《全球光伏》了解到，一份来自海外的用户反馈，让阳光电源交出了一份高分答卷。

一次未经授权的访问事件，让德国地区的 iSolarCloud 用户短暂绷紧了神经。一家德国网络安全公司发现，阳光电源提供的 iSolarCloud 被发现存在一项无需身份验证即可访问的隐患，这意味着攻击门槛被降到了最低 - 理论上，任何掌握入口的人都可能长驱直入。

风险级别不低，尤其在能源基础设施领域，网络安全从来不是单纯的代码问题，而是关乎电网稳定、设备运行乃至公共安全的底线问题。但真正值得关注的，并非漏洞本身，而是漏洞被发现后，这家公司交出的答卷。

阳光电源没有拖延、没有回避、没有用 " 正在核查 " 的官方口径反复搪塞。在收到用户反馈的三天内，阳光电源主动模拟重现了该网络攻击路径，复现风险、定位根源，并

在所有 iSolarCloud 层级部署了紧急补丁，完成修复。

从发现问题到堵住口子，响应链条紧凑而专业。这种 " 被点出问题后立刻动手解决 " 的执行力，远比一份漂亮的年度安全报告更有说服力。

《全球光伏》认为， 任何一款复杂软件，都不可能承诺 100% 安全。这不是在为厂商开脱，而是一个不争的事实：代码规模越大、功能越复杂、接入的设备和协议越多，潜在的攻击面就越广。光伏逆变器、储能系统、云平台构成的能源物联网，本身就处在安全攻防的最前线。

指望一套系统永远无懈可击，既不现实，也容易催生掩盖问题的侥幸心理。真正的安全，不在于宣称自己 " 没有漏洞 "，而在于漏洞出现后能否被迅速发现、迅速修复、迅速告知。

承认漏洞，是安全的起点，不是终点。

这一点上，阳光电源的做法经得起审视。模拟攻击这一步尤其值得肯定 - 它不是被动等待外部验证，而是主动站在攻击者的视角审视自己的系统，把风险控制在内部。这种主动姿态，反映的是底层的安全意识和工程能力。而补丁的快速到位，则说明其内部有一套成熟的应急响应机制，从上报、评估、开发到推送，没有在任何一个环节卡壳。

当然，肯定响应速度，不等于降低对安全的要求。恰恰相反，正因为阳光电源展现了足够的专业能力，用户和行业更有理由期待它在后续做得更好：比如更前置的代码审计与渗透测试，更完善的漏洞赏金机制，以及更及时、更透明的安全公告体系。危机处理的高分，应该成为下一次防御升级的起点，而不是终点。

对行业而言，这次事件也提供了一个可供参照的样本。能源数字化是大势所趋，设备联网程度只会越来越高，安全事件几乎不可能绝迹。决定成败的，不是谁从不犯错，而是犯错之后怎么办。一家企业是否值得信任，要看它在聚光灯打过来的那一刻，选择捂住伤口，还是选择直面它。

阳光电源这次选择的是后者。这或许就是专业能力之外，最珍贵的东西——积极而负责的态度。

《全球光伏》原创 No. 4022，转载请联系授权

公众号《全球光伏》，超 4000 篇原创！   更多精彩合集，欢迎点击：

免责声明：《全球光伏》公众号原创或转载文章仅代表作者本人观点，公众号平台对文中观点不持态度。如内容有不实或者侵权，请留言与本站联系。

往期精彩内容