一人业务网络安全指南（一）：先做资产清单，再排风险

以 NIST CSWP 50 正式版为依据，盘点独立业务的设备、账号、数据和第三方依赖，写出可执行的风险优先级与责任清单。

邮箱、收款账号或存放客户资料的云盘一旦出问题，哪些工作会停下来？先把这些依赖写清楚，后面的安全设置才有对象。

本系列依据 2026 年 11 月 2 日发布的 NIST CSWP 50 正式版编写。原文的无雇员企业，指除业主外没有受薪雇员的企业，并不要求只有一位业主。本系列聚焦自由职业者和独立开发者一个人经营、IT 环境较简单的起步情境。

下面的表格、前三项排序和完成标准是作者的实践化整理，不是 NIST 原表，也不代表通过合规检查。 原文第 10 页明确说，这些表格不作为检查清单或合规判定标准。附录 D–J 的工作表在另一个电子表格文件里，本文没有复刻那些工作表。

1. 先写清要维持的业务

用一句话填完：本业务需要持续提供「」，依赖「」，中断会影响「____」。先写当前实际交付，不必把未来设想的系统全列进来。

NIST CSF 2.0 包含治理、识别、保护、检测、响应、恢复六个函数。本篇主要落实治理与识别。第二篇处理日常保护和检测，第三篇准备响应与恢复。六者共同管理风险，不能把完成六个标题当作获得认证。原文第 9–10 页

先从邮箱、收款、敏感文件、密码管理器和关键云服务入手，再补充工作设备及网络中的其他设备。这些优先关注的账号在原文第 2 页有列举。资产也包括软件、数据和第三方服务。原文第 2–3 页

为每项资产复制下面的自编记录卡：

不要把实际密码、令牌或恢复码写在这份普通清单里。这是本文的记录边界。清单只保存状态及受控存放位置。若需要向顾问分享清单，先检查是否包含客户资料或敏感账号信息。

完成一张卡时，应能找到对应资产并核实访问者。只写「云服务，安全」不算完成。个人与业务资产混用时，把混用关系记下来。原文建议尽可能减少这种混用，并在共用设备上区分账号。

挑一项正在做的客户交付，依次填写：

数据来自哪里：____
经由哪些设备或服务处理：____
保存或共享到哪里：____
谁能访问：____
何时不再需要，怎样处理：____

检查是否漏掉外包人员、自动化连接和内容生成工具。原文第 7 页的工具章节使用 SI 一词，建议盘点相关服务，核对数据留存、训练、访问权限和保密条款，并在使用生成内容前复核。不要仅凭「付费版」就推定资料不会被保存或用于训练。原文第 6–7 页

再问一句：客户是否预期这些数据会被这样收集、分享和保留？网络安全措施有助于降低隐私风险，但不能覆盖全部隐私问题。保留超过业务所需的数据，即使没有发生入侵，也可能带来隐私风险。

NIST 将风险与威胁、脆弱性、事件发生的可能性及影响联系起来。不要把「黑客」单独写成一条可执行风险。原文第 4、12–13 页

使用下面的自编格式记录，再选出当前最需要处理的三项。「三项」只用于控制起步工作量，不是 NIST 要求的数量。

先处理影响大且存在明确薄弱点的事项。判断资料不足时，把「核实」列为下一步。不要用自编分数制造精确感。原文的风险因素没有给所有业务一套统一概率或评分阈值。

原文治理部分建议跟踪适用的法律、监管和合同要求，并评估供应商风险。外包安全工作不会转移经营者保护系统和数据的责任。原文第 5–6、11 页

把下面的三类问题写进一张责任表：

不要因为供应商写着「安全」就把责任栏留空，也不要把某个美国法规名称套给所有国家、所有业务。

这次盘点完成时，应留下资产清单、一条已核实的数据流、当前前三项风险，以及有负责人的义务和供应商问题。每个未知项都应有下一步，而不是用勾选掩盖。

新增服务、改变客户数据用途或开始聘人后，回头更新这些记录。业务复杂度上升时，可以请专业人员协助。本篇不替代行业评估、合同审阅或适用法律判断。