这个清单能帮助你做什么
许多小型企业知道安全很重要，但不确定“目前做到什么程度才算够好”。这个清单能给你一个可操作的起点。它聚焦于一些基础环节，用来降低常见的日常风险，比如账户保护、软件更新、备份，以及员工的使用习惯。
你不需要懂技术才能使用。如果每一项你都能回答“是 / 否 / 不确定”，就已经足够。“不确定”很有用。通常意味着流程不够正式、不成文，或者依赖于某一个人。
这是通用的教育信息，而不是安全评估。各行业和各州的要求可能不同。如果你处理健康、支付、法律或其他敏感数据，可能还需要遵循额外规则。
如何使用这个清单
逐项查看，并为每一项选择一个答案：是、否或不确定。请保持诚实。目标不是打到“完美分数”，而是理解你今天的实际情况。
如果你是企业负责人或办公室经理，你可能希望结合负责电脑、软件或供应商对接的人提供的意见来作答。不要把密码、网络细节或系统访问权限发给我们。仅当你要求我们帮助你找到服务商时，我们才只会收集基础的企业与联系信息。
一个简单的判断标准是：如果某项安全步骤只有在“想起来的时候”才做，就算作否。如果它是定期执行的、有成文记录，并且不止一个人知道这个流程，就算作是。
网络安全就绪度清单
把每一项都评为：是、否或不确定。
1. 已为电子邮件、会计、银行、文件存储以及其他重要系统开启多因素认证。多因素认证，或 MFA，表示用户登录需要第二步验证，例如应用程序代码或安全密钥，而不仅仅是密码。
2. 每位员工都有自己的账号。避免共享登录，尤其是用于电子邮件、财务和管理工具。
3. 前员工和旧供应商会被尽快从账号、软件、Wi-Fi 和设备中移除。
4. 密码强度足够且各不相同，团队使用密码管理器，而不是在电子表格或笔记本里反复复用密码。
5. 电脑、手机、路由器以及业务应用会定期更新。打补丁（patching）是指安装安全更新和漏洞修复更新，使已知薄弱点更不容易被利用。
6. 已在业务电脑上安装并启用防病毒或现代终端设备保护。终端（endpoint）指连接到你业务系统的设备，例如笔记本、台式机、手机或平板。EDR，或端点检测与响应（endpoint detection and response），是一类更进阶的工具，部分服务商会用它来发现并调查这些设备上的可疑活动。
7. 重要数据会自动备份，而不是偶尔手动复制一次。
8. 备份会不时通过“还原文件或系统”来测试，这样你才知道备份是可用的。
9. 你的备份方案大致遵循 3-2-1 备份规则。意思是对重要数据保留 3 份拷贝，存放在 2 种不同类型的存储介质上，并保留 1 份在异地或云端。
10. 员工知道如何识别可疑电子邮件、伪造发票，以及意外的登录提示，并且至少每年一两次能接受基础安全培训。
11. 有清晰的方法让员工能快速报告可疑事项，并且不需要担心尴尬或被责备。
12. 业务 Wi-Fi 已加固保护，使用强密码；在可能的情况下，访客 Wi-Fi 与业务设备分开。
13. 管理员权限仅限真正需要的人。不是所有人都应能安装软件、变更安全设置，或访问所有文件。
14. 你知道你的企业依赖哪些设备和关键软件。这不需要很复杂，但应该有一份最新清单。
15. 远程办公遵循基础规则，例如屏幕锁定、批准使用的设备，以及对文件和应用的安全访问。
16. 如果你收取信用卡付款、健康信息，或其他受监管数据，你知道可能适用哪些规则。PCI 指的是支付卡安全要求。HIPAA 是美国的《健康保险携带与责任法案》（Health Insurance Portability and Accountability Act），适用于某些医疗健康信息。SOC 2 是部分软件供应商用来展示其如何处理安全控制的报告标准。
17. 发生问题时你知道该联系谁，例如发现可疑登录、笔记本丢失或发生勒索软件事件。即使只是一个简单的联系人列表，也比在压力很大的日子里临时想办法更好。
18. 主要软件供应商和 IT 服务商都有文档记录，包括最新的支持联系人和续费日期。
19. 如果有外部公司帮助处理 IT，你理解他们负责什么、不负责什么。SLA，或服务水平协议（service level agreement），是合同中说明响应目标和服务范围的部分。RMM，或远程监控与管理（remote monitoring and management），是许多托管服务商使用的软件，用于监视设备状态、应用更新，并远程支持系统。
20. 安全相关的决策至少偶尔会被复核，而不仅仅是在出现问题之后。有些托管服务商也提供 vCIO 支持。vCIO 指虚拟首席信息官（virtual Chief Information Officer），是一种规划角色，帮助企业从技术优先级、预算和风险角度进行思考。
如何给自己打分
如果你对大多数问题都回答“是”，这通常是个好信号。通常意味着你已经有一个可用的基础。但这并不代表你的企业“完全安全”。没有诚实的服务商会承诺“不可被入侵的网络”或“零停机”。这意味着你大概率已经具备了一些关键基础，并且还能在此基础上继续改进。
如果你对多项回答“否”或“不确定”，不要惊慌。这在小型企业中很常见，尤其是技术在过去一段时间里是非正式地逐步扩展的。先从通常最重要的基础开始：MFA、打补丁、备份、移除旧的访问权限、设备保护，以及基础的员工安全培训。
如果几乎所有项都为“否”或“不确定”，下一步就不是立刻把所有工具都买齐，而是制定清晰、按优先级排序的计划。一个好的独立托管 IT 服务商可以帮助你把紧急修复和中长期改进区分开来。
对照你的答案接下来怎么做
把你的结果整理成一份简短的行动清单，并分为三组：现在修、尽快修、稍后复核。“现在修”通常包括 MFA、软件更新、备份检查、移除旧账号，以及确保业务设备具备当前的保护。
对每一个“否”或“不确定”，提出一个直接的问题：谁负责？多久做一次？有成文记录吗？我们怎么知道它真的有效？这四个问题会帮你判断流程是真实存在，还是只是被“假设”在做。
如果你想更好地理解你的选择，NodeBridge IT 可以帮助你对接一个独立的托管 IT 服务商。我们是免费的匹配服务。我们不会管理系统、监控你的网络，也不会访问你的账号。你也可以阅读更多通俗易懂的指南，并对比常见托管 IT 服务。
- 现在修：MFA、打补丁、备份、清理旧账号、设备保护
- 尽快修：员工培训、设备与软件盘点、远程办公规则、供应商清单
- 稍后复核：规划、文档记录、服务协议、长期安全改进
一则坦诚说明
NodeBridge IT 是一项免费的匹配服务，不是IT服务商。这里提供的信息是一般性与教学用途——在您签约前，请与任何服务商以书面形式确认服务范围、SLA与价格。没有任何人能够保证正常运行时间、安全性、事故预防或数据恢复。
这个清单能帮助你快速了解你的企业是否已具备主要的安全基础，以及最先该修哪些方面。
常见问题
这个清单的“好分数”是多少？
没有通用的及格分数。如果你对主要基础项（尤其是 MFA、备份、更新和访问控制）给出了扎实的回答，你通常比许多小型企业拥有更好的起点。如果你有很多“否”或“不确定”，这通常意味着需要把改进列为优先事项。
这个清单能替代真正的安全审查吗？
不能。这是一个通俗语言的自查，而不是技术评估或合规审查。它能帮助你看清该向谁提出更好的问题，也能让你判断独立服务商可能需要进一步重点查看哪些方面。
我们是一家非常小的企业。我们真的需要全部这些吗？
多数非常小的企业仍然需要这些基础。共享密码、缺失的更新以及薄弱的备份，即使在小办公室里也可能导致代价高昂的问题。具体安排应与你的规模、数据类型和行业要求相匹配。
如果我不知道该如何回答其中一些怎么办？
选择“不确定”。这仍然很有用。它往往意味着流程不清晰、没有成文记录，或者依赖于某个人或某个供应商。
NodeBridge IT 能告诉我们该买哪些安全工具吗？
我们提供通用的教育信息和免费的匹配服务。我们不销售或管理安全工具，也不会访问你的系统。如果你需要外部帮助，我们可以帮助你找到一个独立的托管 IT 服务商，与你一起讨论可选方案。
要完成匹配，我们需要分享密码或技术细节吗？
不需要。请绝不要把密码、网络凭据或系统访问权限发给我们。我们只收集基础的企业与联系信息，以便帮助你对接到合适的服务商。