去年某地一家三甲医院被勒索病毒锁死系统，网络挂号、安全缴费、网络影像调阅全部停摆，安全最后不得不手工登记病人信息。网络事后排查，安全入侵入口是网络一台连了内网的超声设备，操作系统还是安全Windows 7，补丁从没打过。网络这事说明一个很朴素的安全道理：网络安全不是装个防火墙就完事，它是网络一堆具体要求的集合，少一条都可能出事。安全

先说最基础的网络，资产得管清楚。安全很多单位连自己有多少台服务器、网络多少个公网IP、哪些端口对外开放都说不明白。前两年某车企被挖矿木马入侵，根源就是一台测试机长期开着Redis未授权访问，运维早忘了它的存在。所以第一条要求很硬：建立资产台账，硬件、软件、IP、端口、责任人，全登记。别嫌麻烦，连自己有什么都不知道，谈何保护。

访问控制是第二道硬要求。最小权限原则说了很多年，落地却常打折扣。我见过一家公司，离职半年的员工账号还能登录内部OA，因为HR和IT的流程没打通。具体要求就是：账号唯一实名、权限按角色分配、离职即禁用、特权账号单独审批。远程访问别裸奔，VPN加多因素认证，别用弱口令。某次攻防演练，红队就是靠猜“admin/123456”拿下一台边界设备，这种低级失误每年都在重复。

漏洞和补丁管理属于日常功夫。不是等出事才扫，而是定期扫、定期修。要求包括：每月至少一次漏洞扫描，高危漏洞48小时内修复或缓解，不能修的要有补偿措施比如访问白名单。上面那家医院的超声设备就是典型反面教材——设备老旧、厂商不再支持、没人敢动，结果成了突破口。现实里确实有修不了的系统，那就把它隔离到独立网段，别让它能横向串门。

日志和监测这条经常被忽略。要求是：关键系统开启日志，日志集中存储至少六个月，有告警机制。很多入侵不是没痕迹，是没人看。某次数据泄露，攻击者在内网待了三个月，每天凌晨传数据，流量日志里清清楚楚，但没人分析。所以别只存不看，得有规则、有告警、有人响应。

数据安全单独拎出来说。分类分级是前提，哪些是敏感数据、哪些能外发、哪些必须加密，得写清楚。具体要求：传输用TLS，存储敏感字段加密，备份至少一份离线。勒索病毒最狠的一招就是连备份一起加密，离线备份是最后底线。某制造企业被攻击后能快速恢复，就是因为有一份每周更新的磁带备份，虽然老土但管用。

人员这块的要求看着虚，其实最实在。钓鱼邮件测试通过率低于80%的，别指望技术手段能兜住。要求很具体：每年至少两次安全培训，新员工入职必训，钓鱼演练定期做，关键岗位签保密协议。技术再强，人点一下链接就全白搭。

最后是应急响应。要求包括：有书面预案、有演练、有联系人清单、有取证和恢复流程。别等出事再翻手册。某次供应链攻击，一家公司因为提前演练过断网隔离流程，半小时内切断了扩散路径，损失控制住了。预案不是摆设，得真跑一遍才知道哪里卡壳。

这些要求听着琐碎，但每条背后都有真实事故垫底。网络安全没有一劳永逸，只有持续满足这些具体条件，才能把风险压到可接受的范围。

(责任编辑：知识)