该论文针对中小企业（SME）网络安全风险开展了一项跨层实证研究。研究数据来自一所大学公益网络安全诊所在两年间对22家真实中小企业实施的评估，共包含281条经过验证的安全发现。方法上，作者首先通过迭代主题编码识别出反复出现的组织安全功能，然后估计一个实证性的“风险显形模型”（Risk Manifestation Model），把组织安全功能与暴露条件、攻击机制以及网络安全结果连接起来，并利用概率传播识别样本中的主导风险路径。该模型刻画的是样本内观察到的经验关联，而非因果或预测关系。分析结果识别出8类组织安全功能，关联2类暴露条件、5类攻击机制和6类结果类别。在多数功能中，主导路径表现为“资产暴露→凭证泄露→未授权访问”；而基础设施与网络安全则主要通过“网络暴露”路径传播。这些路径在“留一组织”交叉验证下保持稳定。最后，作者评估了中小企业安全评估能否在保留有意义安全覆盖的前提下被精简：保留6项功能可将评估负担降低24%，同时保留97%的关键发现和92%的风险路径覆盖；保留5项功能可将负担降低45%，同时保留89%的关键发现和85%的风险路径覆盖。前者更偏安全导向，后者更偏效率导向。该研究适合安全评估服务提供方、SME安全负责人、MSSP、大学安全诊所及关注安全投入优先级的从业者阅读。

本研究以中小企业为对象，探讨其采用零信任架构的可行性。通过问卷调查亚太地区64名IT与安全专业人员，发现零信任熟悉度与云计算需求是驱动企业认知零信任必要性的最强正向因素，而累积的障碍（如成本、技术复杂性）与必要性感知仅呈现弱负相关。身份与访问管理的复杂性和可扩展性被识别为主要实施障碍。基于这些发现，论文提出一个三阶段渐进式采用路径：第一阶段强化身份治理（如多因素认证、最小权限原则），第二阶段分割高价值资产并实施微隔离，第三阶段根据企业运营能力引入针对性监控。该研究为资源受限的中小企业提供了从传统安全架构向零信任过渡的务实路线图，弥补了现有文献对中小企业零信任准备工作重视不足的空白。