西和一家做半夏饮片加工的企业负责人说，有公司上门推销安全服务，一年两万八，说没有这层防护迟早被黑。他拿不准，拿来问我是不是真值这个价。我看了眼方案，一半是吓唬人的词，一半是把基础操作包装成了高级服务。安全这钱该花，但不能糊涂花。
基础防护花小钱
陇南中小企业的基础防护，就三样：防火墙，云服务器自带的免费开起来就行，别浪费；系统补丁，每月让人更新一次，堵住新窟窿；强密码加定期更换，一分钱不花。这三样做到位，能挡住九成的常规扫描和撞库攻击。西和这家按我说的做了，一年总花费不到八百块，比两万八的方案实在多了，效果还真不差。
增值服务看需求
剩下的钱花不花，看你的业务性质。网站涉及在线支付的、存了大量客户隐私的、被攻击过一次的，可以上Web应用防火墙和定期渗透测试，一年三五千。纯展示型官网，真没必要堆这些，防护等级要跟数据价值匹配，账本丢了才是大事，门面脏了擦擦就行。西和做中药材生意的老板，多半都卡在这一层的选择上，问清楚再掏钱不迟。
日常维护是隐藏成本
防护不是装完就完事。日志要有人看，异常登录要有人管，补丁要有人打。这些活要么指定自己人兼着，每周花一小时；要么放进运维合同，让服务商按月巡检。最怕的是装了防火墙就以为万事大吉，没人看的防护，跟没装差不了多少，贼换了个姿势进来你都不知道。
被吓唬时的判断法
再有人上门推销安全服务，你就问三个问题：我的网站目前有什么具体漏洞？你们的服务解决其中哪几个？做完效果怎么验证？答得具体的，可以坐下来谈；张口就是大势所趋、不出事则已一出事就是大事的，摆手送客。拿恐惧做销售的话术，本身就值得警惕，好服务从来靠证据说话，不靠吓人。
总结
安全防护的账：基础三件套八百块，增值服务看数据价值，日常巡检别断档。西和这家按这个思路配置，一年花了两千出头，负责人睡得着了。你要是也碰到过上门推销的，把这三个问题记下来，下次照着问。安全是自己的事，钱花明白，觉才睡得踏实，这个道理到哪都说得通。