山东济南一家做医疗器械代理的公司，去年遭遇了勒索病毒攻击，全部业务数据和客户资料被加密。老板很淡定：我们有备份，每天自动备份到NAS上。结果去恢复时发现，备份文件也被加密了——勒索病毒在加密本地文件的同时，通过映射的网络驱动器把NAS上的备份也加密了。更致命的是，备份已经”成功”运行了3个月，但没人检查过备份文件是否完整。实际上最近两个月的备份都是损坏的，因为硬盘空间满了，备份程序报错但自动忽略了。老板当场崩溃。

你的备份可能只是心理安慰

很多企业都有”备份”，但备份不等于能恢复。上面的案例集中暴露了三个最常见的备份陷阱：

陷阱一：备份和目标在同一网络

济南那家公司的NAS是通过网络映射驱动器连接到员工电脑的（比如Z:Backup）。勒索病毒加密本地文件时，会遍历所有可访问的网络驱动器，把NAS上的备份也加密了。

备份和目标在同一网络、使用同一套认证体系，等于给攻击者开了后门。一旦内网沦陷，备份就是下一个目标。

陷阱二：备份完整性从未验证

那家公司设置了”每天凌晨2点自动备份”，任务计划里显示”成功执行”了90天。但没人去检查备份文件是否真的可用。

备份失败的原因多种多样：磁盘空间不足、备份软件许可证过期、源文件被锁定无法读取、网络中断导致传输不完整、备份文件写入时损坏……备份程序报告”成功”，可能只是”任务完成了”，不代表”数据完整写入了”。

陷阱三：恢复时间远超业务承受极限

假设你的备份是完整的、没被加密，恢复需要多长时间？济南那家公司有2TB数据，备份在NAS上，按千兆局域网速度恢复，理论时间约4-5小时。但实际恢复花了将近3天——因为备份文件是增量备份，需要按顺序恢复30天的增量链，中间任何一个增量文件损坏，整个恢复链就断了。

3天的恢复时间，对于一家医疗器械代理公司意味着什么？不能查询库存、不能处理订单、不能给客户报价、不能开具发票。3天后即使数据恢复了，客户已经跑了。

3-2-1备份原则：理论基础

信息安全界有个公认的黄金法则——3-2-1备份原则：

• 3份数据副本：原始数据 + 2份备份。任何一份损坏，还有另外两份
• 2种不同存储介质：备份不要都放在同一种介质上。比如一份在本地硬盘、一份在云端；或者一份在磁带、一份在硬盘。不同介质的故障模式不同，不会同时失效
• 1份异地备份：至少有一份备份存放在与主数据不同的物理位置。防止火灾、洪水、盗窃等物理灾害导致数据全部丢失

3-2-1原则是最低要求，不是最高标准。对于关键业务数据，建议升级到3-2-1-1-0原则：3份副本、2种介质、1份异地、1份离线、0错误恢复。

勒索病毒时代的备份实战策略

针对勒索病毒的特点（加密本地文件、遍历网络共享、删除卷影副本），备份策略需要做针对性调整：

策略一：离线备份（Air-Gapped Backup）

这是对抗勒索病毒最有效的手段。离线备份指备份存储设备与主网络物理隔离，平时不连接，只有备份时才临时连接。

具体做法：

• 使用外置硬盘或磁带库做备份，备份完成后立即断开连接
• 或者用NAS的”备份后自动卸载”功能，备份任务结束后自动断开网络共享
• 更高级的方案：使用对象存储（如阿里云OSS、AWS S3）的”不可变存储”功能，设置备份文件为WORM（Write Once Read Many），任何人（包括管理员）都不能删除或修改

济南那家公司如果用了离线备份，勒索病毒即使加密了本地文件和在线NAS，离线硬盘上的备份仍然是安全的。

策略二：备份版本保留（Immutable Backups）

勒索病毒不仅会加密当前文件，还会搜索并加密备份文件。如果备份系统只保留一份最新备份，一旦被加密就全完了。

正确的做法是保留多个历史版本：

• 每日增量备份，保留最近30天
• 每周全量备份，保留最近12周
• 每月全量备份，保留最近12个月
• 每年全量备份，长期归档

这样即使昨天的备份被加密了，上周的备份还在；即使本周的备份全被加密了，上月的备份还在。勒索病毒不可能穿越时间去加密历史版本（除非备份系统本身被完全控制）。

策略三：备份与恢复的定期演练

备份了不等于能恢复。每季度至少做一次恢复演练，验证以下指标：

• RPO（恢复点目标）：能恢复到多久以前的数据？如果每天备份一次，RPO就是24小时。如果增量备份每小时一次，RPO就是1小时。业务能容忍多长时间的数据丢失？
• RTO（恢复时间目标）：从宣布灾难到业务完全恢复需要多长时间？济南那家公司实际RTO是3天，但业务能承受的RTO可能只有4小时
• 数据完整性：恢复后的数据是否完整、可用？数据库能否正常连接？文件能否正常打开？关键业务系统能否正常运行？
• 备份文件校验：使用校验和（如MD5、SHA-256）验证备份文件在传输和存储过程中是否被篡改或损坏

演练的结果要记录成报告，发现问题立即整改。比如发现恢复时间太长，可能需要优化备份架构、增加恢复硬件、或者调整备份策略（从增量备份改为差异备份，减少恢复链长度）。

策略四：异地与云端备份

本地备份是底线，异地备份是保障，云端备份是弹性。

• 本地备份：用于日常快速恢复，比如误删文件、系统崩溃。恢复速度快（分钟级），但抗灾害能力弱
• 异地备份：存放在不同城市的备份中心或分支机构。防止本地火灾、水灾、盗窃。恢复速度慢（小时级），但物理隔离程度高
• 云端备份：使用公有云的对象存储或备份服务。优势是弹性扩容、全球分布、高可用（通常99.9999999%）。成本按量计费，起步低。注意选择支持不可变存储（Immutable/WORM）的云服务商

推荐的组合方案：本地NAS做每日增量（快速恢复）+ 异地NAS做每周全量（灾难恢复）+ 云端对象存储做月度归档（长期保留）。

备份之外：检测与响应

备份是最后的防线，但最好的策略是不让勒索病毒进来。

• 终端检测与响应（EDR）：监控终端上的异常行为，如大规模文件加密、可疑进程执行、横向移动。发现勒索病毒行为时自动隔离终端
• 网络分段：把网络分成多个安全域，关键服务器和备份服务器放在独立的网段，通过防火墙严格限制访问。即使一台终端中毒，也扩散不到备份服务器
• 最小权限原则：员工的日常账号只授予必要的文件访问权限，管理员账号单独管理、不轻易使用。勒索病毒以员工权限运行时，能加密的文件范围被限制在最小
• 补丁管理：勒索病毒经常利用已知漏洞（如永恒之蓝MS17-010）传播。及时安装操作系统和应用程序的安全补丁，关闭不需要的服务和端口

济南那家公司最后的整改方案

事件后，他们做了以下整改：

• 购买了两台NAS，一台在线用于日常备份，一台离线每周更新后断开
• 使用阿里云OSS做云端备份，开启WORM不可变存储
• 每季度做一次恢复演练，验证RPO和RTO
• 网络分段：办公网、服务器网、备份网三个网段，防火墙隔离
• 部署终端EDR（奇安信天擎），监控异常加密行为
• 全员安全意识培训，每季度模拟钓鱼测试

整改总投入约8万元（2台NAS 1.5万+云备份年费3000元+EDR年费2万+网络改造2万+培训5000元）。老板说了一句话我觉得挺对：”备份不是买了设备就完事了，是要定期验证、定期演练、持续优化的过程。假的备份比没有备份还可怕，因为它给了你自己安全的错觉。”

---

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

添加微信备注”咨询”，工作日当天回复

东莞一家做电子元器件的制造企业，全公司56人，没有专职IT，网络安全就靠每台电脑上的360杀毒软件。去年9月，财务小张收到一封邮件，发件人显示是”税务局稽查通知”，附件是一个PDF文件。小张没多想就点开了，结果电脑卡顿了几秒，之后一切正常。两周后，公司发现核心供应商的采购合同、客户名单、报价单全部出现在了竞争对手手里。安全公司来溯源，发现小张点开的PDF实际上是一个恶意程序，利用Adobe Reader的漏洞植入了远控木马，之后在网络内横向移动，窃取了全部数据。

人是安全链中最薄弱的环节

很多企业老板把安全防护的重点放在防火墙、杀毒软件、入侵检测这些技术层面，忽视了最关键的一环：人。

根据Verizon 2024年数据泄露调查报告，74%的数据泄露事件涉及人为因素，其中钓鱼邮件（Phishing）是最主要的攻击入口。技术防护再完善，也挡不住员工主动把恶意程序请进门。

东莞那家电子厂的问题，技术上不是没有防护：路由器有防火墙、电脑有杀毒软件、办公网有基本的访问控制。但小张点了一封钓鱼邮件，所有这些防线瞬间失效。攻击者不是突破了你的防火墙，是从你员工打开的”门”走进来的。

钓鱼邮件是怎么骗过员工的

钓鱼邮件的演变速度远超大多数人的想象。早期的钓鱼邮件很粗糙：语法错误、发件人地址明显是假的、链接一看就是钓鱼网站。但现在的钓鱼邮件，已经能做到以假乱真。

1. 发件人伪造

攻击者利用SMTP协议的漏洞，可以伪造发件人地址。你看到的”sender@tax.gov.cn”可能实际上是攻击者的邮箱。更高级的做法是注册近似域名，比如”tax-gov.cn”（少了一个点）、”taz.gov.cn”（字母替换），肉眼几乎分辨不出来。

小张收到的那封”税务局稽查通知”，发件人域名是”tax-sat.gov.cn”，看起来很像国家税务总局的域名”chinatax.gov.cn”。不仔细对比根本发现不了。

2. 内容高度仿真

攻击者会研究目标企业的行业特点、业务流程、常用术语，写出高度仿真的邮件内容。针对财务人员的邮件，通常是”税务稽查通知””发票异常提醒””退税申请确认”；针对HR的邮件，通常是”社保基数调整通知””劳动合同续签提醒”；针对销售人员的邮件，通常是”客户投诉函””订单异常提醒”。

小张收到的邮件里，甚至提到了公司上季度的实际开票金额（攻击者通过公开渠道获取了部分信息），这让邮件的可信度大增。

3. 附件伪装

恶意附件的伪装手段越来越高级：

• 双扩展名：文件名显示为”通知.pdf”，实际文件名是”通知.pdf.exe”，Windows默认隐藏了.exe扩展名，用户只看到.pdf
• 宏文档：Word或Excel文件内嵌恶意宏代码，打开时提示”启用宏以查看内容”，用户一点启用，宏代码立即执行
• PDF漏洞利用：利用Adobe Reader等PDF阅读器的已知漏洞，打开PDF时自动执行恶意代码
• 压缩包+密码：邮件正文说”附件是加密压缩包，密码见附件图片”，用户解压后运行里面的程序

小张点开的就是利用PDF漏洞的恶意文件，360杀毒软件的病毒库没及时更新这个漏洞特征码，所以没有拦截。

4. 链接钓鱼

邮件里放一个看起来正常的链接，点击后跳转到伪造的登录页面。比如伪造企业邮箱登录页、伪造钉钉/企业微信扫码页、伪造银行网银登录页。用户输入账号密码后，信息直接发到攻击者服务器。

更隐蔽的做法是链接本身没问题，但指向的网页里嵌入了恶意脚本，利用浏览器漏洞执行代码（水坑攻击）。

安全意识培训实操方案

东莞那家电子厂事件后，我做了他们的安全意识培训顾问。整个培训体系分为5个模块：

模块一：每季度模拟钓鱼测试

这是最直接、最有效的训练方式。培训公司或内部IT人员定期向全员发送模拟钓鱼邮件，邮件内容、发件人、链接都仿照真实攻击者的手法设计。

员工收到邮件后的行为被记录：

• 直接点开链接或附件的——高风险，需要一对一辅导
• 怀疑但没确认、拖到后面忘了的——中风险，需要加强识别技巧培训
• 立即上报IT或安全团队的——低风险，给予表扬和奖励

测试不处罚、不羞辱，目的是发现问题、针对性培训。测试后一周内，对所有高风险和中风险员工进行专项培训，讲解他们收到的模拟邮件的攻击手法、识别技巧、正确处理方式。

东莞电子厂第一次模拟测试，56人中有23人点开了链接或附件，占比41%。经过两轮培训和测试后，比例降到了7%。

模块二：新员工入职安全第一课

安全培训必须在员工入职第一天就进行，形成条件反射式的安全意识。

入职培训内容：

• 公司信息安全政策（密码规则、数据保密、设备使用）
• 钓鱼邮件识别技巧（看发件人、看链接、看附件、看语气）
• 遇到可疑邮件的处理流程：不点、不转、上报
• U盘和外接设备使用规范（外来U盘先杀毒、不插入不明来源设备）
• 社交媒体安全（不在朋友圈/微博透露公司敏感信息、不连接不明WiFi）

培训时长30-45分钟，包含3-5个真实案例视频。培训结束后做简单测试，通过才算完成入职流程。

模块三：高管专项培训

高管是攻击者的重点目标。CEO、CFO、CTO等高管的邮箱通常是”CEO Fraud”（商业邮件诈骗）或”Whaling”（高级钓鱼）的目标。

高管面临的特殊风险：

• 冒充CEO诈骗：攻击者伪造CEO邮箱，给财务发邮件要求紧急转账。因为”是老板要求的”，财务往往不经核实就执行
• 供应链攻击：攻击者黑入供应商邮箱，向采购发送伪造的付款账户变更通知
• 社交媒体情报收集：高管的朋友圈、微博、LinkedIn是攻击者收集情报的富矿，行程、关系网、兴趣爱好都可能被利用

高管培训内容：

• 认识针对高管的特殊攻击手法
• 建立”双重确认”机制：涉及转账、付款、合同变更的指令，必须通过第二种渠道（电话、当面）确认
• 社交媒体隐私设置：朋友圈分组可见、关闭位置信息、不透露行程安排
• 出差安全：不使用酒店公共WiFi处理敏感业务、笔记本不离开视线

模块四：建立举报奖励机制

鼓励员工主动上报可疑邮件、可疑行为、安全事件。上报流程要简单、无惩罚、有奖励。

东莞电子厂的机制：

• 员工发现可疑邮件，转发到security@company.com，24小时内IT团队回复确认
• 确认是真实攻击的，上报员工奖励200元红包+内部通报表扬
• 即使误判（把正常邮件当成钓鱼），也不批评、不嘲笑，培训团队分析误判原因，优化识别技巧
• 每季度评选”安全之星”，奖励500元+证书

这个机制的核心是消除员工”怕丢脸””怕误判”的心理障碍。很多人收到可疑邮件不敢上报，就是因为怕万一搞错了被同事笑。要反复向员工传递一个信息：宁可误判一千，不可漏过一个。

模块五：制定应急响应手册

即使培训到位，攻击仍然可能发生。提前制定应急响应手册，明确每个角色的职责：

• 发现人（普通员工）：立即断网（拔掉网线或关闭WiFi）、不关机（保留现场证据）、立即上报IT/安全团队
• IT/安全团队：隔离受影响设备、分析攻击路径、阻断横向移动、启动备份恢复、收集证据
• 管理层：评估业务影响、决定是否报警、通知受影响客户/用户、准备公关声明
• 法务/合规：评估法律责任、准备监管报备材料、配合执法部门调查

手册要打印出来放在每个部门显眼位置，每半年做一次应急演练（桌面推演即可，不需要真的模拟攻击）。

安全意识培训的效果衡量

安全意识培训不是”讲过了就完了”，要有可衡量的指标：

• 模拟钓鱼点击率：每季度测试，目标是把点击率降到5%以下
• 上报率：收到可疑邮件后主动上报的员工比例，目标80%以上
• 安全事件数量：每季度统计实际发生的安全事件（病毒感染、数据泄露、钓鱼成功等），趋势应该是下降
• 平均响应时间：从安全事件发生到被发现的平均时间，目标从”几周”缩短到”几小时”

东莞电子厂在实施安全意识培训体系一年后，模拟钓鱼点击率从41%降到了6%，安全事件从每季度2-3起降到了0起，员工上报可疑邮件的数量从每季度5封增加到了28封。

老板说了一句话我印象很深：”以前我觉得安全是IT的事，现在我知道安全是每个人的事。防火墙能挡住外面的黑客，挡不住员工点的链接。”

安全意识培训的本质不是教会员工识别每一封钓鱼邮件（这不可能），是培养一种”看到可疑就停手、遇到问题就上报”的安全本能。技术防线可以被突破，但人的防线如果足够强，攻击者就很难找到入口。

---

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

添加微信备注”咨询”，工作日当天回复

广州一家做在线职业教育的公司，有注册用户80多万，课程视频数据量超过50TB。去年11月被勒索病毒攻击，全部课程视频和学员数据库被加密。老板赶紧联系等保测评机构，想做等保三级拿个证，好向用户和监管部门交代。测评机构的人来了一看：服务器没有分区隔离、数据库没有加密、访问控制形同虚设、日志留存不足180天、没有入侵检测系统——二十多项基本要求不达标。测评机构直接说：这种状况，先做整改，整改完再测评，周期至少3个月。老板傻了：3个月？我的业务能撑3个月吗？

等保测评不是买保险，是体检

很多企业老板对等保测评有个误解：等保测评就是买个证，拿着证就能应付检查、增加用户信任。这个理解完全错了。

等保测评的全称是”网络安全等级保护测评”，依据是《网络安全法》第二十一条和《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019，等保2.0标准）。它的本质是对信息系统安全状况进行全面体检，发现问题、提出整改建议、验证整改效果。

测评机构不是来给你发证的，是来找问题的。如果你的系统本来漏洞百出，测评机构不会放水让你过——他们要对测评结果负责，一旦系统后续出安全问题，测评机构要承担连带责任。

广州那家教育公司的问题，根子在于把等保测评当成了事后补救，而不是事前预防。等保应该在系统上线前就完成定级和备案，在运行过程中持续合规。等出事了再补，不仅来不及，还可能因为安全问题被监管部门处罚。

等保2.0的五级体系

等保2.0把信息系统安全保护等级分为五级，不同级别对应不同的保护要求和测评频率：

第一级（自主保护级）：适用于一般的信息系统，受到破坏后对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。不需要测评机构测评，运营单位自主保护即可。

第二级（指导保护级）：适用于信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。需要每两年测评一次。

绝大多数中小企业的一般业务系统（如企业官网、内部OA、电商系统）属于第二级。这是中小企业等保的”起步线”。

第三级（监督保护级）：适用于信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。需要每年测评一次。

涉及用户个人信息超过100万、涉及金融交易、涉及医疗健康数据、涉及关键信息基础设施的系统，通常属于第三级。广州那家教育公司有80万注册用户，加上课程视频和支付数据，应该属于第三级。

第四级（强制保护级）：适用于信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。需要每半年测评一次。

涉及国家关键信息基础设施的核心系统，如能源、交通、金融、电信的核心业务系统。

第五级（专控保护级）：适用于信息系统受到破坏后，会对国家安全造成特别严重损害。由国家指定的专门机构进行安全保护，不对外公开测评。

绝大多数企业接触不到第四级和第五级。

等保测评的完整流程

等保测评不是一次性的，是一个持续循环的过程：

第一步：定级（1-2周）

企业根据系统的业务类型、数据重要性、用户规模、社会影响等因素，确定系统的安全保护等级。定级需要填写《信息系统安全等级保护定级报告》，说明系统的功能、数据资产、服务范围、定级依据。

定级的关键是实事求是，不能为了省事故意把高等级系统定为低等级，也不能为了”显得安全”把低等级系统硬拔高。定级不准确，后续的所有工作都白做。

第二步：备案（1周）

定级完成后，第二级及以上系统需要到公安机关网安部门备案。备案材料包括：定级报告、备案表、系统拓扑图、安全组织机构和管理制度说明等。

备案是免费的，但必须在系统上线运行后30日内完成。超过30日未备案的，公安机关可以依据《网络安全法》第五十九条责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款。

第三步：建设整改（1-3个月）

这是等保测评中最耗时、最花钱的环节。测评机构根据等保2.0标准的安全通用要求（安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心）和扩展要求（云计算安全、移动互联安全、物联网安全、工业控制系统安全），逐条检查系统是否达标。

不达标的项需要整改。常见的整改项包括：

• 网络架构：核心服务器和业务服务器没有分区隔离，需要在防火墙上配置安全域划分
• 访问控制：没有实现最小权限原则，所有员工都能访问数据库。需要设置角色权限，数据库管理员、开发人员、运维人员权限分离
• 数据安全：敏感数据没有加密存储，传输过程中没有使用HTTPS/TLS。需要对数据库字段加密、启用SSL证书
• 日志审计：系统日志留存不足180天，或者日志内容不完整（缺少登录IP、操作时间、操作内容）。需要部署日志审计系统，确保日志完整留存至少6个月
• 入侵防范：没有部署入侵检测系统（IDS）或入侵防御系统（IPS）。需要采购安全设备或订阅云安全服务
• 备份恢复：没有定期备份机制，或者备份数据存放在同一机房。需要建立异地备份、定期演练恢复流程
• 安全管理制度：没有网络安全责任制、没有应急预案、没有安全培训记录。需要制定制度、开展培训、演练预案

整改的成本因系统现状而异。如果系统本身安全做得比较好，整改费用可能只有几万块；如果像广州那家教育公司一样几乎从零开始，整改费用可能几十万。

第四步：测评（2-4周）

整改完成后，测评机构进行现场测评。测评方式包括：文档审查（查制度、查记录）、现场检查（看设备、看配置）、技术测试（漏洞扫描、渗透测试、配置核查、访谈）。

测评结果分为三种：

• 符合：所有测评项全部达标，出具”符合”结论的测评报告
• 基本符合：大部分测评项达标，少数一般项不达标但不影响整体安全。出具”基本符合”结论，限期整改不达标项
• 不符合：关键项或重要项不达标，系统安全状况存在严重缺陷。必须整改后复测

第五步：监督检查

测评报告出具后，公安机关会不定期抽查。如果系统发生重大变更（如迁移到云平台、大规模扩容、业务类型变化），需要重新定级和测评。

中小企业至少要做到哪一步

等保不是大企业的专利，中小企业同样需要。

如果你的企业有以下特征，至少需要做等保二级：

• 有面向用户的网站或APP，注册用户超过1万
• 收集或处理用户个人信息（姓名、电话、地址、身份证号等）
• 涉及在线交易、支付、充值功能
• 属于教育、医疗、金融、电商等监管较严的行业
• 使用云计算、云存储服务

如果有以下特征，需要做等保三级：

• 用户注册量超过100万
• 涉及用户敏感信息（身份证号、银行卡号、健康数据等）
• 属于关键信息基础设施（能源、交通、金融、电信、水利等）
• 系统宕机可能造成重大社会影响或经济损失

等保测评的费用

等保测评费用 = 测评机构服务费 + 整改实施费用。

测评机构服务费（市场价格）：

• 等保二级：3-8万元
• 等保三级：8-20万元
• 等保四级：20-50万元（极少数企业需要）

整改实施费用（因系统现状差异很大）：

• 安全设备采购：防火墙、入侵检测、日志审计、数据库审计、堡垒机等，10-50万元
• 云安全服务：云防火墙、WAF、DDoS防护、云堡垒机等，年费2-10万元
• 安全软件：终端安全、漏洞扫描、代码审计工具等，年费1-5万元
• 制度建设：安全管理制度编写、安全培训、应急演练，1-3万元

广州那家教育公司，等保三级测评费12万，整改实施花了38万（买安全设备、做架构调整、加密数据库、上日志审计），总计50万。老板说：”50万心疼，但比起被勒索后业务停摆的损失，还是值的。”

等保测评的本质是提前发现漏洞、降低风险。它不是保险箱，不能保证系统绝对安全。但做了等保，至少你知道系统的薄弱环节在哪，有针对地加固。等出事了再补，付出的代价至少是 preventive 投入的10倍。

广州那家教育公司现在每个月做一次漏洞扫描，每季度做一次渗透测试，安全团队从0人扩到了3人。老板说了一句话我印象很深：”等保测评教会我的不是怎么拿证，是怎么系统性地看待安全问题。”

---

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

添加微信备注”咨询”，工作日当天回复

江苏南通有家做纺织品出口的企业，年销售额8000万。老板听信了一个”税务筹划师”的建议，把公司业务拆成了8个小微企业，每个年销售额控制在300万以内，享受小规模纳税人1%的增值税征收率和5%的企业所得税优惠税率。一年后税务稽查，认定这8家公司实质上是同一经营主体的人为拆分，属于虚假申报、逃避纳税义务。最终结果：补税1200万，滞纳金200万，罚款600万，老板还被移送了司法机关。这个”税务筹划”方案，在税务局眼里就是典型的偷税。

合法税务筹划和偷税的界限到底在哪

很多老板跟我聊过这个话题，问的最多的就是：我这个做法算不算合理避税？会不会被税务局盯上？

我先给个判断标准：合法的税务筹划是利用税法规则范围内的空间，在真实业务基础上优化税负；偷税是虚构业务、隐瞒收入、伪造凭证，以欺骗手段不缴或少缴税款。

关键区别在两个字：真实。所有的税务筹划必须建立在真实的商业交易、真实的合同、真实的资金流、真实的货物流基础上。缺了任何一个环节，从税务筹划滑向偷税，只有一步之遥。

合法的税务筹划长什么样

第一类：利用税收优惠政策

税法本身就设计了很多优惠政策，合法利用这些政策是最安全、最基础的税务筹划方式。

• 高新技术企业优惠：企业所得税税率从25%降到15%。条件是研发费用占比达标、科技人员占比达标、拥有自主知识产权、产品属于高新技术领域。每一项都是硬指标，达标才能享受，不达标不能享受
• 小微企业优惠：年应纳税所得额300万以内的企业，企业所得税实际税负5%。这个优惠是普惠性的，不需要申请，符合条件自动享受。但前提是你的财务数据真实，不能人为拆分业务来凑这个门槛
• 研发费用加计扣除：企业研发费用按100%加计扣除（制造业企业2023年起提高到120%）。比如你花了100万研发，税前扣除200万（或220万）。前提是你真的有研发活动、真的有研发费用支出、费用归集符合规定
• 西部大开发优惠：西部地区鼓励类产业企业，所得税税率15%。前提是你的主营业务属于鼓励类产业目录、注册地在西部地区、收入占比达标

这类筹划的核心是：符合条件就享受，不符合条件就不享受。不能为了享受优惠而虚构条件。

第二类：合理的组织形式选择

同样的业务，选择不同的法律主体，税负可能不同。

• 个体户 vs 有限责任公司：个体户交个人所得税（5%-35%累进税率），有限责任公司交企业所得税（5%-25%）+分红个税（20%）。如果利润高且需要再投资，公司形式可能更优；如果利润低且全部用于个人消费，个体户可能更优
• 分公司 vs 子公司：分公司不是独立纳税主体，所得税汇总到总公司缴纳；子公司是独立纳税主体，单独申报。如果总公司亏损、分公司盈利，汇总纳税可以抵减亏损；如果总公司盈利、分公司亏损，子公司形式可以独立享受小微企业优惠
• 一般纳税人 vs 小规模纳税人：年销售额500万以上强制登记为一般纳税人，适用增值税税率（6%/9%/13%），可以抵扣进项；小规模纳税人适用征收率（1%/3%），不能抵扣进项。如果企业进项充足（如制造业、贸易业），一般纳税人税负可能更低；如果进项很少（如服务业、咨询业），小规模纳税人可能更优

这类筹划的核心是：根据实际业务特点选择最优的组织形式和纳税人身份。不能为了享受低税率而虚构业务或拆分收入。

第三类：合理的交易安排

在真实业务框架内，通过合理的交易安排优化税负。

• 成本费用合理归集：把符合条件的费用充分入账，如业务招待费（按60%扣除，不超过营收0.5%）、广告费（不超过营收15%或30%）、职工教育经费（不超过工资总额8%）、研发费用的准确归集。这些不是虚构费用，是把真实发生的费用按税法规定充分扣除
• 固定资产折旧策略：税法允许的范围内选择最有利的折旧方法（直线法、双倍余额递减法、年数总和法）和折旧年限。500万以内的固定资产可以一次性税前扣除。这是税法赋予企业的选择权
• 合理的薪酬架构：高管和核心员工的薪酬，可以通过工资、奖金、股权激励、分红等不同方式组合，在合法范围内优化个税。但前提是薪酬真实发放，不能虚构人员、虚报工资

偷税的红线长什么样

税法对偷税有明确的界定。《税收征收管理法》第六十三条规定：纳税人伪造、变造、隐匿、擅自销毁账簿、记账凭证，或者在账簿上多列支出或者不列、少列收入，或者经税务机关通知申报而拒不申报或者进行虚假的纳税申报，不缴或者少缴应纳税款的，是偷税。

常见偷税行为：

1. 虚开发票

没有真实交易而开具发票，或者开具与实际交易不符的发票。这是目前税务稽查打击的重点。

典型案例：某企业为了多抵扣进项税，从空壳公司购买了大量增值税专用发票，价税合计500万，抵扣进项税65万。但这些发票对应的交易根本不存在，没有合同、没有资金流、没有货物流。税务局通过大数据比对发现异常，查处后补税65万+滞纳金+罚款195万（3倍），合计超过260万。

虚开发票的法律后果非常严重。刑法第二百零五条规定，虚开增值税专用发票，税款数额较大（50万以上）或者有其他严重情节的，处三年以上十年以下有期徒刑，并处五万元以上五十万元以下罚金。

2. 隐匿收入

通过私人账户收款、现金交易不记账、阴阳合同等方式隐瞒实际收入。

典型案例：某餐饮企业在收银系统外另设一套手工账本，每天现金收入的60%不入系统，通过老板个人微信收款。税务稽查时，调取了老板个人银行账户流水，发现3年内通过微信、支付宝收取的餐费收入超过800万未申报纳税。补税+滞纳金+罚款合计超过400万。

金税四期上线后，税务局能通过银行流水、第三方支付数据、发票数据、工商登记信息等多维度比对，发现隐匿收入的能力大幅提升。用个人卡收公款，几乎等于主动向税务局报告：”快来查我”。

3. 虚构成本费用

没有真实业务支撑的成本费用入账，或者把个人消费包装成企业经营费用。

典型案例：某企业老板把个人购房款200万通过公司账户支付，记为”管理费用-咨询服务费”，并取得了空壳公司开具的发票。税务稽查时发现，这家”咨询公司”没有实际经营、没有员工、没有办公场地，是专门用来开发票的壳公司。最终200万费用被调出，补税50万+滞纳金+罚款。

常见的虚构成本还包括：虚列工资（编造员工名单、虚报人数）、虚列业务招待费（根本没有招待活动）、虚列研发费用（把日常费用包装成研发费用）等。

4. 骗取税收优惠

虚构条件享受本不应享受的税收优惠。

典型案例：某企业为了享受高新企业15%的优惠税率，伪造了研发费用台账、编造了研发人员名单、PS了知识产权证书。高新认定时蒙混过关，享受了3年优惠税率。税务稽查时，发现所谓”研发人员”中有行政前台和保洁阿姨，”专利”根本不存在。最终不仅补税（差额部分）+滞纳金+罚款，还被取消了高新资格，三年内不得重新申请。

2024年税务稽查重点之一就是”骗取税收优惠”，尤其是高新企业、小微企业、加计扣除等优惠领域的虚假申报。

安全合规的做法

区分税务筹划和偷税，其实很简单：

• 所有筹划必须有真实业务背景：合同、发票、资金流、货物流（或服务交付记录）四流一致，缺一不可
• 不能虚构交易主体：不要为了凑小微企业门槛而人为拆分业务，不要为了享受西部优惠而虚设注册地址
• 不能隐瞒真实收入：所有经营性收入走对公账户，如实申报纳税。个人卡收款是红线，不要碰
• 不能虚构成本费用：入账的费用必须是真实发生、与企业经营相关的。个人消费、无关支出不能入账
• 专业的事找专业的人：税务筹划不是老板自己拍脑袋就能做的，要找有资质的税务师事务所或会计师事务所。那些承诺”包税””绝对安全””税务局有关系”的，多半是骗子

江苏南通那家纺织品企业的老板，后来怎么样了？案子还在法院审理中，但补税+滞纳金+罚款已经超过2000万，企业资金链断裂，供应商和客户纷纷解约。他说了一句话我印象很深：”那个税务筹划师收了我5万块咨询费，我付出了2000万的代价。合法的筹划省下的是税钱，违法的筹划赔掉的是企业命。”

税务筹划的本质是在法律框架内，通过合理的商业安排降低税负。它不是 magic，不是钻空子，更不是欺骗。离开真实业务谈节税，离开合法手段谈优化，都是偷税的另一种说法。

---

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

添加微信备注”咨询”，工作日当天回复

河南郑州有个做建材批发的个体户老张，经营了5年，年销售额从30万做到了300万。税务专管员找到他，说规模大了建议转成有限责任公司。老张一算，转成公司后之前按个体户核定征收交的税能不能退回重按公司查账征收计算？他跑去税务局问了三次，得到的答案都是：不能退。税不重征原则下，已缴税款不退。但老张不死心，又问了会计师事务所，会计师给了他另一个思路：虽然不能退税，但个体户注销前的存货和固定资产可以评估作价入股新公司，折旧在新公司继续抵扣。

个体户转公司，之前的税为什么不能退

这是很多人关心的问题。我先把结论放前面：个体户转成公司后，之前按个体户身份缴纳的税款，原则上不能退回重新按公司身份计算。

核心依据是《税收征收管理法》的税不重征原则。税款一旦缴纳，即视为纳税义务已经履行完毕。个体户和公司虽然是同一批人在经营，但在税法上是两个独立的纳税主体。个体户期间的纳税义务已经履行，不能因为后续组织形式变更而追溯调整。

具体来说：

• 个体户按核定征收交的增值税、个人所得税（经营所得），属于个体户这一纳税主体的义务，与公司无关
• 个体户按查账征收交的税款，同样是基于个体户的财务核算结果，不能转为公司的税务调整
• 即使个体户期间有些成本费用没充分扣除，也不能在转成公司后补扣

老张的个体户是按核定征收，年销售额300万，税务机关核定应税所得率为10%，即应纳税所得额为30万，适用个人所得税经营所得税率，全年交了约4.5万个税。转成公司后，如果按查账征收，同样的利润可能需要交企业所得税（小微企业优惠税率5%）加股东分红个税（20%），综合税负可能更高。

虽然不能退税，但可以这么做

虽然税款不能退，但个体户注销时有一些资产处置策略，可以在新公司继续享受税务利益。

策略一：存货评估作价入股

个体户注销前如果有库存商品，可以聘请专业评估机构对存货进行公允价值评估，然后将存货以评估价值作为出资投入到新公司。新公司在取得这些存货时，按评估价值入账，后续销售时可以按较高的入账价值结转成本，降低应纳税所得额。

比如老张个体户注销前有100万库存建材，账面成本80万。评估后公允价值90万，以90万入股新公司。新公司账上存货成本就是90万，比原来的80万多了10万成本空间，后续销售时可以多抵扣10万成本。

但要注意，评估价值不能明显偏离市场价格，否则税务机关可能进行纳税调整。《企业所得税法实施条例》第七十五条规定，通过非货币性资产交换取得的资产，以公允价值和支付的相关税费为计税基础。

策略二：固定资产转移

个体户注销前如果有设备、车辆、办公设备等固定资产，同样可以评估作价入股新公司。新公司取得固定资产后，按评估价值计提折旧，在企业所得税前扣除。

老张有一辆2019年买的商务车，原值25万，已提折旧15万，账面净值10万。评估后公允价值12万，以12万入股新公司。新公司账上固定资产入账价值12万，重新计算折旧年限（比如还有3年），每年可折旧4万，在新公司的企业所得税前扣除。

如果按原来的账面净值10万继续折旧，每年只能折旧约3.3万。评估作价后每年多扣了7000元成本，三年下来多抵扣2.1万，按小微企业5%税率算，少交企业所得税1050元。虽然不多，但还有其他设备、办公家具的累积效应。

策略三：应收应付清理

个体户注销前要尽量清理应收应付账款。应收账款收不回来，可以在个体户注销前做坏账处理，作为损失在个体户最后一期的经营所得中扣除。应付账款如果不需要再支付了，要做营业外收入处理，避免遗留到新公司产生税务风险。

老张个体户注销前有笔5万的应收账款，客户已经失联三年了，基本收不回来。他在注销前做了坏账核销，把这5万作为损失扣除了，少交了个税约7500元。

转换时机的选择

个体户转公司的时机选择有讲究。建议在财务年度末（12月31日）进行，原因有几个：

• 便于税务清算：个体户的税务年度是自然年度，年底注销可以完整核算一年的收入、成本、费用，税务清算比较干净
• 避免跨期收入：如果年中转换，当年的收入要分段按不同主体申报，容易遗漏或重复
• 资产盘点方便：年底本来就是盘点的时机，存货、固定资产的评估作价有盘点数据支撑，更容易被税务机关和评估机构认可
• 工商变更衔接：年初注册新公司，可以完整跑一个财务年度，税务申报、年报、汇算清缴都比较顺畅

老张是在3月份转的，结果个体户第一季度的经营所得和新公司第一季度的企业所得税都要申报，税务局系统里有两个主体同时存在，财务做账特别麻烦。如果年底转，12月注销个体户、1月注册新公司，财务年度清晰分割，省心很多。

转公司后的税负变化

很多个体户担心转公司后税负会增加。实际情况是：小规模个体户和小微公司的税负差异没有想象中大。

个体户的经营所得个人所得税：核定征收模式下，税负通常控制在1%-3%（含增值税）。查账征收模式下，适用5%-35%的五级超额累进税率，但实际税负通常在5%-15%。

小微企业：增值税（小规模纳税人1%或3%）+企业所得税（年应纳税所得额300万以内实际税负5%）+股东分红个税（20%）。如果利润全部分红，综合税负约25%-26%。但如果利润留存用于再投资，只需要交企业所得税5%，不分红就不用交20%个税。

所以对于利润高、需要再投资的企业，公司的税负反而可能更低。个体户的收入全额按个税交，公司可以把利润留在企业继续发展，只交5%企业所得税。

老张后来算了笔账：个体户年销售额300万，核定征收下全年税负约8万（增值税+个税）。转成公司后，如果利润100万，企业所得税5万，增值税3万（1%征收率），总计8万。如果利润更高，公司的税负优势更明显。

他说了一句话我觉得挺实在：转公司不是为了省税，是为了做大。个体户的天花板太低，签不了大合同、开不了专票、融不到资。税能不能退不重要，重要的是能不能往上走。

---

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

添加微信备注”咨询”，工作日当天回复

北京一位自媒体写手，运营了一个技术类公众号3年，写了200多篇原创文章。去年发现有人把他的文章整理成电子书在电商平台卖，一怒之下想起诉。去公证处做证据保全，公证员问他：你的文章登记过著作权吗？他说没有。公证员叹了口气：没有登记也可以维权，但举证难度会大很多。最后这位写手花了2万多块做公证、整理证据、请律师，官司赢了但只赔了8000块，还不够成本。

著作权登记的本质是什么

很多人以为著作权登记是”申请权利”，其实不对。《著作权法》第二条明确规定：中国公民、法人或者其他组织的作品，不论是否发表，依照本法享有著作权。也就是说，你的作品从创作完成那一刻起就自动享有著作权，不需要登记。

那么著作权登记有什么用？它的本质是权属证明。登记证书是国家版权局对你作品创作完成时间、作者身份、作品内容的一种官方确认。在维权时，登记证书可以作为初步证据，大大简化举证流程。

那位北京写手如果有著作权登记证书，维权时只需要出示证书，不需要再花大力气证明自己是作者、证明创作时间。举证成本从2万降到2000块，赔偿比例也会提高。

这5种情况，著作权登记必须做

情况一：软件产品上架应用商店

苹果App Store、华为应用市场、小米应用商店等主流平台，都要求开发者提供软件著作权证书作为上架审核材料。没有软著，你的APP根本上不了架。

这不是平台在刁难你，而是应用商店需要确认上架的软件不侵犯第三方知识产权。软著证书是最直接的权属证明。

情况二：申请高新技术企业认定

高新技术企业认定要求企业拥有一定数量的自主知识产权。软件著作权属于II类知识产权，6件以上可以和高新技术产品收入占比等指标一起构成认定条件。

很多软件开发公司，发明专利授权周期长（2-3年），等不及高新认定的时间窗口。软著从申请到授权最快1个月，是凑知识产权数量的最快途径。

情况三：维权诉讼或行政投诉

发现作品被盗用、抄袭、非法传播时，著作权登记证书是维权的核心证据。法院在审理著作权侵权案件时，登记证书可以作为权属初步证明，对方要反驳必须提供相反证据。

2024年北京知识产权法院审理的著作权案件中，持有登记证书的原告胜诉率约为78%，未登记的约为52%。差距很明显。

情况四：知识产权质押融资

企业需要融资但缺乏固定资产抵押时，可以用知识产权质押。著作权登记证书是质押的必要材料，银行或担保机构需要确认质押物权属清晰。

2023年深圳有一家企业用5件软件著作权质押，获得了300万贷款。如果没有登记证书，这些知识产权就是”无主资产”，银行不敢接受。

情况五：招投标加分项

很多政府项目或大型企业采购的招标文件中，知识产权数量是评分项。每件软著可以加1-3分，累积起来可能就是中标和落标的差距。

我认识一个做政务软件的公司，为了冲一个300万的标，一个月内突击申请了12件软著，最终知识产权评分拿了满分，以0.5分的优势中标。

这3种情况，著作权登记不值得

情况一：个人博客文章或社交媒体内容

如果你只是在公众号、知乎、头条写写文章，没有商业化计划，登记著作权的意义不大。维权成本高、收益低，除非文章被大规模盗用，否则不值得为每篇文章花300-500块登记费。

情况二：内部培训材料或企业内部文档

不对外公开的内部材料，被侵权的可能性极低。即使泄密，内部追责和保密协议比著作权登记更有效。

情况三：短期使用的营销素材

一次性活动的海报、文案、短视频，使用周期短、传播范围有限，登记成本高于潜在损失。除非这些素材是品牌核心资产（如企业logo、吉祥物、品牌故事），否则不必登记。

登记的成本与流程

软件著作权登记官费为0元（已取消），但实际操作中通常需要代理费800-1500元。普通作品著作权登记（文字、美术、音乐等）官费300元/件，系列作品第二件起100元/件。

流程：准备材料→在线提交→形式审查（30个工作日左右）→发证。材料要求因作品类型而异，软件需要源代码和说明书，文字作品需要稿件全文，美术作品需要高清图片。

加急通道可缩短至3-20个工作日，费用另加2000-5000元。

什么时候登记最合适

著作权登记的最佳策略是”按需分批”，而不是”全部一窝蜂”：

• 核心产品（软件、品牌IP）——登记优先，这是公司的命根子
• 商业化内容（课程、电子书、工具）——上架前登记，防止被盗版
• 常规营销内容——视情况，高传播度的再登记
• 内部材料——一般不登记，靠保密协议和权限管理

那位北京的自媒体写手，后来把他的公众号文章分批做了著作权登记，花了6000多块登记了50篇核心文章。他说了一句话我觉得挺实在：登记不是万能的，但没有登记，你连维权的入场券都拿不到。

---

需要相关服务？联系我们免费咨询

九五星球企服提供公司注册、代理记账、商标注册、财税咨询、高新申报、网站开发等一站式企业服务。可以先免费咨询看看，觉得合适再合作，不推销。

官网：www.95planet.com

免费小工具推荐：

• 公司起名工具—起名字再也不用拍脑袋
• 经营范围推荐—输入行业自动给建议
• 财务风险体检—快速排查隐患
• 代理记账价格计算器—明明白白算价格

联系方式：

• 电话/微信：18910232032
• 扫码添加专业经营合规顾问，免费咨询↓

添加微信备注”咨询”，工作日当天回复