预算有限、没人专职，这是绝大多数中小微企业的真实状态。这种情况下最怕的不是不投钱，是钱花错顺序。
先说清楚场景
常见的情况是：先买了一台防火墙，然后发现账号还是共用的、备份还是只有一份、离职的人还能登录。设备买了，最容易被利用的入口一个都没堵。
安全的投入有明确的性价比顺序：先做不花钱的动作，再买能放大效果的工具，最后才考虑设备。
该看的几项
- 第一步（几乎不花钱）：账号一人一号、离职即停用、关键账号开二次验证、口令不用公司名。
- 第二步（低成本）：备份补齐 3 份且 1 份离线、每月做一次恢复演练、关掉不必要的公网入口。
- 第三步（要投入）：日志留存与分析、文档权限分级、付款流程的双人复核。
- 第四步（看情况）：设备与专业服务。到这一步，前三个基础动作应该已经稳定运行。
常见的两个误区
- 误区：以为要等有钱了再做安全。前三步里最有效的动作几乎不花钱，只是需要有人定规矩。
- 误区：以为买了设备就安全了。设备解决的是「挡住已知攻击」，解决不了「账号共用」「备份只有一份」。
按这个顺序做
- 先花半天做一次自查，拿到命中清单——没有清单，讨论预算就是空的。
- 按「代价 ÷ 风险」排序，先做便宜的高风险项：改共用账号、开二次验证、补离线备份。
- 把动作变成固定节奏：每周看一眼导出记录、每月做一次恢复演练、每季度复核一次权限。
- 只有在基础动作稳定后，才讨论设备与专业服务。
什么时候需要工具
如果你想要一份按顺序排好的清单，可以先跑免费自查（12 题），拿到命中项再决定下一步。
可以继续看
以上为通用自查思路，不构成安全认证、等保测评结论或法律意见。具体实施请结合实际系统与业务判断；涉及取证、事故处置时请联系专业机构。