网络安全检查这件事，很多企业每年都在做，但真正能说清楚"上一次检查发现了什么、整改到什么程度"的团队并不多。问题往往不在态度，而在方法：检查项散落在各个文档里，负责人换了就断档，同一类问题反复出现，直到某次被外部通报或客户审计问起，才发现基础项都没落实。
我们把过去几年在安全评估、等保整改和应急响应中反复出现的问题做了归纳，整理成一份可落地的《企业网络安全自查清单》。清单不依赖特定厂商产品，适用于自建机房、混合云和纯云上部署的企业，既可以作为年度自查的底稿，也可以作为日常运维的点检表。
清单已整理为可编辑文档，包含 8 个检查域、60 余项检查条目，每项均标注了检查方法和常见不合格情形。文末可直接获取，无需注册，不限使用场景。
一、为什么需要一份固定的清单
安全工作的一个特点是：做了 90 分和做了 60 分，在没有出事之前看不出差别。这就导致投入容易被挤压，检查容易被简化。而清单的价值在于把"凭经验判断"变成"逐项确认"，让检查结果可对比、可追溯、可交接。
具体来说，一份合格的清单应当解决三个问题：
覆盖完整。从资产梳理、访问控制、终端防护到日志监测、应急响应，形成闭环，避免只盯着边界防护而忽略内部横向风险。
标准明确。每一项都有可判断的结论，而不是"是否重视安全"这类无法验证的描述。例如"管理员账号是否启用多因素认证"，答案只有是或否。
责任到人。每项检查对应一个责任岗位和复核人，检查记录留档，下次检查先看上次的整改项。
这也是我们在设计这份清单时坚持的原则：宁可条目少一点，也要保证每一条都能落地执行、能给出明确结论。
二、清单的适用范围与使用方式
清单面向的是企业自身的安全管理团队、IT 运维团队，以及需要对接客户安全审计或供应商准入的商务与合规岗位。使用上建议分三步：
第一步：首次全面自查
第一次使用时，建议由安全或运维负责人牵头，用两到三周时间完成全部条目。不建议一次性发动所有部门填表，那样得到的往往是"全部符合"的无效结果。更实际的做法是由技术团队先完成可技术验证的部分，再针对制度类条目组织访谈和文档核对。
第二步：区分优先级整改
自查的价值在于整改。建议将不合格项按"可被外部直接利用"和"需要长期建设"两类划分：前者如暴露在公网的高危端口、长期未回收的离职账号、缺失的备份演练，应当在两周内处理；后者如日志集中采集、数据分类分级，可以列入季度计划。
第三步：形成周期化点检
完整清单不必每月跑一遍。建议把其中与变更强相关的条目（账号权限、暴露面、补丁状态）抽出来做月度点检，其余条目按季度或半年度复核。每次点检留存记录，形成时间线，这在应对监管检查和客户问询时非常有用。
三、清单核心内容概览
清单共分为八个检查域。下面简要说明每个域的检查重点，完整条目在下载文档中展开。
1. 资产与账号
这是所有安全工作的起点，也是最容易失控的部分。检查重点包括：是否掌握全部联网资产（域名、IP、云主机、数据库、中间件、对外 API），是否存在无人认领的"影子资产"；账号开通是否有审批记录；离职、转岗人员的账号与权限是否在规定时限内回收；是否存在共用账号、密码明文存放于文档或聊天记录；管理员账号是否单独命名并启用多因素认证。
实践中，账号类问题占比往往最高。一个常见情形是：项目结束后临时开通的账号无人回收，两三年后仍然有效，且从未被纳入监控。
2. 边界与访问控制
检查重点包括：对外暴露的端口是否最小化，非必要服务是否关闭；VPN、堡垒机是否强制双因素认证；远程运维是否统一经堡垒机跳转并留存操作记录；办公网是否可以直连核心数据库；云平台安全组、WAF、DDoS 防护策略是否有人定期复核，是否存在"一次配置、多年不动"的情况。
3. 终端与服务器
检查重点包括：终端是否统一安装防护软件并保持在线；操作系统、中间件、数据库补丁是否有明确的更新周期和责任人；服务器是否修改默认账号与端口、禁用不必要的组件；是否存在长期未更新的开源组件和第三方依赖；服务器之间是否做了必要的横向隔离，避免一台失陷导致全网暴露。
4. 数据与备份
检查重点包括：是否完成数据分类分级，明确哪些属于核心数据；核心数据在存储和传输环节是否加密；备份是否遵循多副本、异介质、至少一份离线或不可变存储的原则；是否定期做恢复演练并记录耗时；备份账号是否与生产环境隔离，避免勒索软件一次性加密生产数据与备份；数据导出是否有审批与留痕。
需要强调的是，"有备份"和"能恢复"是两件事。没有做过恢复演练的备份，只能算是一种心理安慰。
5. 日志与监测
检查重点包括：关键系统与安全设备日志是否集中收集，留存时间是否满足合规与取证需要；是否针对异常登录、批量数据导出、权限变更、账号创建等行为设置告警；告警是否有人响应，是否有明确的处理流程和值班安排；是否定期开展漏洞扫描与渗透测试，并对结果做闭环跟踪。
很多企业的现状是"有日志、无告警"或"有告警、无人看"。这两种情况在检查中应判定为不合格。
6. 人员与制度
检查重点包括：全员是否签署保密协议与安全责任承诺；是否每年至少组织一次安全培训与钓鱼邮件演练；账号申请、权限变更、数据导出是否有书面流程；安全责任是否落到具体岗位，而不是停留在"各部门共同负责"。
7. 供应链与第三方
检查重点包括：供应商是否提供必要的安全资质与合规证明；第三方远程接入账号是否临时开通、到期自动回收；外包开发交付的代码是否经过安全审查；SaaS 类工具是否明确数据归属与导出方式。供应链环节的风险往往不体现在自身系统上，但一旦出问题，影响会直接传导到企业。
8. 应急响应
检查重点包括：是否有书面应急预案并明确联系人；是否至少完成过一次演练；是否清楚事件发生后向谁报告、按什么时限报告；是否具备基本的取证与留痕能力，避免处置过程中破坏关键证据。
四、自查中常见的四个误区
误区一：把自查做成填表。由各部门自行勾选"符合"，没有人复核，结果必然是全面达标。技术类条目应当由技术团队实际验证，制度类条目应当核对文档和记录。
误区二：只关注边界，忽略内部。大量实际事件并非从外部直接攻破，而是通过钓鱼邮件、弱口令、第三方账号进入内网后横向移动。内部访问控制和终端防护的权重不应低于边界防护。
误区三：发现问题后只做临时处置。例如发现某端口暴露就临时关闭，但不排查同类资产是否也存在同样问题，也不建立定期复核机制，几个月后同样的问题会再次出现。
误区四：整改项没有责任人和时限。自查报告写得完整，整改清单却只列问题不列人和时间，最终变成一份归档文件。建议每一项整改都明确责任岗位、完成时间和验收方式。
五、如何把自查结果变成可执行的整改计划
完成自查后，建议按以下方式处理结果：
分级。将不合格项分为高、中、低三级。可直接导致入侵或数据泄露的列为高，需要长期建设但短期不构成直接风险的列为中，文档完善类列为低。
定责。每项整改指定一名责任人和一名复核人。责任人负责执行，复核人负责验证结果，两者不应为同一人。
限时。高风险项建议两周内完成，中风险项纳入季度计划，低风险项在半年度内完成。逾期未完成的应升级到管理层。
留痕。整改过程中的配置截图、审批记录、演练报告统一归档，作为下一次自查的基线。
复盘。半年后回看，哪些问题重复出现，往往说明流程本身存在缺陷，而不是执行不到位。
如果团队人手有限，可以优先保证高风险项的闭环。安全建设很难一步到位，但把最容易被利用的口子堵住，性价比是最高的。
六、获取清单
《企业网络安全自查清单》为可编辑文档格式，包含八个检查域、六十余项检查条目，每项均附检查方法与常见不合格情形说明，可直接用于内部自查、客户审计准备或供应商准入评估。文档免费获取，不收集企业信息，不限使用场景，可根据自身业务特点增删条目。
企业网络安全自查清单
八个检查域 · 六十余项检查条目 · 附检查方法与判定标准
如需获取，可通过官网联系我们页面提交申请，或直接与您的对接顾问联系。我们会在一个工作日内发送文档，并根据需要提供一次简短的清单使用说明。
如果自查过程中遇到难以判断的条目，例如日志留存周期如何确定、数据分类分级做到什么颗粒度合适，也欢迎与我们沟通。这类问题的答案往往取决于企业所处行业和业务形态，通用的模板只能给出下限，具体尺度需要结合实际来判断。
下载地址：
