数据安全的重心会继续从“防外”转向“治内”。外部攻击依然存在，但内部权限混乱、数据流转不清带来的风险会更突出。与此同时，监管的颗粒度在变细，从问“有没有制度”到查“制度有没有执行”。对个人来说，养成几个基本习惯——密码分组、定期检查授权、不随意上传证件照——就能避开大部分常见风险。数据安全不是一次性的项目，而是一串日常动作的累积。

回到常识本身。数据安全没有太多玄妙的东西，多数事故回头看，原因都平淡得让人意外：一台没关的服务器、一个复用的密码、一份忘了删的表格。把这些细节管住，比追逐新概念更有效。走势也好，预测也好，最终都要落到具体的人怎么操作上。这或许是最朴素的一条观察。