10月起查网站的方式变了，客户拍的那叠机房照片不管用了

十月二十九号，潍坊网信办和公安局联合发了一份通报。一家环保设备公司的官网，被人拿去做跳转，打开就是境外赌博页面，公司自己一直不知道。罚得不重，但通报里写的那三条原因，我看完给三个客户打了电话。

事情是七月发生的。客户官网一打开就自动跳到境外赌博站，公司接到预警通知才知道。公安核查了三条：没有网络安全管理制度，也没专人管；没定期做安全检测，后台还挂着没修的漏洞；没编应急预案，出了事连告警都没有。依据《网络安全法》第二十三条、第六十一条处罚，责令限期整改。

这类事我们见得多。老板普遍觉得，官网就是个展示页，放几张产品图、一个电话，能打开就行。十月一号之后，这个想法得改。

十月一号起，检查换了一套做法

《公安机关网络空间安全监督检查办法》，公安部令第 176 号，2026 年 10 月 1 日施行，同时废掉 2018 年的 151 号令。新旧差别，我们整理客户材料时感受最深的是四条。

• 范围三线合一。网络安全、数据安全、信息安全一起查，不再只管"上网行为"。
• 方式以线上为主。网络信息巡查、信息审核能力测试、漏洞扫描都算。设区的市级以上公安机关，还能对关键信息基础设施以外的系统做漏洞探测和渗透性测试，提前三个工作日告知即可。
• 频次定死了。等保三级以上和关基运营者，每年一次日常现场检查，且不重复检查。
• 对象点名。出过安全事件、或者因未履行义务被罚过又没整改到位的，列为重点监督检查对象。

第十二条列了五项现场措施，第四项是"查看安全保护技术措施运行情况"，第五项是"开展漏洞探测、渗透性测试等技术检查"。翻成白话：你机房拍的照片、采购合同、设备型号单，都回答不了"这套东西现在还在不在跑"。授权过期、特征库两年没更新的设备，仍然算没采取有效措施。

引条号这件事，我们已经踩过一次

今年一月一号起，修正后的《网络安全法》施行，条文号整体往后挪了。等保那五项义务，从第二十一条变成第二十三条；罚则从第五十九条变成第六十一条。

三月给一个客户改安全管理制度，他拿来的模板里还写着"依据第二十一条"。文件本身没毛病，就是依据引错了。这种事在现场很扎眼——检查的人一看就知道，这份制度是抄的，从来没跟着法规更新过。

现行罚则顺手记一下。第六十一条第一款：责令改正、警告，可以处一万到五万；拒不改正或者造成危害后果，五万到五十万，直接责任人一万到十万。造成大量数据泄露这类严重后果，五十万到两百万。

给官网做一次体检，六件事

我们自己过官网，固定看六项，一次大约两小时。

• 资产台账。官网在哪个 IP、哪台服务器、谁负责、域名和证书什么时候到期，写在一张纸上。测试站、演示站、活动落地页也算，这些最容易变成没人管的影子系统。
• 日志留六个月。这是《网络安全法》第二十三条第（三）项的硬要求。很多主机默认只留七天，日志一滚，出了事连攻击时间都对不上。
• 后台入口。有没有直接暴露在公网、有没有改过默认路径、有没有二次验证、离职员工的账号销了没有。远程探测最先扫的就是这几处。
• 组件版本。CMS 内核、插件、PHP 版本，逐个对一遍官方最新版。我们上月写过 PHP 那个漏洞，翻客户站时还找出三个两年前的插件。
• 应急预案。谁第一时间发现、多久上报、怎么取证、找谁恢复，写一页纸就够，但要有人真的看过。
• 备份能不能恢复。这条最容易翻车。备份文件天天生成，真去恢复一次，发现数据库是空的。

做一次和一直做，是两件事

上面六项，头一回做完大概要一天。之后真正花时间的是"一直在跑"。

我们给客户的排法是：每月一号看后台日志有没有异常登录，每季度扫一次漏洞、核一次组件版本，每年把应急预案拿出来演练一遍，顺手核对域名和证书到期日。加起来一年不到二十个小时。

潍坊那家公司的三条问题，一条都不在技术上。没制度、没人管、没检测，这三样补起来，比买设备便宜得多。

官网是客户找到你的第一个入口，也是黑产最常试手的地方。它被改成什么样，你的客户往往是最晚知道的。