老板问"数据安全做得怎么样"，你拿什么回答？

做IT安全的同行大概都遇到过这个场面：年度预算会上，老板放下茶杯问一句——"咱们这数据安全，到底做得怎么样？"你心里有数，终端都装了加密、U口封了、日志也开着。可话到嘴边，除了"我们装了某某系统"，竟然说不出第二句有数据支撑的话。

这不是你能力问题，是整个行业的老毛病：防泄密系统买回来，只管"装没装"，没人管"用没用、好不好使"。系统上线那天是最高水位，之后一路悄悄滑坡——策略没人调、告警没人看、离职账号没人回收，直到真出了事才发现，控制台里的告警积了半年没人点开过。

把安全从"感觉"变成"数字"

解决办法不神秘，就是给数据安全建一套简单的度量指标，每个月固定看。不用搞几十项，中小企业抓这几个就够了：

覆盖率：加密客户端装机率、策略生效率达到百分之多少？低于100%的缺口在哪几台机器？——这一条回答"防线有没有漏装"。

异常行为量：本月高频拷贝告警多少条、非工作时段批量下载几次、新出现多少个未备案的上传行为？环比是升是降？——这一条回答"有没有人在试探红线"。

处置及时率：告警平均多少小时内被处理？积压超过一周的有几条？——告警看得再多，没人处理等于零。

账号卫生：离职人员账号当天回收率、90天未登录的僵尸账号数量、还在用初始密码的账号几个？——这是最容易被攻击和内鬼利用的死角。

演练与取证能力：最近一次防泄密演练是什么时候？随机抽一个员工，他的操作日志能完整回溯吗？——这一条回答"真出事，我能不能说清楚"。

一张一页纸的月报，比十次汇报管用

把这五个指标做成一页纸月报，每月固定给管理层看：本期数字、上期数字、异常说明、下月动作，四栏齐了就行。三个月后你会发现两个变化：一是IT自己心里有底了，哪里在滑坡一眼就能看见；二是老板的信任度完全不一样——他要的从来不是你背产品名，而是"这个钱花出去，每个月能看到它在干活"。

数据安全这行，做得好不好，不取决于买了多贵的系统，取决于有没有人持续盯着它、用数字说话。花一个下午把这套指标搭起来，下次老板再问，你掏出月报，比什么都有说服力。