回答供应商 WiFi 安全问卷：包含待附证据的检查清单

使用此工具评估供应商 WiFi 安全问卷的范围。针对包含 60 个问题且包含 70% 可复用证据的问卷，它可以缩短 14.5 小时的工作时间。在这些问题中，有 18 个需要提供最新证据。该清单将每个问题映射到要附加的文档，从身份验证设置和访问日志到 ISO 27001 证书和 PCI DSS 隔离记录。

此 WiFi 安全问卷工具有何作用？

网络团队收到供应商 WiFi 安全问卷时，通常只有明确的截止日期，却缺乏上下文信息。这些问卷可能来自企业客户、支付合作伙伴、保险公司、特许经营商或您自己的采购团队。审查问题往往大同小异。然而，相关证据却分散在多个控制台和多个收件箱中。

此工具可将这些繁琐事务转化为有序计划。它包含两个部分，每部分都能提供可操作的明确结果：

• 工作量计算器提供三项数据：完成 WiFi 部分所需的小时数、需要最新证据的问题数量，以及常备证据包为您节省的小时数。
• 证据清单按网络归类并列出需存档的文档。使大多数问题的解答变为直接查询，而非一个繁重项目。

每个问题都映射到三种网络类型之一，或映射到治理：

• 开放网络承载访客和自带设备 (BYOD) 的接入。他们通过强制门户接入，即设备连接前用于控制访问权限的网页。
• 安全网络使用 IEEE 802.1X 承载员工接入，该标准要求每个设备在获取地址前先进行身份验证。
• xPSK 网络为每个设备或住户提供单独的预共享密钥。单个密钥泄露绝不会危及其他所有人。

在这三种网络上，身份信息决定了设备进入的逻辑网络切片，即 VLAN。

{"kind":"flow","direction":"lr","caption":"WiFi 安全问卷从收到到形成更完整证据包的流转过程","alt":"问卷流转流程：从收到问卷，经过打标签、证据匹配、最新采集和签署，最后循环反馈以更新常设证据包。","nodes":[{"id":"a","label":"收到问卷","sub":"来自客户、保险公司、合作伙伴或审计人员","tone":"neutral"},{"id":"b","label":"为每个问题打标签","sub":"开放网络、安全网络、xPSK 或治理","tone":"brand"},{"id":"c","label":"匹配常设证据包","sub":"带有日期的导出数据、截图、证书","tone":"brand"},{"id":"d","label":"采集最新证据","sub":"抽样站点、离职人员测试、网络分段证明","tone":"neutral"},{"id":"e","label":"负责人审核并签署","sub":"每个回答均引用所附证据","tone":"neutral"},{"id":"f","label":"返回并更新证据包","sub":"新证据加入证据包以备下次使用","tone":"success"}],"edges":[{"from":"a","to":"b"},{"from":"b","to":"c"},{"from":"c","to":"d","label":"存在缺口"},{"from":"c","to":"e","label":"已覆盖"},{"from":"d","to":"e"},{"from":"e","to":"f"},{"from":"f","to":"c","label":"下一次审核","style":"dashed"}]}

这种循环正是关键所在。您回答的每一份问卷都应该让证据包更加丰富，从而降低下一次问卷的解答成本。

这些证据均来自您已在运行的控制台：

• Cisco Meraki Dashboard
• HPE Aruba Central
• Ruckus SmartZone
• Juniper Mist
• Ubiquiti UniFi Network 应用程序

除了上述工具外，Purple Access 还能为您跨开放网络、安全网络和 xPSK 网络提供可见性与报告分析。

如何使用计算器和证据清单？

首先使用计算器。统计 WiFi 部分的问题数量。然后估算您能够根据已有证据（日期在上一季度内）回答的问题比例。在第二个输入项中请如实填写。去年未标注日期的截图不能作为可重复使用的证据。

{"title":"WiFi 安全问卷工作量计算器","intro":"请输入 WiFi 部分的规模以及您现有的证据包所涵盖的比例。它将计算出回答所需的时间、需要最新证据的问题数量以及证据包节省的时间。","inputs":[{"id":"questions","label":"问卷中的 WiFi 问题数","unit":"个问题","default":60,"min":5,"max":400,"step":1},{"id":"reuse","label":"可从历史证据包中引用的比例","unit":"%","default":70,"min":0,"max":100,"step":5},{"id":"reusetime","label":"从证据包中回答每道题所需的分钟数","unit":"分钟","default":6,"min":1,"max":60,"step":1},{"id":"freshtime","label":"每道需要最新证据的问题所需的分钟数","unit":"分钟","default":30,"min":5,"max":240,"step":5},{"id":"sites","label":"审核人员抽样的站点数","unit":"个站点","default":4,"min":0,"max":50,"step":1},{"id":"sitetime","label":"每个抽样站点收集证据所需的分钟数","unit":"分钟","default":20,"min":5,"max":120,"step":5}],"outputs":[{"id":"hours","label":"完成 WiFi 部分的总小时数","expr":"(questions*reuse/100*reusetime+questions*(100-reuse)/100*freshtime+sites*sitetime)/60","format":"decimal1","unit":"小时"},{"id":"fresh","label":"需要最新证据的问题数","expr":"ceil(questions*(100-reuse)/100)","format":"int","unit":"个问题"},{"id":"saved","label":"常备证据包节省的小时数","expr":"questions*reuse/100*(freshtime-reusetime)/60","format":"decimal1","unit":"小时"}],"example":"假设有 60 道问题、70% 可复用，每道题分别耗时 6 分钟和 30 分钟，4 个抽样站点各耗时 20 分钟，计算结果为：总耗时 14.5 小时，18 道问题需要最新证据，共节省 16.8 小时。","assumptions":["时间数据仅为示范性规划估计，非 Purple 基准值：请根据实际情况自行替换。","可复用意味着该证据产生于上一季度内，且有指定的负责人。","站点耗时包括控制台截图和一次样本日志导出。","不包含审核人员后续跟进轮次的时间。"]}

接下来的工作是逐项核对清单。这是您的常备证据包，已按网络分组。将其下载为 CSV 文件，并为每一行指定一名负责人。然后记录上次截取各项证据的日期。

{"title":"常态化 WiFi 审计证据包","groups":[{"heading":"治理与供应商证据","items":[{"text":"Purple ISO 27001 证书及适用范围声明"},{"text":"Purple Cyber Essentials 证书"},{"text":"涵盖 GDPR 项下 Captive Portal 数据的数据处理协议"},{"text":"本季度更新的 SSID、VLAN 及互联网出口网络拓扑图"}]},{"heading":"安全网络：员工","items":[{"text":"员工 SSID 配置为 WPA2- 或 WPA3-Enterprise 结合 802.1X 的控制台截图"},{"text":"显示 EAP-TLS 及每个组返回的 VLAN 的 RADIUS 策略导出文件"},{"text":"身份提供商连接：Microsoft Entra ID、Okta 或 Google Workspace"},{"text":"带时间戳的离职人员测试：账号停用、权限撤销及对应的两个时间戳记录"},{"text":"RADIUS 服务器证书到期日期及续订负责人"},{"text":"下发设备证书的 MDM 配置文件"}]},{"heading":"xPSK 网络：设备与居民","items":[{"text":"密钥清单导出：每个设备或居民对应一个密钥及其 VLAN"},{"text":"已删除密钥的撤销记录"},{"text":"无头设备（如扫描枪和标牌）密钥的轮换规则"}]},{"heading":"开放网络：访客与 BYOD","items":[{"text":"显示访客无法访问员工或支付网络的 VLAN 及防火墙规则"},{"text":"无线 AP 控制台中的客户端隔离设置"},{"text":"Captive Portal 条款文案及一份示例同意记录"},{"text":"最新的 PCI DSS 网络分段测试结果（若门店涉及刷卡业务）"}]},{"heading":"日志与监控","items":[{"text":"包含时间戳的 Purple Access 认证日志导出示例"},{"text":"明确的日志留存期限及接收日志的 SIEM 平台"},{"text":"无线控制器生成的伪造接入点（Rogue AP）报告"},{"text":"指定的安全事件联系人及升级响应路径"}]}],"download":{"filename":"wifi-questionnaire-evidence-pack.csv"}}

检查清单中使用了几个值得定义的术语：

• RADIUS (RFC 2865) 是将认证请求从接入点传输到服务器的协议。
• EAP-TLS (RFC 5216) 使用证书而非密码对每台设备进行身份验证。
• MDM 即移动设备管理，是将这些证书下发到设备的系统。
• SIEM 是您的安全信息和事件管理平台。

请删除与您未运行的网络相关的组。如果没有 xPSK 网络，这三行即可删去。任何 xPSK 相关问题均可填为“不适用”并附上一行说明。

{"tone":"warning","title":"附件上传前请进行脱敏处理","text":"请从所有导出文件和截图中抹去 RADIUS 共享密钥、预共享密钥及证书私钥。问卷回复的传播范围往往远超提出调取的审核人员。"}

实际案例：拥有 140 家门店的零售商的 60 个问题评估

以下物业情况仅作说明用途，非具体 Purple 客户。该零售集团拥有 140 家采用 Cisco Meraki 的门店，以及一个采用 HPE Aruba 的总部。某支付合作伙伴发送了一份包含 60 个 WiFi 相关问题的供应商安全评估表。

该集团运行以下全部三种网络：

• 开放网络： 购物者通过强制门户使用自己的 VLAN 接入网络。
• 安全网络： 员工通过针对 Microsoft Entra ID 的 EAP-TLS 接入网络。
• xPSK： 手持扫描仪和数字标牌各自拥有独立的密钥。

输入项	数值	依据
WiFi 问题数	60	统计自调查问卷
资料包可回答的比例	70%	42 个问题可匹配到带日期的文档
每个复用答案耗时（分钟）	6	粘贴、核对日期、指定责任人
每个新答案耗时（分钟）	30	收集、隐去敏感信息、撰写、复核
抽样站点数	4	三家门店和总部
每个抽样站点耗时（分钟）	20	控制台屏幕截图加日志导出
基于上述输入，计算器得出的总耗时为 14.5 小时：

• 42 个复用答案耗时 4.2 小时。
• 18 个新答案耗时 9 小时。
• 4 个抽样站点增加约 1.3 小时。

如果没有资料包，相同的章节将耗时 31.3 小时。仅此一次复核，资料包即可节省 16.8 小时。

哪些 18 个问题需要新的证据？在本例中，大多数问题涉及具体站点或采用了最新措辞。复核人员需要资料包中未包含的三项内容：

• 带日期的离职员工测试。
• 抽样门店的访客到支付网络隔离证明。
• 书面的日志留存期限说明。

下表将典型问题与附加的证据进行了映射。请下载该表格并添加您自身复核人员的措辞。

{"caption":"常见 WiFi 调查问卷问题及需附带的证明材料","asOf":"2026-06-10","columns":[{"key":"q","label":"审核人员提问方式"},{"key":"net","label":"网络"},{"key":"ev","label":"需附带的证明材料"}],"rows":[["无线接入是否按个人进行身份验证？","安全","显示 802.1X 的 SSID 截图；显示 EAP-TLS 的 RADIUS 策略导出文件"],["是否使用共享的 WiFi 密码？","xPSK、安全","显示每个设备单项密钥的密钥清单；员工使用 802.1X"],["如何从 WiFi 中删除离职人员？","安全","带日期的离职人员测试记录与身份提供商记录"],["访客流量是否与内部系统隔离？","开放","VLAN 映射图、防火墙规则与客户端隔离设置"],["WiFi 是否可以触及持卡人数据环境？","全部三种","最新的 PCI DSS 隔离测试结果"],["使用何种加密保护企业 WiFi？","安全","SSID 安全设置：WPA2- 或 WPA3-Enterprise"],["WiFi 接入日志保存多长时间？","全部三种","书面保存期限说明及日志导出样例"],["您是否会检测未授权接入点（Rogue AP）？","全部三种","控制器生成的未授权接入点报告"],["如何处理来自访客 WiFi 的个人数据？","开放","Captive Portal 同意书条款与数据处理协议"],["您的 WiFi 服务商具备哪些认证？","治理","Purple ISO 27001 与 Cyber Essentials 认证证书"]],"footnote":"每个回答都阐述了一项控制措施并附上了证明材料。是否达标的认定权归评估人员所有。","download":{"filename":"wifi-questionnaire-question-map.csv"}}

请观察证明材料列中的措辞。每个回答都阐述了一项控制措施并附上了证明材料。没有任何一项直接声称该网络环境完全符合标准。这样一来，即使审核人员进行追问，您的回答也依然经得起推敲。

14.5 小时这一数字是如何计算出来的？

计算器将三块工作内容相加，然后除以 60，将分钟转换为小时：

1. 复用答案： 问题数 × 复用比例 × 每条复用答案所需分钟数。在默认设置下为 42 × 6 = 252 分钟。
2. 全新答案： 问题数 × (100% - 复用比例) × 每条全新答案所需分钟数。在默认设置下为 18 × 30 = 540 分钟。
3. 抽样站点： 站点数 × 每个站点所需分钟数。在默认设置下为 4 × 20 = 80 分钟。

总计为 872 分钟，即 14.5 小时。全新问题的数量向上取整，因为即使问题已被部分覆盖，仍然需要提供单独的证明材料。

节省小时数的输出将复用答案按全新答案的价格进行计算：42 × (30 - 6) ÷ 60 = 16.8 小时。将 16.8 加上 14.5，即可得出从零开始回答所需花费的 31.3 小时成本。

复用比例是关键杠杆：

• 面对 60 个问题时，复用率每提高 10 个百分点即可节省 2.4 小时。
• 将复用率从 70% 提升至 90%，可将该环节耗时从 14.5 小时缩短至 9.7 小时。
• 除非审核人员要求提供来自众多场所的证明材料，否则抽样站点几乎不会改变总体耗时。

所有时间数据均为本示例的规划估算值，并非 Purple 的基准指标。建议在您对实际问卷进行计时后替换这些数据。如果评审人员询问您如何设定响应日期，请向其分享这些假设条件。

{"tone":"tip","title":"为下一次问卷计时","text":"记录您在下一次问卷中回答每个问题所花费的分钟数。将这些数据输入计算器，您的估算将不再是凭空猜测。"}

如何根据我的网络资产调整清单？

根据眼前文档设置输入参数

请统计实际问卷中的 WiFi 问题数量，而不是根据标题进行猜测。标准化表单与定制客户审查的长度差异很大。只有在将每个问题与清单中带有日期标记的行相匹配后，才能设置复用率。

多厂商网络资产

请规划每个控制台一个抽样站点，因为评审人员通常希望查看每个平台的截图。同时拥有 Cisco Meraki 和 HPE Aruba 的网络资产至少需要两个抽样站点。如果增加 Juniper Mist 或 Ubiquiti UniFi 站点，输入参数也会随之增加。

各个控制台中需要捕获的设置完全相同：

• SSID 安全模式。
• SSID 所指向的 RADIUS 服务器。
• 动态 VLAN 分配，其使用 RFC 3580 中的 RADIUS 隧道属性。

特许经营和托管网络资产

如果特许经营商拥有接入点（AP），中央证据将仅覆盖策略。请调低站点问题的复用率，并增加抽样站点分钟数。收集特许经营商的截图需要花费更多时间。

行业垂直领域会改变适用范围内的网络

关键网络取决于连接的对象：

• 酒店住宿： 访客使用开放网络，员工使用安全网络。Whitbread 基于 Purple 运行隔离的员工 WiFi。
• 多租户网络资产 例如长租公寓（BTR）和学生公寓：居民通常使用 xPSK。请准备好应对关于居民与居民之间隔离的问题。
• 零售业： 评审人员重点关注购物者网络与支付系统之间的 PCI DSS 合规隔离。
• 医疗保健： 患者和访客使用开放网络。医疗设备通常使用 xPSK。

为每个评审人员保留一列表述方式

在下载的 CSV 文件中，为每位评审人员的表述习惯各添加一列。不同的评审人员会用不同的语言询问同一个问题。将他们的表述映射到同一个资产，就是下次提高复用率的关键。

在下一次审查前，我应该如何处理结果？

根据三个区间评估输出的总小时数：

• 10 小时以下： 资源包处于健康状态。建议每个季度刷新带有日期标记的行。
• 10 至 20 小时： 按网络排查新问题的集中区域。
• 20 小时以上： 说明资源包过于薄弱，或者某个网络存在任何截图都无法弥补的结构性差距。

如果新问题集中在员工网络上，请检查该网络是否运行在共享密码上。共享密钥无法证明个人访问权限或离职人员账号的彻底清除。

修复方案无需任何新硬件：

1. 将员工迁移至安全网络上的员工 WiFi。
2. 将 SSID 设置为 WPA2- 或 WPA3-Enterprise。
3. 将其指向 Purple 的云 RADIUS。
4. 由身份提供商决定 VLAN。

我们的多门店餐饮集团 802.1X 指南 详细介绍了跨数百个位置的部署流程。对于整个企业而言，设备证书的 MDM 配置仅需 5 到 10 分钟，且只需设置一次。

{"tone":"proof","text":"McDonald's 使用 Purple 后，IT 服务台请求减少了 80%。JPMorgan 在 5,000 个分派机构中使用 Purple 运行员工 WiFi，Whitbread 则在 Purple 上运行分段的员工 WiFi。"}

清单中还需要包含另外两项检查：

• 证书过期日期。 过期的 RADIUS 服务器证书会导致员工无法连接，并将通过的审查变成安全事件。我们关于已过期的 RADIUS 服务器证书 的指南涵盖了恢复方案。请将续订日期添加到资料包中。
• 更广泛的全局视角。 欲了解问卷之外的整体安全状况，请阅读企业 WiFi 安全指南。

常见问题

这是否适用于我们现有的接入点？

是的。Purple Access 作为云端叠加层，支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您只需在现有的控制台中，将 SSID 的 RADIUS 设置和 Captive Portal 指向 Purple 即可。无需购买新硬件。证明资料包中的截图来自您团队每天打开的相同控制台。Purple 已在 90 个国家的 80,000 多家场所中运行。

我们应该如何表述有关 PCI DSS 和 GDPR 的回答？

先描述控制措施，然后附上相应的证明文件。写明“访客流量位于独立的 VLAN 上，没有通往支付网络的路由；已附上隔离测试”。避免使用您已符合标准的笼统声明。评估人员会决定是否符合 GDPR 或 PCI DSS 的要求。您的工作是提供带有日期证明和每个回答的指定负责人的证据，以便快速完成该判断。

构建常备证明资料包需要多长时间？

大约与从零开始回答一份问卷的时间相当。按计算器的默认值计算，在不复用的情况下回答 60 个问题（包括四个抽样站点）需要 31.3 小时。在此之后，每次审查的成本降至 14.5 小时或更少。对带有日期的行进行季度更新可以维持这一水平。如果员工证书来自您的 MDM，整个企业的设置只需 5 到 10 分钟，且只需配置一次。

Purple Access 的费用是多少？

报价基于您运行的网络和范围内的场所数量。请将此工具的输出带到沟通中：您的站点数量、新问题背后的网络以及每次审查所需的时间。这能让您清晰了解 Purple 订阅服务能为团队节省多少时间。

我们是否需要更换 RADIUS 服务器来回答这些问题？

不需要。您可以使用目前用于员工身份验证的任何系统的凭证进行回答。如果由于证书更新、服务器补丁安装或遗漏离职人员记录而导致“全新”列不断增加，Purple 的云端 RADIUS 可以接管您本地环境中的这些工作。我们的 Cisco ISE 替代方案指南 列出了在评估迁移时需要对比的内容。

我们如何证明跨数百个站点的离职人员权限已被注销？

运行一次带日期的离职人员测试并附上身份提供商记录。使用 802.1X 的员工需通过 Microsoft Entra ID、Okta 或 Google Workspace 进行身份验证。在这些系统中停用账号意味着 Purple 会撤销整个企业网络内的 WiFi 访问权限，而不是一次仅撤销一个站点。入职、异动和离职信息均同步自目录。因此，该单项测试可作为所有位置的有效凭证。

DNS 过滤属于 WiFi 部分吗？

是的，当审核人员询问如何阻止访客设备访问有害网站时，确实如此。Purple 上的 DNS 过滤功能是安全扩展模块 Shield，因此请将其策略摘要与开放网络凭证一并附上。请将该问题的回答与身份验证问题区分开来。过滤控制的是流量去向。802.1X 和 xPSK 控制的是谁能接入以及他们落入哪个 VLAN。

我们能否将同一套资料复用于客户安全审查和保险公司审查？

可以。大多数凭证都是通用的，因为两类审查人员都会询问谁能接入、他们能访问什么以及您如何确认。请在 CSV 中为每位审查人员的表述保留一列，并将其映射到同一个资料库。不同审查之间只有抽样站点和捕获日期有所变化。然后集中保存您的 Cyber Essentials 和 ISO 27001 证书，以便应对每次调阅请求。