一人业务网络安全指南（二）：保护邮箱、收款账号和工作设备

按 NIST CSWP 50 把抗钓鱼 MFA、独立密码、最小权限、更新和告警落实到实际账号与设备，并留下能复查的记录。

把第一篇的资产清单拿出来，逐项打开账号或设备设置，核对保护是否真的启用。无法确认的项目写成待办，保留下一步。

本文依据 2026 年 11 月 2 日发布的 NIST CSWP 50 正式版，主要使用第 2、14–18 页。下文的执行顺序、记录表和完成标准是作者的实践整理，不是 NIST 认证流程，也不需要先购买一套昂贵工具。服务不支持某项设置时，记录限制并评估替代办法。

1. 先核对能控制其他业务的账号

从邮箱、银行或收款账号、敏感文件存储、密码管理器和关键云服务开始，备份账号也要列入。原文建议在所有提供 MFA 的账号上启用 MFA，尤其重视敏感或高权限账号，并优先使用抗钓鱼方式。原文第 2、15 页

每个账号分别完成：

这份白皮书第 2 页给出的密码长度建议是至少 15 个字符。这是原文建议，不能写成适用于所有产品的合规认证门槛。通行密钥或 MFA 也不意味着账号绝对不会被盗。原文提醒，部分 MFA 仍可能受到钓鱼攻击，不能把普通验证码直接等同于抗钓鱼认证。

账号设置不清楚或恢复方式无法确认时，把问题保留为待核，并通过已核实的服务入口或提供方支持求助。已有异常或账号疑似被盗时，再使用第三篇的事件处理步骤。不要在疑似受损设备或账号上继续处理恢复。

原文建议日常使用标准用户账号，避免一直用管理员账号工作。共用设备上的家人应使用独立账号，不能访问敏感业务资料。第三方访问只授予完成具体任务所需的权限和期限，并定期复查。原文第 14 页

按资产清单检查设备账号及云服务成员：谁仍在使用，是否需要当前权限，任务什么时候结束。结束合作后撤掉不再需要的访问。这里的日常标准账号建议，不是让经营者盲目删除唯一管理员或未核实的恢复途径。

若客户交付必须共用某台设备，把业务与个人账号的边界写清楚。无法做到的分离应作为已知风险保留，而不是勾选「最小权限已完成」。

对清单中的设备逐项检查，别漏掉路由器、打印机和其他联网设备：

NIST 在第 14 页建议至少每月检查一次可用更新，并建议至少每年参加一次安全意识培训。第 17 页同时建议定期查找更新，并在可行时尽快安装。因此，月度检查只是例行核对的最低频率建议，不能据此把已经发现的安全补丁推迟到下个月。原文第 14、17 页

一次核对完成时，应能区分设备的支持状态和更新情况，并单独列出因限制尚未处理的项目。没有统一的「全绿」状态可以覆盖这些差别。

收到紧急付款、修改收款银行信息、修改发票或要求登录的消息，先暂停动作。通过原本已知、可信的联系方式向对方核实，不使用可疑消息自身提供的电话或链接来完成核实。查看真实发件地址有帮助，但不能只看显示名称就下结论。原文第 16 页

可以使用下面的自编核实记录：

请求改变什么：____
通过哪个既有可信渠道核实：____
向谁核实、结果是什么：____
核实时间及后续动作：____

尚未核实就保持待处理，不因为消息催得急而跳过核实。此流程有助于检查请求，不保证识别所有诈骗。若已发生未经授权的操作，转入事件处理。

在服务支持时启用日志，以及新登录、密码重设、银行或付款交易和域名记录变更的通知。确认通知送到哪个可用渠道，看到异常后如何进入事件预案。原文把这些作为检测的起步做法，没有要求小业务先建设全天候监控中心。原文第 18 页

工作地点也属于检查范围。在家、咖啡馆或共享办公室工作，核对锁屏、设备存放，以及设备实际提供的追踪或远程抹除能力。本文不假定所有设备都有这些功能，也不提供通用抹除命令。

完成标准由本文设定：关键账号有可说明的认证和恢复状态，设备与访问者能对应到清单，未处理的更新有下一步，异常通知有接收位置。记录检查日期，并按业务变化复查。不能把这些记录当作合规证书或不会出事的保证。