去年某中型企业被勒索病毒锁死核心数据库，网络事后复盘发现：防火墙日志显示攻击者早在17天前就通过弱口令进了内网。安全安全团队每天看告警，管理却没人注意到同一IP在凌晨三点反复尝试登录财务系统——因为没人把零散日志汇总成一张能“看趋势”的台账表。这事之后，表格他们老老实实建了一套网络安全管理台账。网络

台账不是安全记流水账。它的管理核心逻辑是：把离散的安全动作变成可追溯、可关联、台账可问责的表格数据链。我见过太多团队把台账做成应付检查的网络Excel，列一堆“已修复”“已处理”就完事。安全真出事了翻出来一看，管理连漏洞编号、台账影响范围、表格修复验证人都对不上。这种台账不如不建。

一套能用的台账，至少拆成四张表。第一张是资产台账，别只写IP和主机名。要带上责任人、操作系统版本、开放端口、承载业务、数据敏感级别。某金融公司曾把一台测试机忘了登记，结果那台机器上跑着生产库的只读副本，被挖矿木马利用了三个月。资产表更新频率建议每周一次，用脚本自动比对扫描结果，人工只处理差异项。

第二张是漏洞与补丁台账。关键字段包括：发现时间、漏洞CVE编号、CVSS评分、影响资产、修复截止日、实际修复日、验证方式。有个细节：把“修复截止日”和“实际修复日”放同一行，超期标红。运维人员看到红色数字比看十份安全通报都管用。另外，拒绝修复的必须写原因和审批人，比如“业务系统老旧无法打补丁，已加WAF规则临时缓解”——这句话要能追溯到具体是谁批的。

第三张是安全事件台账。每次告警处置都记：发生时间、检测来源（EDR/SIEM/人工）、攻击类型、受影响资产、处置动作、根因、改进项。重点在“根因”和“改进项”不能写“员工安全意识不足”这种废话。要写到“财务部张某某点击了伪装成发票的exe文件，因该终端未开启宏病毒防护”。改进项对应到具体控制措施，比如“下周前给财务部所有终端部署应用白名单”。

第四张是账号与权限台账。谁在什么时间申请了什么系统的什么权限，审批人是谁，权限到期日，是否已回收。很多内网横向移动就靠没人管的僵尸账号。我习惯每月导出一次所有系统账号列表，跟HR的在职名单做交集，多出来的账号直接禁用。这事看着笨，但能挡住八成以上的“合法账号滥用”。

台账的载体别追求花哨。小团队用共享Excel加条件格式就够，中大型企业用CMDB或工单系统自带报表。关键是三点：字段固定、更新及时、有人复核。我见过最离谱的，台账放在个人网盘里，负责人离职后没人知道密码。所以台账本身也要纳入权限管理，至少两人有编辑权。

最后说个真实对比。两家同样规模的公司，A公司台账用在线表格，每次安全例会逐条过超期项，半年后平均修复时间从14天降到3天。B公司台账存在本地，每季度补一次，结果一次钓鱼攻击导致三个系统被加密。区别不在工具，在于台账是不是“活”的。活台账的标准很简单：你随便挑一条记录，能立刻说出它当前的状态和下一步动作。做不到，那它就是一堆死数据。