内容摘要：张工把通知书拍在会议桌上，纸边还带着打印机余温。抬头那行黑体字扎眼——“网络安全限期整改通知书”。落款是市网信办，日期三天前。他扫了眼整改事项，第一条就让他后槽牙发酸：核心业务系统存在未授权访问漏洞，

张工把通知书拍在会议桌上，网络纸边还带着打印机余温。安全抬头那行黑体字扎眼——“网络安全限期整改通知书”。限期落款是整改市网信办，日期三天前。通知他扫了眼整改事项，网络第一条就让他后槽牙发酸：核心业务系统存在未授权访问漏洞，安全限十五日内完成修复并提交报告。限期

这不是整改他第一次接这种单子。去年隔壁厂区那家做物流调度的通知公司，同样收到一纸通知，网络拖到第十三天才找人做渗透测试，安全结果漏洞没补完，限期勒索病毒先到了。整改全线停摆四天，通知赔了客户两百多万。张工当时还跟同事念叨，说那老板心大。现在轮到自己头上了。

整改通知书不像罚单，更像体检报告里的“疑似病变”。它不直接罚钱，但写明了截止日期和复查流程。逾期未改，轻则警告，重则停业整顿。张工翻到第二页，看到“未落实日志留存六个月”这一条，心里咯噔一下。他们的日志服务器上个月刚清过一次，因为磁盘满了，运维图省事，直接删了三个月前的记录。这事他知情，但没拦着。

他拿起手机拨了安全服务商的电话。对方听完情况，报价六万八，包复测和报告。张工嫌贵，又问了第二家，五万二，但不含复测。他犹豫了十分钟，最后还是选了第一家。理由很简单：整改通知书上写了，复查不通过要重新排队，排一次至少一个月。这一个月里业务不敢上线新功能，损失远不止一万六的差价。

下午他把运维、开发、法务叫到小会议室。法务先开口，说通知书引用的《网络安全法》第二十一条和第五十九条，措辞是“责令改正”和“警告”，情节严重才罚款。但“情节严重”怎么界定？没人说得清。开发那边更直接：漏洞修可以，但得停服两小时打补丁。张工问能不能热更新，开发摇头，说老代码写死了，动不了。

张工最后拍板：周四凌晨两点停服，干到四点。运维提前发公告，客服准备话术。安全服务商那边同步进场，边修边扫。他特意叮嘱一句：日志的事别声张，先补上最近六个月的，之前的用备份磁带恢复，恢复不了就写情况说明。

周四凌晨的活干得不算顺利。补丁打到一半，数据库连接池爆了，回滚重来。四点十分才收工。安全服务商的人打着哈欠说，你们这系统比我爷爷的收音机还旧。张工没接话，盯着屏幕上的扫描报告，漏洞从十七个降到三个，剩下三个是低危，可以走例外流程。

第二天他把整改报告递上去，附了复测截图和日志恢复记录。窗口的人翻了翻，盖了个“已受理”的章。张工出门点了根烟，心想这事算糊弄过去了。但他清楚，下次再来通知书，可能就不是十五天了。

网络安全这行有个怪现象：没出事的时候，安全预算永远排最后；出了事，又恨不得一夜之间建成铜墙铁壁。整改通知书就是那个卡在中间的提醒——它不跟你讲道理，只给你期限。接得住就接着干，接不住就等着停摆。张工掐了烟，给老板发了条微信：建议明年把安全服务费列入固定预算，别等通知书来了再临时抱佛脚。

老板回了个“OK”的表情。张工不知道他是真同意，还是只是懒得打字。但至少这次，系统还能跑。下次呢？他不敢想。