先说个真事,上个月，我朋友收到一条短信，说快递放门口了，点链接能看照片，他那天正好有三个包裹，想都没想就点了，页面长得跟快递公司一模一样，让他输手机号和验证码，他输完不到十分钟，银行卡被划走两笔钱，后来报警、挂失、改密码，折腾了一整周，他跟我说：“我又不是搞技术的，哪懂这些？”这句话特别典型，很多人以为信息安全体系是公司机房里的防火墙，是程序员才关心的东西，可现实是，骗子从来不挑职业，他们只挑疏忽。
我妈也遇到过类似的事,她在广场舞群里看到“扫码领鸡蛋”，二维码做得像社区活动通知，点进去让填姓名、身份证号、住址，她差点填完，幸好我那天回家，看见她戴着老花镜一个字一个字输身份证号，赶紧拦住，你说她贪小便宜吗？也不是，她就是觉得“社区发的，应该没事”，这就是问题所在：我们每天做几十个小决定，点链接、连WiFi、授权App、发验证码、共享文件，每一个都像随手关门，可信息安全体系，恰恰就是由这些“随手”组成的。
我理解的“信息安全体系”，不是一套吓人的术语，而是一套让生活更可控的习惯和规则，它像什么？像家里的门锁、灭火器、保险单和紧急联系人，平时不显眼，出事时能救命，具体说，至少有四层。
第一层是个人习惯,密码不要一套走天下，重要账号开双重验证，陌生链接先停三秒，验证码谁要都不给，公共WiFi不登网银，旧手机卖掉前彻底清数据，听起来老生常谈，但真做到的人不多，我见过一个同事，所有平台都用同一个密码，问他为什么，他说“好记”，结果某个小网站泄露，他的邮箱、购物账号、社交账号全被撞库，后来他改成密码管理器，一开始嫌麻烦，用了两周真香，信息安全体系不是让你变专家，而是把“好记”换成“可控”。
第二层是家庭和团队的小规则,我们家现在有个约定：凡是涉及转账、身份证、验证码的事，先在家庭群里说一声，老人接到“猜猜我是谁”的电话，不许自己判断，先挂掉打回来，公司小团队也一样，不要把共享账号密码发在群里，离职当天改密码，文件夹按人授权，别为了方便把整个网盘链接公开，我见过一个创业团队，客户资料放在公开分享链接里，谁拿到都能看，没出事时觉得“我们小，没人盯”，出事时才发现，信息安全的漏洞往往不是被高级黑客攻破，而是被一个随手转发的链接打开。
第三层是技术工具,但别迷信工具，更新系统、开自动备份、装正规安全软件、给摄像头改默认密码、关闭不必要权限，我家摄像头以前就用默认密码，后来看到新闻里有人被偷看，吓得我连夜改密码，还把摄像头角度调了，工具是帮忙的，不是护身符，你买了最贵的锁，出门不锁门也没用。
第四层是应急预案,真出事了怎么办？先冻结银行卡，改重要密码，保留证据，报警，通知家人朋友防二次诈骗，很多人出事后的第一反应是慌，第二反应是删记录，结果把证据也删了，信息安全体系里必须有一条：出事不丢人，知道找谁、按什么顺序处理，才重要。
我的个人观点很直接：信息安全体系不是追求“绝对安全”，而是追求“风险可控、出事可恢复”，我们不可能永远不点错链接，也不可能保证每个平台都不泄露，但我们可以做到重要账号有双重验证，重要文件有备份，重要操作有二次确认，家里老人知道“验证码不给、转账先打电话”，这套东西不需要花很多钱，也不需要多高深的技术，它更像一种生活秩序。
还有一点,我不喜欢把信息安全讲成恐怖故事，天天吓唬人，大家反而麻木，真正有用的是把安全动作变简单：密码管理器帮你记，双重验证多点一下，备份自动跑，家庭群设个暗号，安全不该是反人性的，它应该像系安全带，刚开始不习惯，后来不系才难受。
别再把信息安全体系供在IT部门的机房里,它就在你收到陌生短信的那一秒，在你给App授权通讯录的那一下，在你把验证码发出去的那一刻，今天就可以做五件小事：给邮箱和支付账号开双重验证；把重复密码改掉；给手机和电脑开自动备份；跟家里老人约好“转账先打电话”；把不再用的账号和公开链接清一清，做完你会发现，安全感不是别人给的，是你自己一点点搭起来的。