中大型企业整体网络安全解决方案：从“边界防火墙”到安全运营闭环（PPT）

中大型企业的网络安全，早已不是"出口部署防火墙、终端安装杀毒软件"就能解决的问题。云化、移动化、分支互联、数据集中、工业互联网和第三方协作不断扩大攻击面；真正有效的安全体系，必须把技术防护、管理制度与持续运营连接成闭环。

数字化转型让企业的生产、营销、供应链、财务、客户服务和管理活动更深地依赖网络与数据。ERP、PLM、SRM、MES、QMS、CRM、移动 OA、私有云、公有云、物联网与数据平台，提升了业务效率，也让核心数据和关键业务暴露在更复杂的攻击环境中。许多企业依然沿用"重边界、轻内网；重设备、轻运营；重建设、轻治理"的安全思路，结果往往是设备越来越多，安全团队越来越忙，真正的风险却看不清、管不住、处置不及时。

本文基于《中大型企业整体网络安全解决方案》梳理安全趋势、总体框架、边界与云安全、终端与数据安全、安全管理体系、安全运营中心、实施路径与典型误区，并形成一份适用于中大型企业的工程化落地指南。

一、先说结论：安全建设的核心，是让攻击"进不来、出不去、改不了、赖不掉、查得到"

材料提出了一个非常直观的总体安全目标：技术可落地、管理可执行、平台可扩展、安全可运营，并以"进不来、出不去、改不了、赖不掉、查得到"衡量体系效果。

这五句话对应五类安全能力：

进不来：通过边界防护、身份认证、漏洞治理和安全隔离降低外部入侵概率。
出不去：通过数据防泄漏、网络访问控制、外联检测和出口审计限制数据违规流出。
改不了：通过权限控制、完整性保护、变更管理和关键配置加固，防止未授权篡改。
赖不掉：通过身份关联、操作审计、日志留存和时间同步建立不可抵赖证据。
查得到：通过资产测绘、态势感知、EDR、日志分析、UEBA 和威胁狩猎发现已发生或潜伏的风险。

安全体系不是购买若干硬件盒子，而是围绕企业资产、业务风险与运营能力建立的持续防御系统。防火墙、WAF、EDR、漏洞扫描、数据库审计、DLP、堡垒机和 SIEM 都只是能力组件；能否形成统一资产视图、风险优先级、事件处置和复盘改进，才决定投资是否真正产生价值。

二、数字化转型为什么重塑了安全边界

材料将数字化转型定义为：利用移动互联网、社交网络、大数据、机器学习、人工智能、物联网、云计算和区块链等技术，推动业务模式、组织架构和企业文化变革，交付新的差异化价值。与传统信息化相比，数字化更重视全要素连接、开放生态、结构化与非结构化数据、客户驱动和能力升级。

1. 从封闭系统到开放生态

传统信息化常以组织内部流程与资源系统化为中心，系统相对封闭；数字化则连接客户、供应商、渠道、员工、设备与合作伙伴。网络边界从数据中心出口扩展到云、移动端、分支机构、API、IoT 和第三方平台。

2. 从单点系统到全链路业务

制造企业的数字化通常包括智能制造、IT 基础设施云化、精准营销、ERP/PLM/SRM/MES/QMS 等生产运营系统、车联网或工业物联网，以及移动 OA、客户互动等互联网化服务。任何一环失陷，都可能影响全链路业务连续性。

3. 从保护设备到保护数据和业务

过去安全团队主要关注服务器、网络和终端是否被攻击；现在更需要关注核心数据流向、关键业务可用性、身份权限、云资源配置、API 调用和第三方连接。数据和业务已成为攻击者的高价值目标。

三、企业最容易忽略的三类风险

材料指出，传统安全建设倾向于抵御外部攻击，内部办公网络反而成为安全洼地。以下三类风险最常被低估。

1. 内网横向移动

勒索软件、蠕虫、被控终端和被盗账号一旦进入内网，若网络缺少分区隔离、终端缺乏检测响应、服务器之间默认互通，攻击者就可能从一台普通办公 PC 横向扩散到文件服务器、域控、数据库或生产系统。

WannaCry 等事件说明，漏洞利用、恶意邮件、弱口令、移动存储和外联下载都可能成为初始入口；真正造成大范围破坏的，往往是内网缺少可见性和隔离能力。

2. 数据外泄与内部滥用

材料引用员工窃取核心芯片制造与设计文件的案例，揭示内部人员、离职员工、高权限账户和合作方账号同样可能造成巨大损失。数据泄露不一定来自"黑客入侵"，也可能来自批量下载、U 盘拷贝、邮件外发、网盘同步、数据库直连、截图拍照或错误共享。

3. 安全设备堆叠但无法运营

企业常部署 FW、IPS、WAF、AC、AV、VPN 等多类设备，却缺少统一资产、策略、日志、告警与工单体系。结果是"管不好、用不起、讲不清"：策略不知道是否有效，告警没人分析，漏洞没人闭环，高层看不到安全投入对应的业务价值。

四、总体框架：技术、管理、运营必须三位一体

材料提出完整安全体系由安全技术体系、安全管理体系和安全运营体系构成。三者缺一不可。

体系	核心问题	主要能力
安全技术体系	如何预防、检测、响应攻击	边界、网络、主机、应用、数据、云、移动安全
安全管理体系	谁负责、按什么规则做	方针、制度、流程、标准、组织、考核、审计
安全运营体系	如何让能力持续发挥作用	资产管理、监测预警、事件响应、漏洞治理、服务与复盘

只买安全产品，缺少制度与运营，设备会逐渐失效；只有制度没有技术支撑，安全要求无法落地；只有安全运营中心但没有可靠数据和处置权限，则会沦为"看大屏、报告警"。

1. 事前、事中、事后闭环

材料把安全运营划分为事前威胁预防、事中积极防御、事后检测响应：

事前：资产识别、基线加固、漏洞修复、权限治理、安全培训和风险评估。
事中：边界防护、访问控制、入侵阻断、微隔离、异常检测和告警联动。
事后：事件调查、终端隔离、溯源取证、业务恢复、根因复盘和策略优化。

成熟企业还应把"事后经验"回流到事前和事中，例如将攻击 IOC、薄弱配置、常见误操作和处置剧本沉淀为检测规则、加固基线和培训内容。

五、以资产和风险为起点：别先问买什么产品

安全建设的第一步不应是列设备清单，而是回答四个基础问题：企业有什么资产、资产承载什么业务、面临什么威胁、现有控制是否有效。

1. 识别关键资产

资产不仅是服务器和网络设备，还包括：

业务系统：ERP、CRM、MES、财务、供应链、研发、门户和移动应用
数据资产：客户、财务、研发设计、生产工艺、源代码、合同与个人信息
云资产：虚拟机、容器、对象存储、数据库、账号、密钥和安全组
终端资产：办公 PC、服务器、虚拟机、移动设备、工业终端和 IoT 设备
身份资产：员工、外包、合作方、特权账号、服务账号和 API 凭据

2. 给资产分级

可从业务影响、数据敏感度、可用性要求、合规义务和攻击暴露面评估资产等级。关键生产系统、核心研发数据、财务与客户数据、身份目录、备份系统通常应纳入最高优先级保护范围。

3. 用风险驱动投资优先级

风险可理解为资产价值、威胁可能性、漏洞暴露和现有控制有效性的组合。高价值、暴露广、缺少补丁或缺少监控的资产，应优先治理；而不是平均分配预算给所有安全域。

六、边界安全：防火墙仍重要，但不能只靠防火墙

材料提出出口边界安全应覆盖访问控制、链路负载、入侵防护、恶意代码防护等能力，并强调合理划分 Internet 区、VPN 用户区、合作伙伴区、DMZ、公共服务区、对内服务区、数据交换区、数据存储区、安全管理区和网络运维区。

1. 安全域划分是纵深防御的基础

网络分区的目标不是把网络切得越碎越好，而是按照业务重要性、访问对象、信任等级和风险特征划分区域，并在区域间实施最小必要通信。

安全域	典型对象	控制重点
互联网区	公网访问、外部用户	DDoS、WAF、反爬、访问控制、日志审计
DMZ/公共服务区	门户、Web、邮件、对外 API	应用防护、漏洞管理、与内网隔离
办公网	员工终端、办公系统	终端安全、准入、上网行为、横向隔离
数据中心区	应用、中间件、数据库	微隔离、主机加固、数据库审计、备份
管理区	运维、堡垒机、安全平台	强认证、特权控制、全程审计
云管理区	云控制台、资源编排	身份权限、配置审计、密钥管理
工控/生产区	PLC、MES、产线设备	强隔离、白名单、协议审计、最小变更

2. 融合边界技术解决多层攻击

材料指出攻击可能发生在物理层到应用层及应用数据内容层：ARP 欺骗、协议异常、DDoS、SQL 注入、跨站脚本、WebShell、弱口令、中间件漏洞、操作系统漏洞和恶意代码等。下一代防火墙、IPS、WAF、抗 DDoS、恶意代码检测和 VPN 等能力需要协同，而不是相互替代。

3. 边界策略要以业务为中心

"开放端口"不是业务需求，"允许某类身份从特定来源在指定时间访问某应用服务"才是业务规则。安全策略应有责任人、有效期、变更审批、命中分析和定期清理机制，避免长期遗留的全放通规则成为攻击通道。

七、云平台安全：从南北向防护走向东西向微隔离

材料将云平台安全描述为软件定义安全边界，既保护外部进出云环境的南北向流量，也保护云内虚拟机、应用和数据之间的东西向流量。

1. 云化改变了安全控制位置

传统安全设备往往部署在物理网络出口，但在私有云或虚拟化环境中，虚拟机之间的通信可能不经过传统边界设备。若只保护云入口，攻击者一旦进入一台云主机，仍可能在云内横向移动。

2. 安全资源池与编排

材料提出安全资源池架构，可将下一代防火墙、数据库审计、VPN、日志审计、主机安全和网络行为审计等能力以虚拟化或软件定义方式纳入统一编排。这样可以根据业务上线、租户变化和风险等级动态下发安全策略。

3. 云内微隔离

微隔离以应用或工作负载为单位定义访问规则，而不只按网段控制。例如 Web 服务器只能访问指定中间件端口，中间件只能访问指定数据库服务，运维主机只能经堡垒机访问服务器。这样即使单个主机失陷，攻击路径也会被显著收缩。

4. 云安全不能忽略身份与配置

云控制台账号、API 密钥、对象存储权限、安全组规则、镜像来源、容器配置和日志留存，往往是云环境高风险点。企业应将云账号纳入统一身份管理，启用最小权限、多因素认证、操作审计和配置基线检查。

八、终端与主机安全：EDR 是"看得见、控得住、能响应"的关键

材料重点介绍端点检测与响应 EDR，强调轻端重云、机器学习检测、主机加固、东西向访问控制、可疑进程监控、恶意代码阻断、资产管理、安全体检、一键隔离、IOC 全网定位和历史行为溯源。

1. 为什么传统杀毒不够

传统杀毒主要依赖特征识别，适合已知恶意文件。面对无文件攻击、脚本攻击、横向移动、凭据窃取、勒索行为、未知变种和合法工具滥用，仅依靠文件扫描往往不足。

EDR 通过进程、文件、注册表、网络连接、命令行、用户行为和主机事件建立上下文，可识别异常行为链，并支持快速隔离和取证。

2. EDR 的四项核心能力

加固：执行基线检查、漏洞发现、服务与端口治理、微隔离策略。
防御：拦截恶意文件、可疑脚本、暴力破解、恶意 IP 和常见攻击行为。
检测：发现病毒木马、僵尸网络、异常外联、横向扫描、勒索和挖矿等威胁。
响应：隔离终端、终止进程、删除文件、封禁账号、下发 IOC、远程取证和溯源分析。

3. 主机微隔离比"全网互通"更重要

服务器之间默认互通是许多勒索扩散和数据窃取的根源。应基于业务依赖建立白名单通信，控制 Web、中间件、数据库、运维和备份系统之间的访问关系。微隔离策略需要先观察业务流量、验证依赖，再逐步收紧，避免误阻断关键业务。

九、移动与 BYOD 安全：工作数据必须有独立边界

材料提出按不同移动化需求选择 BYOD、自带设备、配发设备、移动 App 工作域、VPN、认证、沙箱隔离和设备管控等方案。

1. 移动安全分级设计

基础协同办公：VPN 加认证，适用于低敏应用访问。
重要业务移动化：VPN、认证和安全工作域/应用沙箱，隔离企业数据与个人数据。
关键业务移动化：在上述基础上叠加设备管理、应用审计、数据防泄漏、远程擦除和配发设备策略。

2. BYOD 的关键是"管企业数据，不越界管个人生活"

自带设备场景需要平衡安全和隐私。企业可通过容器化工作区、Per-App VPN、企业应用管理、文件加密和复制粘贴控制保护企业数据，而不必全面读取用户个人内容。对高度敏感业务，应优先使用企业配发、可控设备。

3. 移动接入要与身份体系联动

材料展示了通过钉钉、企业微信等入口单点登录后访问内网应用的模式。便利入口不能降低安全标准，应结合多因素认证、设备合规、会话超时、应用级授权和异常访问监测。

十、数据安全：从数据库审计走向全生命周期保护

材料中的数据安全能力包括权限控制、审计合规、数据威胁分析、访问可视、特权/高权用户管理、细粒度命令控制、数据库审计、Web 审计、外发泄密轨迹、威胁分析与防火墙联动。

1. 数据保护的重点不是"数据库上锁"

数据处于采集、存储、使用、共享、传输、归档和销毁的全过程。只在数据库外围部署审计设备，无法解决终端下载、接口导出、云存储误共享、备份泄露和权限滥用等问题。

2. 数据分类分级决定控制强度

应识别个人信息、敏感个人信息、财务数据、客户数据、研发设计、源代码、生产工艺、商业秘密和公开数据，并按照敏感等级定义访问、导出、传输、共享、留存和销毁规则。

3. 特权账号是数据安全高风险点

数据库管理员、系统管理员、运维人员和应用高权账号拥有广泛能力。应通过最小权限、堡垒机、双人审批、命令审计、会话录像、临时授权和异常行为检测控制高权限操作。

4. 审计要能关联业务上下文

单独的 SQL 日志或 Web 日志很难判断风险。应尽可能关联用户身份、终端、源 IP、应用、数据库对象、操作命令、时间、工单和结果，形成可解释的访问轨迹和溯源证据。

十一、应用与 Web 安全：从漏洞发现到持续防护

材料提出 Web 安全防护、防篡改、漏洞扫描、OS 加固和基线核查。面向互联网的门户、业务系统、API 和移动后端通常是攻击者最常见入口。

1. 安全左移：不要等上线后再补漏洞

应用安全应嵌入需求、设计、开发、测试和上线流程：需求阶段识别身份、权限、数据与合规要求；设计阶段进行威胁建模；开发阶段使用安全编码规范和依赖组件治理；测试阶段开展 SAST、DAST、IAST、渗透测试和配置检查；上线后持续监控漏洞和攻击行为。

2. WAF 不能替代修复

WAF 可缓解 SQL 注入、XSS、WebShell、CC 攻击和常见 Web 攻击，但它不是永久补丁。对高危漏洞，仍应在应用、框架、组件和配置层面完成修复，并通过变更管理验证影响。

3. API 已成为关键攻击面

对外 API、移动端接口、合作伙伴接口应实施身份认证、范围授权、频率限制、输入校验、签名校验、敏感字段脱敏、调用审计和异常检测。不能因为 API "不是网页"就忽视安全测试。

十二、安全管理体系：ISO 27001 的价值在于可执行的治理闭环

材料展示了 ISO 27001 信息安全管理体系框架，包括组织情境、领导力、策划、支持、运行、绩效评价与改进，并强调风险评估、风险处置、内部审核、管理评审和持续改进。

1. 管理体系不是为了拿证

ISO 27001 的核心价值是让企业明确安全范围、管理责任、风险方法、控制措施、证据记录与改进机制。若只为了认证而编制度、留表单，体系无法应对真实攻击。

2. 四层制度文件结构

材料将制度体系分为：

方针策略：企业信息安全工作的纲领。
制度办法：规范各部门安全管理和技术活动。
流程细则：细化实施步骤、技术标准、审批与责任。
记录表单：保留活动证据、结果与审计线索。

制度必须与实际系统、组织职责和业务流程匹配。没有责任人、没有执行证据、没有检查与改进的制度，只是文件库中的文本。

3. 安全责任应落实到业务部门

安全团队不可能独自拥有所有资产和业务知识。业务系统负责人、数据负责人、运维负责人、HR、采购和法务都应承担相应责任。安全部门负责方法、技术、监督和响应，业务部门负责资产、数据和流程的安全使用。

十三、安全运营中心：从"设备告警中心"到"业务风险运营中心"

材料提出企业安全运营中心应由"一套业务价值绩效指标、三大安全能力、一套制度与流程"构成。

1. 一套业务价值绩效指标

安全运营不能只统计拦截了多少攻击、处理了多少告警，还应与业务价值关联：关键系统可用性、重大事件影响时长、漏洞修复及时率、数据泄露风险、终端合规率、特权操作审计率、业务连续性和合规达成度等。

2. 三大安全能力

能力	核心目标	典型手段
安全态势感知	知道是否安全、哪里不安全	流量探针、日志采集、EDR、UEBA、威胁情报、态势大屏
安全运维	让安全能力稳定、低成本运行	统一配置、策略管理、资产管理、分支集中运维、安全资源池
安全服务	处理专业风险与突发事件	漏洞管理、评估、攻防对抗、应急响应、专家支撑

3. 一套制度与流程

安全事件应有发现、分级、分析、处置、升级、通报、恢复、复盘和关闭流程；漏洞应有发现、验证、定级、修复、复测、例外和风险接受流程；策略变更应有申请、评估、审批、实施、验证和回退流程。

安全运营中心不是"买一个 SOC 平台"，而是人、流程、技术、数据和指标协同运转的机制。

十四、态势感知：回答四个问题，而不是只展示一张大屏

材料将态势感知能力概括为：我现在安全吗？哪里不安全？造成了什么危害？我该如何处置？这正是态势感知系统应服务的四个问题。

1. 我现在安全吗

通过全网资产、漏洞、告警、攻击趋势、终端健康、边界风险、云资源暴露和关键业务状态，建立整体风险基线。

2. 哪里不安全

识别新增风险资产、失陷主机、异常外联、弱口令、未修复高危漏洞、异常账号、暴露服务和横向移动路径。

3. 造成了什么危害

关联资产重要性、数据敏感度、攻击链、用户行为、业务依赖和日志证据，判断事件是否影响关键系统、是否发生数据外泄、是否存在持续驻留。

4. 我该如何处置

输出明确的优先级、责任人和处置建议：隔离终端、封禁 IP、撤销账号、阻断策略、修复漏洞、重置凭据、通知业务方或启动应急预案。没有处置路径的告警，价值有限。

十五、漏洞与基线治理：漏洞扫描不是"扫描一次出报告"

材料将漏洞管理、安全评估和持续保护作为安全服务能力的重要部分。漏洞治理的关键是风险闭环，而非漏洞数量。

1. 漏洞优先级要结合资产价值

同一个高危漏洞出现在测试环境普通主机和互联网暴露的核心业务服务器，处置优先级完全不同。应结合 CVSS、资产等级、暴露面、可利用性、已有攻击活动和补偿措施综合排序。

2. 修复不等于打补丁

补丁升级、配置修改、服务下线、访问限制、WAF 虚拟补丁、微隔离、账号权限收紧都可能是处置手段。对于无法立即修复的系统，应记录风险接受、补偿控制、责任人和复核期限。

3. 基线检查防止"反复出现的问题"

弱口令、默认账号、过期协议、无用端口、日志未开启、补丁滞后、过宽权限和不安全云配置应通过基线自动检查持续发现，而不是依赖人工经验。

十六、应急响应：速度决定损失上限

材料强调突发事件积极响应、云端与本地专家协同、快速定位高级威胁和持续防护。企业应预先建立应急响应能力，而不是发生勒索或泄露后才临时找人。

1. 事件响应基本流程

发现与确认：确认告警真实性、影响范围和事件等级。
遏制与隔离：隔离受感染终端、冻结账号、阻断恶意通信，避免扩散。
调查与取证：保留日志、镜像、内存、样本和关键操作记录，分析入侵路径。
根除与修复：清除恶意组件、修复漏洞、重置凭据、加固配置。
恢复与验证：恢复业务、验证安全状态、监控是否复发。
复盘与改进：总结根因、优化策略、完善剧本和培训。

2. 预案要覆盖高频高影响场景

至少应针对勒索软件、账号泄露、网页篡改、DDoS、数据泄露、供应链攻击、云账号失陷和关键系统不可用建立预案，并通过演练检验通讯录、权限、备份、隔离能力和决策机制。

十七、分阶段实施路径：从补短板到构建能力平台

材料提出从现有出口防火墙架构出发，逐步扩展到数据中心、无线、移动互联网、主机安全、漏洞扫描、数据安全与数据库审计，最终形成防御---检测---响应闭环和持续安全服务。

阶段一：现状评估与顶层规划

盘点资产、网络、应用、云资源、数据、账号、设备、制度和人员；完成差距评估、风险排序、目标架构、投资路线和优先级设计。此阶段要避免"以厂商产品能力代替企业需求"。

阶段二：夯实基础防护

完善边界安全、网络分区、身份认证、终端防护、漏洞管理、系统加固、备份恢复和日志留存。优先治理互联网暴露资产、弱口令、未修复高危漏洞、无防护终端和缺少备份的关键系统。

阶段三：强化检测与响应

部署或整合 EDR、集中日志、流量检测、漏洞平台、数据库审计、态势感知和告警联动；建立事件分级、工单、处置剧本和应急响应机制。

阶段四：云、数据、移动与分支扩展

将云工作负载、移动办公、分支网络、第三方接入、数据库和高敏数据纳入统一治理；实施微隔离、数据分类分级、特权账号管理和安全编排。

阶段五：运营优化与持续改进

以业务指标衡量安全价值，持续优化策略、自动化响应、红蓝对抗、培训、制度和资产治理；让安全能力随业务变化持续演进。

十八、一个实战场景：勒索攻击如何被纵深防御体系阻断

假设某员工点击钓鱼邮件附件，恶意程序开始运行。传统环境中，如果终端只安装过期杀毒软件、内网互通、共享目录权限宽泛、日志分散且备份不可用，攻击可能迅速扩散。

在整体安全体系中，攻击链可在多个环节被发现或限制：

邮件与边界系统识别恶意附件、恶意域名或异常下载。
EDR 检测可疑进程、脚本执行、凭据窃取或批量文件加密行为，并自动隔离终端。
微隔离阻断该终端对服务器、数据库和其他办公终端的非必要访问，限制横向移动。
流量探针和日志平台发现异常 SMB、RDP、DNS 或外联行为，关联同类 IOC。
安全运营中心根据资产重要性提升事件等级，执行封禁、账号重置、溯源和业务通报。
经过验证的离线或不可篡改备份用于恢复受影响数据与系统。
复盘后补齐邮件策略、终端基线、漏洞补丁、访问控制和员工培训。

安全体系的价值，不是保证永远没有点击钓鱼邮件的人，而是在单点失陷时避免事故演变为全网灾难。

十九、最常见的十个误区

认为防火墙就是网络安全。 边界防护重要，但无法覆盖内网横向移动、身份滥用、云配置和数据外泄。
安全设备越多越安全。 未统一管理、未调优、无人运营的设备只会增加成本与盲区。
只保护外网系统，忽视内网。 终端、办公网、分支、运维网和数据中心内部同样需要分区与检测。
把安全运营中心等同于大屏。 SOC 的核心是发现、研判、响应、闭环和改进，不是展示效果。
漏洞扫描后不做闭环。 没有资产关联、优先级、责任人、时限和复测，报告没有实际价值。
把 EDR 当成传统杀毒替代品。 EDR 的价值在于行为检测、调查、隔离与响应，需结合运营流程使用。
云上照搬传统网络边界。 云环境必须重视东西向隔离、身份权限、配置审计与工作负载保护。
移动办公只装 VPN。 VPN 不能替代设备合规、应用隔离、数据防泄漏和身份风险控制。
安全制度只为审计准备。 制度必须有责任、流程、工具和运行证据，才能真正执行。
把安全视为 IT 部门单独责任。 业务、数据、研发、运维、人力和管理层都应参与安全治理。

二十、如何衡量整体安全建设是否有效

维度	参考指标
资产治理	关键资产识别率、资产责任人覆盖率、影子资产发现时效
边界与网络	高风险暴露服务数量、策略合规率、横向访问收敛率、异常外联发现率
终端与主机	EDR 覆盖率、终端基线合规率、高风险终端隔离时效、勒索检测时效
漏洞治理	高危漏洞修复及时率、漏洞复发率、关键资产补丁覆盖率
数据保护	敏感数据分类覆盖率、高权限操作审计率、异常导出/外发处置率
云安全	云账号 MFA 覆盖率、配置风险修复率、云工作负载防护覆盖率
运营响应	MTTD、MTTR、事件闭环率、重大事件业务影响时长、剧本自动化率
管理体系	制度执行证据完整率、培训覆盖率、演练达标率、内审问题整改率