书本中的网络安全

- 美国即将实施新规，网络安全不再靠"最佳实践"推荐，而是变成有法律约束力的行业标准（如PCI DSS、HIPAA、SEC规则等）。核心变化是：企业不能只"尽力而为"，必须证明自己遵守了白纸黑字的规则，否则面临罚款或诉讼。 - 这种"合规驱动"的路线引发争议：写死的检查清单追不上黑客的变招，企业可能为了过关而应付审计，反而忽略了真正的风险管理。文章作者认为，安全行业与监管机构之间正在发生一场关于"什么是足够安全"的认知冲突。 - 关键背景：过去十年美国缺乏联邦数据隐私法，各州（加州、弗吉尼亚等）各自立法；2023年SEC出台了上市公司网络事件披露规则；FTC也开始援引"不公平行为"条款起诉数据保护不力的公司。联邦层面正在向欧盟GDPR式的硬性合规体系靠拢。