网络安全是为了确保信息的完整性、保密性和可用性。它代表了防御、从安全事故（如硬盘故障或断电）和攻击中恢复的能力。后者包括从脚本小子、黑客和可进行高级持续性威胁APT 的犯罪团伙，以及可对企业构成严重威胁的人。业务连续性和灾难恢复计划对于网络安全（应用安全和狭义网络安全）至关重要。通常我们看到的教科书的解释形式是这样的：网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

　　如今的网络安全不仅仅是狭义的network security ，而成为了广义Cyber Security，我们要从实践和新的形势出发来了解网络安全到底是什么意思。在去年国家网络安全宣传周，习近平主席做出重要的指示：“网络安全为人民，网络安全靠人民。网络安全就是国家安全。” 

01. 安全意识培训

　　人总是网络安全规划中最薄弱的环节。培训开发人员安全地编写代码，培训操作人员优先考虑强大的安全状况，培训最终用户检测钓鱼邮件和社会工程攻击——总之，网络安全始于意识 。 

　　即使有强大的控制措施，所有公司都会遭遇某种网络攻击。攻击者总是利用最薄弱的环节。通过执行基本的安全任务（有时被称为“网络卫生”），很多攻击都是可轻松防护的。外科医生只有洗手后才能进入手术室。同样，企业也有维护基本网络安全的责任，如维护强大的身份验证和不保存可公开访问的敏感数据。 

　　然而，好的网络安全策略需要超越这些基本原则。熟练的黑客可绕过大多数防御系统和攻击面。攻击者进入系统的方式或“向量”的数量正向大多数公司扩展。例如，随着信息和物质世界的合并，犯罪分子和国家间谍正威胁着网络物理系统的ICA，比如汽车、发电厂、医疗设备，甚至IoT冰箱。同样，云计算趋势、自带设备办公（BYOD）政策以及物联网（IoT）的蓬勃发展带来了新挑战。防护这些系统再重要不过了。 

　　令网络安全更加复杂的是围绕消费者隐私的监管环境。遵守严格的监管框架（如欧盟《 通用数据保护条例GDPR 》）还要求有新的角色，确保组织能够满足GDPR和其他法规规定的隐私和安全指令。 

　　因此，日益增长的网络安全专业人才需求使招聘经理不得不努力填补职位空缺。这需要组织重点关注风险最大的领域。 

02. 网络安全类型

　　网络安全范围广泛。下文介绍网络安全的核心领域。好的网络安全策略应考虑到这些核心领域。 

　　1）关键基础设施 

　　关键基础设施包括社会所依赖的网络物理系统，包括电网、水净化系统、交通灯和医院。例如，发电厂联网后容易遭遇网络攻击。负责关键基础设施的组织的解决方案是进行尽职调查，了解漏洞并进行防护。每个人都应评估其依赖的关键基础设施攻击造成的影响，然后制定应急计划。 

　　2）狭义网络安全 

　　网络安全应防范未经授权的入侵和恶意内部人员。确保网络安全通常需要权衡。例如，额外登录之类的访问控制也许是必需的，但会降低生产力。 

　　监控网络安全的工具会生成大量数据，因此经常会忽略有效告警。为了更好地管理网络安全监控，安全团队越来越多地使用机器学习来标记异常流量，并实时生成威胁警告。 

　　3）云安全 

　　企业进入云计算时代带来了新的安全挑战。例如，由于云实例配置不当，2017年几乎每周都有数据泄露事件发生。云提供商正在创建新的安全工具来帮助企业用户更好地保护数据，但是底线仍然是： 对于网络安全而言，进入云时代并不是应对尽职调查的灵丹妙药。 

　　4）应用安全 

　　应用程序安全（AppSec），尤其是Web应用安全，已经成为最薄弱的攻击技术点，但很少有组织能够充分减轻所有 OWASP十大Web漏洞 。AppSec从安全编码实践开始，并且应通过模糊测试和渗透测试来扩展。 

　　将应用程序快速开发和部署到云上使 DevOps 作为一门新学科应运而生。DevOps团队通常将业务需求置于安全之上，由于威胁的扩散，这种关注度很可能会发生变化。 

　　5）IoT 物联网安全