市网信办检查组上个月18号到22号在我们平台驻场了五天，网络走的安全时候留了一份《网络安全监督检查问题清单》，一共列了11项。监督检查今天这份回复函，限期就是整改要把这11项的整改情况说清楚。

先说最要命的回复函那条——用户登录接口存在SQL注入风险。检查当天下午，网络技术组就把那个接口的安全拼接查询全改成了参数化查询，晚上十点上线。监督检查第二天复测，限期注入点已封死。整改但说实话，回复函这问题两年前就有人提过，网络当时排期没排上，安全这次被检查组逮个正着，监督检查不冤。

第二项是日志留存不达标。我们原来的日志只存了90天，检查组要求至少180天。运维那边把日志服务器的存储从2T扩到8T，冷热数据分层存，热数据放SSD查得快，冷数据扔机械盘。扩容那天机房温度飙到32度，空调临时加了台移动的才压住。现在日志保留周期是210天，留了点余量。

第三项和第四项都跟权限有关。一个是离职员工账号没及时注销，查出来有7个已离职人员的VPN账号还能登录。人事那边现在每周五给运维发离职名单，运维当天就删。另一个是管理员权限过大，三个运维能直接操作数据库生产环境。现在拆成了只读、写入、审批三级，改表结构得走工单，双人复核。这个改动最费劲，因为运维习惯了直接干，突然多两道手续，抱怨了好几天。

第五项是漏洞修复超期。检查时发现有三个高危漏洞从发现到修复用了47天，远超我们内部规定的15天。根因是漏洞扫描器跟工单系统没打通，扫出来的人不管修，修的人不知道扫出来了。现在扫描器直接对接Jira，自动建单，超期自动升级到技术总监。上周刚跑完一轮，平均修复时间压到了6天。

第六项到第八项都是配置问题。数据库备份没加密、Redis没设密码、测试环境用了生产数据。备份加密已经上了，AES-256，密钥放KMS里。Redis加了密码，绑了内网IP。测试数据脱敏这块麻烦点，原来直接从生产库拖，现在写了个脱敏脚本，姓名身份证手机号全换掉。脚本跑一次要四十分钟，但总比出事强。

第九项是应急预案没演练。我们那份预案还是2021年写的，里面联系人一半都离职了。上个月25号重新拉了一版，把在的人全列上，电话打了一遍确认能通。演练定在下个月10号，模拟核心交换机挂掉，看多久能切到备用链路。我估计第一次得超时，但总得跑起来。

第十项和第十一项属于管理层面。安全培训没覆盖全员，外包人员更是没管。现在新员工入职必须过安全考试，外包人员签保密协议加安全承诺书。培训材料我自己写的，没用那些厂商的PPT，全是真实案例，比如某次钓鱼邮件点开之后发生了什么，讲得土但管用。

整改报告今天下午已经通过OA发给检查组了。11项里9项已完成，2项——应急演练和全员培训——还在推进，计划下个月15号前全部闭环。说句实在话，这次检查帮我们清了不少历史欠账。有些问题不是不知道，是没人推就永远排不上优先级。检查组一来，三天干完三年的活。

后面每季度我们会自查一轮，用同样的清单过一遍。安全这事，靠突击没用，得变成日常动作。回复函正文附了每一项的整改证据截图和责任人签字，这里就不贴了。