#security
美国国税局（IRS）2026年'肮脏12宗罪'清单标记出一波专门针对薪资系统的网络钓鱼攻击：伪造的HR门户邮件和直接存款变更请求，把员工的薪水转到了诈骗者的账户。FBI的互联网犯罪投诉中心（IC3）在2025年记录了24,768起商业邮件诈骗（BEC）投诉，涉及金额约30.5亿美元，其中86%的损失通过电汇或ACH转账完成——而这正是薪资发放所使用的同一条资金通道。本文将介绍三个警示信号（紧迫感、异常请求、流程变更）、五项能堵住“仅凭邮件”漏洞的流程管控措施，以及薪水一旦被劫持后最初72小时的应对方案。
密苏里州HB 974于2025年7月2日签署、2026年1月1日生效，将NAIC保险数据安全示范法适用于该州几乎所有的保险持牌人——要求建立书面安全计划、开展年度风险评估、制定事件响应计划、加强供应商监管，并在四个工作日内向监管机构报告数据泄露。
NIST 于2026年4月发布的草案CSWP 50，是首份明确面向"无雇员企业"——即美国2800多万家零雇员企业——撰写的联邦网络安全指南。本文介绍它与2009年旧指南相比有何变化、CSF 2.0 的六大职能如何转化为单人企业可执行的做法，以及一份可以今天就开始执行的30分钟检查清单。
2026 年 TIGTA 审计发现，国税局的外部扫描承包商在限制性纳税人文件区域发生了 1,375 次未经授权的进入，且关键漏洞平均 223 天未修补。以下是监督机构发现了什么、国税局如何回应，以及那些能降低你风险的具体步骤——IP PIN 注册、尽早报税、电子报税。
目前有73%的会计师事务所在使用 AI 工具，但只有37%接受过任何正式的 AI 培训；员工将客户数据粘贴进消费级聊天机器人，可能触发 AICPA《客户机密信息规则》下的数据泄露通知义务——本文介绍一份适用于小型会计师事务所、切实可行的两页 AI 政策应该包含哪些内容。
一家同时提供固定范围静态审计、按小时计费修复服务和转售SAST订阅的代码审计公司，在同一实体下运行着三种不同的ASC 606收入确认规则——时点确认、按履约进度确认和按期分摊确认。本指南涵盖如何设置会计科目表来区分这些业务，委托人与代理人的测试方法以确定转售利润，以及一个包含未实现收入、未开票应收账款和订阅利润的客户业务实例。
Chase 于 2026 年初推出密钥登录和信任联系人功能，以应对 AI 语音克隆欺诈——此类欺诈平均给小企业每起事件造成 $30,000 至 $400,000 的损失。
对于一家 10 到 50 人规模的 SaaS 公司来说，第一年的 SOC 2 Type II 报告通常总共需要花费 $25,000–$80,000，其中审计费本身只占约 40%——剩下的部分由内部人力和准备工作构成。
CIRCIA要求受监管实体在72小时内向CISA报告重大网络安全事件，并在24小时内报告勒索软件赎金支付，最终规则预计于2026年秋季发布，覆盖范围预计将达到16个关键基础设施行业中超过30万家机构。
美国联邦调查局网络犯罪投诉中心（IC3）报告显示，2025年商业邮件诈骗（BEC）造成的损失达30.5亿美元，而只有25%的小企业设有举报机制，相比之下大企业的这一比例为85%——本文详解供应商冒充、工资转账诈骗和支票诈骗的运作方式，以及在电汇打出之前阻止它们的控制措施。
据估计，全部比特币中有20%因持有者去世时未分享私钥而永久无法访问，这是一份实用指南，教你在危机发生之前依据RUFADAA法案盘点域名、加密货币钱包和云账户。
2026年7月1日，康涅狄格州将其隐私法适用门槛降至3.5万名居民，阿肯色州根据ACTOPPA禁止向未成年人投放定向广告，犹他州新增了数据更正权——比以往任何时候都有更多小企业被纳入监管范围。
