网络安全检查清单指南：130+ 项安全自查怎么做

谁都同意安全很重要，但几乎没人知道该从哪儿下手。问题很少是没动力——而是"要更安全"这话太虚，没法落地执行。一份检查清单就能解决这个问题。它把一个模糊的目标，变成一串具体的、可以一个一个勾掉的方框。这篇就跟大家聊聊安全清单为什么有用、这 130 多项检查到底覆盖了啥、以及怎么用它来给自己做审计，还不会被吓退。

为什么需要安全检查清单

没计划的话，安全会让人抓狂

网上的安全建议又多又互相矛盾。"用 VPN。""别信公共 Wi-Fi。""定期改密码。""其实该用密码管理器。"每件事都显得十万火急，结果大家索性啥也不做。清单能穿透这些噪音，按顺序告诉你哪些真正要紧、哪些其实没那么重要。

清单把一团乱麻变成一个个步骤

清单的魔力在于，它把工作"外化"了。你不用在脑子里同时装着 130 件事——只要看下一个没勾的方框，把那一件做了就行。进度变得看得见，而看得见的进度最让人有动力。你每勾掉一项，都是实打实降低了一点风险，而不是"努力点"那种虚的感觉。

从临时抱佛脚到可重复

没有清单，安全就是做一次就忘的事。有了清单，它就变成了可重复的习惯。你可以每季度过一遍，或者换了新设备、出了事故之后过一遍，放心地知道每次覆盖的范围都一样。

130 多项检查都包含什么

IPIPAI 的安全清单把 130 多条最佳实践分成了 8 大类。下面说说每个支柱管什么、大概有多少项。

类别重点项数
账号安全密码、二次验证、密码管理器20
网络安全VPN、Wi-Fi、防火墙、DNS20
浏览器安全HTTPS、扩展、Cookie20
邮件安全SPF/DKIM/DMARC、防钓鱼15
设备安全更新、杀毒、磁盘加密20
隐私保护DNS/WebRTC 泄露、指纹防护15
数据备份3-2-1 策略、加密10
社会工程防御防钓鱼意识、核实流程10

这些加起来，覆盖了一个普通人或小团队需要防守的完整面——从你敲的密码，到你连的网络，再到其他全失效时救你命的备份。

怎么用清单做自查

用 IPIPAI 互动清单一步步来

IPIPAI 的清单是可交互的。每一条都是一个勾选框，每个类别都有自己的进度条和计数，比如"12/20"。顶部还有一条总进度条，统计全部 130 多项的整体完成度。你就读一条，判断适不适合自己，适合就做，做完就勾上。

进度保存在本地

你不需要注册账号。进度直接存在浏览器的 localStorage 里，关掉标签页明天再回来也不会丢。没有任何数据发给服务器——对一个安全工具来说，这点很合适。清浏览器数据会重置进度，这点要留意。

别想一口气全做完

这是最重要的建议：别想一次把 130 多项全干完。你会累瘫，而且做得马虎。换个方式——一次只挑一个类别。今晚搞账号安全，下周末搞网络安全。稳扎稳打、认真仔细，永远比熬夜赶工强。

个人用户和企业用户的区别

清单对两类人都适用，但侧重点会不一样。

个人用户该重点看什么

对个人来说，性价比最高的通常是：用密码管理器给每个账号生成独立密码、重要账号开二次验证、设备开全盘加密、还有 3-2-1 备份策略。像 SPF/DKIM/DMARC 这种邮件认证项，除非你自己运营域名，否则基本用不上——跳过它们毫无心理负担。

企业用户需要再加什么

团队和公司应该把清单当地基，然后更进一步：全员强制二次验证、企业域名配 SPF/DKIM/DMARC、IoT 和访客网络分段、维护资产清单、定期做备份恢复演练。企业在技术手段之外还需要策略和培训——清单是合规的起点，不是终点。

常见的安全漏洞要警惕

少数几个问题，占了真实泄露里不成比例的一大块。这几个要特别留意。

密码、端口、服务配置检查

有三个领域值得细看，因为它们既影响大、又常被忽视。

密码安全深入

用密码管理器给每个账号生成并存一个独特、够长的密码。开二次验证——尽量用验证器 App 而不是短信，最值钱的账号用 YubiKey 这类硬件密钥。去 Have I Been Pwned 查查邮箱有没有被泄露过，一听到有泄露就立刻改密码。支持的就用通行密钥（passkey），干脆绕开密码。

端口安全

开放端口就是门，只留下你确实在用的。路由器除非真需要，否则关掉远程管理；关掉 UPnP；定期扫描网络里有没有不认识的连网设备。如果你跑服务器，除了服务必需的端口，其他全关，前面再加个防火墙。

服务配置

服务出厂默认值通常图方便不图安全。改掉默认管理员凭证、关掉路由器的 WPS、强制 HTTPS、配置 DNS over HTTPS。如果你给自己的域名跑邮件，就配好 SPF、DKIM、DMARC——SPF 规定哪些服务器可以替你域名发信，DKIM 给邮件加密码学签名，DMARC 告诉收件方没通过这些检查的邮件该怎么处理。

怎么一步步走完这份清单

如果你想按一个"先拿大头收益"的顺序来，可以试试这样：

  1. 先做账号安全。密码管理器、独立密码、邮箱和金融账号开二次验证。这一步就能挡住最常见的攻击。
  2. 接着设备安全。更新开着、杀毒跑着、全盘加密开着。设备丢了或被偷也能保住数据。
  3. 数据备份。在需要之前就把 3-2-1 策略配好。从没测过的备份，纯属赌博。
  4. 网络安全。改掉路由器密码、开 WPA3/WPA2、给访客和 IoT 单开一个网络。
  5. 浏览器、邮件、隐私。把每天在用的 App 加固一下，查查有没有泄露。
  6. 社会工程防御。养成习惯，并把身边的人也培训起来。

3-2-1 备份策略

备份的黄金标准：保留 3 份数据（原件加两份备份），存在 2 种不同介质上，至少 1 份放在异地。再加一份离线、断网的拷贝来扛勒索软件，并且真去测一下恢复，确认备份能用。一份恢复不了的备份，只是美好的愿望。

相关工具

这份清单可以和下面这些 IPIPAI 工具搭配，做实际验证：

安全检查清单网络安全清单安全审计安全加固合规检查