我去一个数据中心参观过，那种整齐排列的服务器机柜、上下翻飞的蓝绿色指示灯、成排的空调管道和供电线路，确实有很强的视觉冲击感。但正是这种"看起来很酷"的东西，在商业竞争的背景下就成了给对手递刀子的行为。这个案例发生在某云计算服务商的数据中心里，这家公司运营着国内几个中型数据中心，服务着金融、电商、制造等行业的数十个企业客户。他们对数据中心的安全管理是分了级的，核心区域安装了指纹和门禁控制，来访人员要在前台登记、佩戴临时通行证、由专人陪同，还签了参观承诺书，里面明确写了禁止拍照。
这一天，有一个客户公司的技术负责人以考察机房环境的名义来到了数据中心，由中心的运维经理全程陪同参观。这个客户在签承诺书的时候倒是爽快，大笔一挥就签了。参观过程中，他一开始还很规矩，跟着运维经理走走看看，偶尔问几个关于机柜承重、供电容量、制冷方式、网络接入层级的问题，表现得非常专业。但他不是真来考察机房条件的，他是带着任务来的。他在参观路线上选了一个比较隐蔽的角度，趁运维经理转身回答别人问题的时候，用手机快速拍了几张照片。他拍的是什么东西呢？一个是数据中心服务器机柜排列的全局照片——机柜编号、密度、间距清清楚楚；另一个更重要——走廊白板上写着当天的网络拓扑图和变更记录的草稿，那上面连IP地址段、核心交换机的连接方式、上联路由器的配置策略，都画在上面了。
这个小动作当时没有被注意。参观结束后，客户离开数据中心，运维经理按照流程收回了临时通行证，一切看起来都很正常。但过了不到一个月，这家云计算服务商在一个行业论坛上看到了竞争对手发布的新一代数据中心设计白皮书，里面有一张数据中心布局示意图。这张示意图跟他们自己的数据中心机柜排列方式非常接近，连特别的结构设计——比如每列机柜之间的冷通道封闭方式和供电母线走向，都跟他们的一样。负责设计的运维团队一看就觉得很奇怪：这种布局是他们自己的工程团队经过多次仿真优化后确定的，没有公开发布过，怎么会出现在竞争对手的白皮书里？
公司因此启动了内部调查，回头排查所有的来访记录，仔细调看了参观路线的视频监控录像。在逐帧慢放的审查中，安全人员终于发现了那个客户在走廊里快速拍照的动作，虽然动作幅度很小、时间很短，但摄像头还是捕捉到了拿起手机对准白板的那一瞬间。基本上可以确认，那组数据中心布局和网络拓扑的信息就是从这次"考察"中泄漏出去的。
泄密链路并不复杂。对方以客户考察的名义预约参观数据中心，表面上走完了全部的接待流程——登记、签承诺书、陪同。但安保措施停留在流程层面，没有对参观者的随身设备和行为做实质性的监控，陪同人员虽然全程在场但关注点主要在介绍技术细节上，没有时刻盯住参观者的行为。对方抓住了陪同人员注意力转移的缝隙，用手机完成了拍照，照片中的信息包含了数据中心物理布局和网络拓扑架构，这些信息经整理后出现在竞争对手的技术白皮书中，被用于该公司的方案设计。
这件事最后怎么处理的？这家云计算服务商通过律师向对方公司发送了律师函，要求其删除涉及侵权的内容并承担相应责任。对方公司回应说是"基于公开信息的独立设计"，但在白皮书的早前版本里还留着一些非常具体的布局参数，跟原数据中心高度吻合。双方最后在法庭外达成了一些协议，但这件事对整个公司的信息安全管理者来说是一个很大的警醒。一个很深的教训就是：在接待访客参观的时候，"不能拍照"这句话不能只停留在纸面上，必须用实际的手段来保障。要做的不仅仅是让访客签个承诺书，还要在重点区域部署物理隔离或者信息遮挡，不让关键信息暴露在来访人员的视线范围内。如果那个白板上没有画网络拓扑，如果走廊转角处加了遮挡，如果陪同人员视线始终不离开访客，这一次泄密本来完全可以避免。其次白板上的临时性信息管理也要重视起来。很多研发和运维团队习惯随手在公共白板上画拓扑图、写配置参数，觉得反正是临时性的，下班擦掉就好了。但在接待外来人员的场景下，一张看似临时的白板涂鸦，就是你技术架构的门户。一次不经意的曝光，带来的可能是长远的竞争损失。白板虽小，泄密事大，用完就擦是一个好习惯。
