文章总结： 本文从宏观与微观视角剖析网络安全。宏观强调合规与实战并重，需统筹供应链安全及应急体系，落实三化六防。微观聚焦通道安全、身份鉴别、访问控制及数据分类分级。结论指出以合规为基础实效为关键，结合攻击面管理思维进行全局规划与细节落实，构建立体化体系。 综合评分： 88 文章分类： 安全建设,网络安全,政策法规,数据安全,供应链安全

浅谈宏观与微观视角下的网络安全

神州希望网络安全

2026年1月1日 18:07 海南

本文内容来自笔者近期在一场行业交流会上的分享，共分为四个部分，分别是前言、宏观视角、微观视角和总结。

一、前言

（一）网络安全重要工作事项

从相关法律法规及政策文件的要求来看，网络运营者需开展网络安全等级保护、商用密码应用、关键信息基础设施保护以及数据安全等工作，这些工作紧密关联，不能割裂看待。同时，网络运营者及各类安全厂商、开发商、运维商与服务商，应从全局攻击面管理的工作思路出发，关注网络与信息系统的供应链安全，推进网络运营者应急体系建设等工作。

网络安全是立体化的工作，不能仅从等保、商密、关保或数安的单一角度开展，而应将这些工作作为一个整体进行统一规划、统一设计、统一建设与统一运营，并将其纳入单位整体安全治理体系，以确保合规性与整体安全防护能力的有效提升。

（二）从软考资格设置思考网络安全能力要求

我们以国家软考为例进行分析，从软考的资格设置可见，其分为高级、中级和初级三类。高级资格包括信息系统项目管理师、系统分析师、系统架构设计师、网络规划设计师、系统规划与管理师等，这些资格要求具备管理、架构、规划或系统分析等综合型、高水准的能力。因此，单位内部从事高级技术岗位工作的人员，通常需具备全局意识与管理规划能力，而中级和初级资格则侧重专业细分领域的能力要求，由此可以看出其与网络安全宏观和微观概念的相似性：宏观对应高级资格对统筹全局、规划管理等综合能力的要求，微观则对应中级、初级资格对某一个或某几个方向技术能力与应用的侧重。

（三）单机运行安全与网络通信安全

近年来，大量网络安全事件的起因在于单机运行安全（指联网或未联网情况下单台设备各层级运行的安全）存在短板，笔者结合多年网络安全与信息化工作实践认为，单机运行安全是网络安全体系的基础，应建立从单台设备到多设备组网，再到整体网络安全的知识体系与工作思路，从而更加科学合理地推动和落实网络安全与信息化工作。其中，网络攻击对抗是网络安全关注的重点，同时也不能忽视硬件设备、基础软件和应用软件自身故障引发的安全问题。

关于单机运行安全，需要理解和掌握单机设备从物理底层到上层应用的完整运行逻辑，即单机设备的层次结构。从上图左边部分可以看出，单机设备（包括服务器、网络设备、安全设备、密码设备和个人电脑等）从物理底层到上层应用可分为五个层级。我们先从最底层的硬件层说起，这是可见可触的部分，包括CPU、内存、磁盘及各类接口等。硬件层之上是固件层（或BIOS层），部分网络设备、安全设备叫UEFI层，这一层是固化在硬件中的底层软件，不属于操作系统，起到硬件初始化及衔接硬件与上层系统的作用。再往上则是操作系统层，操作系统层是管理CPU、内存、磁盘及各类接口等硬件资源，并提供运行环境的基础软件。操作系统层之上可称为驱动程序层，也有观点认为是软件运行时环境层，笔者综合考虑后使用“驱动程序层”这一叫法。驱动程序层相当于操作系统与硬件之间的“翻译官”，能让操作系统识别并控制具体的硬件模块，例如各类I/O板卡等。再往上是应用与功能层，这是实现设备核心功能的应用软件层面，可涵盖服务器的数据库和Web服务，以及路由器路由协议、防火墙安全防护、密码设备加解密等功能的实现。

上图右边部分展示了网络的层级结构。此处以典型的OSI参考模型、TCP/IP五层模型和四层模型为例，五层模型主要用于教育领域讲解TCP/IP工作原理，实际网络应用中则采用TCP/IP四层模型，每层有对应的网络协议。

对于网络数据传输，我们需要理解数据发送端和数据接收端在网络各层级上是如何工作的。一台主机发送数据时，会经历一个自上而下的封装过程：应用层数据在传输层被加上TCP或UDP报文头（如源端口号、目的端口号等），形成报文段；传输层报文在网络层被加上IP包头等信息，形成IP数据包；IP数据包在数据链路层被加上帧头和帧尾（如目的MAC地址、源MAC地址和帧校验序列），封装成数据帧；数据帧最终在物理层转换为二进制比特流，通过物理介质进行传输。接收端则进行自下而上的解封装过程，逐层去除头部信息，最终将数据递交给应用层。并且，数据从发送端到接收端通常还涉及路由和转发等方面的处理。

下面我们分别从宏观视角与微观视角分析网络安全工作涉及的一些重要内容。

二、宏观视角

宏观视角的网络安全内容主要分为五个部分，具体如下：

一、网络安全需同时关注技术与管理，且要贯穿项目或系统建设的全生命周期，从规划、建设、验收到运维，技术与管理二者缺一不可。若仅购置安全设备，却缺乏有效管理与运维，设备的作用与价值将大打折扣，网络与信息系统的安全保护能力也无法达到预期。

二、业务信息安全与系统服务安全是网络安全等级保护定级的两个分析维度。笔者曾思考是否存在第三个同等重要的维度，但目前尚未找到，因为这两个维度已高度概括了网络安全的核心内容，做好这两方面的工作，网络与信息系统的整体安全也能得到较高水平的保障。

三、《网络安全法》在2025年进行了修改，于2026年1月1日施行。此次修改新增条款明确要求网络安全工作贯彻总体国家安全观，同时明确国家支持人工智能的研究、应用与发展，并重视人工智能的安全问题。支持创新网络安全管理方式，运用人工智能等新技术，提升网络安全保护水平。此次修改还涉及其他方面的内容。

四、网络安全的“三化六防”与“一个中心、三重防护”工作思路。“三化六防”是公安机关提出的网络安全工作要求，“一个中心、三重防护”则是网络安全等级保护工作的核心技术内容。具体而言，“三化六防”包括实战化、体系化、常态化，以及动态防御、主动防御、纵深防御、精准防护、整体防控和联防联控，它高度概括了网络安全全生命周期立体化的工作要求；“一个中心、三重防护”从等级保护体系角度进行架构设计，“一个中心”即安全管理中心，“三重防护”涵盖通信网络、区域边界和计算环境。

五、供应链安全与网络运营者应急体系建设都很重要，并且两者存在着一定的联系。做好网络安全，需关注网络与信息系统全生命周期的供应链安全风险，包括产品自身安全风险、生产与交付过程风险、服务提供环节风险等。若供应链某环节的供应商出现问题，可能将风险引入网络与信息系统。例如，供应商人员出现问题，其在为网络与信息系统提供安全运维服务时，可能导致数据泄露或系统运行异常；若供应商系统被入侵，我们从其系统获取软件安装包、补丁等文件时，可能因恶意代码植入而引入安全风险。应急体系建设方面，等级保护、商用密码应用、数据安全和关基保护等均要求网络运营者开展应急体系建设，包括制定应急预案，针对可能发生的安全事件开展演练，以提升突发事件处置能力。应急体系建设应采用立体化思路，网络运营者需全局考虑传统安全事件、数据安全事件、商用密码应用安全事件等不同场景，建立健全覆盖各类场景的应急预案，并开展培训与演练。例如，数据泄露时如何调动内外部资源进行分析、评估和处置。从商用密码应用角度看，若信息系统使用的智能密码钥匙丢失应如何处置，若信息系统配备的单台服务器密码机故障应如何处置？这些问题都需要提前思考，并制定具有针对性的可行的应急预案，并保障应急预案执行需要的各类资源持续有效和可用。

三、微观视角

无论是大规模的信息化平台，还是一个小系统，要安全稳定运行都离不开一行行的代码和一条条的策略。可以说，微观视角下的一系列工作和措施是支撑网络与信息系统安全稳定运行的基石，下面我们从微观视角探讨网络安全的相关内容。

一是通道安全。无论是等级保护、商用密码应用，还是数据安全、关基保护，通信通道都是极其重要的安全保护对象。通道安全主要涉及机密性保护、完整性保护，以及通道建立过程中的身份鉴别等方面。首先，从用户访问通道来看，可分为业务人员、系统管理员和运维人员三类用户，我们需要关注这三类用户通过何种终端、以何种方式访问业务系统及目标对象，其构建的通道是否安全。其次是数据中心之间的通信通道，这类通道常见的保护方式是在两个数据中心之间构建IPSec VPN传输隧道，实现数据传输过程中的机密性和完整性保护。

同时，我们需要特别关注远程运维管理的安全风险问题。有时为方便临时性运维，技术人员可能开放面向互联网的远程运维通道，这极易引入重大安全风险。因此，针对远程运维管理，建议尽量避免开放此类通道；若确有必要，需通过VPN开展远程运维，并加强用户授权、口令强度及日常使用管理等工作。

通道安全不能被简单理解为“系统使用HTTPS访问”或“运维使用VPN就完全满足要求”。单向使用HTTPS与基础VPN隧道只能满足网络传输加密的基本要求，具体工作中还需结合实际安全需求，考虑是否采用双向认证、终端可信性校验与终端绑定等更安全的措施。

二是身份鉴别与可信验证。身份鉴别在网络安全保障体系中属于核心的 “合法性” 验证措施，可信验证则以身份合法性为基础，进一步延伸至主体行为、状态的可信性验证，二者共同构成身份与状态的双重验证防线。从商用密码应用角度，身份鉴别涉及机房、通道、设备和应用四个层面；从等级保护角度，可信验证要求对系统引导程序、系统程序、重要配置参数及应用程序进行可信验证。身份鉴别与可信验证通常与密码技术应用紧密相关，可以认为使用密码技术是实现身份鉴别与可信验证的重要方式。

三是主体对客体的访问控制问题。主体包括用户、进程等，客体包括文件、数据库表等。主体对客体的访问需遵循访问控制规则。若将主体与客体扩展至整个网络访问范畴，从访问发起端到被访问端的访问控制逻辑与之类似。因此，需重视主体对客体的访问控制规则设置，制定详细的访问控制策略，并遵循最小化原则。

四是数据安全。这里涉及几类概念及工作内容：首先是数据与网络数据的概念，《数据安全法》明确数据是指任何以电子或者其他方式对信息的记录，其中包括纸质材料等非电子化的信息记录；《网络数据安全管理条例》明确网络数据是指通过网络处理和产生的各种电子数据。数据安全工作需关注数据项与数据集两个概念。数据项通常表现为数据库表某一列字段等。数据集是由多个数据记录组成的集合,如数据库表、数据库一行或多行记录集合、数据文件等。在开展数据安全工作时，究竟是按最小粒度的数据项，还是更大粒度的数据集来规划和落实，这一问题值得深入思考。若是针对数据项实施保护，整个工作可能会变得极其复杂和繁重；而若适当扩大粒度，对不同数据集采用差异化的安全防护策略，则能让工作更具可行性，资源投入更合理，安全防护效果也能得到相应保障。

在数据安全工作中，数据分类分级、数据安全风险评估等是常见且重要的工作。就数据分类分级而言，分级通常需考虑数据的领域、群体、区域、精度、规模、深度、覆盖度、重要性等因素。例如，一般而言，同一时间同一范围内的地图数据，精度越高，数据的重要性或敏感性相对越高。数据安全风险评估需覆盖数据全生命周期的各项数据处理活动，包括数据收集、存储、使用、加工、传输、提供、公开、删除等，数据安全保护工作也需要围绕这些环节去落实。

视频数据加解密是数据安全保护工作面临的重要挑战之一。在商用密码应用中，如何对视频数据进行合理有效的加密，同时确保应用过程中能快速高效解密，是数据安全建设与整改工作面临的难题。部分厂商推出了针对视频流的加解密解决方案，这也是一种可考虑的思路。

五是抗抵赖与时间戳。从微观角度看，针对用户行为可能产生法律责任风险的信息系统，需部署抗抵赖措施，通常可采用电子签章、可信时间戳等技术予以实现。抗抵赖主要涉及数据原发行为与数据接收行为两个方面。

通过这些微观层面的建设，再加上安全审计措施，我们通常能较好地实现网络安全的五大目标：进不来、看不懂、拿不走、改不了、跑不掉。

四、总结

宏观视角与微观视角的网络安全可以总结为以下三点：

一、合规是基础，实效是关键。网络安全工作中，符合法律法规的合规要求只是基础，更需聚焦提升防护的实效性。合规与实效并非对立面，而是有机结合的，因此，我们应在合规基础上，构建能有效应对实战攻击的安全体系。

二、宏观上需全局规划建设，微观上要从细节落实安全防护能力。

三、网络安全与信息化工作需具备攻击面管理思维，从发现和缩小攻击面的角度开展系统运维与运营，同时兼顾业务信息安全与系统服务安全两个维度。业务信息安全的核心是保护数据的机密性、完整性和可用性，系统服务安全则聚焦服务可用性、避免中断，二者是网络安全保障的核心内容。

往期回顾

PREVIOUS REVIEW

神州希望2026年元旦假期值班安排

做好攻防演练，从攻击面管理开始

“薪”满意足，职等你来丨神州希望火热招聘中

《中华人民共和国网络安全法》修改后有哪些变化？

神州希望协助三亚市住房和城乡建设局开展网络安全意识培训和应急演练活动

神州希望协助三亚市综合行政执法局开展网络安全意识培训和应急演练活动

神州希望协助昌江黎族自治县科学技术和工业信息化局开展网络安全应急演练

END

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：神州希望网络安全 《浅谈宏观与微观视角下的网络安全》