上个月，公司我们公司隔壁那家做跨境电商的网络兄弟单位，凌晨三点被勒索病毒端了老窝。安全财务部的公司备份硬盘就插在服务器上，结果连备份一起被加密了。网络对方开口就要四十万比特币，安全老板连夜打电话借钱——这事最后怎么解决的公司我不知道，但第二天我们CTO就把所有员工的网络VPN权限给收了。

网络安全这玩意儿，安全平时觉得是公司IT部门的事，真出了事就是网络公司生死存亡的事。小公司尤其扛不住，安全因为没钱请专业安全团队，公司也没意识做攻防演练。网络我见过太多创业公司，安全服务器密码就贴在显示器边上，美其名曰“方便大家协作”。

先别急着买几万块的防火墙设备。最要紧的是把基础动作做扎实。第一件事，强制全员启用密码管理器。别笑，我统计过，我们公司去年有三十七次账号异常登录，其中二十九次是因为有人用“123456”或者生日当密码。第二件事，所有重要数据必须遵循“3-2-1”备份原则：三份副本，两种不同介质，一份离线存放。别嫌麻烦，真被勒索了你就知道离线备份有多香。

然后是权限管理。很多公司给所有员工开一样的共享文件夹权限，连财务的工资表都能被市场部同事点开看。这不对。按岗位最小化授权，每个部门只开自己需要的目录。离职员工的账号要当天注销，别拖到下周——上个月我们楼下那家公司就是离职员工用旧账号登录，把客户资料全删了才走的。

再说说钓鱼邮件。你以为员工都分得清真假？上周我故意发了一封伪装成“行政部通知”的测试邮件，标题是《关于调整2024年度团建预算的通知》，附件带了个宏病毒。结果全公司一百二十人，有四十三人点了附件。后来我们在周会上放了张截图，所有人都沉默了。从那以后，每个月搞一次随机钓鱼测试，点击率降到了百分之七。

网络边界也别只靠一台路由器扛着。给所有终端装EDR（终端检测响应），别用那种免费杀毒软件糊弄事。EDR能记录进程行为，发现异常直接隔离。上个月我们研发部一台笔记本中了挖矿木马，EDR在五分钟内自动断网并报警，不然那台机器得把整个内网带宽吃光。

最后说句掏心窝的话，方案写得再漂亮，老板不重视等于零。建议你拿着隔壁公司的案例去跟老板谈——别谈技术，谈损失。算一下如果数据全没了，公司要停业几天，每天损失多少流水，客户信任度跌多少。老板一听就懂。

网络安全不是买一套设备就完事，它是持续运营的过程。每季度做一次漏洞扫描，每半年做一次渗透测试，每年搞一次全员安全意识培训。别嫌烦，这些动作加起来的成本，还不到勒索病毒要价的十分之一。