企业网站安全管理制度

上午十点十七分，企业运维老张的网站钉钉突然炸了——财务部共享文件夹里多出一份名为“2024年终奖明细（内部） ”的Excel。点开是安全乱码，但文件名已经传遍三个部门群。管理后来查出来，制度是企业供应商门户被撞库，攻击者拿泄露的网站账号密码试出了VPN入口。

这事没上热搜，安全但公司花了三天才把内网彻底清洗干净。管理代价是制度财务部全员重装系统，ERP停摆六小时，企业以及一个季度绩效泡汤。网站

所以别跟我谈“网络安全是安全IT部门的事”。网站安全管理制度的管理第一条，就该写清楚：谁的制度系统谁负责，谁的数据谁担责。不是吓唬人，是让每个部门负责人签字画押。采购部用供应商后台，那供应商的账号安全就是采购经理的KPI。市场部运营官网，那后台密码三个月不换，就扣市场总监的奖金。制度不写狠点，没人当回事。

第二件事，权限必须最小化。去年审计时发现，技术部实习生都能看到生产数据库的备份文件。不是他多厉害，是前任离职时账号没销，权限没回收。制度里要规定：员工入离职当天，IT必须完成账号开通或注销。权限申请走线上流程，领导审批留痕。别嫌麻烦，你永远不知道哪个闲置账号会被社工库翻出来。

再说说漏洞修补。很多公司觉得装个防火墙就万事大吉——那是自欺欺人。上个月爆出的Apache Log4j2漏洞，我们连夜打补丁，还是有两台测试服务器中招。不是技术员偷懒，是压根没人知道那两台机器还连着外网。制度要写明白：所有面向公网的服务器，必须纳入资产管理平台，补丁更新周期不超过72小时。做不到？那就别把核心业务系统挂在公网上。

密码策略也别整那些花里胡哨的。强制每90天改一次密码，结果员工全在密码后面加“01”“02”，等于白改。更有效的是强制启用双因素认证，尤其是VPN、邮箱、后台管理这些入口。成本不高，但能把90%的撞库攻击挡在门外。我们试过，推行时骂声一片，用惯之后没人再抱怨。

最后说应急响应。别等出事了才翻制度手册。每季度做一次钓鱼邮件演练，每月检查一次日志备份完整性。真被攻击了，第一件事不是查损失，是断网隔离——哪怕业务停摆也得断。去年隔壁公司被勒索病毒加密，管理层犹豫了俩小时要不要交赎金，结果病毒横向扩散，全公司文件都没了。

制度不是挂在墙上的装饰品。它是拿来用的，是拿来吵架的——当业务部门催你“快点上线”时，你能拿制度顶回去：“安全评估没过，不能上。”

就这么简单。你嫌烦，黑客可不嫌。