其他安全模型
■纵深防御模型：①安全保护②安全监测③实时响应④恢复
■分层防护模型：参考OSI模型，对保护对象进行层次化保护。
■等级保护模型：将信息系统划分成不同安全保护等级，采取相 应的保护措施。
■网络生存模型：系统遭受入侵，网络信息系统仍然能够持续提 供必要服务的能力。遵循"3R"策略，抵抗 (Resistance)、 识 别 (Recognition)、 和恢复 (Recovery)。
网络安全原则
■ (1)系统性和动态性原则。强调系统的整体安全性，即"木桶原则"。网络安全策略根据网络系统的 安全环境和攻击适时而变。
■ (2)纵深防护与协作性原则。各种网络安全技术之间应该互相补充，互相配合。网络安全体系应该包 括安全评估、安全防护、安全监测、安全应急响应体制。
■ (3)网络安全风险和分级保护原则。网络安全体系要正确处理需求、风险与代价的关系，做到安全性 与可用性相容，做到组织上可执行。分级保护是指根据网络资产的安全级别，采用合适的网络防范措施来保护网络资产，做到适度防护。
■ (4)标准化与一致性原则。
■ (5)技术与管理相结合原则。
■ (6)安全第一，预防为主原则。
■ (7)安全与发展同步，业务与安全等同。
■ (8)人机物融合和产业发展原则。
网络安全体系架构
网络安全组织
■ 网络安全组织结构主要包括领导层、管理层、执行层以及外部协作层等。
|-------|---------------------------------------------------------------------------------------------------------|
| 层次 | 内容 |
| 领导层 | 由各部门的领导组成，主要职责： · 协调各部门的工作；审查与批准网络系统安全策略； · 审查与批准网络安全项目实施计划与预算；网络安全工作人员考察和录用。 |
| 管理层 | 由安全负责人和中层管理人员组成，主要职责： ·制订网络系统安全策略；制订安全项目实施计划与预算；制订安全工作的工作流程； ·监督安全项目的实施；监督日常维护中的安全；监督安全事件的应急处理。 |
| 执行层 | 由业务人员、技术人员、系统管理员、项目工程人员等组成，主要职责： · 实现网络系统安全策略；执行网络系统安全规章制度；遵循安全工作的工作流程； · 负责各个系统或网络设备的安全运行；负责系统的日常安全维护。 |
| 外部协作层 | 由组织外的安全专家或合作伙伴组成，其职责主要有： · 定期介绍计算机系统和信息安全的最新发展趋势；计算机系统和信息安全的管理培训； ·新的信息技术安全风险分析；网络系统建设和改造安全建议；网络安全事件协调。 |
安全管理
■ 网络安全管理体系涉及五个方面内容：管理目标、管理手段、管理主体、管理依据、管理资源。 管理目标： (大)政治、经济、文化、国防安全等，(小)网络系统的保密、可用、可控等。
■ 管理手段：包括安全评估、安全监管、应急响应、安全协调、安全标准和规范、保密检查、认证和访 问控制等；
■ 管理主体：大的方面包括国家网络安全职能部门，小的方面主要是网络管理员、单位负责人等；
■ 管理依据：行政法规、法律、部门规章制度、技术规范等；
■ 管理资源：包括安全设备、管理人员、安全经费、时间等。
■ 人员安全。目标是降低误操作、偷窃、诈骗或滥用等人为造成的网络安全风险。在人员安全工作安排方面，遵循三个原则：多人负责原则、任期有限原则、职责分离原则。
网络安全等级保护2.0
■ 等级保护分为五个：第一级(用户自主保护级)、第二级(系统审计保护级)、第三级(安全标记保护级)、第四级(结构化保护级)、第五级(访问验证保护级)。
■ 根据信息系统按照重要性和受破坏后的危害性进行定级，二级和三级居多。
等保项目流程
等保标准化
等保2.0变化
■ ①扩大了对象方位，将云计算、移动互联、物联网、工业控制系统等列入标准范围，构成了"网络安全 通用要求+新型应用的网络安全扩展要求"的要求内容。
■ ②提出了在"安全通信网络""安全区域边界""安全计算环境"和"安全管理中心"支持下的三重防护体系架构。
■ ③等级保护2.0新标准强化了可信计算技术使用的要求，各级增加了"可信验证"控制点。其中一级要 求设备的系统引导程序、系统程序等进行可信验证；二级增加重要配置参数和应用程序进行可信验证，并将验证结果形成审计记录送至安全管理中心；三级增加应用程序的关键执行环节进行动态可信验证； 四级增加应用程序的所有执行环节进行动态可信验证。
等保新增内容
云计算：
· 云服务商侧的云计算平台(不应低于云租户保护等级)
· 云服务客户(云租户)侧的业务系统
·大型云计算平台的运营、运维系统
移动互联网：
· 移动终端、移动应用、无线网络、相关有线网络 业务系统
物联网：
· 感知、网络传输和处理应用
工业控制系统：
· 现场采集/执行、现场控制和过程监控系统
· 生产管理系统
大数据：
· 安全责任主体相同的大数据、大数据平台和 应用(原则上不低于三级)