上周四一个 朋友半夜给我打电话：" 我们中勒索病毒了 。"

我告诉他，你只有三个选择： 一是交钱、二是放弃、三是找第三方解密（不成功不要钱，但成功率不高，你们公司愿意出钱吗？ ）；

敢承诺100%解密勒索病毒的，不要信不要信！除非他是......

沉默了十秒后，他终于听懂了我的意思， 他的备份已经三个月没有跑通过恢复测试了。也就是说，他以为的"安全网"，其实是一张破渔网。

这件事让我意识到一个问题：很多企业的安全状况，就跟人的体检一样， 不到出事，不知道自己有多少毛病。

所以今天我整理了一份 2026年企业网络安全自检清单，建议你打印出来，贴在工位上，一条一条对照检查。

不是什么高深的技术文档，就是一份 "你有没有踩坑"的自问清单。

第一部分： 🔑 账户和权限（最容易出事的地方）

30%的数据泄露，源头是弱密码或权限混乱。

☐ 1. 是否存在"默认密码"未修改的设备？

路由器、交换机、摄像头、打印机 ……很多设备出厂密码是 admin/admin，你改了吗？如果没改，那攻击者不叫"入侵"，叫"回家"。

☐ 2. 是否存在多人共用一个账号的情况？

"运维组公用账号"、"测试公用数据库"……出了事查不到谁干的，这才是最可怕的。

☐ 3. 员工离职后，账号是否及时注销？

很多人离职三个月了， VPN还能用，邮箱还能登，这跟把离职员工的钥匙没收回有什么区别？

☐ 4. 管理员账号是否启用了多因素认证（MFA）？

2026年了，管理员账号还不开MFA，就跟你家保险柜密码是"123456"一样离谱。

☐ 5. 第三方供应商的访问权限是否定期审计？

去年合作的供应商，今年不用了，但 VPN权限还挂着——这种"幽灵权限"在企业里遍地都是。

第二部分： 🧱 网络和边界（你家的围墙结实吗）

没有边界的网络，就像没有院子的房子。

☐ 6. 是否划分了网络区域（内外网隔离、DMZ区）？

财务系统、开发环境、生产环境，能不能互相随便访问？如果能，恭喜你，攻击者拿到一台内网机器的权限，就等于拿到了全部。

☐ 7. 远程办公的VPN是否安全？

VPN密码强度够不够？有没有连接超时自动断开？有没有限制只能访问必要的系统？

☐ 8. 办公网络和访客网络是否分离？

来访的客户连的 WiFi，跟你们财务系统用的是同一个网段？那我建议你今晚别睡了。

☐ 9. 是否有入侵检测/防御系统（IDS/IPS）？

有人fan墙进了你家院子，你得有报警器吧？光靠围墙不行，还得有人盯着。

☐ 10. 云服务配置是否做过安全检查？

去年 AWS一个错误配置泄露了数亿条记录。你的云存储桶，是"公开读写"还是"私有访问"？

第三部分： 💻 终端安全（每个员工的电脑都是入口）

最坚固的城堡，往往从马厩的门被攻破。

☐ 11. 所有终端是否安装了杀毒软件/EDR？

别跟我提 "我们都是Mac不用杀毒"——2026年了，Mac也不是铁板一块。

☐ 12. 操作系统和软件补丁是否及时更新？

你家的门窗漏了风不修，还在那开着暖气 ——补丁就是数字世界的"修窗户"。

☐ 13. 是否禁用了USB等外部存储设备？

员工插个 U盘拷资料，顺便拷进来个木马——这种事每年发生上万次。

☐ 14. 终端是否有硬盘加密？

笔记本丢了，硬盘里的客户数据如果没加密，你就等着上新闻吧。

☐ 15. 是否管控了员工私自安装的软件？

你不知道员工电脑上装了多少 "免费工具"，每一个都可能是木马的快递包裹。

第四部分： 🗄️ 数据安全（你真正要保护的东西）

网络被入侵是安全事故，数据泄露是社会事件。

☐ 16. 是否知道公司有哪些核心数据资产？

"呃……应该有客户数据、财务数据……还有什么来着？"——如果你连家底都说不清，保护什么呢？

☐ 17. 核心数据是否有加密存储？

数据库里的密码是明文存的？身份证号没加密？拜托，这都 2026年了。

☐ 18. 数据备份是否做了"3-2-1"策略？

3份备份、2种存储介质、1份离线——这不是建议，这是底线。

☐ 19. 备份是否定期做恢复测试？

参见开头那位 朋友的惨痛教训。备份不能恢复，等于没有备份。

☐ 20. 敏感数据传输是否走加密通道？

还在用 HTTP传客户数据？FTP传财务报表？这些明文传输，中途被人截获你都不知道。

第五部分： < 🛡️/> 应用安全（你的网站和系统安全吗）

代码写得好不好，决定了攻击者 "打工"还是"度假"。

☐ 21. Web应用是否部署了WAF（Web应用防火墙）？

WAF就像门口的保安，虽然不能防住所有攻击，但至少能挡住90%的"路过顺手偷一个"的人。

☐ 22. API接口是否做了安全防护？

别笑，很多公司网站做了防护， API接口却裸奔着——这就像大门上了三道锁，后

门却开着。

☐ 23. 是否定期做漏洞扫描？

"我们等保测评做了就安全了"——等保是一年一次的考试，漏洞扫描应该像体检一样定期做。

☐ 24. 开发团队是否接受过安全编码培训？

90%的安全漏洞不是技术问题，是开发习惯问题。教他们怎么写安全的代码，比事后打补丁成本低100倍。

☐ 25. 上线前是否做过安全测试？

新系统上线，有没有经过安全团队的审查？还是直接 "先上线再说，出了bug再修"？

第六部分： 🚨 应急响应（出事了你怎么办）

真正考验安全水平的时候，不是没事的时候，而是出事的时候。

☐ 26. 是否制定了安全事件应急预案？

"被勒索了怎么办？""数据泄露了怎么办？""网站被黑了怎么办？"这些问题如果你没有预案，出事的时候就是全员懵逼。

☐ 27. 应急联系人清单是否最新？

你知道出事第一时间该打给谁吗？运营商？公安机关？安全厂商？律师？

☐ 28. 是否做过应急演练？

预案写在纸上不等于能执行。就像消防演习，真着火的时候，才知道谁会、谁不会用灭火器。

☐ 29. 日志是否留存至少6个月？

《网络安全法》要求日志留存不少于 6个月。而且，没有日志，出了事你连怎么被黑的都不知道。

☐ 30. 是否购买了网络安全保险？

勒索病毒来一次，光业务中断的损失可能就成百上千万。保险不能防攻击，但能在出事后帮你兜一点底。

评分标准

写在最后

这份清单不是用来吓你的，是用来救你的，网络安全这事儿，说白了就四个字：别“ 心存侥幸 ”。

清单获取链接：后台“ 2026 ”获取。

觉得 "我们公司小，没人会攻击我们"——攻击者不挑食，自动化的脚本不会因为你们公司只有50个人就跳过你们。

觉得 "我们上个月刚做过等保"——等保是体检报告，不是长生不老丹，觉得 "出了事再说"——到时候说这句话的，可能是你的离职报告。

转发给你的技术负责人、 CTO、老板看看，30个问题，10分钟能自检完，早发现一个坑，省几十万。