网络安全监督检查限期整改通知书回函

我单位于2024年11月18日收到贵局出具的网络《网络安全监督检查限期整改通知书》（编号：网安检改〔2024〕第087号），文中指出的安全三项问题——办公区Wi-Fi未启用WPA3加密、财务系统数据库存在弱口令账户、监督检查以及对外业务API接口未配置访问频率限制——经技术团队现场复核，限期情况属实。整改我们连夜关停了受影响的通知三个服务端口，并封存了相关日志文件，网络未发现数据外泄迹象。安全这份回函既是监督检查答复，也是限期我们内部复盘后的整改承诺。

先说Wi-Fi加密的整改问题。我们原以为WPA2在中小规模企业里够用，通知但贵局渗透测试人员用一台树莓派加开源工具，网络在办公楼对面停车场十分钟内抓包破解了PSK密码——这个演示让我们心服口服。安全整改方案分两步走：本周内所有办公区AP更换为WPA3-SAE模式，监督检查同时启用802.1X的RADIUS认证，员工工牌芯片与MAC地址绑定。预算已经批了，设备采购单昨天下午发给供应商，预计五个工作日内到货。

财务系统那个弱口令账户，说起来有些丢人。该账户是2022年外包团队做季度结算时创建的，用的是“Finance2022”这种字典里能查到的组合。外包撤场后交接文档里漏了这条记录，我们自己的运维巡检又只盯着核心业务库，这个边缘数据库整整两年没被注意到。现在已强制重置所有财务相关账户密码，密码策略改为12位以上且每45天轮换。更重要的是，我们给所有数据库加上了登录失败锁定策略——连续错五次就锁十五分钟，这个规则之前只在核心生产库上配置过。

API接口的频率限制问题，这暴露了我们开发流程上的漏洞。那个订单查询接口是三个月前为了配合某电商平台促销临时加的，当时只验证了功能正常就上线了，性能测试报告里压根没提限流这事。贵局用脚本每秒发200个请求，服务器CPU直接飙到98%，响应时间从正常的80毫秒剧增到6秒——这要是被恶意刷接口，后果不堪设想。我们已经给所有对外API接入了统一的网关层，按IP和Token双重维度做每秒20次的限流，并配置了弹性伸缩策略。另外，新接口上线前必须过安全评审，这条已经写进研发流程规范。

还有个贵局没点名但顺带提醒的风险点，也一并汇报。我们排查时发现，办公区有几台打印机和门禁控制器仍使用出厂默认密码，这类物联网设备虽然不直接存敏感数据，但被攻破后可能成为内网跳板。现在已全部改为随机生成的强密码，并划入独立VLAN，与办公电脑网络物理隔离。这个动作不在通知书范围内，但既然发现了就顺手堵上。

整改工作预计在12月10日前全部完成。我们会在12月12日提交详细的复测报告，附上设备配置截图和日志审计记录。若贵局需要现场验证，随时安排人员配合。这次检查对我们来说像一次体检，虽然查出几个毛病，但好在都是早期症状，没拖成大病。后续每季度我们会自行做一次类似强度的渗透测试，不再等外部力量来敲警钟。