「我们系统不上外网」，这句挡箭牌已经不管用了

1984年，社会学家佩罗写了《正常事故》，研究的是复杂技术系统里的灾难。他的结论让人有点不舒服，在高度复杂且紧密耦合的系统中，事故不是异常，而是系统属性的必然产物。你可以降低它的频率，但只要耦合还在，就没法把它归零。这套判断当年针对的是核电站和化工厂，用来解释单位里的信息系统，意外地贴切，尤其是那些被认为很安全，因为不上外网的系统。

一个流传很广的安全假设

信息安全这块，有个假设流传了二十多年，网络边界就是安全边界。防火墙以内是可信的，以外是不可信的；只要一个系统不对外提供服务，它的风险就低到可以不管。

这个假设支撑了大量的实际决策，内网的数据库可以用弱口令，因为外面进不来；内部数据仓库不用做分级，因为它不对外；员工个人信息库放在办公网里就行，反正跟互联网隔着。

2026年8月6日，公安部发布了第176号令《公安机关网络空间安全监督检查办法》，自2026年10月1日起施行，同时2018年的151号令《公安机关互联网安全监督检查规定》正式废止。这不是一次改名字。第二条明确了一个新的范围界定，网络空间安全等于网络安全加数据安全加信息安全。

范围一变，那个挡箭牌就失效了。内网系统、不对外提供服务的业务系统、内部数据仓库、员工个人信息库，只要涉及数据和信息安全，都进入监督检查范围。不上互联网，不等于不被检查。

变化不止一处

对照新旧两个规章，有三处变化值得记下来。

第一处是上位法依据的扩展。旧规主要依托人民警察法和网络安全法两部；新规扩展到七部以上，新增了数据安全法、个人信息保护法、关键信息基础设施安全保护条例、网络数据安全管理条例、互联网信息服务管理办法。这意味着执法可用的依据从网络怎么建扩到了数据怎么处理。

第二处是检查对象的扩容。旧规盯的是互联网服务提供者和联网使用单位两类；新规第六条列了八类。其中第五、六、七类是全新的，网络产品服务提供者、数据处理者、个人信息处理者。换句话说，卖安全设备的、做数据分析的、收集客户信息的，都正式进入了监督范围。很多单位过去认为自己不是互联网企业，所以不相干，这个理由不成立了。

第三处反而是给企业减负的。新规第九条明确，等保三级及以上和关键信息基础设施运营者，每年现场检查一次；本年度其他主管部门已经检查过的，公安机关复用结果，不再重复现场检查；有行业主管部门日常性现场检查的，原则上以行业主管部门为主。这一条针对的是过去那种这个部门来完那个部门来的重复打扰。

范围扩大、对象扩容、频次收敛，三个变化放在一起，指向的是同一个转向，从按网络位置管，转向按数据责任管。

边界思维为什么会失效

技术上的原因很清楚，边界本身已经不存在了。

远程办公、混合云、供应商远程运维、员工自己的手机装了工作应用、外包团队通过跳板机接入、数据每天导出成表格发给合作方。这些动作里每一个都在给那道边界开孔。等孔开到一定数量，内网可信就成了一个纯粹的心理安慰。

云安全联盟大中华区在2025年发布的零信任指导原则里，把替代方案的核心讲得很直白，永不信任、始终验证。不管用户、设备、应用在什么位置，在授予访问权限之前都必须验证身份与授权。这份报告列了十三条指导原则，几条特别值得抄给管理层看，以终为始，从业务目标出发而不是从产品出发；产品并非优先事项；安全漏洞不可避免；了解自己的风险承受能力；确保高层支持；小步快跑快速取胜。

它在基础安全原则里点了几样具体动作，最小权限、职责分离、分段与微隔离、日志与监控、配置漂移修复。微隔离的作用是限制爆炸半径，承认攻破会发生，然后确保一处被攻破不会导致全网沦陷。这个思路跟佩罗那本书是一脉相承的，不假设能杜绝事故，而是设计成事故可控。

同一份报告里还有个数据挺醒人，百分之六十八的数据泄露事件与针对人类因素的攻击相关。它举的例子是2023年秋的一起赌场勒索攻击，攻击者利用客服代表乐于助人的倾向，骗取了高权限账户的密码重置。技术措施拦不住这种事，培训和意识才拦得住，而后者恰好是最便宜的那项投入。

从不上网所以没事到说得清所以没事

按新规的逻辑，一个单位需要能回答的问题变了。

过去要回答的是，你的系统联不联外网，有没有备案，防火墙什么型号。

之后要回答的是，你处理哪些数据、分了几级、谁有权限访问哪一级、访问记录留了多久、出事的应急预案是什么、这些制度上次演练是什么时候。

这两组问题的性质完全不同。前一组是配置问题，一次做完就能维持很久；后一组是治理问题，需要持续运行，而且需要业务部门参与，因为只有业务方知道哪些数据是敏感的。

现实里最容易掉的坑是把这件事全丢给技术部门。技术部门能做加密、能配权限、能建日志，但它没法判断客户的历史报价属于哪一级，员工的考勤记录能不能给外包看。这两个判断必须业务方给，给不出来，技术措施就只能一刀切，要么全都放开，要么全都锁死，两种都会挨骂。

合规会从项目变成一项日常职能

一个明确判断，安全合规在组织里的位置会发生结构性变化，从周期性的项目变成常设的日常职能，而且这个变化的驱动力不是技术，是责任划分。

原因是新规那种按数据责任划分对象的思路，会持续扩散到其他监管领域。一旦你是数据处理者成为一个可被认定的身份，那么与这个身份绑定的义务就是持续性的，不是通过一次检查就完成，而是每天都在履行或者不履行。这种义务的形态，必然要求一个常设岗位来承接。

再往后推，我判断会出现两个可见的后果。一是数据分级会从纸面上的表格变成系统里真正生效的标签，因为只有生效的标签才能在检查时拿出证据；那些把分级做成一份存档文档、系统里毫无体现的单位，会在第一轮检查里就暴露。二是检查结果互认这个机制会被更多领域采用，它会奖励那些把台账做扎实的组织，一次做好，多处复用；而台账混乱的组织则要反复应付不同部门，成本成倍增加。

说到底，边界思维的时代过去了，是因为数据本身不再有边界。之后能让一个组织睡得着的，不再是把系统藏起来，而是对自己手里的每一份数据，都说得清来路、用途、权限和痕迹。