中小企业信息安全基线（可执行的 20 条）

一、账号与口令（最便宜、最有效）

• 清理所有设备的默认账号与弱口令：服务器、NAS、路由器、交换机、监控、打印机。
• 管理员账号与日常账号分开，日常工作不用管理员权限。
• 关键系统开启双因素认证（邮箱、云平台、代码仓库优先）。
• 密码统一用密码管理工具保管，不写在共享文档或便签上。
• 离职时立即更换其持有的管理凭据，而不只是停用账号。

二、网络边界

• 不把远程桌面、数据库、NAS 管理端口直接暴露在公网。
• 远程访问统一走 VPN 或零信任接入，并限制来源。
• 划分网段：办公、访客、监控、生产、财务各自隔离，按需开放互访。
• 路由器与防火墙固件保持在受支持版本，定期更新。
• 关闭用不到的端口映射，定期复核映射规则清单。

三、终端与补丁

• 操作系统与浏览器保持自动更新，重要补丁按周期确认已安装。
• 统一部署杀毒或终端防护，并确认真的在运行（而不是装了就不管）。
• 禁止使用来源不明的破解软件，正版授权统一登记。
• 笔记本与移动设备开启磁盘加密，丢失时数据不至于直接泄露。
• 不可替代的设备电脑（仪器、设计、生产配套）做整机镜像备份。

四、数据与备份

• 关键数据按 3-2-1 原则备份，至少一份离线或只读。
• 备份任务失败要有告警，并定期做恢复演练。
• 共享盘按部门与项目分配权限，不设"所有人可写"的大目录。
• 重要文件保留历史版本，防止误覆盖与加密。
• 域名、证书、云资源的到期时间纳入统一提醒。

五、人员与流程

• 入离职的 IT 交接清单化，设备与账号回收有据可查。
• 对财务与人事岗做钓鱼邮件与假发票的基础提醒（这两个岗位是主要目标）。
• 明确出事时第一个联系谁、按什么顺序处置，写下来贴出来。
• 资产与账号台账保持更新，且不只有一个人能访问。
• 每季度复核一次上述各项，形成记录。