上周，朋友老张的公司刚被网信办约谈——原因很简单：没做年度网络安全审计，等保2.0要求的整改项拖了八个月没动。他发微信问我：‘不就是装个防火墙、开个杀毒软件吗？怎么还扯上审计和合规？’
审计不是走形式，是查‘有没有真干活’
网络安全审计，说白了就是请人（或自己）翻你家的‘数字账本’：系统日志谁看了？权限分配乱不乱？员工离职后账号删没删？U盘插过几台机器？这些事平时没人盯着，一查就露馅。比如某电商后台，审计发现管理员账号共用3年，密码是123456，连测试环境都开着远程桌面——这哪是系统，这是敞开的大门。
合规检查盯的是‘符不符合规矩’
光自己觉得安全不行，得按规矩来。国内主要看《网络安全法》《数据安全法》《个人信息保护法》，还有等保2.0、GDPR（出海企业）、金融行业的《个人金融信息保护技术规范》等。比如你做医疗App，用户体检报告传到服务器，没加密存储、没做脱敏、没签数据处理协议——哪怕系统从来没被黑过，也属于违规，罚单随时上门。
一个真实检查清单（中小团队可直接抄）
- 是否完成等保定级备案（二级以上系统必须做）
- 近6个月是否有完整日志留存（至少180天，含登录、操作、异常行为）
- 员工入职/转岗/离职时，账号权限是否同步调整（别让前销售还能看财务报表）
- 第三方SDK有没有隐私政策说明？收集手机号、位置、相册权限是否明示并获授权？
- 数据库是否开启审计功能？敏感字段（身份证、银行卡号）是否加密或脱敏显示？
自己怎么摸底？先跑两行命令
不用买工具，Linux服务器上敲几下就能看出基础漏洞：
sudo lastb | head -20 # 查最近20次失败登录（爆破痕迹）find /etc -name "*.conf" -exec grep -l "password" {} \; # 找配置文件里明文存密码的地方Windows服务器打开‘本地安全策略’→‘账户策略’→确认‘密码必须符合复杂性要求’已启用；再进‘高级审核策略’，把‘登录’‘对象访问’‘特权使用’全打上勾——这些不是摆设，是合规检查第一眼就扫的地方。
有客户问：‘我们只有3台云主机，要不要做审计？’我的回答是：只要存着客户手机号、订单地址、支付记录，哪怕只有一条，你就已经在监管视线里了。合规不是大厂专利，是底线红线。
别把审计想成请人来挑刺。它更像一次‘数字体检’：血压高了赶紧调，血糖异常早点控。问题早暴露，整改成本低；等出了事再补，花十倍钱都不一定兜得住。