宣教名单上的四个盲区：能碰到你数据的人，远不止在职员工

Sec小易
Sec小易

谷安天下

2026年10月10日 07:02
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

欧盟网络安全局（ENISA）不久前发布了新一期《Threat Landscape 2026》，分析的是 2025 年全年观察到的事件。报告里有两组数字值得留意：受害组织中 73% 属于欧盟 NIS2 定义的关键或重要实体；同时报告再次确认，供应链与第三方攻击持续造成大规模、高影响的事件。

国内的方向也在靠拢：10 月 1 日起施行的《公安机关网络空间安全监督检查办法》，把检查对象从\"互联网服务提供者\"扩展到数据处理者、软件产品提供者等范围更广的主体——组织边界之外的人，正在被纳入监管视野。

两件事指向同一个趋势：你的安全边界，早就不是员工花名册能框住的了。

01 名单按人头编，风险按接触面算

多数单位的年度宣教计划，对象栏写的是\"全体员工\"。这个口径的好处是统计方便、覆盖有据可查，问题也出在这里：风险从不按人头分布，而是按\"谁能碰到你的数据和系统\"分布。

按这个标准重新数一遍，名单至少要扩出六类人：在职员工之外，还有外包与驻场人员、供应商与运维伙伴、实习与临时人员、借调与轮岗人员，以及离职未销号的人员。

他们不在你的组织架构图上，却可能拿着你的工位、账号、远程权限，或者一份带走的客户名单。

02 四个最常见的盲区

我们在为客户设计宣教方案时，第一步通常不是排课程，而是做一次\"对象盘点\"——把所有能接触到内部系统、办公区域和数据的人列出来，再对照现有宣教计划查缺补漏。十几年做下来，缺口最集中的是下面四类：

盲区一：外包与驻场人员

长期在办公区工作，能碰到内部系统，但培训大多由供应商自行组织，口径和深度都不受控。内部员工讲过的红线，他们可能从来没听过。

盲区二：供应商与运维伙伴

远程运维账号权限高、操作留痕弱，一次不规范的登录或导出，可能同时波及双方。出了事，责任界面还容易扯皮。

盲区三：实习与临时人员

周期短，常被默认为\"不用培训\"，却往往共享工位、设备和打印权限。大批校园招聘入职前的实习季，恰好是这类风险的集中释放期。

盲区四：离职与转岗人员

账号、文件、客户信息的\"窗口期\"人群。交接期事情多、没人盯，是数据外带最常见的时点。

03 第三方，正在放大事故半径

ENISA 在报告里反复强调的一点是：如今的组织通过云服务、外包商、软件平台共享大量基础设施，共同依赖的服务一旦被攻破，事故会沿着信任关系继续往外走——受害的可能不止一家，波及的也不只是被攻破的那一家。

这正是第三方风险的特殊性：它不在你的墙上，但在你的事故半径里。

落到宣教工作上，结论反而让人安心：把边界人员纳入宣教名单，成本并不高，多数时候只是把已经做过的内容，按对象改编一遍、按时点补上几课。真正难的不是做，而是意识到要做。

04 一条底线，三个节点

边界人员不需要上完整课程，但必须知道\"什么不能做\"。三类人各给一条能记住的红线：

• 外包与驻场：不外传、不越权——借用工位与账号时不擅自扩权，不用私人设备处理内部资料；

• 供应商与运维：先报备、后操作——远程登录走审批，操作全程留痕，异常先停手；

• 实习与临时：来去都有记录——按最小权限开账号，带教人负责，离场当天回收权限。

再用三个节点把红线钉住：入场第一课（报到当天完成）、在岗季度提醒（跟着已有通知走，不新开渠道）、离场最后一课（权限回收与保密提醒同步做）。

写在最后

宣教名单的完整性，反映的是一家组织对\"自己人\"的定义宽窄。

监管和攻击者都已经在按\"接触面\"算风险了，宣教计划的口径也该更新一次：能碰到你数据的人，都要被宣教一次。

数据来源：ENISA（欧盟网络与信息安全局）《Threat Landscape 2026》（分析 2025 年 1—12 月事件）；《公安机关网络空间安全监督检查办法》（公安部令第 176 号，2026 年 10 月 1 日起施行）公开信息

网络安全意识宣教系列 · 谷安天下 安全易视®