中小企业网络安全实战指南：把八件基础动作做对，比堆设备管用（2026 年 9 月版）

适合谁读：没有专职安全工程师的中小企业负责人、兼职 IT、外包运维联系人，以及一个人要管几十台电脑的"什么都要懂一点"的人。

阅读门槛：不需要安全背景。文中每一组数字都标了出处，每一条建议都能落到具体动作上。

写在最前面的一句话：中小企业被攻破，绝大多数不是因为对手太强，而是因为那些"早就知道该做、但一直没做"的事没做。这一篇只讲这些事——以及它们分别要花多少钱、多少时间。

信息核验时点：2026 年 9 月（全文数据核验于 2026 年 9 月；公安部第 176 号令自 2026 年 10 月 1 日起施行；来源分级与三点局限见附录二）

目录

1. 写在前面：为什么这一版要先给数字"重算一遍"
2. 先认清处境：2026 年的真实盘面
3. 逐条核验：几组流传很广却没有出处的数据
4. 八个最该先做对的动作
5. 分阶段路线图：从第 1 个月到第 12 个月
6. 国内合规底线：2026 年三条绕不开的硬线
7. 万一中招：应急响应的头 24 小时
8. 钱该怎么花：三档预算参考
9. 自检命令与可打印清单
10. 十个最容易踩的坑
11. 快问快答
12. 一页速查表
13. 附录一：与上一版的修订对照
14. 附录二：数据来源与时效声明

一、写在前面：为什么这一版要先给数字"重算一遍"？

写中小企业安全的文章有个通病：开头必甩三四个吓人的百分比，然后开始卖焦虑。可这些百分比往往转了好几手，原始出处早就找不到了。

比如"中小企业占全球网络攻击目标的 43%"这句话，你在中文互联网上能搜到几十个版本，但没有任何一个版本说清楚：这个 43% 是谁统计的、样本是什么、"攻击目标"是按什么口径算的。

所以这一版做了两件事：

第一，把流传数据逐条核验。 第三章是一张完整的核验表，结论是——其中大部分不能直接引用，有一条需要改写口径，只有一条主干成立。同时补充了一批有出处、可追溯的替代数据。

第二，把"该做什么"排在"有多可怕"前面。 第二、三章讲清楚处境之后，第四章开始全是动作。

一个观点先放在这里：对中小企业而言，网络安全的最大敌人不是黑客，而是"没有一份可执行的清单"。 大部分企业不是不知道该装杀毒、该做备份，而是没人监督、没人验收、也没人知道做到什么程度才算做完。

二、先认清处境：2026 年的真实盘面

2.1 中小企业正在承受不成比例的损失

先看一组来自 Verizon《2026 年数据泄露调查报告》（DBIR） 的数据。这份报告分析了 145 个国家的 22,000 多起确认数据泄露，是该系列有史以来最大的数据集。

两个数字放在一起看，结论非常清楚：中小企业不只是"也会被攻击"，而是被攻击后损失最重的那一群。 88% 对 39%，差距超过一倍。

2.2 攻击的速度，比大多数人的想象快得多

"181 天的驻留时间"和"80% 的人以为自己 8 小时能搞定"，这两条并排看很有意思：自我评估和真实能力之间的差距，往往就是损失发生的地方。

2.3 投入端的现实：预算少得惊人

这三条数据放在一起，解释了一个现象：中小企业不是不愿意做安全，是从来没被算进预算里。

2.4 人的环节：钓鱼是绕不过去的第一关

KnowBe4《2026 年网络钓鱼行业基准报告》 覆盖了 19 个行业、64,000 家企业、1,480 万名用户和 4,200 万次模拟测试，是目前样本量最大的钓鱼风险研究之一。

这里最值得记住的不是 33.2%，而是"90 天 20.1%、12 个月 4.2%"这对数字——它说明安全意识这件事没有速成，只有持续。做一次年度培训就撒手，效果大概只能维持三个月。

国内侧的情况，可以看 Coremail CACTER《2026 年第二季度企业邮箱安全性研究报告》：

其中"被盗账号增幅 334.55%"和"域内钓鱼"这两条最该警觉：攻击者拿到一个内部邮箱后，会用同事的真实账号给其他同事发诈骗邮件。来自"自己人"的邮件，天然带着信任背书，也是最容易被现有防护漏掉的一类。

三、逐条核验：几组流传很广却没有出处的数据

这一章是全文最"扫兴"的部分，但也是最有用的部分。以下四条是同类文章里出现频率最高的，逐条给出结论。

3.1 一条实用建议：看到百分比，先问三个问题

这三个问题可以套用到任何一篇安全文章上：

1. 谁统计的？ 是独立研究机构、厂商，还是自媒体转引？
2. 样本是什么？ 覆盖多少组织、什么规模、什么地区、哪个时间段？
3. 口径怎么定义的？ "攻击目标""被入侵""数据泄露"是三件不同的事，不能混着比。

只要有一问答不上来，这个数字就只能当形容词用，不能当决策依据。

需要说明的是，我在上文引用的数据里，也有一部分来自厂商报告（如 SonicWall、KnowBe4、Coremail）。厂商研究与独立研究各有价值，但厂商自己发布的数字，需要理解它同时承担着"教育市场"的功能。这一点我会在附录二再次说明。

四、八个最该先做对的动作

以下八件事，按"性价比"从高到低排列。前四件做完，就能挡掉大多数中小企业真实遇到的事故。

4.1 第一件：全员开启 MFA（多因素认证）

做什么：邮箱、VPN、远程桌面、云盘、财务系统、所有管理员账号——全部开启双因素验证。

为什么排第一：如上文所述，微软研究显示 MFA 能让账户被入侵风险降低约 99%，泄露凭证场景降低约 98.6%。而凭证窃取在泄露的全过程中仍占 39%，是最主要的单一因素。

注意三个坑：

• 短信验证码是最弱的一档，能用 App 动态口令或硬件密钥就别用短信；
• 管理员账号要单独强化，不能和普通员工一个标准；
• 例外账号必须登记，否则半年后就没人说得清"为什么这个账号没开 MFA"。

4.2 第二件：把补丁变成流程，而不是"想起来就打"

做什么：建立补丁节奏，并且优先处理对公网开放的系统。

为什么：2026 DBIR 显示，漏洞利用首次超过被盗口令成为首要入侵方式（31%）；同时，互联网暴露面是攻击者最优先扫描的对象——自动化机器人每秒执行超过 36,000 次漏洞扫描。

建议的四档时限（可按自己能力调整）：

关键不是时限多快，而是有人对"有没有按时打完"负责。

4.3 第三件：备份做到 3-2-1-1-0

3-2-1 原则是老规矩：3 份副本、2 种介质、1 份异地。

但在勒索软件时代，这个老规矩不够用了，因为它漏掉了最关键的一点：如果备份是联网的、可写的，那它也会被一起加密。 已经有不少案例中，备份服务器和生产服务器在同一个域、用同一个管理员账号，结果被"一锅端"。

所以现在通行的是 3-2-1-1-0：

最后那个"0"最容易被忽略，也最容易出事。 一个从没演练过恢复的备份方案，本质上是"薛定谔的备份"。

4.4 第四件：权限最小化与管理员账号瘦身

做什么：

• 日常办公账号不用管理员权限；
• 把管理员账号数量压到最少，并登记在册；
• 离职当天收回全部权限；
• 关闭长期不用的账号。

为什么：一旦某个员工电脑被拿下，攻击者的下一步永远是"找管理员权限，横向移动"。奥地利某机构对泄露成因的分析里，"单点被突破后缺乏内部分段，导致一个账号可以触达全部资源"是反复出现的模式。

4.5 第五件：把远程桌面从公网上撤下来

做什么：不要让 3389 端口直接暴露在公网。改用 VPN 或零信任接入方案。

为什么：国内勒索软件的传播途径中，远程桌面入侵仍是首要方式——大量中小企业甚至在公网上开放远程桌面端口且缺乏防护，攻击者用自动化工具跑弱口令字典，成本极低。

同类的还有：数据库端口（1433、3306、6379）、共享端口（445）、以及各类管理后台，都不应直接暴露公网。

4.6 第六件：给邮件加一道防线，并给员工一个"报告按钮"

做什么三件事：

1. 部署邮件网关或启用邮箱自带的高级威胁防护，重点做链接实时点击检测和附件沙箱；
2. 配置 SPF、DKIM、DMARC 三项邮件认证，防止自己的域名被冒用；
3. 给员工一个简单的上报渠道（哪怕就是一个专门邮箱），并公开表扬上报的人。

为什么：根据 Coremail 的统计，攻击者已经大量使用"HTML 附件 + JavaScript 跳转""加密压缩包""正文做成图片"等手法绕过基于 URL 特征的检测。技术防护要升级，但同时必须承认：总有一封会漏进来，所以人的报告速度就是最后一道防线。

4.7 第七件：把日志留下来，并且留够时间

做什么：确保网络日志留存不少于六个月。

这不是建议，是法定义务。《中华人民共和国网络安全法》第二十一条第三项明确要求：采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。

为什么：日志是事后追溯的唯一依据。没有日志，即使发现被入侵，也说不清"是谁、从哪进来、拿走了什么"。而且从 2026 年 10 月 1 日起，这项要求将被纳入公安机关的常态化检查清单（见第六章）。

4.8 第八件：写一份能打印的应急预案，并真的演练一次

做什么：一页纸，写清五件事——谁负责、先做什么、打给谁、怎么恢复、怎么对外说。

为什么：SonicWall 的数据显示，有应急预案的组织每次事件平均节省约 123 万美元。这不是因为预案能阻止攻击，而是因为它在最慌的那几个小时里，替人做了决定。

演练怎么做：每季度挑一份备份，还原到一台临时机器上，核对文件数量和关键数据行数，打开确认能用，然后把结果记下来。关键业务系统至少每季度测一次。

五、分阶段路线图：从第 1 个月到第 12 个月

一口气做完八件事不现实。下表是一份可以直接拿去当工作计划的排期。

一个提醒：这张表里，"止血期"的动作几乎不花钱，但能挡掉最多事故。如果预算极度有限，就把第 1 个月的事做完做扎实，再谈后面。

六、国内合规底线：2026 年三条绕不开的硬线

这一章是国内企业在 2026 年必须知道的三件事。其中第二条，再过三天就要生效。

6.1 修订版《网络安全法》：罚款上限提到 1000 万元

2025 年 10 月 28 日由全国人大常委会修正通过，自 2026 年 1 月 1 日起施行。这是该法自 2017 年实施以来的首次修订，几个关键变化：

最后这一条值得注意："及时改正"在 2026 年是有价值的。 发现问题立刻处置，和发现问题后拖着不动，法律后果不一样。

6.2 公安部第 176 号令：10 月 1 日施行，监管范围扩至"网络空间"

《公安机关网络空间安全监督检查办法》（公安部令第 176 号）于 2026 年 8 月 7 日发布，自 2026 年 10 月 1 日起施行，同时废止已沿用 8 年的第 151 号令。

这次的名称变化透露了核心思路：从"互联网安全监督检查"变为"网络空间安全监督检查"。带来的实质变化有四条：

第一，监管对象大幅扩容。 覆盖网络运营者、数据处理者、个人信息处理者。也就是说——只要你的企业收集、存储、处理用户信息，就在范围内，哪怕你不做面向公众的网站或 App。很多过去认为"我们没对外的系统，不用管公安检查"的企业，现在都属于被检查对象。

第二，新增线上远程检查手段。 公安机关可通过网络信息巡查、漏洞扫描等方式开展线上巡查；设区的市级以上公安机关还可以通过漏洞探测、渗透性测试等方式，对关键信息基础设施以外的网络设施和信息系统进行远程检测。

不过程序上有限制：开展信息审核能力测试或远程检测，应当提前三个工作日告知检查时间、范围，且不得干扰、破坏被检查对象的正常运行。这说明它是一项有法定程序的监管动作，不是"随时入侵"。

第三，明确了 11 项重点检查内容。 包括：联网备案、安全制度与操作规程、用户注册信息与上网日志留存、等保定级备案与测评、入侵防护技术措施、漏洞整改、内容管控、算法安全主体责任、数据安全与个人信息保护义务等。

其中"算法安全主体责任"是首次成为公安网安检查的固定内容，使用推荐算法的平台需要留意。

第四，明确了重点监管对象。 对曾发生网络安全、数据安全事件，或因未履行义务被处罚且未按要求整改的，应当重点开展监督检查。

6.3 等保 2.0：定级定错，后面全是返工

网络安全等级保护制度以国标 GB/T 22239-2019 为核心标准，把系统按"被破坏后的危害程度"分五级。中小企业通常涉及二级和三级。

测评结论的口径在 2025 年后有调整：从百分制评分改为"符合 / 基本符合 / 不符合"的结论制。业界常见的解读是——最低通过标准为"基本符合"，通常要求符合率不低于 60% 且无高风险项；"符合"则需符合率不低于 90%。高风险测评项实行一票否决，存在高风险项即不通过。

最需要提醒的一句：定级是第一步，也是最容易出错的一步。 该定三级却定了二级，在 176 号令施行后属于监管层级判断错误，一旦被远程检测或现场抽查发现，会被认定为重大隐患。该定三级绝不降级，不该上三级也不必强上——三级的密评、双因子、堡垒机、年度复测都是持续成本。

6.4 日志留存：一条最容易被忽视的硬要求

一个实操细节：网络设备上通常通过类似 info-center log-storage-time 的命令配置日志留存期，最少应配置为 180 天，与法定要求对齐。

还有一条提醒：日志里往往含个人信息。存储时应当去标识化，采集也要遵循最小必要原则——日志采集超出业务必需范围，本身就是风险。

七、万一中招：应急响应的头 24 小时

先纠正一个最要命的误区：发现被勒索后的第一反应，不该是拔网线、也不该是重启，而应该是"先判断范围"。

关于赎金：2026 DBIR 显示 69% 的受害者未支付赎金，且赎金中位金额在下降。这个趋势值得注意——不支付正在成为主流选择，而前提是备份真的可用。

关于上报：如果泄露涉及个人信息，需按规定向监管部门报告。176 号令将数据安全与个人信息保护义务纳入了检查清单，"出事后瞒着不说话"的风险，通常比"及时报告"高。

八、钱该怎么花：三档预算参考

以下三档均为年度安全投入的量级参考，用于判断自己的预算是否合理，不是报价。

8.1 第一档：近乎零成本（10 人以内或预算为零）

这一档做完，就已经跨过了大多数中小企业的事故门槛。

8.2 第二档：轻量投入（约 1 万至 5 万元/年）

8.3 第三档：成体系投入（约 10 万元以上/年）

一个判断预算是否合理的简单方法：安全投入占 IT 预算的比例，国内平均不足 2%，全球平均约 3.05%。如果你的比例长期低于 1%，那大概率不是"省了钱"，而是"风险还挂着"。

九、自检命令与可打印清单

以下命令用于自查，请在获得授权的前提下、在自己的设备上执行。

9.1 检查终端防护与系统状态（Windows PowerShell，管理员身份）

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10 HotFixID, InstalledOn

第一条看杀毒服务的实时防护是否开启、病毒库最后更新时间；第二条列出最近安装的 10 个补丁，如果最近一次安装日期是几个月前，说明补丁没在打。

9.2 检查管理员组与本地账号

net localgroup administrators

Get-LocalUser | Select-Object Name, Enabled, LastLogon, PasswordLastSet

重点看三件事：管理员是不是只有应该有的人、有没有早已停用的账号还开着、有没有账号的密码几年没换过。

9.3 检查端口暴露情况（Windows CMD）

netstat -ano | findstr LISTENING | findstr "3389 445 1433 3306 5432 6379"

netstat -ano | findstr :3389

如果这些端口在对公网开放的服务器上处于监听状态，需要立刻评估是否必须暴露。3389（远程桌面）、445（文件共享）、1433/3306/5432（数据库）、6379（缓存）是最常被扫描的目标。

9.4 检查共享目录

Get-SmbShare | Select-Object Name, Path, Description

net share

共享目录是勒索软件横向加密的高速通道。 看看有没有"全体可写"的共享，以及是否存在放财务、人事资料的共享还被所有人可读写的情况。

9.5 备份校验与恢复演练（Linux bash）

rsync -av --delete /data/ /mnt/backup/data/

find /mnt/backup/data -type f | wc -l
du -sh /mnt/backup/data

sha256sum /data/关键文件.dat | cut -d" " -f1 | tee /tmp/src.sha
sha256sum /mnt/backup/data/关键文件.dat | cut -d" " -f1 | tee /tmp/bak.sha
diff /tmp/src.sha /tmp/bak.sha

这几条的顺序很重要：先同步、再核对文件数量与体积、最后比对校验值。只做同步不做核对，等于不知道备份到底成不成功。

9.6 检查日志留存是否达标（Linux bash）

journalctl --disk-usage

ls -lh /var/log/

logrotate -d /etc/logrotate.conf

journalctl --disk-usage 看系统日志占用的空间与保留情况；logrotate -d 是演练模式，只显示会做什么、不会真的执行，用来确认轮转策略不会过早删除日志。目标是确认日志实际能留够 180 天。

9.7 一份可打印的月度检查清单

【每月安全自查清单】

□ 1. 补丁：本月高危补丁是否全部安装？有无遗漏设备？
□ 2. MFA：新增账号是否已开 MFA？离职员账号是否已注销？
□ 3. 管理员账号：名单是否与实际一致？有无新增的意外成员？
□ 4. 备份：本月备份任务是否全部成功？失败任务是否已处理？
□ 5. 恢复演练：本季度是否完成过一次恢复测试？结果记录在哪？
□ 6. 日志：日志留存是否仍满足 180 天？有无磁盘写满导致中断？
□ 7. 暴露面：对公网开放的端口是否有新增？是否都经过确认？
□ 8. 邮件：本月是否有员工上报可疑邮件？处置结果如何？
□ 9. 告警：安全设备告警是否有人看？未处理告警有多少条？
□ 10. 人员变动：本月入职离职人员权限是否已同步调整？

9.8 一份可打印的应急联系卡

【网络事件应急联系卡】（打印后贴在机房与办公室）

第一联系人（IT 负责人）：__________  电话：__________
第二联系人（管理层决策人）：________  电话：__________
外部技术支援：______________________  电话：__________
设备与系统供应商：__________________  电话：__________
网络安全保险（如有）：______________  保单号：________

发现异常时的第一时间动作：
1. 不要关机，先断开网络连接
2. 拍照留存屏幕与时间
3. 立刻拨打第一联系人电话
4. 不要自行操作、不要支付任何款项

十、十个最容易踩的坑

十一、快问快答

我们公司只有 20 个人，真的会有人盯上我们吗？

会，而且可能更容易。攻击者是"机会主义"的——看的是你哪扇门没关，不是你是谁。 2026 DBIR 显示，已知规模的勒索受害者中 96% 是中小企业。自动化扫描每秒执行超过 36,000 次漏洞探测，它不区分企业大小。

预算为零，最该做哪三件事？

开 MFA、关掉公网的远程桌面、确认有一份离线备份。 这三件几乎不花钱，但能挡掉绝大多数真实发生的事故。做完再谈其他。

装了杀毒软件是不是就够了？

不够，但它比"什么都装"重要。更关键的是：杀毒软件解决不了"补丁没打""权限过大""备份不可用"这三类问题，而这三类恰恰是事故的主因。

我们用了云服务，安全是不是云厂商负责？

责任共担，不是转移。 云厂商负责"云本身的安全"，你负责"云里的配置、账号、数据、权限"。绝大多数云上事故，出在用户侧的配置错误和权限过大，而不是云平台被攻破。

176 号令生效后，我们需要做什么？

四件事：梳理自己是否属于监管对象（是否收集处理用户信息）；对照 11 项检查内容补制度文档；落实日志留存、漏洞管理、个人信息收集授权流程；完善应急预案与上报机制。

日志留存六个月，成本高吗？

通常是存储成本，不是软件成本。分层存储可以显著降低——近期高频查询的日志放热存储，长期审计日志转归档层（对象存储）。先确认现在的日志实际能留多久，再谈扩容。

员工把文件同步到个人网盘，算风险吗？

算，而且是典型风险。这既是数据泄露通道，也是"影子 IT"的来源。建议的路径不是"一刀切禁止"，而是提供经过批准的企业云盘，把需求接住。

等保二级和三级，成本差多少？

差距显著，且不只是测评费。三级需要强制密码测评、管理员双因子、堡垒机、数据库审计、WAF、EDR、安全管理中心，还要每年复测，并建立三权分立的管理制度。二级周期为两年一测，要求明显轻量。所以定级要实事求是：该定三级不能降，不该上三级不必强上。

十二、一页速查表

12.1 核心数据速记

12.2 八件必做动作速记

12.3 2026 年合规时间表

12.4 三个"立刻可做"的动作

1. 打开邮箱与云服务的 MFA 开关（约 10 分钟/人）——管理员账号优先。
2. 扫描自己的公网 IP，看 3389、3306、1433 这些高危端口有没有暴露在公网上。可用在线端口扫描工具自查，或请外部运维人员协助扫描。
3. 找出最近一次成功的备份，并实际还原一个文件看看——只看备份任务"成功"不算数，必须真的能打开文件。如果连一份能还原的备份都找不到，这就是本月最重要的任务。

附录一：与上一版的修订对照

附录二：数据来源与时效声明

信息来源分级

第一类：独立研究机构与标准

• Verizon《2025 / 2026 数据泄露调查报告》（DBIR）
• IBM 年度数据泄露成本统计
• KnowBe4《2026 年网络钓鱼行业基准报告》（覆盖 19 个行业、64,000 家企业、1,480 万用户、4,200 万次模拟测试）
• 国家标准 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》
• 《中华人民共和国网络安全法》（2025 年修正版）
• 公安部令第 176 号《公安机关网络空间安全监督检查办法》

第二类：厂商报告（存在立场，需注意）

• SonicWall《2026 Cyber Protect Report》
• Coremail CACTER《2026 年第二季度企业邮箱安全性研究报告》
• 微软关于 MFA 效果的研究

第三类：公开场合引述与行业汇总

• 奇安信齐向东在 2026 北京网络安全大会的发言
• StrongDM 2025 年调研
• 各方对等保测评结论制的公开解读

三点局限

第一，厂商数据的双重身份。 上表第二类数据来自安全厂商，其研究同时承担"教育市场"的功能。引用时应理解这一点，不必因噎废食，也不能不加分辨。

第二，统计口径差异很大。 "攻击目标""被入侵""数据泄露""勒索受害者"是四件不同的事。本文已尽量标注每条数据的口径，但跨来源比较时仍需谨慎。

第三，法律与政策的落地细节存在地区差异。 等保测评的具体执行、176 号令的检查尺度，各地可能存在差别。涉及具体合规决策时，应以当地主管部门口径和专业服务机构意见为准。

时效

全文数据核验于 2026 年 9 月。其中需要特别提醒的是：

• 公安部第 176 号令自 2026 年 10 月 1 日起施行，本文写作时尚未生效，实际执行细节以生效后的官方解释为准；
• 各类厂商报告每年更新，数据会变化，请在使用前复核最新版本；
• 文中预算数字为量级参考，用于判断自己的投入是否合理，不是报价，也不构成采购建议。

最后一句：中小企业的网络安全，本质上不是一场技术对抗，而是一场执行力的较量。那些把八件基础动作真正做完、并且每个月都检查一遍的公司，已经比绝大多数同行安全了。

延伸阅读

• 什么是勒索病毒？一文读懂原理、传播方式与防范方法
• 2026 年商务办公杀毒软件横评：从个人电脑到企业终端的清醒选择指南
• 企业网络怎么建、设备怎么选？按规模分档的一份实操指南（2026 版）