弱口令年年查，为啥大公司还是摔在这上面？

最近又有一个案例让人挺无语的，一家科技公司在测试服务器上存了不少个人信息，结果因为云主机违规把数据库端口直接暴露到公网，还用了弱口令，被境外IP轻松拖走了数据，最后被罚了。事情不算复杂，但背后那个老问题又冒出来了——弱口令、裸奔端口这种低级错误，怎么就管不住呢？有人说到底还是企业不上心，总觉得安全是纯花钱的事；也有人觉得是罚得不够狠，违法成本太低，警示作用有限。但真要琢磨的话，如果连“弱口令”都能直接打破防线，那到底是技术防护没到位，还是整个安全管理体系在打瞌睡？你觉得这更多是意识问题、技术问题，还是合规压力根本没传导到位？