针对 RSA 大会“安全已失效”的论调，APNIC 指出安全建设难点不在于技术缺失，而在于全网落地最佳实践、跨境协作受限、认知碎片化三大结构性障碍，主张以持续工程投入替代银弹幻想。
落地最佳实践的长期滞后：
BCP38（即 SAVE）自 2000 年发布至今，要求网络边界实施源地址验证以防欺骗流量，但采用率与认知度仍处低位。Paul Vixie 在 APNIC 38 会议上专门讨论此现状。APNIC 因此持续推广 RPKI、DNSSEC 与路由韧性宣言，试图通过基础设施层面的强制性机制弥补自愿合规的不足。原文未给出具体采用率数据。
跨境协作的信任与法律双重枷锁：
执法机构（LEA）与 CERT/CSIRT 反馈显示，攻击者间的情报共享效率高于防御方。根因在于：跨司法管辖区的法律限制阻碍情报流转，组织间缺乏信任基础导致不敢共享。这种不对称使得防御体系始终处于被动拼凑碎片情报的状态，原文未给出具体协作案例或量化效率差距。
认知碎片化与社会工程学的隐蔽入口：
高级持续性威胁（APT）多利用非技术手段如社会工程学切入，而非依赖零日漏洞。不同角色对威胁模型、攻击路径、防御准备度的理解存在显著差距，单纯讲授“防火墙入门”式课程无效。APNIC 实践发现，桌面推演与角色扮演能更有效打破“仅是 IT 部门事务”的误区，提升全员安全直觉。原文未给出演练效果的量化指标。
对运维与网络工程师而言，这意味着：在边界部署 SAVE/BCP38、推进 RPKI 签名、参与路由韧性宣言是必须坚持的基建工程；建立跨组织可信情报共享渠道需法务与管理层同步推进；安全培训应从合规讲课转向实战推演，将人为因素纳入威胁模型。没有捷径，唯有在三个维度持续投入。
原文: APNIC Blog（2015-05-01）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog