网络安全从密码开始
每天上班第一件事是什么？打开电脑，输入密码。下班前最后一步呢？锁屏，再输一次密码。密码就像办公室的门禁卡，看似简单，却决定了谁能进、谁不能进。
为什么弱密码是企业的定时炸弹
很多人图省事，用“123456”、“password”甚至“公司名+123”当密码。财务部小李就曾因为用“abc123”被钓鱼邮件攻破，导致报销系统被植入恶意链接。攻击者拿到权限后，顺着内网一路摸到客户数据库，损失难以挽回。
弱密码容易被暴力破解。自动化工具每秒能尝试上万种组合，8位纯数字密码在高性能设备面前，几秒钟就能被撞库成功。
强制复杂度，不是多此一举
一个合规的密码策略必须包含基本要求：长度至少8位，混合大小写字母、数字和特殊符号。比如“Tm#2024!safe”比“tom2024”安全得多。
企业可以在域控策略中设置密码复杂性规则。Windows组策略中启用该项后，员工设置密码时若不符合规范，系统直接拒绝保存。
NetAccounts /minpwlen:8 /maxpwage:90 /minpwdage:1 /uniquepw:5这条命令设置了最短密码长度为8位，有效期90天，最短使用1天，且最近5次不能重复。定期更换密码能降低长期泄露风险。
别让“记住密码”毁了安全防线
浏览器自动填充密码确实方便，但员工在家用个人电脑登录公司系统，一旦设备丢失或中毒，所有账号等于裸奔。更危险的是，有人把密码写在便签贴显示器旁边，或者存在手机备忘录里同步到云端。
推荐使用企业级密码管理器，比如Bitwarden或1Password团队版。每个人只记一个主密码，其他由工具生成并加密存储。管理员还能集中控制权限分配和审计访问记录。
双因素认证，给账户加把物理锁
就算密码被人拿到了，加上第二道验证也能拦住大部分攻击。常见的有短信验证码、身份验证器App（如Google Authenticator）、硬件密钥（如YubiKey）。
销售部老王的邮箱曾收到一封伪装成老板的邮件，要求紧急打款。幸好他启用了双因素认证，攻击者虽猜中密码，却无法通过手机端确认，这才避免了资金损失。
离职员工的权限要及时清理
前年有家公司发生数据外泄，查到最后发现是三个月前离职的技术员通过旧账号远程访问服务器。他的账户没被停用，密码也没重置，相当于留了一扇后门。
人力资源系统应与IT系统联动。员工一办理离职手续，其AD账户立即禁用，相关应用权限同步撤销。这是网络安全策略中常被忽视的关键环节。
定期做密码审计，发现问题及时补漏
可以使用专业工具扫描域内是否存在弱密码、重复密码或默认密码。例如L0phtCrack这类工具能在内网离线环境下测试密码强度，发现隐患后通知本人修改。
同时建议每年组织一次模拟钓鱼演练。发一封伪装的“系统升级通知”邮件，看有多少人会点击链接并输入账号密码。结果出来后针对性培训，比泛泛而谈更有效。