安全从来不是"越高越好"，而是成本、便利、安全三者的权衡；同一件事做不做，取决于它损失了多少便利、换来了多少安全。
上一节（三要素以外的特性）补齐了安全目标的清单。清单越完整，一个现实问题就越尖锐：这些目标不可能全部拉满——它们互相打架，而且都要花资源。
这一节就是把上一节的"打架"变成一笔账。它是第一章里最"软"的一节（没有技术细节），但也是最影响实际效果的一节——因为绝大多数安全方案失败，不是技术不行，而是没人用。
一、三个角，缺一个都不成立
教材给的三个考量点是：成本、便利性、安全性。
它们的关系可以想成一个不可兼得的三角：
| 想要 | 代价 |
|---|---|
| 更安全 | 更多成本，或更多麻烦 |
| 更方便 | 安全性下降，或成本上升（用技术换便利） |
| 更省钱 | 安全和便利里至少牺牲一个 |
这三者里，"便利性"是最容易被忽视的一项，也是最能决定成败的一项。原因很简单：
一个没人愿意用的安全措施，等于零。
强制所有人每 30 天换一次复杂口令，纸面上"更安全"；实际结果是大家把口令写在便签上、或者记成 2026春季 变 2026夏季——安全性反而下降。这不是员工不配合，是设计者忽略了"便利性"这个变量。
二、成本不只是钱
算成本时，容易只算"买东西的钱"。实际至少有三块：
- 采购与部署：软件、硬件、实施服务
- 运行与维护：有人要管它、要升级、要处理告警
- 使用的代价：每个人每天为它多花的时间（这是最容易被忽略的一块）
第三块常常是最大的一块。一条"每次登录要多输一次验证码"的规则，如果有 200 个人、每人每天登 10 次、每次多花 10 秒，一年就是 2000 小时——等于多雇了一个人专门做这件事。
所以衡量措施时，最好把"人均时间损失 × 人数 × 频率"算出来。这个数一出来，很多争论就结束了。
三、便利损失还分"精准"和"广撒网"
这是本节最实用的一条判据：
- 精准的措施：只影响少数人，但把最要害的地方守住了
- 广撒网的措施：所有人都要为它付出代价，换来的是普遍但不深的一点提升
举两个例子对比：
| 措施 | 影响人数 | 效果 |
|---|---|---|
| 核心服务器加堡垒机、操作录屏 | 15 人 | 把最危险的操作（改生产环境）全部留痕 |
| 全公司每 30 天强制换口令 | 200 人 | 普遍的不便，实际效果有限 |
两条都"加了一道控制"，但第一条只让 15 个人多花时间，守住的却是最贵的入口；第二条让所有人每月分心一次，而且（按当下的共识）效果还不好。
所以选择措施时，先问一句：这道的代价落在谁身上？收益落在哪里？ 两者对不上的，就是"广撒网"型。
四、还有一个隐藏的第四方：攻击者的成本
回头看第一节（攻击者的目的）讲过：图财型的攻击者是在做投入产出计算的。
所以"安全性"还有另一个视角：不是把风险降到零，而是让攻击你的成本高于收益。
这个视角很好用，因为它解释了为什么"让自己看起来比邻居难啃"是有效的——你不需要做到最好，你只需要不做最容易的那个。改掉默认口令、及时打补丁、开多因子，这些"基础动作"的成本很低，却能把绝大多数无差别攻击挡在外面。
五、那到底该做到什么程度
把上面的东西合起来，得到一个可以操作的判断顺序：
- 先问"不做会怎样"：这个风险如果不处置，损失有多大、多可能发生（回到 信息安全中不可或缺的认知 的风险算法）。
- 再看"能选几条路"：同一件事通常有多种做法（降低、规避、转移、接受），选代价最小的那条。
- 算清代价落在谁身上：优先选"精准型"的措施。
- 留一个可逆的口子：措施不奏效或副作用太大时要能退回来——这一条决定了你能不能被"试错"。
记住结论那句：在你能接受的便利损失范围里，挑出安全提升最大的那一个。
六、动手 Demo：安全措施的权衡评分器
下面这个 Demo 给六个候选措施算性价比，然后换一个口径再看一遍——摊到每个人头上。
def ratio(s, c, f):
return s * 1.0 / (c + f) # 性价比 = 安全提升 ÷（成本 ＋ 便利损失）
实跑输出：
================================================================================
一、按性价比排序（性价比 = 安全提升 ÷（成本 ＋ 便利损失））
================================================================================
措施 安全 成本 便利损失 性价比 判定
----------------------------------------------------------------------------
核心服务器加堡垒机、操作全程录屏 5 3 2 1.00 值得做
关键系统上硬件密钥登录 5 4 2 0.83 有条件做
所有账号开短信验证码 4 2 3 0.80 有条件做
外网出口封掉个人网盘 3 2 4 0.50 重新想想
每季度全员安全培训 2 3 2 0.40 重新想想
全公司每 30 天强制换一次口令 2 2 5 0.29 重新想想
================================================================================
二、换一个口径再看一遍：摊到每个人头上
================================================================================
措施 影响人数 人均便利损失说明
----------------------------------------------------------------------------
核心服务器加堡垒机、操作全程录屏 15 人 2.00 精准，只碰少数人
关键系统上硬件密钥登录 20 人 2.00 精准，只碰少数人
所有账号开短信验证码 200 人 3.00 广撒网，影响面大
外网出口封掉个人网盘 200 人 4.00 广撒网，影响面大
每季度全员安全培训 200 人 2.00 广撒网，影响面大
全公司每 30 天强制换一次口令 200 人 5.00 广撒网，影响面大
④ 排在前面的两条有个共同点：它们都是【精准】的——
只碰少数关键人，却把最要害的入口守住了。
而强制换口令排在后面，不是因为它没用，
是因为它让 200 个人每个月都要为它分心一次，
换来的安全提升却不大（现在的共识是：定期换口令反而催生弱口令）。
⑤ 所以这道题的答案不是【安全越高越好】，而是：
在你能接受的便利损失里，找出安全提升最大的那一个。
成本、便利、安全——三个一起谈，才叫权衡。
读这个输出：注意"安全提升"这一列和"便利损失"这一列，六个措施里排第一的并不是最贵的那个（堡垒机的成本是 3，不是最高）。排最后的"强制换口令"也不是最便宜的。这说明排序不取决于单看某一列，取决于两者的比。第二张表换了一个完全不同的口径（人均），得到的结论是一致的——两套算法指向同一个答案时，这个决定就比较可靠了。
七、⚠️ 2026 现状
- "便利性"这一项的评价标准已经变了。过去默认"安全和不便是同义词"，现在的主流做法是尽量做到用户无感——无感验证、设备信任、行为风控（见 杜绝非法登录）。"让用户多操作一次"现在被当作成本，而不是安全感的来源。
- "定期换口令"这类规则已被主流指南明确否定。当前主流建议是：不再要求定期更换，只在有泄露证据时才强制更换，同时要求系统拿已知泄露口令库做筛查。也就是说：一条长期被认为"更安全"的规则，按现在的证据看，性价比是负的。
- 成本里多了一项"合规成本"。个人信息保护、数据安全、网络安全等方面的法规都对组织提出了明确义务（记录、评估、告知、备案），这些不产生直接安全收益，但不做会有法律后果。做预算时这一块要单独列，不要混在"安全措施"里。
30 秒实验
挑一条你所在环境里正在执行的安全规则（比如"必须定期改口令""不能装任何软件""必须插 U 盘才能拷文件"），快速算一笔账：
- 它影响多少人、每人每天为它多花多少时间？（人数 × 秒数 × 次数）
- 它挡住了什么？能不能说出一个具体的、被它挡住的场景？
- 有没有代价更小、效果差不多的替代做法？
如果第 2 问你答不上来——那么这条规则的性价比，很可能是负的。这一节要带走的一句是：每一条安全规则都该能回答"它换来了什么"。
常见误区
-
错误：安全当然越强越好，谈权衡是不够重视。——纠正：不谈权衡的安全措施会被绕过去。人手会发明各种办法绕过它（写在便签上、共用账号、用私人网盘），最终的实际安全性反而更低。权衡不是妥协，是让措施真的落地。
-
错误：谈便利性就是在给偷懒找借口。——纠正：便利性是安全措施能否长期存活的前提条件。一项措施如果让人每天多花十分钟，那么它的结局大概率是被投诉、被例外、被废止——能长期执行的中等强度措施，胜过执行不下去的高强度措施。
-
错误：只要买得起设备，成本就不是问题。——纠正：成本的大头常常不是采购，而是运行维护和使用代价。一个没人会看的告警、一个需要专人天天调的系统，长期成本远超采购价。
-
错误：把风险降到零才是目标。——纠正：降到零既不可能也不划算。现实目标是把风险降到"可接受且有人签字认可"的水平（见 信息安全中不可或缺的认知 的处置四选一）。剩下的残余风险要靠监控和预案承接，而不是靠无限加码。
自测三问（点开对答案）
1. 为什么"全公司强制定期换口令"这种看起来很严的规则，按现在的证据看性价比是负的？ —— 因为它的**便利损失极大**（所有人每月分心一次），而**实际安全提升很小**——人会用可预测的方式应付（同一个词加不同年份），这反而让口令更容易被猜。当前主流指南已明确不建议定期更换，改为在有泄露证据时强制更换。 2. 为什么"精准型"措施通常比"广撒网"型更值得优先做？ —— 因为它**把代价集中在少数人身上，收益却落在最要害的入口**。同理，广撒网型的措施让所有人付出代价，换来的往往是普遍但不深的一点改善。**优先做"代价小、收益集中在关键点"的那一类。** 3. 如果一条措施"安全性明显更高但没人愿意用"，正确的处理是什么？ —— 不要硬推，而是**找代价更小的替代实现**（比如用无感验证代替让用户多点一次），或者**缩小适用范围**（只在最关键的场景强制）。核心判据是：一项落地不了的措施，安全收益为零。- ☐ 下一节（1-8 权限只交给合适的人）
相关笔记
- 三要素以外的特性 —— 上一篇：三要素之外的四项，安全目标的完整清单
- 权限只交给合适的人 —— 下一篇：把"该给谁什么权限"变成具体做法
- 杜绝非法登录 —— 便利性优化的典型：基于风险的验证与无感校验
- 🛡️ 网络与信息安全 · 索引 —— 全课路线图