2026-09-19 03:07:05 分类：科技
年初的车企泄露案，锅真的在员工吗？
2026年刚开春，国内某头部新势力车企的一则公告炸了圈。120万条车主的完整出行数据、家庭住址、联系方式，被内部员工挂在暗网以三比特币的价格售卖。
出事之后的公告你猜怎么写？“因个别员工安全意识不足，导致数据泄露，我们已经开除该员工，加强整改。”
甩锅太容易了。
说实话，我翻了一圈评论，九成网友都跟着骂员工没底线，没安全意识，没人问一句：为什么一个普通员工能轻轻松松导出上百万条用户数据？为什么企业连最基本的权限分级都没做？为什么员工把数据拷走走的时候，连个告警都没有？
120万条数据是什么概念？相当于江苏常州2025年全年新增机动车登记量的总和。你能想象，一个地级市所有新车车主的信息，被一个员工随便打包卖了，企业最后只说一句员工意识差？
2026国内新势力车企数据泄露暗网交易截图
很多人说，安全意识就是员工不贪便宜，不点钓鱼链接，不随便拷数据。那我问你，要是公司给你的工作账号就是能导出全量数据，要是公司从来没告诉你，把数据带出去是违法要坐牢的，要是你整个部门的人都随便把数据存在个人U盘里没人管，你说这是你的问题还是公司的问题？
我上个月和一个国内头部安全厂商的前销售总监吃饭，他说过一句话我印象特别深：国内的企业安全，全都是做给监管看的，不是做给安全看的。
什么意思？合规要交报告，要查你有没有防火墙，有没有入侵检测，你就得花钱买设备，做测评，这些东西能写进报告，能给监管看，能给投资人看。安全意识建设呢？你总不能把员工的意识刻成光盘交上去吧？
安全投入的罗生门，钱到底花去哪了
这里给个真实的数据，国内TOP100上市科技企业的平均安全投入占营收比例，2025年的公开数据是1.1%。同等规模的美国纳斯达克科技公司，这个数字是7.8%。差了整整六倍多，相当于你买一台一万块钱的MacBook，只愿意花110块钱买防盗险和屏幕保险——还是送的那种你才要。
90%的企业安全预算都投向了看得见的硬件设备和合规材料，只有不到10%真正落在了人的安全意识建设上。这个比例，我那个做安全销售的朋友说，差一点的企业，连5%都不到。
这个逻辑其实很好懂，安全本身就是成本中心，不给企业直接赚钱。老板们看预算，当然优先投能赚钱的业务，就算要投安全，也投看得见摸得着的东西，摆到机房里，还能当固定资产算。谁愿意把钱砸在员工培训、日常考核、权限审核这种看不见的东西上？
我之前接触过国内某头部电商平台的安全部门，2023年他们出过一个事，一个运营组的普通员工，把上千万条商家的入驻信息导出来卖了上百万，最后判了三年。这家公司当年在安全硬件上砸了两个多亿，建了国内最顶级的防火墙，但是连员工个人U盘插办公电脑都不拦截，连每月一次的钓鱼邮件测试都懒得做。
这就像二战的马其诺防线。法国人砸了无数钱修了全世界最坚固的静态防线，觉得万事大吉，结果德国人从小路绕过来，直接捅穿了后方。企业的安全防御也是一样，技术设备就是那道马其诺防线，再坚固也挡不住内部出问题，而遍布每个岗位的安全意识，就是防线背后随时能动的流动岗哨。没了岗哨，防线再厚也是摆设。
中美科技企业安全投入占比对比柱状图
不过话说回来，这里头也有商业模式的博弈。整个安全产业链，靠卖硬件卖系统赚钱，一套防火墙几百万，一个SIEM系统几十万，厂商卖出去拿提成，皆大欢喜。谁愿意做安全意识培训？一次培训收你几十万，老板还觉得你啥都没干，就是讲了两小时课，下次还不一定找你。整个产业链都在给老板灌输“安全是技术问题”，赚的就是技术的钱，自然没人愿意提，安全本质上是人的问题。
安全意识最后买单的，是谁
安全意识最后买单的，是谁
很多普通从业者觉得，安全意识是老板关心的事，是大公司的事，我一个小开发小运营，轮不到我操心。真的是这样吗？
现在《个人信息保护法》已经实施快五年了，去年一年，国内有超过170个直接负责的个人因为数据泄露被处罚，其中不乏月薪几千的普通员工，有个行政助理，帮老板转了一份客户名单，被罚了两万，相当于她三个月工资。你说，她是坏吗？她就是根本不知道，转这份文件是违法的，公司从来没告诉过她。
别以为大公司的从业者就安全。我认识一个头部互联网公司的前运营，去年跳槽去了一家初创公司，把原来公司的一份用户标签表带过去了，刚过半年，原来的公司查出来，直接报警，现在工作没了，还留下了案底。他说，原来在公司的时候，从来没人给他讲过，带数据出去是这个后果，他身边很多人都这么干，他以为就是行业潜规则，没什么大不了。
整个产业链现在都卷技术，卷大模型，卷AI防御，说AI能抓入侵，AI能防泄露，说实话，AI能识别钓鱼链接，能拦异常下载，但是拦不住员工为了几千块钱把数据卖出去，拦不住员工为了方便把数据存在个人网盘里，拦不住员工随便点一下老板邮箱发来的“要求你马上打开核对工资表”的链接。
这些事，最后都要落到人的意识上。你制度不给员工划红线，不告诉员工做错了要付出什么代价，不给员工做日常的训练，喊一万遍安全意识，都是白搭。
你现在打开你的办公电脑，桌面上有多少你私自存的公司数据？你上次接受正规的安全意识培训，是什么时候？
免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。如有侵权请联系删除。
文章名称：安全意识不是员工问题，是制度问题
文章链接：https://m.lfdjt.com/info_23_20591.html
大讲堂