|
上周三下午，网络我们财务部的安全老张给我打了个电话，声音压得很低：“小陈，整改你赶紧看看邮箱，网络有个‘税务局年度稽查通知’。安全”我点开一看，整改发件人后缀是网络 这事没造成实际损失，网络但吓出我一身冷汗。安全当晚我翻了一遍公司近半年的整改安全日志，发现类似的可疑邮件有十七封，其中六封被同事点开过。更扎心的是，我们服务器上还挂着去年就通报过的两个高危漏洞，补丁一直没打。你说我们缺安全意识吗？不缺，每个季度都做培训。但培训完没人检查，制度贴墙上没人执行，防火墙开了就等于安全了？天真。 所以这份整改函，我不打算写成那种“贵司存在隐患，请限期整改”的官样文章。我直接说结论：**我们现在的安全状态，就像把家门锁了但窗户大开，小偷不进来是运气好，不是防盗做得好。** 整改不是给上面看的，是给自己保命的。 第一件事，先堵住最蠢的入口。所有员工邮箱强制开启双因素认证，这个月底前完成。别跟我提麻烦，老张那个案例就是活教材——他要是开了二次验证，那封钓鱼邮件根本进不了门。同时把邮件网关的规则调严，凡是带可执行附件或外部链接的，一律先隔离再放行。宁可误伤正常业务，也不能让鱼饵撒进来。 第二件事，把那些陈年漏洞清干净。我让运维把资产清单拉出来，发现有三台测试服务器居然挂着公网IP，上面跑着旧版本的Tomcat，CVE-2023-46589那个洞直接可以远程打穿。这周内，测试环境全部内网化，生产环境补丁窗口从“季度”改成“每周二自动扫描，紧急漏洞24小时内修复”。别跟我扯业务不能停，真被勒索了业务停得更久。 第三件事，也是最容易被忽略的——**人**。老张不是笨，是那天下午他急着报税，看到“税务局”三个字就条件反射点了。所以下个月起，每季度搞一次“钓鱼演练”，不提前通知，谁点了链接谁去参加一小时的一对一辅导。不是罚你，是让你亲眼看一遍那个链接背后的服务器日志，看看黑客是怎么一步步试探的。见过血，下次才躲得开。 还有一件事我犹豫了半天要不要写进去：我们内部的文件共享盘，权限设置得跟公共厕所一样，谁都能进，谁都能改。上周我查了一下，居然有离职两年的员工账号还能登录。这周必须把账号清理掉，权限按“最小够用”原则重新划一遍。别嫌烦，等哪天财务数据被删了再哭就晚了。 最后说句掏心窝的话。这份整改函发出去，肯定有人觉得我小题大做，觉得“我们又不是银行，黑客盯不上”。但你看去年那家做MRO工业品的同行，被勒索软件锁了ERP系统，停工五天，损失够买十套安全设备。安全这事，从来不是技术问题，是管理层愿不愿意承认“我可能被攻击”的问题。 下周一上午十点，我召集所有部门负责人开个短会，不用准备PPT，就逐条过这份整改清单。谁有异议当场提，但定了的事，必须按时间节点交付。咱们用一个月时间，把窗户关严实，再考虑要不要加装防盗网。 |