创业安全三重门：合规、护数、筑基

　　去年寒假那会儿，我原以为能安安稳稳过个年，结果被一家创业公司的安全项目折腾得够呛。那老板，背需求多年的产品老齐都认识，典型的“拍脑袋型”——前脚刚说要做合规，后脚就催着上新功能，完全不顾安全团队还在啃等保2.0的条款。那天下午，我蹲在机房地上改配置，头顶空调嗡嗡响，旁边运维小王啃着煎饼果子，手机突然响了——老板在群里发了个“三天上线”的倒计时，配图是张“冲刺”的表情包，煎饼渣子差点掉我键盘上。

　　合规这事儿，说起来简单，做起来全是坑。那公司连个像样的安全制度都没有，等保测评的文档还是我从模板库里扒的，改到第三版时，老板突然说“别写太细，省得被监管盯上”。我当场就懵了——等保要求里“制度文档需覆盖全流程”是白纸黑字写的，他倒好，直接让删关键条款。更绝的是，开发那边为了赶进度，把日志留存周期从半年改成了三天，理由是“数据库空间不够”。我拿着等保2.0的条款跟CTO吵了半小时，他最后拍桌子：“安全重要还是上线重要？出了事我担着！”我盯着他油亮的脑门，突然想起上周他刚买了辆特斯拉，估计觉得“担着”就是赔点钱的事儿。

　　护数这块更离谱。他们用户数据全存在云上，连个基本的加密都没做，开发说“加密会影响查询速度”，老板点头：“用户又不知道，省点成本多好。”我翻出《数据安全法》里“敏感数据必须加密”的条款，老板扫了一眼：“我们又不是金融公司，哪有那么多敏感数据？”结果第二天，市场部为了做活动，把用户手机号和地址打包发给了第三方合作方——没脱敏，没协议，连个水印都没打。我追着市场总监要说法，她一边涂口红一边笑：“就发了一次，能出什么事？”那天晚上，我蹲在机房门口抽烟，看着监控屏幕上不断跳动的“数据外发警告”，突然觉得这公司能活过半年都是奇迹。

　　筑基就更别提了。他们系统架构是三年前搭的，单点故障一堆，连个基本的灾备都没有。我提了三次要重构，老板都说“现在没钱，等融资到位再说”。结果去年双十一前夜，数据库主从切换失败，全站挂了四小时——那会儿我正陪媳妇逛超市，手机震得跟地震似的，开发在群里喊“需要手动修复”，老板在另一头吼“赶紧恢复，损失算你的！”我抓起超市的购物篮就往机房跑，路上还撞翻了堆促销的洗衣粉，白衣服上全是蓝颗粒，媳妇在后面喊“你疯了？”我没回头，心里想：这公司要是再这么折腾，疯的该是我。

　　但你说这“创业安全三重门”没道理吗？我觉得它站得住的地方，是优胜劣汰。去年寒假那会儿，我同时接了三家创业公司的安全咨询，一家按部就班做合规、护数、筑基，现在活得好好的；另一家跟这公司一样，老板拍脑袋、开发乱改、市场乱发，上个月已经裁员了；还有一家更绝，连安全团队都没有，全靠外包，上周被监管罚了二十万，老板在群里骂“都是你们没提醒”——可提醒的时候，他正忙着跟投资人喝酒呢。

　　那天在机房改完最后一个配置，我盯着屏幕上的“合规通过”提示，突然想起老齐说过的话：“创业公司的安全，就是场赌博——老板赌监管不会查，开发赌系统不会崩，市场赌数据不会漏，最后赌输的，全是打工人。”我关掉电脑，发现窗外下雨了，雨滴打在机房的玻璃上，发出“啪啪”的声响，像极了那晚数据库崩溃时的警报声。

文章配图，仅供参考

　　至于下一步？我打算跟老齐合计合计，搞个“创业公司安全黑名单”——把那些不把安全当回事的老板列出来，省得我们这些打工人再被当炮灰。当然，这想法能不能成，我说不准——毕竟，连安全都能妥协的老板，说不定连黑名单都敢买通呢。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!