组织的安全底线在哪里？从 2026 年日本的真实事故倒推的 6 个优先事项

VPN 设备、远程桌面入口、防火墙管理界面——把能从互联网直接访问的设备列成清单，写上型号、版本和负责更新的人。日本警察厅的统计中，勒索软件感染途径的 92 个有效回答里，61 个是 VPN 设备。

第一步：给清单上的每台设备定一个数字——漏洞被确认利用（KEV）后，允许多少天内封堵。“按顺序打补丁”的做法，与数字厅事件是同一种结构。

每个组织都有不属于员工的人的账号——维护商、外包方、已经离职的人。它们往往为了方便被赋予宽泛权限，而且归谁管并不清楚。

第一步：列出所有非员工账号，给每个账号指定内部负责人和有效期。然后依次做到：只在使用时启用、限制来源地址、强制使用抗钓鱼的双因素认证。把账号停用写进与入职相同的表单里。

在 Aflac 的事件中，攻击看起来与正常使用一样。如果每一次查询都是合法的，逐次检查是拦不住的。剩下的线索是每小时有多少条数据流出，以及深夜和休息日的活动。

第一步：在返回客户数据最多的那个功能上，加上每个账号每小时的上限和达到上限 80% 时通知到具体负责人的告警。在文件服务器和云存储上，为数倍于平常的批量下载设置告警。

在樱花互联网的事件中，非法访问从约三年前就开始了。如果没有那段时间的日志，既说不清发生了什么，也说不清没发生什么。

第一步：认证（成功与失败）、数据查询与导出、管理操作这三类至少保留 12 个月（以支付卡行业标准 PCI DSS 为参考）。存储不够时，先保住这三类，再考虑 Web 访问日志。

在 Gyazo 的事件中，泄露的元数据主要是多年前上传的图片所附带的信息。泄露的规模取决于当时持有多少数据。没有持有的数据就不会泄露。

第一步：为每一类客户数据写一行：用途是什么、保留到何时。写不出来的，就是删除或匿名化的候选。同时检查已注销用户的数据是否还残留着（樱花互联网的事件中，除非另行办理退会，解约后会员信息仍被保留）。

Adobe Commerce 发布修复时公告写着“优先级 2、未发现被利用”，44 天后 CISA 确认了被利用。WordPress 本体的漏洞则只用了 3 天。

第一步：为自己使用的产品准备一个在其被加入 KEV 时收到通知的机制，并规定一旦被加入就重新排列修补顺序。判断方法见 用 CVSS、EPSS、KEV 决定优先级。