A. 网络安全行业专题报告：零信任，三大核心组件，六大要素分析
获取报告请登录【未来智库】。
1.1 零信任架构的兴起与发展
零信任架构是 一种端到端的企业资源和数据安全 方法，包括身份( 人和 非 人的实体)、凭证、访问管理理、操 作、端点、宿主环境和互联基础设施。
• 零信任体系架构是零信任不不是“不不信任”的意思，它更更像是“默认不不信任”，即“从零开始构建信任”的思想。 零信任安全体系是围绕“身份”构建，基于权限最 小化原则进 行行设计，根据访问的 风险等级进 行行动态身份 认证和授权。
1.2 零信任架构的三大核心组件
1.3 零信任的六大实现要素——身份认证
2.1 零信任安全解决方案主要包括四个模块
2.2 零信任的主要部署场景
2.3 零信任将会对部分安全产品带来增量效应
2.4 零信任将会成为安全行业未来的重要发展方向
零信任抓住了了 目前 网络安全 用户的痛点， 零信任是未来 网络安全技术的重要发展 方 向。根据Cybersecurity的调查， 目前 网络 安全的最 大的挑战是私有应 用程序的访问 端 口 十分分散，以及内部 用户的权限过多。 62%的企业认为保护遍布在各个数据中 心 和云上的端 口是 目前最 大的挑战，并且 61%的企业最担 心的是内部 用户被给予的 权限过多的问题。这两点正是零信任专注 解决的问题，现在有78%的 网络安全团队 在尝试采 用零信任架构。
3、投资建议
企业业务复杂度增加、信息安全防护压 力力增 大，催 生零信任架构。
企业上云、数字化转型加速、 网络基 础设施增多导致访问资源的 用户/设备数量量快速增 长， 网络边界的概念逐渐模糊; 用户的访问请求更更加复 杂，造成企业对 用户过分授权;攻击 手段愈加复杂以及暴暴露露 面和攻击 面不不断增 长，导致企业安全防护压 力力加 大。 面对这些新的变化，传统的基于边界构建、通过 网络位置进 行行信任域划分的安全防护模式已经 不不能满 足企业要求。零信任架构通过对 用户和设备的身份、权限、环境进 行行动态评估并进 行行最 小授权， 能够 比传统架构更更好地满 足企业在远程办公、多云、多分 支机构、跨企业协同场景中的安全需求。
零信任架构涉及多个产品组件，对国内 网安 行行业形成增量量需求。
零信任的实践需要各类安全产品组合， 将对相关产品形成增量量需求:1)IAM/IDaaS等统 一身份认证与权限管理理系统/服务，实现对 用户/终端的 身份管理理;2)安全 网关: 目前基于SDP的安全 网关是 一种新兴技术 方向，但由于实现全应 用协议加密流 量量代理理仍有较 大难度，也可以基于现有的NGFW、WAF、VPN产品进 行行技术升级改造;3)态势感知、 SOC、TIP等安全平台类产品是零信任的 大脑，帮助实时对企业资产状态、威胁情报数据等进 行行监测;4)EDR、云桌 面管理理等终端安全产品的配合，实现将零信任架构拓拓展到终端和 用户;5) 日志审计:汇聚各 数据源 日志，并进 行行审计，为策略略引擎提供数据。此外，可信API代理理等其他产品也在其中发挥重要 支撑 作 用。
零信任的实践将推动安全 行行业实现商业模式转型，进 一步提 高 厂商集中度。
目前国内 网安产业已经经过 多年年核 心技术的积累，进 入以产品形态、解决 方案和服务模式创新的新阶段。零信任不不是 一种产品， 而 是 一种全新的安全技术框架，通过重塑安全架构帮助企业进 一步提升防护能 力力。基于以太 网的传统架构 下安全设备的交互相对较少，并且能够通过标准的协议进 行行互联，因 而导致硬件端的采购 非常分散，但 零信任的实践需要安全设备之间相互联动、实现多云环境下的数据共享，加速推动安全 行行业从堆砌安全 硬件向提供解决 方案/服务发展，同时对客户形成强粘性。我们认为研发能 力力强、产品线种类 齐全的 厂商 在其中的优势会越发明显。
由于中美安全市场客户结构不不同以及企业上公有云速度差异，美国零信任SaaS公司的成功之路路在国内还 缺乏复制基础。
美国 网络安全需求 大头来 自于企业级客户，这些企业级客户对公有云的接受程度 高，过 去 几年年上云趋势明显。根据Okta发布的《2019 工作报告》，Okta客户平均拥有83个云应 用，其中9%的 客户拥有200多个云应 用。这种多云时代下企业级 用户统 一身份认证管理理难度 大、企业内外 网边界极为 模糊的环境，是Okta零信任SaaS商业模式得以发展的核 心原因。 目前国内 网络安全市场需求主要集中于 政府、 行行业( 金金融、运营商、能源等)，这些客户 目前上云主要以私有云为主， 网安产品的部署模式仍 未进 入SaaS化阶段。但随着未来我国公有云渗透率的提升，以及 网安向企业客户市场扩张，零信任相关 的SaaS业务将会迎来成 长机会。
投资建议:
零信任架构的部署模式有望提升国内 网安市场集中度，将进 一步推动研发能 力力强、拥有全线 安全产品的头部 厂商扩 大市场份额、增加 用户粘性，重点推荐启明星 辰辰、绿盟 科技 、深信服、南洋股份， 关注科创新星奇安信、安恒信息。
（报告观点属于原作者，仅供参考。作者：招商证券，刘 萍、范昳蕊）
如需完整报告请登录【未来智库】。
B. 如何构建网络安全战略体系
网络安全是确保信息的完整性、保密性和可用性的实践。它代表防御安全事故和从安全事故中恢复的能力。这些安全事故包括硬盘故障或断电，以及来自竞争对手的网络攻击等。后者包括脚本小子、黑客、有能力执行高级持续性威胁（APT）的犯罪团伙，以及其他可对企业构成严重威胁的人。业务连续性和灾难恢复能力对于网络安全（例如应用安全和狭义的网络安全）至关重要。
安全应该成为整个企业的首要考虑因素，且得到高级管理层的授权。我们如今生活的信息世界的脆弱性也需要强大的网络安全控制战略。管理人员应该明白，所有的系统都是按照一定的安全标准建立起来的，且员工都需要经过适当的培训。例如，所有代码都可能存在漏洞，其中一些漏洞还是关键的安全缺陷。毕竟，开发者也只是普通人而已难免出错。
安全培训
人往往是网络安全规划中最薄弱的环节。培训开发人员进行安全编码，培训操作人员优先考虑强大的安全状况，培训最终用户识别网络钓鱼邮件和社会工程攻击——总而言之，网络安全始于意识。
然而，即便是有强大的网络安全控制措施，所有企业还是难逃遭遇某种网络攻击的威胁。攻击者总是利用最薄弱的环节，但是其实只要通过执行一些基本的安全任务——有时被称为“网络卫生”，很多攻击都是可以轻松防护的。外科医生不洗手决不允许进入手术室。同样地，企业也有责任执行维护网络安全的基本要求，例如保持强大的身份验证实践，以及不将敏感数据存储在可以公开访问的地方。
然而，一个好的网络安全战略需要的却不仅仅是这些基本实践。技术精湛的黑客可以规避大多数的防御措施和攻击面——对于大多数企业而言，攻击者入侵系统的方式或“向量”数正在不断扩张。例如，随着信息和现实世界的日益融合，犯罪分子和国家间谍组织正在威胁物理网络系统的ICA，如汽车、发电厂、医疗设备，甚至你的物联网冰箱。同样地，云计算的普及应用趋势，自带设备办公（BYOD）以及物联网（IoT）的蓬勃发展也带来了新的安全挑战。对于这些系统的安全防御工作变得尤为重要。
网络安全进一步复杂化的另一个突出表现是围绕消费者隐私的监管环境。遵守像欧盟《通用数据保护条例》（GDPR）这样严格的监管框架还要求赋予新的角色，以确保组织能够满足GDPR和其他法规对于隐私和安全的合规要求。
如此一来，对于网络安全专业人才的需求开始进一步增长，招聘经理们正在努力挑选合适的候选人来填补职位空缺。但是，对于目前这种供求失衡的现状就需要组织能够把重点放在风险最大的领域中。
网络安全类型
网络安全的范围非常广，但其核心领域主要如下所述，对于这些核心领域任何企业都需要予以高度的重视，将其考虑到自身的网络安全战略之中：
1.关键基础设施
关键基础设施包括社会所依赖的物理网络系统，包括电网、净水系统、交通信号灯以及医院系统等。例如，发电厂联网后就会很容易遭受网络攻击。负责关键基础设施的组织的解决方案是执行尽职调查，以确保了解这些漏洞并对其进行防范。其他所有人也都应该对他们所依赖的关键基础设施，在遭遇网络攻击后会对他们自身造成的影响进行评估，然后制定应急计划。
2.网络安全（狭义）
网络安全要求能够防范未经授权的入侵行为以及恶意的内部人员。确保网络安全通常需要权衡利弊。例如，访问控制（如额外登录）对于安全而言可能是必要的，但它同时也会降低生产力。
用于监控网络安全的工具会生成大量的数据，但是由于生成的数据量太多导致经常会忽略有效的告警。为了更好地管理网络安全监控，安全团队越来越多地使用机器学习来标记异常流量，并实时生成威胁警告。
3.云安全
越来越多的企业将数据迁移到云中也会带来新的安全挑战。例如，2017年几乎每周都会报道由于云实例配置不当而导致的数据泄露事件。云服务提供商正在创建新的安全工具，以帮助企业用户能够更好地保护他们的数据，但是需要提醒大家的是：对于网络安全而言，迁移到云端并不是执行尽职调查的灵丹妙药。
4.应用安全
应用程序安全（AppSec），尤其是Web应用程序安全已经成为最薄弱的攻击技术点，但很少有组织能够充分缓解所有的OWASP十大Web漏洞。应用程序安全应该从安全编码实践开始，并通过模糊和渗透测试来增强。
应用程序的快速开发和部署到云端使得DevOps作为一门新兴学科应运而生。DevOps团队通常将业务需求置于安全之上，考虑到威胁的扩散，这个关注点可能会发生变化。
5.物联网（IoT）安全
物联网指的是各种关键和非关键的物理网络系统，例如家用电器、传感器、打印机以及安全摄像头等。物联网设备经常处于不安全的状态，且几乎不提供安全补丁，这样一来不仅会威胁到用户，还会威胁到互联网上的其他人，因为这些设备经常会被恶意行为者用来构建僵尸网络。这为家庭用户和社会带来了独特的安全挑战。
网络威胁类型
常见的网络威胁主要包括以下三类：
保密性攻击
很多网络攻击都是从窃取或复制目标的个人信息开始的，包括各种各样的犯罪攻击活动，如信用卡欺诈、身份盗窃、或盗取比特币钱包。国家间谍也将保密性攻击作为其工作的重要部分，试图获取政治、军事或经济利益方面的机密信息。
完整性攻击
一般来说，完整性攻击是为了破坏、损坏、摧毁信息或系统，以及依赖这些信息或系统的人。完整性攻击可以是微妙的——小范围的篡改和破坏，也可以是灾难性的——大规模的对目标进行破坏。攻击者的范围可以从脚本小子到国家间谍组织。
可用性攻击
阻止目标访问数据是如今勒索软件和拒绝服务（DoS）攻击最常见的形式。勒索软件一般会加密目标设备的数据，并索要赎金进行解密。拒绝服务（DoS）攻击（通常以分布式拒绝服务攻击的形式）向目标发送大量的请求占用网络资源，使网络资源不可用。
这些攻击的实现方式：
1.社会工程学
如果攻击者能够直接从人类身上找到入口，就不能大费周章地入侵计算机设备了。社会工程恶意软件通常用于传播勒索软件，是排名第一的攻击手段（而不是缓冲区溢出、配置错误或高级漏洞利用）。通过社会工程手段能够诱骗最终用户运行木马程序，这些程序通常来自他们信任的和经常访问的网站。持续的用户安全意识培训是对抗此类攻击的最佳措施。
2.网络钓鱼攻击
有时候盗取别人密码最好的方法就是诱骗他们自己提供，这主要取决于网络钓鱼攻击的成功实践。即便是在安全方面训练有素的聪明用户也可能遭受网络钓鱼攻击。这就是双因素身份认证（2FA）成为最佳防护措施的原因——如果没有第二个因素（如硬件安全令牌或用户手机上的软件令牌认证程序），那么盗取到的密码对攻击者而言将毫无意义。
3.未修复的软件
如果攻击者对你发起零日漏洞攻击，你可能很难去责怪企业，但是，如果企业没有安装补丁就好比其没有执行尽职调查。如果漏洞已经披露了几个月甚至几年的时间，而企业仍旧没有安装安全补丁程序，那么就难免会被指控疏忽。所以，记得补丁、补丁、补丁，重要的事说三遍！
4.社交媒体威胁
“Catfishing”一词一般指在网络环境中对自己的情况有所隐瞒，通过精心编造一个优质的网络身份，目的是为了给他人留下深刻印象，尤其是为了吸引某人与其发展恋爱关系。不过，Catfishing可不只适用于约会场景。可信的“马甲”账户能够通过你的LinkedIn网络传播蠕虫。如果有人非常了解你的职业联系方式，并发起与你工作有关的谈话，您会觉得奇怪吗?正所谓“口风不严战舰沉”，希望无论是企业还是国家都应该加强重视社会媒体间谍活动。
5.高级持续性威胁（APT）
其实国家间谍可不只存在于国家以及政府组织之间，企业中也存在此类攻击者。所以，如果有多个APT攻击在你的公司网络上玩起“捉迷藏”的游戏，请不要感到惊讶。如果贵公司从事的是对任何人或任何地区具有持久利益的业务，那么您就需要考虑自己公司的安全状况，以及如何应对复杂的APT攻击了。在科技领域，这种情况尤为显着，这个充斥着各种宝贵知识产权的行业一直令很多犯罪分子和国家间谍垂涎欲滴。
网络安全职业
执行强大的网络安全战略还需要有合适的人选。对于专业网络安全人员的需求从未像现在这样高过，包括C级管理人员和一线安全工程师。虽然公司对于数据保护意识的提升，安全部门领导人已经开始跻身C级管理层和董事会。现在，首席安全官（CSO）或首席信息安全官（CISO）已经成为任何正规组织都必须具备的核心管理职位。
此外，角色也变得更加专业化。通用安全分析师的时代正在走向衰落。如今，渗透测试人员可能会将重点放在应用程序安全、网络安全或是强化网络钓鱼用户的安全防范意识等方面。事件响应也开始普及全天制（724小时）。以下是安全团队中的一些基本角色：
1.首席信息安全官／首席安全官
首席信息安全官是C级管理人员，负责监督一个组织的IT安全部门和其他相关人员的操作行为。此外，首席信息安全官还负责指导和管理战略、运营以及预算，以确保组织的信息资产安全。
2.安全分析师
安全分析师也被称为网络安全分析师、数据安全分析师、信息系统安全分析师或IT安全分析师。这一角色通常具有以下职责:
计划、实施和升级安全措施和控制措施；
保护数字文件和信息系统免受未经授权的访问、修改或破坏；
维护数据和监控安全访问；
执行内／外部安全审计；
管理网络、入侵检测和防护系统；分析安全违规行为以确定其实现原理及根本原因；
定义、实施和维护企业安全策略；
与外部厂商协调安全计划；
3.安全架构师
一个好的信息安全架构师需要能够跨越业务和技术领域。虽然该角色在行业细节上会有所不同，但它也是一位高级职位，主要负责计划、分析、设计、配置、测试、实施、维护和支持组织的计算机和网络安全基础设施。这就需要安全架构师能够全面了解企业的业务，及其技术和信息需求。
4.安全工程师
安全工程师的工作是保护公司资产免受威胁的第一线。这项工作需要具备强大的技术、组织和沟通能力。IT安全工程师是一个相对较新的职位，其重点在于IT基础设施中的质量控制。这包括设计、构建和防护可扩展的、安全和强大的系统；运营数据中心系统和网络；帮助组织了解先进的网络威胁；并帮助企业制定网络安全战略来保护这些网络。
C. 什么是网络安全架构
网络架构（Network Architecture）是为设计、构建和管理一个通信网络提供一个构架和技术基础的蓝图。网络构架定义了数据网络通信系统的每个方面，包括但不限于用户使用的接口类型、使用的网络协议和可能使用的网络布线的类型。网络架构典型地有一个分层结构。分层是一种现代的网络设计原理，它将通信任务划分成很多更小的部分，每个部分完成一个特定的子任务和用小数量良好定义的方式与其它部分相结合。
D. 网络安全是什么
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断
E. 《网络安全法》主要内容解读
备受关注的《网络安全法》于6月1日正式施行。作为我国第一部全面规范网络空间安全管理的基础性法律，它的施行，标志着我国网络安全从此有法可依，网络空间治理、网络信息传播秩序规范、网络犯罪惩治等即将翻开崭新的一页，对保障我国网络安全、维护国家总体安全具有深远而重大的意义。
《网络安全法》主要内容解读: 共七章七十九条，主要包括七大方面
维护网络主权与合法权益。
该法第一条即明确规定“维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展。”
支持与促进网络安全。
专门拿出一章的内容，要求建立和完善国家网络安全体系，支持各地各相关部门加大网络安全投入、研发和应用，支持创新网络安全管理方式，提升保护水平。
强调网络运行安全。
利用两节共十九条的篇幅作了详细规定，突出“国家实行网络安全等级保护制度”和“关键信息基础设施的运行安全”。
保障网络信息安全。
以法律形式明确“网络实名制”，要求网络运营者收集使用个人信息，应当遵循合法、正当、必要的原则，“不得出售个人信息”。
监测预警与应急处置。
要求建立健全网络安全监测预警和信息通报制度，建立网络应急工作机制，制定应急预案，重大突发事件可采取“网络通信管制”。
完善监督管理体制。
实行“1+X”监管体制，打破“九龙治水”困境。该法第八条规定国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关在各自职责范围内负责网络安全保护和监督管理。
明确相关利益者法律责任。
该法第六章对网络运营者、网络产品或者服务提供者、关键信息基础设置运营者，以及网信、公安等众多责任主体的处罚惩治标准，作了详细规定。
总体来说，该法呈现出六大亮点明确禁止出售个人信息行为;严厉打击网络诈骗;从法律层面明确网络实名制;把对重点保护关键信息基础设施的保护摆在重要位置;惩治攻击破坏我国关键信息基础设施行为;明确发生重大突发事件时可采取“网络通信管制”。
中华人民共和国主席令
第五十三号
《中华人民共和国网络安全法》已由中华人民共和国第十二届全国人民代表大会常务委员会第二十四次会议于2016年11月7日通过，现予公布，自2017年6月1日起施行。
2016年11月7日
中华人民共和国网络安全法
目 录
第一章 总则
第二章 网络安全支持与促进
第三章 网络运行安全
第一节 一般规定
第二节 关键信息基础设施的运行安全
第四章 网络信息安全
第五章 监测预警与应急处置
第六章 法律责任
第七章 附则
第一章 总则
第一条 为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定本法。
第二条 在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。
第三条 国家坚持网络安全与信息化发展并重，遵循积极利用、科学发展、依法管理、确保安全的方针，推进网络基础设施建设和互联互通，鼓励网络技术创新和应用，支持培养网络安全人才，建立健全网络安全保障体系，提高网络安全保护能力。
第四条 国家制定并不断完善网络安全战略，明确保障网络安全的基本要求和主要目标，提出重点领域的网络安全政策、工作任务和措施。
第五条 国家采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动，维护网络空间安全和秩序。
第六条 国家倡导诚实守信、健康文明的网络行为，推动传播社会主义核心价值观，采取措施提高全社会的网络安全意识和水平，形成全社会共同参与促进网络安全的良好环境。
第七条 国家积极开展网络空间治理、网络技术研发和标准制定、打击网络违法犯罪等方面的国际交流与合作，推动构建和平、安全、开放、合作的网络空间，建立多边、民主、透明的网络治理体系。
第八条 国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。
县级以上地方有关部门的网络安全保护和监督管理职责，按照国家有关规定确定。
第九条 网络运营者开展经营和服务活动，必须遵守法律、行政法规，尊重社会公德，遵守商业道德，诚实信用，履行网络安全保护义务，接受政府和社会的监督，承担社会责任。
第十条 建设、运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。
第十一条 网络相关行业组织按照章程，加强行业自律，制定网络安全行为规范，指导会员加强网络安全保护，提高网络安全保护水平，促进行业健康发展。
第十二条 国家保护公民、法人和其他组织依法使用网络的权利，促进网络接入普及，提升网络服务水平，为社会提供安全、便利的网络服务，保障网络信息依法有序自由流动。
任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得危害网络安全，不得利用网络从事危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度，煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，传播暴力、淫秽色情信息，编造、传播虚假信息扰乱经济秩序和社会秩序，以及侵害他人名誉、隐私、知识产权和其他合法权益等活动。
第十三条 国家支持研究开发有利于未成年人健康成长的网络产品和服务，依法惩治利用网络从事危害未成年人身心健康的活动，为未成年人提供安全、健康的网络环境。
第十四条 任何个人和组织有权对危害网络安全的行为向网信、电信、公安等部门举报。收到举报的部门应当及时依法作出处理;不属于本部门职责的，应当及时移送有权处理的部门。
有关部门应当对举报人的相关信息予以保密，保护举报人的合法权益。
第二章 网络安全支持与促进
第十五条 国家建立和完善网络安全标准体系。国务院标准化行政主管部门和国务院其他有关部门根据各自的职责，组织制定并适时修订有关网络安全管理以及网络产品、服务和运行安全的国家标准、行业标准。
国家支持企业、研究机构、高等学校、网络相关行业组织参与网络安全国家标准、行业标准的制定。
第十六条 国务院和省、自治区、直辖市应当统筹规划，加大投入，扶持重点网络安全技术产业和项目，支持网络安全技术的研究开发和应用，推广安全可信的网络产品和服务，保护网络技术知识产权，支持企业、研究机构和高等学校等参与国家网络安全技术创新项目。
第十七条 国家推进网络安全社会化服务体系建设，鼓励有关企业、机构开展网络安全认证、检测和风险评估等安全服务。
第十八条 国家鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放，推动技术创新和经济社会发展。
国家支持创新网络安全管理方式，运用网络新技术，提升网络安全保护水平。
第十九条 各级有关部门应当组织开展经常性的网络安全宣传教育，并指导、督促有关单位做好网络安全宣传教育工作。
大众传播媒介应当有针对性地面向社会进行网络安全宣传教育。
第二十条 国家支持企业和高等学校、职业学校等教育培训机构开展网络安全相关教育与培训，采取多种方式培养网络安全人才，促进网络安全人才交流。
第三章 网络运行安全
第一节 一般规定
第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
(一)制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;
(二)采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施;
(三)采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月;
(四)采取数据分类、重要数据备份和加密等措施;
(五)法律、行政法规规定的其他义务。
第二十二条 网络产品、服务应当符合相关国家标准的强制性要求。网络产品、服务的提供者不得设置恶意程序;发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。
网络产品、服务的提供者应当为其产品、服务持续提供安全维护;在规定或者当事人约定的期限内，不得终止提供安全维护。
网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意;涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定。
第二十三条 网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。国家网信部门会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。
第二十四条 网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。
国家实施网络可信身份战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认。
第二十五条 网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
第二十六条 开展网络安全认证、检测、风险评估等活动，向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息，应当遵守国家有关规定。
第二十七条 任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动;不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具;明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。
第二十八条 网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助。
第二十九条 国家支持网络运营者之间在网络安全信息收集、分析、通报和应急处置等方面进行合作，提高网络运营者的安全保障能力。
有关行业组织建立健全本行业的网络安全保护规范和协作机制，加强对网络安全风险的分析评估，定期向会员进行风险警示，支持、协助会员应对网络安全风险。
第三十条 网信部门和有关部门在履行网络安全保护职责中获取的信息，只能用于维护网络安全的需要，不得用于其他用途。
第二节 关键信息基础设施的运行安全
第三十一条 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。
国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。
第三十二条 按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。
第三十三条 建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。
第三十四条 除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：
F. 网络安全的背景.
随着计算机技术的飞速发展，信息网络已经成为社会发展的重要保证。有很多是敏感信息，甚至是国家机密。所以难免会吸引来自世界各地的各种人为攻击（例如信息泄露、信息窃取、数据篡改、数据删添、计算机病毒等）。同时，网络实体还要经受诸如水灾、火灾、地震、电磁辐射等方面的考验。
1、Internet是一个开放的、无控制机构的网络，黑客（Hacker）经常会侵入网络中的计算机系统，或窃取机密数据和盗用特权，或破坏重要数据，或使系统功能得不到充分发挥直至瘫痪。
2、Internet的数据传输是基于TCP/IP通信协议进行的，这些协议缺乏使传输过程中的信息不被窃取的安全措施。
3、Internet上的通信业务多数使用Unix操作系统来支持，Unix操作系统中明显存在的安全脆弱性问题会直接影响安全服务。
4、在计算机上存储、传输和处理的电子信息，还没有像传统的邮件通信那样进行信封保护和签字盖章。信息的来源和去向是否真实，内容是否被改动，以及是否泄露等，在应用层支持的服务协议中是凭着君子协定来维系的。
5、电子邮件存在着被拆看、误投和伪造的可能性。使用电子邮件来传输重要机密信息会存在着很大的危险。
6、计算机病毒通过Internet的传播给上网用户带来极大的危害，病毒可以使计算机和计算机网络系统瘫痪、数据和文件丢失。在网络上传播病毒可以通过公共匿名FTP文件传送、也可以通过邮件和邮件的附加文件传播。
网络安全由于不同的环境和应用而产生了不同的类型。主要有以下几种：
（1）系统安全
运行系统安全即保证信息处理和传输系统的安全。它侧重于保证系统正常运行。避免因为系统的崩溃和损坏而对系统存储、处理和传输的消息造成破坏和损失。避免由于电磁泄翻，产生信息泄露，干扰他人或受他人干扰。
（2）网络信息安全
网络上系统信息的安全。包括用户口令鉴别，用户存取权限控制，数据存取权限、方式控制，安全审计。安全问题跟踩。计算机病毒防治，数据加密等。
（3）信息传播安全
网络上信息传播安全，即信息传播后果的安全，包括信息过滤等。它侧重于防止和控制由非法、有害的信息进行传播所产生的后果，避免公用网络上自由传输的信息失控。
（4）信息内容安全
网络上信息内容的安全。它侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为。其本质是保护用户的利益和隐私。
以上内容参考 网络-网络安全；网络-网络信息安全
G. 对网络安全的认识和理解
网络安全，通常指计算机网络的安全，实际上也可以指计算机通信网络的安全。计算机通信网络是将若干台具有独立功能的计算机通过通信设备及传输媒体互连起来，在通信软件的支持下，实现计算机间的信息传输与交换的系统。而计算机网络是指以共享资源为目的，利用通信手段把地域上相对分散的若干独立的计算机系统、终端设备和数据设备连接起来，并在协议的控制下进行数据交换的系统。
一、 计算机网络安全的重要性
1、计算机存储和处理的是有关国家安全的政治、经济、军事、国防的情况及一些部门、机构、组织的机密信息或是个人的敏感信息、隐私，因此成为敌对势力、不法分子的攻击目标。
2、随着计算机系统功能的日益完善和速度的不断提高，系统组成越来越复杂，系统规模越来越大，特别是Internet的迅速发展，存取控制、逻辑连接数量不断增加，软件规模空前膨胀，任何隐含的缺陷、失误都能造成巨大损失。
3、人们对计算机系统的需求在不断扩大，这类需求在许多方面都是不可逆转，不可替代的，而计算机系统使用的场所正在转向工业、农业、野外、天空、海上、宇宙空间，核辐射环境等等，这些环境都比机房恶劣，出错率和故障的增多必将导致可靠性和安全性的降低。
4、随着计算机系统的广泛应用，各类应用人员队伍迅速发展壮大，教育和培训却往往跟不上知识更新的需要，操作人员、编程人员和系统分析人员的失误或缺乏经验都会造成系统的安全功能不足。
5、计算机网络安全问题涉及许多学科领域，既包括自然科学，又包括社会科学。就计算机系统的应用而言，安全技术涉及计算机技术、通信技术、存取控制技术、校验认证技术、容错技术、加密技术、防病毒技术、抗干扰技术、防泄露技术等等，因此是一个非常复杂的综合问题，并且其技术、方法和措施都要随着系统应用环境的变化而不断变化。
6、从认识论的高度看，人们往往首先关注系统功能，然后才被动的从现象注意系统应用的安全问题。因此广泛存在着重应用、轻安全、法律意识淡薄的普遍现象。计算机系统的安全是相对不安全而言的，许多危险、隐患和攻击都是隐蔽的、潜在的、难以明确却又广泛存在的。
二、网络安全常识
1、日常生活中保护个人信息。
2、注意预防个人信息泄露。防止浏览行为被追踪。
3、网上购物时确保你的信息安全。
4、防止黑客攻击。防止电脑中毒。
三、网络安全的意义
1、没有网络安全就没有国家安全，没有信息化就没有现代化。
2、在信息时代，网络安全对国家安全牵一发而动全身，同许多其他方面的安全都有着密切关系。
3、网络空间是亿万民众共同的精神家园。网络空间不是 “法外之地”。网络空间是虚拟的，但运用网络空间的主体是现实的，大家都应该遵守法律，明确各方权利义务。
4、网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。 在信息时代，网络安全对国家安全牵一发而动全身，同许多其他方面的安全都有着密切关系。没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障。
5、要树立正确的网络安全观，加强信息基础设施网络安全防护，加强网络安全信息统筹机制、手段、平台建设，加强网络安全事件应急指挥能力建设，积极发展网络安全产业，做到关口前移，防患于未然。
6、网络安全和信息化是事关国家安全和国家发展、事关广大人民群众工作生活的重大战略问题，要从国际国内大势出发，总体布局，统筹各方，创新发展，努力把我国建设成为网络强国。
7、从老百姓衣食住行到国家重要基础设施安全，互联网无处不在。一个安全、稳定、繁荣的网络空间，对一国乃至世界和平与发展越来越具有重大意义。
法律依据：
《中华人民共和国网络安全法》
第一条
为了保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定本法。
第二条
在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理，适用本法。
第三条
国家坚持网络安全与信息化发展并重，遵循积极利用、科学发展、依法管理、确保安全的方针，推进网络基础设施建设和互联互通，鼓励网络技术创新和应用，支持培养网络安全人才，建立健全网络安全保障体系，提高网络安全保护能力。
H. 信息安全技术的创新点
随着互联网应用的快速发展，信息安全已深入到诸多领域，越来越多的企业用户和个人用户开始沉下心来，认真思考着一个问题：当各种各样针对应用的安全威胁来临之时，如何在日益增长并更为复杂的各种应用中有效地进行自我保护，如何将思路创新、技术创新的破冰之计与信息安全更好地融合在一起，守好自己的那一方阵地？
要有效保证信息安全，其中之一就是要做好数据抢救措施，如加入数据恢复、数据备份、数据销毁等信息安全防御措施。常用的数据恢复技术包括效率源Data Compass数据指南针、HD Doctor、DCK硬盘复制机等。
其实，从较为完整的经典网络安全防护模型--APPDRR中，可以看到网络安全需要的基本要素是：分析、安全策略、保护、检测、响应和恢复，针对这六个基本要素，需要重点关注安全测试评估、安全存储、主动实施防护模型与技术、网络安全事件监控、恶意代码防范与应急响应、数据备份与可生存性六项技术，及衍生而来的可信计算平台技术和网络安全管理与UTM技术的创新点。
4月12日，在2007中国电子信息创新技术年会上，中国工程院院士、信息产业部互联网应急处理协调办公室主任方滨兴，畅谈了自己对这八项重点技术创新点的看法。
（一） 安全测试评估技术
安全是网络正常运行的前提。网络安全不单是单点的安全，而是整个信息网的安全，需要从多角度进行立体防护。要知道如何防护，就要清楚安全风险来源于何处，这就需要对网络安全进行风险分析。方滨兴认为网络安全的风险分析，重点应该放在安全测试评估技术方面。它的战略目标是：掌握网络与信息系统安全测试及风险评估技术，建立完整的面向等级保护的测评流程及风险评估体系。他谈到，这一点和过去不一样，过去进行测评没有强调等级保护，就是按照以往测评的模式进行。而《国家信息化中长期科学与技术发展战略规划纲要》已经明确提出，网络安全测试要按照等级保护的原则进行，所以测评也需要服务于这一点。
那么安全测评的主要创新点又是什么？方院士认为：
首先，要建立适应等级保护和分级测评机制的通用信息系统与信息技术产品测评模型、方法和流程，要适应不同的级别就要有不同的测评方法，这里的分级要符合等级保护机制，重点放在通用产品方面，所谓通用产品就是要建成一个标准的流程，不能完全是一事一议，如此一来互相之间也才会有所比较；要建立统一的测评信息库和知识库，即测评要有统一的背景；制定相关的国家技术标准。
其次，要建立面向大规模网络与复杂信息系统安全风险分析的模型和方法；建立基于管理和技术的风险评估流程；制定定性和定量的测度指标体系。如果没有这个指标体系，只能抽象地表述，对指导意见来讲并没有太多的实际意义。
（二）安全存储系统技术
在安全策略方面，方院士认为重点需要放在安全存储系统技术上。其战略目标有两点：一是要掌握海量数据的加密存储和检索技术，保障存储数据的机密性和安全访问能力。二是要掌握高可靠海量存储技术，保障海量存储系统中数据的可靠性。
关于安全存储，方院士强调：
首先，采用海量（TB级）分布式数据存储设备的高性能加密与存储访问方法，并建立数据自毁机理。他谈到为海量信息进行高性能加密，虽然有加密解密的过程，但对访问影响并不明显。这其中不能忽视的是此举对算法的效率提出了很高的要求，应该加以注意。而且一旦数据出现被非授权访问，应该产生数据自毁。
其次，采用海量（TB级）存储器的高性能密文数据检索手段。需要指出的是，加密的基本思路就是要把它无规则化，让它根本看不到规则，这才是加密。而检索就是要有规律，所以这里就要提出一个折中的方法，如何加密对检索能够尽可能的支持，同时又具备一定的安全强度。这就对密码算法和检索都提出来了挑战。
再次，构建基于冗余的高可靠存储系统的故障监测、透明切换与处理、数据一致性保护等方面的模型与实现手段。这里高可靠的关键的还是要依赖冗余，一旦系统崩溃，还有冗余信息。
最后，制定安全的数据组织方法；采用基于主动防御的存储安全技术。
（三）主动实时防护模型与技术
在现有的网络环境下，安全大战愈演愈烈，防火墙、杀毒、入侵检测老三样等片面的安全防护应对方式已经越来越显得力不从心，方院士认为这需要的不仅仅是片面的被动防护，而更要在防护的过程中强调主动实时防护模型与技术。
他认为主动防护的战略目标应该是：掌握通过态势感知，风险评估、安全检测等手段对当前网络安全态势进行判断，并依据判断结果实施网络主动防御的主动安全防护体系的实现方法与技术。传统的防护一般都是入侵检测，发现问题后有所响应，但是越来越多的人更加关注主动防护，通过态势判断，进行系统的及时调整，提高自身的安全强度。通过感知，主动地做出决策，而不是事后亡羊补牢，事后做决策。
方院士在谈到主动防护时说：一是建立网络与信息系统安全主动防护的新模型、新技术和新方法；建立基于态势感知模型、风险模型的主动实时协同防护机制和方法。
二是建立网络与信息系统的安全运行特征和恶意行为特征的自动分析与提取方法；采用可组合与可变安全等级的安全防护技术。方院士进一步强调，不同的系统会有不同的需求，应该具备一定的提取能力，进而监控其特征，通过监控判断所出现的各种情况。另外，如果通过检测发现恶意行为，应该对其特征进行提取，提取的目的就是为了进一步监测，或在其他区域进行监测，检查同样的情况是否存在，如果存在，就要对这个态势进行明确的分析，而这些都需要有自动的特征提取。
（四）网络安全事件监控技术
监测是实现网络安全中不可或缺的重要一环，这其中要重点强调的是实施，即网络安全事件监控技术。
方院士认为实时监控的战略目标是：掌握保障基础信息网络与重要信息系统安全运行的能力，支持多网融合下的大规模安全事件的监控与分析技术，提高网络安全危机处置的能力。需要强调的是三网融合势在必行，不同网的状态下，要实现融合，这就对进行监测就提出了一定的要求，监测水平需要有所提升。
I. 打造可信平台 联想安全产品及解决方案亮相
10月20日，第二届联想商用技术论坛在京召开。作为商用技术论坛的核心组成部分，联想安全分论坛同期举行。会上，包括联想昭阳系列安全笔记本，ThinkCentre M系列安全PC，昭阳系列加固笔记本、安全服务器、SMC安全解决方案在内的联想安全产品及解决方案家族闪亮登场。同时，联想与来自政府、大型机构及在京央企等近百家客户的信息化负责人一道，深入探讨在信息化应用日益深入的环境下，如何通过安全技术、产品和方案，构筑“可控安全”信息防御系统，应对IT安全威胁，保障商用信息安全等问题。国家密码管理局商用密码办公室副主任安晓龙、联想集团副总裁兼中国区大客户业务总经理童夫尧、联想集团副总裁兼联想研究院常务副院长韦卫等嘉宾出席本次论坛。
联想集团中国区大客户业务高级总监王俊杰（点此查看大图
）
“在高速发展的信息时代，信息安全技术呈现出可信化、网络化、标准化、集成化四大趋势”，国家密码管理局商用密码办公室安晓龙副主任表示，我国政府历来重视商用信息数据的安全防护工作。在国家密码管理局的牵头带领下，我国先后出台了一系列信息安全规范、标准，以联想为代表的企业，正积极投身于信息安全技术的研发、生产和产业生态圈的构建工作中。为保障国家、社会和各行各业稳定发展做出了贡献。
联想集团副总裁兼中国区大客户业务总经理童夫尧表示，近年来关键信息泄密事件时有发生，由此造成的损失不容小觑。在相关政府部门的推动和领导下，联想作为全球PC的领导者品牌，长期致力于信息安全技术的研究与探索，不断通过创新的安全技术和产品方案，帮助用户迎击不断升级的安全威胁，为广大用户带来最为可靠的安全体验。信息安全已成为联想商用产品的特质“DNA”，伴随着联想发展的每一个脚步。
联想集团副总裁兼联想研究院常务副院长韦卫向与会嘉宾详细介绍了联想安全技术的发展。韦卫表示，从网络安全到系统安全，再到现在的云安全，每个阶段的发展都留下了联想技术、产品的印记。可信计算、密码技术、TCM芯片以及软硬件体系架构，共同构筑了可信的商用计算环境。可信计算将会在政府和业界的共同推动下进入快速发展的时期。联想通过安全技术打造的可信链条，为千万用户的数据安全保驾护航。
本次全新亮相的联想系列安全产品和方案，以符合国家标准的可信计算密码模块——TCM安全芯片为基础部件，从物理安全、数据安全、身份安全等多方面构建了用户终端全方位的安全体系。联想安全产品家族囊括了从U盘到笔记本，从台式电脑到服务器，从打印机到安全服务的一整套解决方案。安全U盘解决了商用信息数据交换的问题，不仅可以限制本地U盘无法再外网使用，也可以限制外来U盘无法在本地读取，从内外两个方向屏蔽了信息泄露的窗口；以昭阳K43A、昭阳K23为代表的安全笔记本，依托LTT五维安全技术，将双重硬盘防护系统和悬浮式硬盘缓冲设计囊括其中，为珍贵的商用信息数据打造了可靠的生存空间；联想安全家族的重量级产品ThinkCentre M系列台式机，可以充分满足用户对文件实时加密/解密，防止数据恶意拷贝的需求，同时可以防护来自网络内外的安全威胁，此外独具的密钥备份/恢复功能，使得即使在电脑安全芯片硬件损坏时，系统仍可进行数据恢复和还原。不仅如此，此次论坛亮相的安全解决方案还包括高可靠、高稳定的万全系列安全服务器，安全管理客户端SMC2.0等。这些从前端到后台，从单一应用到系统应用的安全方案，不仅以“可信”的宗旨为用户的打造了稳定可靠的IT基石，而且以无懈可击的安全特性构筑了保密信息的立体屏障。
据介绍，联想的安全产品不仅以创新的安全技术，展现了联想全产业链资源整合能力和全球研发体系实力，更在历次国内外重大项目的实战中得到了检验，无论是伴随神州飞船遨游太空，克服严酷挑战，还是在奥运会上创造的“零故障”的完美表现，无论是为人大、政协两会打造安全的无纸化办公环境，还是在即将举行的上海世博会上担当核心应用，安全家族的产品为联想赢得一次又一次地获得了广泛的国际赞誉，更被深深打上了“安全、稳定、可靠”的品质烙印。
业内人士表示，本次由联想发起的安全技术论坛，将为业界构建安全的信息应用环境起到推动作用。同时，联想不断升级的安全技术、产品和方案，也将极大促进安全产业链条的各个环节共同应对信息安全威胁和信息安全技术的发展革新，使广大政府机构、军队等行业、机构的用户都能分享信息安全的成果，为保障国家安全、促进国民经济发展注入安全的源动力。
J. 如何构建工业互联网安全体系
2018年中国工业互联网行业分析：万亿级市场规模，五大建议构建安全保障体系
工业互联网安全问题日益凸现
工业互联网无疑是这个寒冬中最热的产业经济话题。“BAT们”视之为“互联网的下半场”，正在竞相“+工业”“+制造业”而工业企业、制造业企业们也在积极“+互联网”，希望借助互联网的科技力量，为工业、制造业的发展配备上全新引擎，从而打造“新工业”。
不难看出，工业互联网正面临着一个重要的高速发展期，预计至2020年将达万亿元规模。但与此同时，工业互联网所面临的安全问题日益凸现。在设备、控制、网络、平台、数据等工业互联网主要环节，仍然存在传统的安全防护技术不能适应当前的网络安全新形势、安全人才不足等诸多问题。
工业互联网万亿级市场模引发安全隐患
据前瞻产业研究院发布的《中国工业互联网产业发展前景预测与投资战略规划分析报告》统计数据显示，2017年中国工业互联网直接产业规模约为5700亿元，预计2017年到2019年，产业规模将以18%的年均增速高速增长，到2020年将达到万亿元规模。随着国家出台相关工业互联网利好政策，中国工业互联网行业发展增速加快，截止到2018年3月，中国工业互联网平台数量超250家。世界各国正加速布局工业互联网，围绕工业互联网发展的国际竞争日趋激烈。
预计2020年我国工业互联网产业规模将达到万亿元
数据来源：公开资料、前瞻产业研究院整理
一方面，加快工业互联网发展是制造业转型升级的必然要求;另一方面，工业互联网是构筑现代化经济体系的必然趋势。
工业互联网是深化“互联网+先进制造业”的重要基石，也是发展数字经济的新动力。发展工业互联网，实现互联网与制造业深度融合，将催生更多新业态、新产业、新模式，创造更多新兴经济增长点。
伴随着工业互联网的发展，越来越多的工业控制系统及设备与互联网连接，网络空间边界和功能极大扩展，以及开放、互联、跨域的制造环境，使得工业互联网安全问题日益凸显：
1、网络攻击威胁向工业互联网领域渗透。近年来，工业控制系统漏洞呈快速增长趋势，相关数据显示，2017年新增信息安全漏洞4798个，其中工控系统新增漏洞数351个，相比2016年同期，新增数量几乎翻番，漏洞数量之大，使整个工业系统的生产网络面临巨大安全威胁。
2、新技术的运用带来新的安全威胁。大数据、云计算、人工智能、移动互联网等新一代信息技术本身存在一定的安全问题，导致工业互联网安全风险多样化。
3、工业互联网安全保障能力薄弱。目前，传统的安全保障技术不足以解决工业互联网的安全问题，同时，针对工业互联网的安全防护资金投入较少，相应安全管理制度缺乏，责任体系不明确等，难以为工业互联网安全提供有力支撑。
如何构建工业互联网安全体系?
那么，如何铸造工业互联网的安全基石，加快构建可信的工业互联网安全保障体系呢?
1、突破关键核心技术。要紧跟工业互联网最新发展趋势，努力引领前沿技术和颠覆性技术发展。
2、推动工业互联网安全技术标准落地实施。全面推广技术合规性检测，促进工业互联网产业良性发展。
3、完善监管和评测体系。
4、切实推进工业互联网安全技术发展。加强全生命周期安全管理，构建覆盖系统建设各环节的安全防护体系。
5、联合行业力量打造工业互联网安全生态。
在工业互联网的安全防护能力建议：
1、顶层设计：出台系列文件，形成顶层设计;
2、标准引导：构建工业互联网安全标准体系框架，推进重点领域安全标准的研制;
3、技术保障：夯实基础，强化技术实力;
4、系统布局：依托联盟，打造产业促进平台;
5、产业应用：加强产业推进，推广安全最佳实践。
近年来，中国也陆续出台了《关于深化“互联网+先进制造业”发展工业互联网的指导意见》、《工业互联网发展行动计划(2018-2020年)》等文件，明确提出工业互联网安全工作内容，从制度建立、标准研制、安全防护、数据保护、手段建设、安全产业发展、人员培养等方面，要求建立涵盖设备安全、控制安全、网络安全、平台安全、数据安全的工业互联网多层次安全保障体系。
在国家政策以及业界的一致努力下，相信我国工业互联网在取得快速发展的同时在安全层面的保障也会更上一层楼。