交付样例：你会拿到什么 样例

一、行业前置风险评估

项目	结论
所属行业	生产制造（精密机械加工）
准入判定	可承接（非医疗、非金融，未触发拦截规则）
行业权重配置	研发图纸与工艺参数权重上调（+15）、客户名单与报价权重上调（+10）、生产线可用性权重上调（+10）
模板适配	启用制造业模板：重点覆盖设计图纸外泄、供应链报价泄露、生产系统勒索、离职带走客户资料
不适用项	医疗患者数据（HIPAA 类）、金融交易与支付清算、上市披露合规——本企业不涉及，相关检查项不参与评分

行业判定的作用不是贴标签，而是决定哪些风险在你这个行业里真的会要命。同样的「弱口令」，在贸易公司是隐患，在有生产线的工厂可能是全线停工。

二、执行摘要

一句话结论：本企业的基础办公防线（邮件、终端杀毒）有一定覆盖，但三处结构性缺口可以串成一条完整的攻击路径——一个共享的设计部账号 → 该账号能访问全部图纸目录 → 图纸同步盘只有一份在线副本。这条路径一旦被打通，结果是图纸全量外泄且无法追溯。

另有一处与钱直接相关：付款审批只看邮件指令，不验发件域名、不做电话回拨。这是冒充老板/供应商诈骗最标准的入口，且不需要攻破任何系统。

三、安全基线现状（P2 · 12 项基线）

#	基线项	现状判定	说明
1	安全责任人	部分达标	由行政兼管，无书面职责，无交接文档
2	资产清单	不达标	无完整清单，云盘、NAS、生产系统分散在三处，无人汇总
3	账号台账	不达标	无台账；离职人员账号是否注销无法确认
4	数据分级	不达标	图纸、报价、客户名单与普通资料同目录、同权限
5	权限审批	部分达标	有口头流程，无审批记录
6	口令策略	部分达标	域账号有复杂度要求，但共享账号与业务系统为弱口令
7	多因素认证	不达标	邮箱、云盘、财务系统均未开启 MFA
8	邮件防护	部分达标	有基础反垃圾，无仿冒域名识别与外部发件人标识
9	备份与恢复	不达标	NAS 单副本、在线、同机房；从未做过恢复演练
10	日志留存	不达标	云盘有日志但仅 30 天，业务系统无日志
11	应急响应	不达标	无预案、无联系人清单、无断网隔离流程
12	培训与演练	部分达标	年度一次泛泛培训，无钓鱼演练

四、分线评估结论（P3–P9 逐线）

P3 账号与口令

编号	检查项	发现	等级
3.1	口令强度规则	域账号策略达标；但 ERP、云盘、NAS 三个系统存在 Company+年份、厂商默认口令未改 两类情况	极高
3.2	闲置与僵尸账号	近 12 个月离职 9 人，其中 4 个账号仍可登录（含 1 个曾属设计部）	极高
3.3	共享与特权账号	设计部 6 人共用 design01；该账号对 \\NAS\图纸\全部 有读写权限	极高
3.4	爆破暴露面	NAS 管理页暴露在公网，未限速、未锁定（详见 9.2）	高

这四项串起来就是开头说的那条路径：共用账号（3.3）+ 弱口令（3.1）+ 公网暴露（3.4）= 外部人员可直接拿到全部图纸；僵尸账号（3.2）导致即便事后怀疑，也无法确认是谁。

P4 钓鱼与社工

编号	检查项	发现	等级
4.1	发件人身份（权重最高）	员工仅看显示名判断发件人；无外部发件人标识；同形字域名（如 hεngrui.com）无法识别	极高
4.2	内容话术	曾收到「老板出差中，先付这笔款，回来补流程」邮件 2 次，其中 1 次已进入付款审批	高
4.3	链接与附件落地	无附件隔离；.zip 与 .exe 未被邮件网关拦截	高

P5 文档权限（L1–L4 分级）

级别	应包含	实际情况	结论
L4 核心	图纸、工艺参数、配方	与 L2 文档在同一父目录，设计部全员（含共用账号）可读写，可外链分享	未分级
L3 秘密	客户名单、报价、合同	销售部全员可见全部客户，无区域隔离	过宽
L2 内部	制度、通知	正常	达标
L1 公开	宣传资料	正常	达标

分级的意义只有一句：即便某个账号被攻破，攻击者也拿不到全部核心机密。现在的情况是攻破一个账号等于拿到全厂图纸。

P6 敏感信息与脱敏

抽查近 3 个月对外发送的 40 份文档（报价单、合同、加工图纸说明），其中：

• 17 份包含完整客户联系人手机号（L3），未脱敏；
• 6 份包含员工身份证号（L4，用于外协备案），未脱敏；
• 3 份报价单含成本明细页，误随客户版一起发出。

交付包同时提供可直接使用的脱敏版本：手机号保留前 3 后 4、身份证号中间 8 位打码、成本页自动移出客户版模板。

P7 访问行为审计

编号	检查项	发现	等级
7.1	批量下载/导出	无阈值告警；单人单日导出 800+ 文件不会触发任何提醒	高
7.2	访问范围越界	销售可访问设计目录（跨部门越权）	高
7.3	时间与地点异常	无基线，无法判断「凌晨 3 点从异地登录」是否异常	中
7.4	分享外发行为	生成外链无有效期、无审批、无回收	高

P8 备份与灾备（3-2-1-1-0）

要素	要求	实际	结论
3	3 份数据副本	生产 + NAS = 2 份	缺 1 份
2	2 种不同介质	均为磁盘	不达标
1	1 份异地	同机房内	不达标
1	1 份离线/不可变	无——勒索病毒可直接加密 NAS	不达标
0	0 错误（恢复演练验证）	从未做过恢复演练	未验证

8.4 RTO/RPO：当前实测 RTO 无法给出（无演练数据）；按现状推断，若 NAS 被加密，恢复时间不可估、数据可能全失。交付包提供三档预算的异地备份方案（不硬推贵的），以及可打印贴墙的勒索应急处置流程。

P9 公网暴露面

编号	检查项	发现	等级
9.1	高危暴露端口	公网开放 3389（远程桌面）1 个、445 1 个	极高
9.2	后台与管理入口	NAS 管理页、ERP 后台直接暴露公网，无 IP 白名单、无失败锁定	极高
9.3	域名与证书	官网证书正常；邮件域未配置 SPF/DKIM/DMARC，可被冒名发信	高

五、风险总台账（节选 · 完整台账见 02-风险总台账.xlsx）

台账是整份报告的核心：每一项都有编号、所属流水线、等级、原始分、行业加权分、判定依据、可核对证据。你可以拿它和实际情况逐条对，对不上就是我们错了。

编号	风险项	流水线	等级	原始分	加权分	判定依据
R-003	设计部共用账号且对全部图纸有写权限	3.3	极高	92	100	违反最小权限与个人可追溯原则；制造业图纸权重 +15 后触顶
R-007	离职人员账号未注销（4 个仍可登录）	3.2	极高	90	96	离职账号是内部泄露最高频入口；无账号台账无法定期核对
R-011	备份无离线副本，勒索可直接加密	8.1	极高	88	98	3-2-1-1-0 五项中四项不达标，且从未演练恢复
R-014	付款仅凭邮件指令，不验发件域名、不回拨	4.1	极高	86	95	冒充老板诈骗的标准入口；已发生 1 次进入审批
R-019	远程桌面 3389 直接暴露公网	9.1	极高	84	92	爆破与已知漏洞利用的首选目标；无失败锁定
R-023	邮件域未配 SPF/DKIM/DMARC	9.3	高	72	79	可被冒名发信给客户与供应商，损害商誉且难以自证清白
R-026	对外文档含完整手机号/身份证号，未脱敏	P6	高	68	74	抽查 40 份中 23 份含未脱敏个人敏感字段
R-031	无障碍的批量导出告警	7.1	高	65	70	离职带走客户资料时无法及时发现，也无法举证
R-038	业务系统无日志、云盘日志仅 30 天	7.3	高	62	67	事后无法回溯；建议留存 ≥180 天
R-042	无应急响应预案与联系人清单	10.1	高	60	64	出事时无人知道第一步该做什么，处置时间成倍延长

加权分说明：基础分为通用口径，行业加权按 P1 的 weights.json 调整（制造业对图纸、生产可用性、供应链报价相关项上调）。加权只影响排序，不改变事实判定。

六、整改任务清单（六要素 · 可勾选）

每一条任务都必须写全六个要素，否则没法执行也没法验收。下面是三条示例：

✓	任务	责任	时限	验收标准	材料要求	不做的后果
☐	P0　注销 4 个离职账号，停用 design01 共用账号，改为个人账号 + 按项目授权	行政 / 兼管 IT	24 小时内	4 个账号登录失败；共用账号已禁用；设计部 6 人各有独立账号且仅对在办项目目录有权限	账号停用截图 + 新权限表（含审批人签字）	任何人拿到一个口令即持有全部图纸访问权，泄露后无法定位责任人
☐	P0　关闭公网 3389/445，NAS 与 ERP 后台改为内网或 IP 白名单访问	兼管 IT	24 小时内	公网扫描 3389/445 无响应；NAS 管理页仅办公网段可访问；开启失败 5 次锁定	关闭前后端口扫描截图各一份	远程桌面是勒索病毒与爆破的首要入口，等于把门留在互联网上
☐	P1　建立离线备份：新增一块可插拔硬盘，每周完整备份后断开存放异地	行政	7 天内	完成一次完整备份 + 一次恢复演练（任取 3 个文件成功恢复到指定机器）；记录 RTO 实际耗时	备份日志 + 恢复演练记录（时间、文件、执行人）	NAS 被加密时无任何可用副本，且无演练数据无法判断多久能恢复生产

完整清单一共 16 条（P0 三条、P1 七条、P2 六条），在交付包的 03-整改任务清单.md 里，可直接打印后挂在办公室逐条勾。

七、评估盲区说明（这份报告查不出什么）

八、免责与边界说明

• 本产品是安全自查与整改跟踪工具，不是防火墙、EDR、SIEM、漏扫器。
• 不具备实时拦截能力，不阻断攻击、不隔离主机、不参与流量清洗。
• 不替代等保测评、渗透测试、代码审计，不出具任何测评结论、认证结论或合规证明。
• 不承诺「不会发生安全事件」。降低概率 ≠ 消除风险，任何安全措施都不构成保险。
• 不提供人工驻场、人工实施、一对一调试与人工客服；整改由贵司人员执行。
• 敏感数据默认不上传；如需上传分析，先在本地做可逆变形，密钥由贵司保管，我方无解密能力。
• 医疗、金融行业本产品主动不承接（本企业不涉及）。

九、下一步（按这个顺序做，不要跳）

1. 今天：注销离职账号（R-007）、关闭公网 3389/445（R-019）。这两件不花钱，两小时内能做完，风险下降最明显。
2. 三天内：停用共用账号并重建个人权限（R-003）、开启邮箱与云盘 MFA（基线 7）。
3. 一周内：做出第一份离线备份并做一次真实恢复演练（R-011）——没演练过的备份不算备份。
4. 两周内：定下付款双人核验与电话回拨规则（R-014），并贴在财务工位；配置 SPF/DKIM/DMARC（R-023）。
5. 一个月内：完成 L1–L4 数据分级与目录重构（P5）、外发脱敏模板落地（R-026）。
6. 之后：按周期报告跟踪未闭环项；下一年度重新评估一次，对比台账变化。