公司刚入职的小李接到一个邮件，看起来是财务部发的报销通知，他一点开链接，电脑立马弹出一堆乱码文件。没过多久，全公司的客户数据都开始外泄。事后追责，有人说怪小李安全意识差，有人说IT部门防火墙没做好，还有人说管理层根本没重视。到底该怪谁？网络安全责任主体，不是随便指个人背锅，而是有明确边界的。
企业法人是第一责任人
根据《网络安全法》规定，网络运营者的主要负责人对本单位的网络安全负总责。这意味着公司老板不能甩锅给IT主管。就像餐馆老板不能说‘卫生问题归厨师管’一样，网络安全出了事，法人得先站出来扛着。某地一家电商公司因用户信息泄露被罚80万，处罚对象直接就是公司主体，不是某个员工。
IT部门：技术防线的实际守护者
系统打补丁、设置访问权限、部署防火墙——这些具体活儿还是得IT团队干。有个制造企业，服务器长期用默认密码，运维人员换了几拨也没改，结果被黑客批量扫描攻破。法院判决里写得清楚：IT管理失职，属于未履行安全保护义务。这类岗位不是单纯修电脑的，手里握着整个企业的数字命脉。
普通员工也不是局外人
前台小妹收到‘领导急要资料’的邮件，转手就把客户名单发出去；销售为了方便，把合同存到公共网盘还设了个‘123456’的密码。这些行为看似小事，一旦酿成泄露，当事人同样要担责。有家公司员工用个人微信传敏感文件，被竞争对手截获，最后不仅被辞退，还被追究了民事赔偿。
供应链上的连带责任
现在企业都用第三方系统，比如云服务、外包开发、支付接口。某连锁超市的会员系统由外包公司开发，结果代码里留了后门，导致数百万用户数据被盗。调查发现，超市方从未审核过源代码，也未签安全协议。最终两家一起被约谈整改。用了别人的系统，不代表责任就转移了，采购方也有监督义务。
监管部门在动真格
去年某社交平台被查出大量未成年人信息被非法调用，执法部门顺藤摸瓜，不仅罚了平台，还对产品负责人个人处以罚款。这释放了一个信号：责任可以落到具体岗位和个人头上。不做实名备案、不落实日志留存、不配合调查的企业，轻则下架APP，重则吊销许可。
网络安全不是某个部门的‘专业问题’，而是从老板到实习生，从内部系统到外部合作方，一环扣一环的责任链条。谁觉得自己只是个‘边缘角色’，谁就可能成为突破口。