2022年公安机关网络安全监督检查

2022年6月，安机杭州一家跨境电商公司的关网技术总监老周接到辖区派出所电话，对方说要对公司网络安全做例行检查。络安老周起初没当回事，全监直到民警带着技术员上门，督检打开机房服务器日志后，安机发现公司内部有台测试服务器连着外网，关网还跑着旧版Apache——这个漏洞去年就被公开过。络安民警当场开了整改通知书，全监限七天内修复，督检否则罚款。安机老周懵了，关网他以为检查就是络安看看有没有装防火墙。

这事不是全监个例。当年全国公安机关开展的督检网络安全监督检查，重点盯的就是关键信息基础设施运营者，但像老周这种中小企业的“漏网之鱼”也不少。检查方式很直接：不打招呼，直奔机房，翻配置、查日志、测漏洞。有的企业连等保三级都没过，就敢存客户身份证号，民警当场记录在案。数据安全法实施第二年，执法力度明显收紧，罚款金额从几万到几十万不等，甚至有人被行政拘留——因为删了日志对抗检查。

检查清单里最要命的是“远程运维”这一项。很多公司图方便，让外包工程师通过公网IP直接连内网，密码还是admin123。2022年上海某物流公司就是这么被攻破的，黑客植入勒索病毒，整个仓储系统瘫痪三天，损失超百万。民警检查时发现，该公司连VPN都没部署，全暴露在公网上。检查报告写得直白：“缺乏基本访问控制”。

不过也别把检查想成找茬。有些民警会带技术支撑团队，现场给企业提整改建议，比如帮你梳理资产清单、告诉你哪些端口该关。广州一家制造业工厂，被查出工控系统存在弱口令，民警直接帮他们联系了本地安全厂商，免费做了次渗透测试。这种“检查+服务”的模式，在2022年下半年明显增多，大概是公安部内部有考核要求，毕竟光罚不帮，小企业根本买不起安全设备。

但老实说，检查也有尴尬的地方。部分基层民警对新技术不熟，查云计算环境时，只会问“你们数据存在哪台服务器上”，对容器、API网关这些概念一头雾水。有家SaaS公司被检查时，对方非要看物理机，技术员解释半天“我们用的是虚拟化集群”，民警愣是不信，最后只能截图云控制台界面应付过去。这类情况在三四线城市尤其常见，检查流于形式，企业配合完就完事，整改报告随便写写也能过关。

2022年底，公安部通报全年检查了约10万家单位，发现隐患漏洞超过20万个。数字挺唬人，但真正被重罚的不到1%。大多数企业收到整改通知后，花几万块买套防火墙、装个日志审计系统，就算过关了。老周的公司后来改了密码，加了双因素认证，还买了台堡垒机。他说：“以前觉得安全就是IT部门的事，现在才知道，公安真会来查。”这话糙，但点破了本质——网络安全检查，逼着企业把“嘴上安全”变成“手上动作”。