上班族安全工程师注意事项：别让自己先成了漏洞

我干甲方安全第六年了。前三年在乙方做驻场，后来跳到一家互联网公司做安全运营。这几年见过不少同行，技术底子很硬，最后栽的地方却特别小：账号借给别人用、审批没留痕、离职前还在群里发管理员密码。所以这篇不聊技术，只聊聊上班族安全工程师该注意的那些事，都是我自己踩过或者看别人踩过的。

自己的账号和权限先管住

安全工程师这个岗位有点特殊，手里的权限比一般开发大得多。堡垒机、防火墙、EDR后台、DLP、云上的AK/SK，哪一样泄露出去都够喝一壶。我见过一个真实案例：同事图省事，把测试环境的管理员账号密码发在项目微信群里，结果群里有人转发截图，半年后公司做权限审计，第一个被叫去谈话的就是他。

说实话，很多事故不是黑客多厉害，是自己人把门开着。我现在带新人，第一条规矩就是账号不外借、密码不共享，谁要权限走工单，用完当天回收。别觉得麻烦，真出事的时候，日志上写的是你的名字。

• 公司凭据一律不存个人电脑和私人网盘，浏览器别开密码自动填充
• 临时授权走工单，写清用途和回收时间，别口头答应
• 离职或转岗前，先把手里的权限清单交出去，别等IT来催
• 值班手机用公司配的号，别拿自己私人号码顶

跟业务沟通，留痕比口才重要

做安全最难受的不是技术难题，是跟业务部门扯皮。业务要赶上线，你评估完说这个接口有越权风险，对方一句“先上，回头再改”，你要是只在群里回个“建议整改”，这事基本就悬了。我有个朋友就吃过这个亏：口头答应了延期整改，结果业务照常上线，出了数据泄露，追责的时候翻记录，他只在钉钉群里说过一句，最后绩效扣了一半。

所以我的经验是，所有风险提示必须落到邮件或者Jira工单上，抄送双方主管，写清楚风险等级、影响范围、建议方案和整改截止时间。对方不接受，就让他书面回复“已知悉风险，业务侧承担”。这不是推责任，是保护自己，也是让决策有据可查。安全这行做久了会明白，你说得对不对不重要，有没有记录才重要。

还有一点，别把自己摆成业务的对立面。我现在的做法是先问业务想解决什么问题，再给两套方案，一套合规但成本高，一套折中能先上线。多数时候对方要的是能落地，不是听你讲OWASP Top 10。

值班、应急和身体，一个都别硬扛

安全运营岗躲不开值班。半夜告警响、节假日被叫起来处理挖矿，这些都很正常。但值班表、升级机制一定要提前定清楚，什么级别的告警找谁，几点之后可以只做初步处置第二天再跟进，都要白纸黑字写下来。别一个人扛所有事，扛久了要么出错，要么人就废了。

我前两年有段时间连续三个月半夜起来看告警，后来体检查出甲状腺结节，医生说跟长期睡眠紊乱有关系。从那以后我强制自己下班后关掉工作群提醒，值班手机放客厅。真急的事，电话会打过来，不差那几条消息。

最后说句实在的，这行更新太快，考证、学新工具、看漏洞公告，都得挤时间。但身体和记录这两样东西，丢了很难补回来。上班族安全工程师注意事项说到底就一句话：把该留的痕留下，把该守的权限守住，别让自己成为公司里最大的那个漏洞。