上周三下午，单位财务部老张的网络电脑弹出一个伪装成“税务申报”的邮件附件，他手一抖点了下载。安全三小时后，整改整个财务共享文件夹被勒索病毒加密，单位屏幕上只有一串比特币地址。网络那天的安全教训很直接：单位网络安全整改不能再拖了。

这次整改，整改我决定先动“人”而不是单位先动“设备”。技术漏洞好补，网络人的安全习惯难改。老张不是整改个例，行政部小李把“123456”当密码用了五年，单位市场部小刘把公司客户表传到个人网盘备份。网络这些事，安全光靠发通知没用。我们搞了一次突击演练——不预告，直接向全员发送模拟钓鱼邮件，标题是“季度奖金调整方案”。结果呢？点击率高达43%。我把这个数据贴在公告栏，旁边配了句大白话：“你点下去的那一秒，黑客已经笑了。”

演练之后，我们才动网络架构。单位用的还是五年前那台老交换机，所有部门挤在一个广播域里，一台电脑中招，全网广播风暴。整改方案里第一刀就切在这里：按部门划分VLAN，财务、人事、研发单独隔离，部门之间互访走防火墙策略。这活儿不复杂，但得挑下班时间干。周二晚上十点，我和信息科小周蹲在机房，一边理网线一边骂这破机柜线缆乱得像蜘蛛网。理完线，通了测试，财务部那台老打印机居然也能正常用了——之前它隔三差五掉线，原来就是广播包太多给挤的。

边界防护也得换思路。原来那个防火墙是五年前买的，日志功能基本瘫痪，攻击记录都存不下来。我们换了一台带入侵检测的下一代防火墙，规则库每周自动更新。但光有设备不够，我还干了一件“得罪人”的事：把远程办公的VPN账号全部收回，重新实名申请，每人绑定单独证书，离职立即注销。以前销售部老周离职半年，他的VPN账号还能登录内网，这事儿查出来的时候我后背发凉。

数据备份是最后一道防线，也是最容易被忽视的。这次整改我坚持搞“3-2-1”策略：三份副本，两种介质，一份离线。具体操作是：服务器每晚自动备份到NAS，NAS再定时同步到机房角落那台不联网的磁带机。磁带机每周五下午换一次带子，我专门做了张打卡表贴在机柜门上，谁换的谁签字。有人说这年头还用磁带？土。但上次病毒爆发，就是靠上周的磁带把财务数据全恢复回来的，老张当时手都在抖。

整改不是一次性项目。我定了个规矩：每季度做一次钓鱼演练，每次换不同话术；每月第一个周一检查防火墙日志，重点看拦截记录里有没有异常外联；每半年请外部安全公司做一次渗透测试，专挑我们想不到的漏洞打。上个月测试报告出来，他们通过食堂那台连Wi-Fi的订餐平板打进了内网，这事儿让我明白，网络安全的短板永远在你想不到的角落里。

说到底，整改方案写得再漂亮，不如让老张们真正怕一次。那次病毒事件后，老张现在看到陌生邮件都会先给我打个电话问一句“这个能点吗”。我觉得，这就是整改最大的成果。