小型企业网络安全要点，简明扼要

大多数小型企业不需要安全运营中心。他们需要把五件事做对，并证明做到了。这就是网络安全基础认证的全部前提，这是由英国政府支持的认证计划，由IASME联盟代表NCSC运营。成本低，基础级别是自我评估，直接针对小型组织面临的真实攻击：网络钓鱼、凭证窃取、未打补丁的软件和配置错误的防火墙。

五项控制措施，不讲套话

网络安全基础认证检查恰好五个技术领域，问卷围绕这些领域建立。

• 防火墙和路由器 — 边界设备必须更改默认密码并关闭不必要的服务。
• 安全配置 — 没有默认管理员账户保持活跃，没有未使用的软件留在机器上，自动运行功能在会让恶意软件无需点击就执行的地方被禁用。
• 用户访问控制 — 账户应遵循最小权限原则，管理员权限与日常账户分开，有人离职时有移除访问权限的流程。
• 恶意软件保护 — 每个设备都需要反恶意软件软件、应用程序白名单或沙箱，一致地应用，而不仅仅是在某个人记得设置的机器上。
• 安全更新管理 — 高危或严重漏洞的补丁需要在发布后14天内安装，涵盖操作系统、浏览器和企业使用的任何已安装应用程序。

那个14天的补丁窗口是最容易出问题的。它不