网络安全内部管理制度

上周三下午三点十七分，网络财务部的安全小李收到一封“总经理”发来的邮件，要求她紧急向一个陌生账户转账十八万。内部邮件语气急切，管理落款签名、制度公司Logo一应俱全。网络她差点就点了“确认”。安全幸好隔壁工位的内部技术老张路过，瞥了一眼发件人域名——是管理“gmai1.com”，不是制度“gmail.com”。一个字母之差，网络公司差点损失半年的安全利润。

这类事不是内部孤例。上个月，管理研发部有人把代码仓库的制度密钥贴在了公开的GitHub仓库里，原因只是“方便在家加班”。三天后，有人用这个密钥登录了内部服务器，删了两个数据库的备份。没造成灾难性后果，但足够让人后背发凉。

所以，我们定下这套规矩。不是摆样子，是拿教训换的。

一、账号与密码：这是第一道门，也是最常被踹开的门。

每人的账号只归本人用。严禁共享、转借、代刷。密码至少十二位，大小写、数字、符号混着来，别用生日、手机号、公司名称加个“2024”这种套路。每九十天强制换一次。别嫌烦——被撞库的时候，你就知道烦是值得的。另外，所有系统必须开双重验证，手机令牌或者短信都行。谁嫌麻烦跳过这一步，出了事自己扛。

二、邮件与链接：你点下去的那一秒，可能整个网络就裸奔了。

陌生邮件里的附件，一律先扫毒再打开。即使是熟人发来的，如果内容突然变得奇怪——比如让你转钱、让你点链接——先打个电话确认。记住：真正的老板不会在邮件里催你立刻转账，他只会直接走到你工位前吼你。钓鱼邮件最爱用“紧急”“机密”“限时”这种词，专门刺激你肾上腺素。看到这类词，先深呼吸，再检查发件人全拼域名，最后再决定动不动鼠标。

三、设备与网络：公司电脑不是你的游戏机，也不是你的网盘。

办公电脑只装公司批准的软件。那些“破解版Photoshop”“绿色版Office”，背后可能藏着挖矿程序或者键盘记录器。你图省事，黑客图你的数据。无线网络方面，公司内网和访客网络物理隔离。别拿手机开热点给办公电脑用——你那个热点没有企业级加密，等于在公司围墙上开了个狗洞。U盘、移动硬盘这类东西，必须用公司发的加密款。自己买的杂牌U盘，插上去中了病毒，整个部门都得跟着断网。

四、数据与保密：该看的看，不该看的别看，看了也别乱传。

客户资料、财务报表、源代码、内部策略——这些是公司的命根子。按岗位定权限，别好奇去翻别人文件夹。离职的时候，把所有工作文件交回，个人网盘里存的、微信里转发的，全部清干净。有一次，一个离职员工带走了客户通讯录，后来那批客户全被竞争对手撬走了。你说这是不是背叛？不，这就是没规矩。

五、应急响应：出了事别捂盖子，第一时间上报。

发现异常——比如电脑突然变慢、文件莫名被加密、账号在异地登录——马上拔网线，然后通知IT部门。别自己尝试修复，别删日志，别跟同事“私下处理”。黄金半小时内上报，可能只损失一台机器；拖到第二天，可能整个域控都被拿下了。处理完要有复盘报告，谁的责任，哪个环节漏了，怎么补，写清楚。别写“加强意识”这种废话，写具体的：比如“所有外发邮件必须经过DLP扫描”。

这套制度不是用来束缚你的，是用来让公司活下去的。你嫌麻烦，黑客可一点都不嫌麻烦。他们每天都在试各种方法，就等着你哪次疏忽。规矩是死的，人是活的——但活人得先学会守规矩，才能活得久。

(责任编辑：知识)