第26集：自建信息系统的安全注意事项
为了提高项目管理的效率，公司决定自建一套内部使用的项目管理系统。作为计算机专业出身的新人，小张被安排参与系统的需求分析和功能设计。
在第一次项目讨论会上，李主管在白板上写下了三个大字——"三同步"。
"小张，你在大学学过软件开发。但我问你一个实践中的问题——安全什么时候该被考虑？"
小张想了想："按照标准开发流程，安全测试应该在功能开发完成之后进行——就是测试阶段。"
李主管摇了摇头："那是传统的瀑布模型思维。在信息安全行业，有一个更根本的原则——安全是设计出来的，不是测试出来的。这个原则在公司自建的信息系统中尤其重要，因为我们处理的是安全保障相关的业务，系统的安全可靠性直接关系到客户对我们的信任。"
他指着白板上的三个字："这就是我们国家在信息安全领域推行的安全三同步原则——同步规划、同步建设、同步使用。"
"同步规划。"他指着第一个词，"在系统设计的初期，安全需求就要和功能需求一起被提出、一起被分析、一起被设计。不能等系统功能全部做好之后，再往上面打安全补丁。那个时候已经晚了——就像房子盖好之后再想加固地基，成本极高而且效果很差。"
"同步建设。"他指着第二个词，"在系统开发的过程中，安全功能的编码要和业务功能同步进行。安全测试要嵌入到持续集成的流水线中，每一次代码提交都要触发自动化的安全扫描。不是功能开发完了才送去做安全测试——而是开发的过程中就一直有安全在护航。"
"同步使用。"他指着第三个词，"系统上线运行之后，安全运维要配套跟上。要有安全管理制度、要有安全运维团队、要有持续的日志审计和漏洞监控。系统跑起来了不意味着安全就结束了——恰恰相反，系统的运行阶段是安全风险最高的时候。"
小张快速地记着这些要点。他回忆起大学时做的那些课程设计——从来都是先把功能跑通，安全放最后。但在实际的工作中，安全是从第一天就要放到地基里面的东西。
"三同步看起来是增加了开发成本。"李主管说，"但实际情况恰恰相反——前期投入的安全设计成本，远远低于事后修补安全事故的代价。系统上线后被发现重大漏洞，紧急回滚、数据修复、客户赔偿——这些成本可能是前期的十倍。"
小张深有感触地说："就像盖房子——从地基开始抗震设计的房子，比盖好之后再加固的房子牢固得多，总成本也更低。"
"对。安全是设计出来的，不是检查出来的。"李主管满意地点头。
这次学习之后，小张在笔记本上写下了自己的感悟。从入职第一天到现在，他已经记满了整整半本笔记本。翻开前面的页面，每一个条目都代表着他从一个什么都不懂的职场新人，到逐渐建立起保密意识框架的成长历程。他想起了李主管在他入职第一天说的那句话：'保密就是保生命、保饭碗。'当时他觉得这话说得太夸张了——一份工作而已，至于吗？但现在他自己经历了这么多案例、学了这么多知识之后，他终于明白了——那句话一点都不夸张。保密真的关系到一个人的职业生命、一个团队的辛苦付出、一个公司的生死存亡。
晚上回到家，小张躺在床上的时候，又一次感到自己非常幸运。他想起了李主管——那个从一开始就严格要求他、但每一个要求都带着关爱的领导。他想起了王保密员——那位已经离职、但对他的保密启蒙有巨大影响的前辈。他想起了刘保密员——接任之后依然延续着高标准严要求的保密教育。还有赵姐、邓师傅、孙总监——每一个在保密道路上指导过他、提醒过他的人。正是因为有了这些人不厌其烦的教导，他才能从一个什么都不懂的'愣头青'，成长为今天这个能够独立判断、独立思考的'保密人'。
