内容摘要：网络安全整改通知单摆在桌上三天了，我盯着那几行红字，说实话，心里是有点不服气的。但等我把系统日志翻了个底朝天，才发现人家批评得没错——我们的数据库备份确实存在漏洞，防火墙规则也有三条是去年遗留的僵尸策

网络安全整改通知单摆在桌上三天了，网络我盯着那几行红字，安全说实话，整改心里是回复函有点不服气的。但等我把系统日志翻了个底朝天，网络才发现人家批评得没错——我们的安全数据库备份确实存在漏洞，防火墙规则也有三条是整改去年遗留的僵尸策略。行，回复函认了，网络改吧。安全

整改这事，整改最怕的回复函就是把报告写得花团锦簇，实际动作却轻飘飘。网络我见过隔壁公司被通报后连夜赶出一份四十页的安全整改方案，结果三个月后复查，整改漏洞原封不动还在那儿躺着。所以这次我们定了条死规矩：每条整改项必须附带可验证的截图、操作记录或第三方扫描报告，做不到的就不许写进回复函里。

先从最要命的漏洞说起。我们的核心业务系统用的是老版本中间件，厂商早就停止安全更新了。按常规思路，要么升级要么迁移，可这套系统承载着十几万条客户数据，动一下就得停服两小时。跟技术团队吵了两轮，最后定了折中方案：在系统前端加装Web应用防火墙，同时把敏感数据加密存储的密钥从硬编码改成动态获取。折腾了整整一个通宵，上线后连续跑了七天压力测试，总算敢在回复函里写“已修复”三个字。

至于那些僵尸防火墙策略，清理起来倒是痛快。我带着安全工程师一条条对，发现有三条是给一个已经下线的测试环境留的，还有两条是某次应急响应后忘了关的后门。删掉之后，内网扫描的暴露面直接减少了40%。你看，有时候整改不是做加法，做减法反而更有效。

回复函里我还特意加了一段“整改后自查计划”。不是套话，是真打算这么干——每季度让外部安服公司做一次不打招呼的渗透测试，每次结果直接抄送分管副总。这招是跟一个做金融的老同学学的，他说安全整改最怕“一阵风”，得把压力传导到决策层，不然下次通报的还是我们。

写到最后一段时，我犹豫了一下要不要解释“为什么之前会存在这些问题”。后来想想，没必要。甲方要的是结果，不是借口。我在函里只写了一句话：“本次整改暴露了日常巡检流于形式的问题，已同步修订值班制度，增加每周配置比对检查。”至于他们信不信，看下次复查就知道了。

函件发出去第二天，对方安全负责人回了条微信：“收到，比预期快。”就这七个字，我知道这关算是过了。但说实话，心里轻松不起来——网络安全这活儿，整改完只是起点，下个月的新漏洞、新攻击手法还排着队等我们呢。