中小企業網路安全入門，簡單明瞭

英國 Cyber Essentials 計畫的實務分析：檢查項目、保險業者為何要求它，以及小型團隊實際如何通過認證。

大多數中小企業不需要安全營運中心。他們需要把五件事做對，並證明自己確實做了。這正是 Cyber Essentials 的核心前提——英國政府支持的認證計畫，由 IASME Consortium 代表 NCSC 營運。成本低、基層級自我評估，且直接對應實際襲擊中小機構的攻擊手法：釣魚、認證資料竊取、未修補軟體和防火牆設定錯誤。

五項控制措施，無冗言

Cyber Essentials 檢查恰好五個技術領域，問卷圍繞著這些領域設計。

防火牆和路由器 — 邊界設備必須改變預設密碼，並關閉不必要的服務。
安全設定 — 不保留預設管理員帳戶啟用、移除機器上未使用的軟體，並停用讓惡意軟體無須點擊即可執行的自動執行功能。
使用者存取控制 — 帳戶應遵循最小權限原則、管理員權限與日常帳戶分離，當員工離職時有移除存取權限的流程。
惡意軟體防護 — 每台設備都需要反惡意軟體、應用程式白名單或沙箱，一致應用，而不只是有人記得設定的機器。
安全更新管理 — 高風險或重大漏洞修補需在發佈後 14 天內在作業系統、瀏覽器和企業使用的任何已安裝應用程式上進行。

這個 14 天修補時間窗口最常讓人卡關。這不是

本文由 AI 協助撰寫，經 Michal Pilch（CISSP）審核並發佈，Korra Studio。