大讲堂
雨砸在宠物医院的玻璃门帘上，啪嗒响。
老陈刚把那只被电动车压断后腿的三花麻醉好，指尖还沾着浮在猫毛上的消毒水味，运维的小吴的电话就打进来了，声音抖得像刚从冰箱里拿出来的可乐罐，说我们的系统等保测评没过，区网安的人半小时后到店核查。
我当时就蹲在手术台旁边当助手，手里的止血钳差点掉在地上。
谁能想到啊。
这店开了五年，老陈攒了三个分店，存了快三万份客户的病历——从谁家的狗对青霉素过敏，到谁家的猫每年要打三联，连哪个客户家的猫吃什么牌子的罐头不软便，都记得清清楚楚。之前他总觉得，网络安全是大厂的事，是银行的事，跟他一个给猫狗看病的小老板有啥关系？
那本翻到卷边的整改清单，不是给网安交差的
那天网安的小伙子坐下来，没拿什么吓人的文书，就把测评报告摊在前台的桌子上，一条一条念。
念到老陈的时候，他脸都绿了。
什么之前小吴图方便，把全店的病历备份存在没设二次验证的公共云盘里；什么预约小程序的接口没做权限校验，随便改个用户ID就能翻到别人的病历；什么前台小姑娘为了记密码，把系统登录账号写在前台的便签上，连进来办疫苗的客户都能瞟见。
“我当时真的想给小吴一拳。”老陈后来跟我吐槽的时候，手里的冰可乐都捏变形了，“合着这小半年我们觉得系统用着顺，原来整个店的数字家底，全是敞着大门放的？”
说实话，我之前也见过太多对等保的误解。
有人觉得这就是花几万块钱，找个第三方机构开个合格证明，挂在墙上应付检查就行；有人觉得自己的系统里没什么值钱的东西，黑客根本懒得看；还有人觉得，等保就是给系统装个最贵的防火墙，钱花到位了，自然就过了。
那天的核查持续了两个多小时，网安的小伙子临走的时候，指着老陈摆在墙角的服务器说，你们这系统存了三万多份带个人手机号的病历，属于需要做二级等保的范围，不是说要你跟三甲医院一样的防护等级，但至少要把该锁的门锁上，该加密的信息加密，真要是哪天数据漏了，被黑产爬走了，你赔的钱，比做测评花的多十倍。
没人会偷猫，但有人会偷所有能卖钱的数字碎片
老陈一开始想不通。
我一个宠物医院，既不存银行卡号，也不存身份证号，就存点猫狗的看病记录，能有什么风险？
直到上个月隔壁街的烘焙店老板来找他喝酒，喝到半醉的时候拍着桌子骂。
说他的会员系统去年没做等保，被黑产拖了库，攒了快五年的客户手机号全被爬走了，打包卖给了卖老年保健品、卖墓地的团伙，短短半个月，有二十多个老客户接到诈骗电话，被骗了十几万，最后人家都找到他店里来，说因为他把信息漏了，才被骗的，他前前后后赔了小二十万，才把事平了。
“你以为人家要你那猫狗的看病记录干嘛？”烘焙店老板灌了一口啤酒，“人家把你那客户手机号扒下来，标个‘养宠人群’的标签，一条卖五毛钱，你那三万条信息，轻轻松松卖一万五。那些卖宠物粮的、卖宠物保险的、甚至卖那种高价宠物殡葬服务的，抢着要。”
那天老陈回去就拉着小吴改了方案。
之前找的那个中介，张口就要三万块，说保证能过，报告一周就能出。老陈这次没找那种打包票的，找了个之前在网安做过的朋友推荐的测评团队，人家来了先花三天时间，把他三个店的系统从头到尾摸了一遍，从服务器的权限设置，到数据传输的加密方式，再到员工日常操作的规范，列了整整两页整改清单。
真的麻烦。
我跟着他跑了两次整改，才知道原来那些看起来细碎的要求，全是踩过坑才攒出来的。比如之前小吴给服务器设的密码，是他自己的生日，八个数字，人家测的时候，十分钟就破解开了；比如之前系统的日志，要按要求做操作日志留存，存满六个月才能自动清理，真要是哪天有人恶意爬数据，连是谁登的系统都查不出来；比如之前远程运维的时候，小吴直接用自己的私人电脑登系统，连个加密通道都没开。
不过话说回来，整改完那天，老陈坐在三个店的总控室里，看着系统里一条条加密的病历，突然松了口气。
他说之前总觉得这些数据是自己的，是用来给客户看病方便的，现在才反应过来，这些信息从客户留下手机号的那天起，就不是自己能随便放的东西了。
合格证书不是终点，是跟数字世界的契约
上个月再去老陈的医院，他已经把等保测评的合格证书挂在前台最显眼的地方了。
不是那种皱巴巴的、夹在一堆营业执照里面的纸，是装在亚克力的展示框里，旁边还贴了一张他自己写的便签：你家毛孩子的病历，我们锁好了。
有个带猫来做绝育的小姑娘看到这个，还特意多拍了两张照，说之前在别的宠物医院，留了一次手机号，之后半年天天接到卖宠物粮的骚扰电话，就老陈这里，从来没收到过，原来人家是真的把信息当回事。
小吴现在也不吐槽整改麻烦了。
之前他总觉得，要定期扫漏洞，要给每个员工设单独的系统权限，要存好半年的操作日志，全是多余的事。结果上周有个离职的前台小姑娘，之前偷偷把客户的联系方式导出去卖，因为系统里存了完整的操作日志，顺着记录就查到了，老陈没废话，直接按规定报了警，换在之前，他连是谁导的信息都查不出来。
雨停了。
那天我跟老陈在医院门口抽烟，风裹着樟树的叶子吹过来，他指着街对面正在修的地铁站说，之前大家总觉得，网络是看不见摸不着的东西，等保测评也是个飘在天上的概念，其实根本不是。
你想想，我们现在出门不用带现金，看病不用带纸质病历，预约挂号直接在手机上点两下，这些所有方便的背后，全是那些沉默运行的服务器，全是那些看起来麻烦的检查和规范在撑着。
没有人会敲着屏幕来偷你家的猫。
但那些散在各个系统里的数字碎片，你的手机号，你的消费记录，你带猫看病的记录，从来都不是什么无足轻重的东西。等保测评从来不是什么给政府交差的流程，是有人蹲在你那看不见的服务器旁边，帮你把没锁的门扣上，把漏风的窗户堵上，让你存的那些别人的信任，真的能安安稳稳待着。
对了，那只断腿的三花猫，后来被常来给自家金毛买零食的小姑娘领养了，老陈现在在系统里给它的病历标了个特殊备注——“医院编外督导”。毕竟从它来的那天起，整个店的数字防护，才算真的从敞着大门的状态，变成了能让人踏实待着的地方。
作者|大讲堂
排版|大讲堂
审核|知知