去年秋天，企业一家做精密零件的网络制造企业被勒索软件锁死了ERP和MES系统。攻击者从一封伪装成供应商对账单的安全邮件进来，横向移动了不到48小时，规划三条产线停了整整六天。企业事后复盘，网络问题不在防火墙，安全而在一个没人管的规划测试服务器上——弱口令，暴露在公网，企业两年没打过补丁。网络这种事听上去老套，安全但每个月都在发生。规划企业网络安全规划不是企业买一堆设备堆在机房里，而是网络先搞清楚自己有什么、怕什么、安全能承受多大损失。

资产梳理是第一步，也是最容易被跳过的一步。很多IT负责人拍脑袋说“我们大概两百台服务器”，真拿扫描器跑一遍，往往多出三四十台——可能是离职员工留下的虚拟机，也可能是某次项目临时开的云主机。把这些东西列清楚，标上谁在用、跑什么业务、存什么数据，比任何高级威胁检测都管用。我见过一家公司光Excel表就整理了三个月，但之后每次安全事件响应时间从平均四小时降到了四十分钟。

边界防护要分层，但别迷信“堆盒子”。防火墙、WAF、IPS各司其职没错，可如果规则库三年没更新，或者运维图省事全开any-any，那跟没装一样。有个客户在互联网出口部署了下一代防火墙，结果内部一台打印服务器被挖矿木马占了半个月，流量走的是内网东西向，防火墙压根看不见。后来他们在核心交换机上做了端口镜像，配合流量分析工具，才把内网异常连接揪出来。所以边界不只是外网入口，内网横向移动的路径也得堵。

身份和权限管理，是安全规划里最枯燥但回报最高的部分。很多企业还在用共享账号，密码贴在显示器边上。一旦有一个账号泄露，攻击者就能像逛超市一样在内部系统里转悠。建议至少做到三点：关键系统强制多因素认证，权限按角色最小化分配，定期清理僵尸账号。某家券商去年上线了动态令牌，运维人员抱怨了两个月，但后来一次钓鱼攻击中，攻击者拿到了密码却卡在令牌这一步，整个内网安然无恙。

数据备份和恢复演练，比备份本身更重要。勒索软件现在流行先偷数据再加密，备份成了最后一道防线。但备份如果和业务系统在同一个域里，域控被拿下，备份也跟着完蛋。离线备份、异地备份、不可变存储，至少选一种。更关键的是恢复演练——真把备份数据还原到测试环境，看看能不能在可接受时间内跑起来。我见过备份策略写得很漂亮的团队，真出事时发现备份文件损坏，或者恢复需要三天，业务部门直接崩溃。

安全运营得有人盯着。买再多的设备，没人看告警日志，等于白买。中小型企业养不起24小时SOC，可以外包给MSSP，但合同里要写清楚响应时限和升级路径。内部至少得有一个人对安全负责，哪怕兼职。这个人的任务不是天天抓黑客，而是推动补丁管理、权限审查、员工培训这些琐事。安全规划里最贵的不是产品，是持续运营的人力。

员工培训别搞成一年一次的PPT走过场。钓鱼邮件演练每季度做一次，点开的人不罚款，但得去参加半小时的案例复盘。把真实攻击手法拆开讲——比如“CEO让你买礼品卡”这种老骗局为什么还有人上当——比念合规条款有效得多。一家物流公司连续做了六轮演练，钓鱼邮件点击率从34%降到4%，省下的应急响应成本够养一个安全团队。

规划落地要分阶段，别指望一年建成铁桶。第一年把资产摸清、边界收紧、备份验证；第二年上身份管理和终端检测；第三年做威胁情报和自动化响应。每季度review一次，根据业务变化调整优先级。安全不是项目，是持续过程。攻击者每天都在找新入口，你的规划也得跟着动。