2026-11-08 17:09:00 分类：法理精研
凌晨一点半。
CBD的写字楼整层只剩我工位的日光灯管还在嗡嗡响，黄得发闷的光落在桌角，三摞没归档的卷宗歪歪扭扭堆着，最上面那本的封皮还沾着上次去法院复印材料蹭的墨。保温杯里的枸杞泡了快十二个小时，软塌塌沉在杯底，连味道都泡没了。
微信弹出来消息。是合作的云服务商那边的对接人发来的第七版合同修改稿。
我拖着快粘在键盘上的眼皮往下翻，翻到数据安全条款那页，指尖突然顿住。
原来我们写的是”乙方发现用户数据泄露后，必须在24小时内以书面形式通知甲方”。
现在那句里，硬生生多了个”可”字。
变成了”乙方发现用户数据泄露后，可在24小时内以书面形式通知甲方”。
我盯着那个字。
火蹭一下就上来了。
那个多出来的“可”字，能让我三个月白干
别觉得我反应大。
上个月刚结的那个社区团购数据泄露案，我跟着跑了三趟网信办，前前后后改了七版和解协议，最后平台赔了两百三十多万的用户补偿金，还被网信办罚了八十万。
为什么赔？
就是当初平台和云服务商签合同的时候，条款里写的是”乙方可在合理期限内通知甲方数据泄露情况”。
最后数据被脱库的第七十二小时，云服务商才慢悠悠发了封邮件过来，说不好意思啊我们刚发现有个数据库端口没关。
人家拿着合同说，”合理期限”嘛，72小时也在合理范围，我们没违约。
平台这边呢？用户的手机号、收货地址、常买的菜的记录全被挂在暗网卖，一毛钱就能买一万条，没人管你和服务商怎么扯，第一个挨骂、第一个挨罚的就是你。
我当时在网信办的接待室，看着那个平台的市场总监擦着汗说”当初签合同的时候觉得就是个措辞，差不多就行”，差点把手里的笔录纸捏碎。
生鲜电商数据泄露行政处罚决定书复印件
说回现在这个”可”字。
什么叫”可”？
就是我想报就报，不想报就不报，我拖一周报，也不算违约。你作为数据的处理者，等着网信办找上门的时候，连是谁漏的数据、漏了多少、什么时候漏的都不知道，拿什么给监管交差？
我给对接的那个生鲜电商的市场部小姑娘发消息，把那个”可”字圈出来，说这个必须改，不然出了事我们兜不住。
她回我回得特别快：”哎呀不就是个措辞嘛，差不多就行，我们老板说云服务商是上市公司，怎么可能出这种事。”
我看着那行字，嘴里的枸杞渣都快吐出来。
上次那个社区团购的老板，当初也是拍着胸脯说，我们用的是国内最大的云服务商，绝对安全。
最后出事的时候，那个市场总监早就跳槽去了新公司，留下我们法务部的人，连着一周每天熬到三点，给几千个用户打解释电话。
领导还在群里@我，问”这个条款没问题吧？下周就要签了”。
我盯着那个@，手指在屏幕上悬了半天，打了又删，最后只回了一句”我再核对一遍”。
我哪是核对啊。
我是怕我现在松了口，最后出了事，老板一句”当时你说这个条款没问题的”，我三个月的工资都不够赔的。
半夜十二点的六十秒语音方阵，全是没头没尾的焦虑
上周六半夜十二点，我刚把三岁的儿子哄睡，头挨到枕头不到十分钟，微信又弹出来消息。
是我小姨介绍的当事人，开连锁奶茶店的王哥。
一上来就是八条六十秒的语音方阵。
我硬着头皮把音量调到最小，怕吵醒孩子，蹲在卧室门口的小凳子上听完，才搞明白发生了什么。
他们店里的点单系统被人黑了，存在系统里的会员手机号、消费记录，全被人扒出来，在本地的宝妈群里卖，五块钱一份，买的人还不少。
他第一句话不是问现在该怎么补救，是压着嗓子在语音里说：”大侄女，我听朋友说这个事要罚几百万？你能不能想想办法给我平了？我又没故意把数据卖出去，至于罚这么多吗？”
我当时靠在门框上，连生气的力气都没有。
我问他，当初找点单系统服务商的时候，有没有看对方的网络安全资质？有没有在合同里写清楚数据泄露的责任划分？有没有做过等保备案？
他那边顿了半天，回了条语音：”啊？还要做备案？我当时就比了个价，找了个一年服务费1200的，比别家便宜八百呢。合同就是他们给的模板，我看都没看就签了。”
连锁奶茶店会员点单系统后台界面截图
我当时看着窗外的路灯，亮得晃眼。
你说他坏吗？也不坏。
他就是觉得，网络安全是那些大公司才需要考虑的事，我一个开奶茶店的，能有什么值得黑客偷的？等真的被人把数据扒干净了，才慌慌张张半夜找律师，想花点钱把事平了。
我给他回了一段长文字，说首先，你是顾客数据的处理者，不管你找的服务商有多坑，第一个被监管约谈、第一个挨罚的肯定是你。其次，你现在不能想着瞒，立刻去属地网信办报备，立刻给所有受影响的顾客发通知，告诉人家你的信息可能漏了，不然等网警顺着卖数据的链接找到你，你想补都补不了。
他过了十分钟回我，语气还带着点不耐烦：”哎呀那多影响我生意啊，顾客知道我数据漏了，谁还来我这买奶茶？能不能先不报？等我把那个卖数据的人找着再说。”
我直接把手机扣在了床头柜上。
我见过太多这样的老板了。
上次那个开烘焙店的小姑娘，也是因为系统数据漏了，怕影响生意，拖了三天才敢报，最后被顾客举报，罚了十五万，比她大半年的净利润还多。
她当时坐在我们会议室里，哭着说”我以为没人会在意那点手机号的”。
是，没人在意。
直到有人拿着这些手机号打诈骗电话，直到有人顺着手机号找到顾客家里，最后所有的账，全算在她头上。
别信“网络安全是技术部的事”这种鬼话
别信“网络安全是技术部的事”这种鬼话
我之前在一家互联网公司做合规审计，开第一次部门会的时候，CEO拍着桌子跟我们说，我们的技术团队是国内顶级的，花了大价钱搭的安全系统，网络安全绝对出不了问题。
结果半年后，他们的用户数据库被脱库，八百万条用户信息泄露。
最后查原因，说出来都好笑。
是技术部的一个实习生，为了图方便，把数据库的访问密码设成了自己的生日”19990520″，还把数据库的权限开给了所有部门，连前台行政都能登进去查用户的收货地址。
黑客根本没费什么劲，顺着公开的端口扫到密码，直接把整个库拖走了。
你说这是技术部的事吗？
是。
但也不全是。
我们公司的行政小姑娘，上周把全公司员工的身份证扫描件整理好，存在了一个没有加密的公共网盘里，还把链接发到了两百多人的部门大群里，说”大家自己领啊，我整理了好久，省得你们挨个找我要”。
我当时看到那个消息，差点从椅子上跳起来，冲过去让她赶紧把链接撤了，重新做个加密压缩包，单独给每个人发提取码。
她还翻个白眼，说我小题大做，”咱们就是个小律所，谁会偷这点资料啊，又不是什么上市公司”。
我没好意思跟她说，去年我们隔壁楼的那个创业公司，就是因为行政把员工信息存在公开网盘里，被人爬了不说，连存在同一个网盘里的客户合同、商业报价全被偷走了，最后赔了客户三百多万，直接倒闭了。
我后来翻了好多网络安全相关的案子，发现十起泄露案里，有八起根本不是什么顶级黑客的精密攻击。
就是有人图省事。
合同里的责任条款随便签，觉得”差不多就行”。
密码设得简单，觉得”没人会猜我的密码”。
出了事不敢报，觉得”瞒过去就没事了”。
网络安全哪是什么藏在机房里的高大上技术啊。
它就是那个合同里多出来的”可”字，是半夜十二点发来的六十秒语音，是行政存在公共网盘里的员工资料，是你觉得”不会出事”的每一个松懈的瞬间。
我今天下班的时候，把打印机里卡了一半的判决书扯出来，叠好放进卷宗里。微信又弹出来云服务商的消息，说那个”可”字真的改不了，老板说要留弹性空间。
我盯着屏幕看了半天，打了一行字发过去：
“那你们把之前口头承诺的24小时上报责任，写成单独的条款，盖公章给我回传。”
窗外的天已经黑透了，楼下的便利店亮着灯，我拧开保温杯喝了一口，枸杞的渣子卡在牙缝里。
真的，别等事落到自己头上，才想起网络安全这四个字。
免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。如有侵权请联系删除。
文章名称：堆着三摞卷宗的法务助理：我踩过的网络安全坑，全藏在‘差不多就行’里
文章链接：https://wuhanlihunlvshi.com/huxg/3670.html
