安全域划分及防护
企事业单位安全管理办法的安全域划分与管理
企事业单位安全管理办法的安全域划分与管理随着社会的发展和进步，企事业单位的安全管理日益受到重视。
为了保障工作人员的生命财产安全，加强安全管理的有效性，企事业单位需要进行安全域划分与管理。
本文将从安全域划分的概念、安全域划分的原则、企事业单位安全管理办法以及安全域划分与管理的具体措施等方面进行论述。
一、安全域划分的概念安全域划分是指将企事业单位划分为不同的区域，根据工作内容、安全风险等因素，对不同区域进行安全管理的一种方法。
通过合理的划分，可以将安全管理的工作落实到位，提高工作人员的安全意识和防范能力。
二、安全域划分的原则在进行安全域划分时，需要考虑以下原则：1. 依据工作内容：根据不同的工作内容划分安全域，将具有相似工作性质和安全风险的区域划分到同一安全域中。
2. 依据安全风险：根据安全风险的不同程度划分安全域，将风险较高的区域划分为重点监管区域。
3. 依据人员分布：根据人员分布情况划分安全域，将人员密集区域作为重点关注区域。
4. 依据技术条件：根据技术条件划分安全域，将具备特殊技术条件的区域划分为特殊管控区域。
三、企事业单位安全管理办法为了加强企事业单位的安全管理，制定科学有效的安全管理办法至关重要。
具体来说，包括以下几个方面：1. 安全责任制度：明确企事业单位的安全责任和义务，并分配相应的安全管理人员。
2. 安全培训教育：开展安全培训教育，提高工作人员的安全意识和应急处置能力。
3. 安全措施落实：制定相应的安全措施，包括安全设施建设、防护措施配备等，确保其有效执行。
4. 事故应急预案：制定事故应急预案，明确应急处理流程和责任分工，做好各类事故的应急处理准备工作。
四、安全域划分与管理的具体措施在企事业单位进行安全域划分与管理时，可采取以下具体措施：1. 制定安全管理规范：根据企事业单位的特点和实际情况，制定相应的安全管理规范，明确各个区域的安全管理要求。
2. 安全监控与巡视：通过安装监控设备、加强巡视等措施，对各个安全域进行实时监控和巡查，及时发现安全隐患。
网络安全培训——安全域
造成的安全隐患
无法有效隔离丌同业务系统，跨业务系统的非授权互访难于发现和控制； 无法及时有效控制入侵行为和网络病毒的对业务区域的影响；
丌能及时的发现安全事件并作出响应； 第三方维护人员大量参不生产系统维护时的没有进行访问控制和得到授权； 合作伙伴的身份无法准确认证； 管理员密码和权限难以管理； 企业关键服务器、信息资产的缺乏重点防护。
有相同的安全访问控制和边界控制策略，且相同的网络安全域共享一样的安全策略。 安全域：安全域是由在同一工作环境中、具有相同或相似的安全保护需求和保护策略、相 互信任、相互关联或相互作用的IT要素的集合。
关于安全域的错误概念
物理网络区域 依照相同的物理位置定义的网络区域。如：办公区域、远程办公区域等
全管理、安全防护、安全控制。
边界整合指导思想
简化边界 通过对系统的综合分析、结合安全域划分，对系统、安全域的边界进行合并、简化，使系统、 安全域的边界简洁、清晰、完整。
利于防护 通过对系统、安全域的逻辑边界整合，应促进和落实对系统、安全域的安全防护策略，便于 部署安全防护措施，并能够使安全防护措施发挥有效的作用，使其丌被绕过。 强化控制 通过在整合后的边界上部署安全控制措施，可以有效地度量系统的安全状态，了解系统的安 全态势，有助于决策人员使用监控数据进行决策和行动。 有益管理 通过对系统、安全域的边界整合，划清安全管理决策、执行、审计检查责任，便于安全域管
安 全 策 略
划 分 的 依 据
业务使命 业务功能 系统架构 信 息 系 统 描 述 应用结构 数据存储 网络结构 物理部署 管理控制功能
业务目标 业务特性
技术特性
附属特性
学校校园网络安全管理的网络安全域划分
学校校园网络安全管理的网络安全域划分在学校校园中，网络安全是一个至关重要的问题。
为了确保学校网络的正常运行和保护师生的信息安全，网络安全域划分是必不可少的。
本文将探讨学校校园网络安全管理中网络安全域的划分，并提出相应的建议。
一、背景介绍随着现代科技的不断发展，学校校园网络已经变得越来越普及和重要。
学校校园网络不仅为师生提供了丰富的学习资源和便利的服务，也为教育管理部门提供了高效的信息化管理手段。
然而，网络安全问题也随之而来。
网络攻击、个人信息泄露等一系列问题给学校的网络安全管理提出了严峻的挑战。
二、网络安全域划分的重要性网络安全域划分是学校校园网络安全管理的基础和前提。
通过合理的网络安全域划分，可以将网络划分成若干个不同的安全区域，每个区域有不同的安全策略和权限控制。
这样可以有效隔离潜在的安全威胁，降低风险。
1. 保护校园网内部系统将校园网划分为内部系统、外部系统和边界网络等不同的安全域，可以保护校园网内的核心系统和数据。
内部系统是指学校内部的管理系统和教学资源，需要严格保护和控制。
通过配置防火墙、访问控制列表等安全设备，可以限制内部系统的访问权限，防止未经授权的人员访问。
2. 防护外来攻击校园网络往往是外来攻击的主要目标之一。
为了防止外来攻击对学校网络的侵害，可以将校园网划分为外链网络和边界网络。
外链网络是指与外部网络进行通信的部分，边界网络是位于内部系统和外链网络之间的缓冲区域。
通过在边界网络上设置防火墙、入侵检测系统等安全设备，可以及时发现并阻止潜在的攻击行为。
3. 保护师生个人信息学校校园网络中存储了大量的师生个人信息，例如学生档案、课程信息、考试成绩等。
为了保护这些个人信息不被非法获取和滥用，可以将校园网络划分为教务管理区和个人信息区。
教务管理区包括学生成绩管理系统、课程资源等，个人信息区包括学生注册信息、教师信息等。
通过限制教务管理区的访问权限，并加强个人信息区的保护措施，可以最大程度地保护学生和教师的个人信息安全。
安全域划分和等级保护
近年来，随着我国信息化发展的逐步深入，我们对信息系统的依赖越来越强，国家信息基础设施和重要信息系统能否安全正常地运行直接关系到国家安全和社会秩序。
但是大型信息系统的安全保障体系建设是一个极为复杂的工作，为大型组织设计一套完整和有效的安全体系一直是个世界性的难题。
一些行业性机构或大型企业的信息系统应用众多、结构复杂、覆盖地域广阔、涉及的行政部门和人员众多；系统面临着各种性质的安全威胁，间谍、黑客、病毒蠕虫、木后门、非法的合作伙伴、本地维护的第三方、内部员工等；安全保障要求的内容极为广泛，从物理安全、网络安全、系统安全、应用安全一直到安全管理、安全组织建设等等，凡是涉及到影响正常运行的和业务连续性的都可以认为是信息安全问题；不同业务系统、不同发展阶段、不同地域和行政隶属层次的安全要求属性和强度存在较大差异性。
国内的政策及发展面对严峻的形势和严重的问题，如何解决大型信息系统的信息安全问题，是摆在我国信息化建设人员面前的重大关键问题。
美国及西方发达国家为了抵御信息网络的脆弱性和安全威胁，制定了一系列强化信息网络安全建设的政策和标准，其中一个很重要思想就是按照安全保护强度划分不同的安全等级，以指导不同领域的信息安全工作。
经过我国信息安全领域有关部门和专家学者的多年研究，在借鉴国外先进经验和结合我国国情的基础上，提出了分等级保护的策略来解决我国信息网络安全问题，即针对信息系统建设和使用单位，根据其单位的重要程度、信息系统承载业务的重要程度、信息内容的重要程度、系统遭到攻击破坏后造成的危害程度等安全需求以及安全成本等因素，依据国家规定的等级划分标准，设定其保护等级，自主进行信息系统安全建设和安全管理，提高安全保护的科学性、整体性、实用性。
2003年，中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（27号文）中，已将信息安全等级保护作为国家信息安全保障工作的重中之重，要求各级党委、人民政府认真组织贯彻落实。
工业企业网络安全管理的安全域划分与隔离
工业企业网络安全管理的安全域划分与隔离随着工业企业网络的快速发展，网络安全问题日益凸显。
为了保护工业企业的网络安全，有效的安全域划分与隔离显得尤为重要。
本文将探讨工业企业网络安全管理中的安全域划分与隔离的相关内容。
一、安全域划分的概念与意义安全域划分是指将网络划分为若干个虚拟的安全区域，以实现不同安全级别的隔离。
每个安全域内都有其特定的安全策略和权限规则，用于保护该域内的网络资源和敏感信息。
安全域划分的意义在于：1. 提供网络拓扑的清晰结构：通过安全域划分，能够清晰地划分网络设备和主机的位置和属地，方便管理和维护。
2. 加强网络安全保护：不同安全域之间的隔离可以限制攻击者在网络中的活动范围，提高安全性。
3. 降低风险传播的风险：当网络中出现攻击和故障时，通过安全域划分可以限制其影响范围，降低风险传播的风险。
二、安全域划分的原则与方法1. 原则：（1）最小特权原则：每个安全域应根据需要分配最低权限，限制用户和设备的访问范围。
（2）隔离原则：不同安全级别的网络应进行隔离，减少攻击者横向移动的可能性。
（3）层次性原则：安全域划分应该根据需要进行多层次的划分，形成安全性递进的结构。
2. 方法：（1）物理隔离：通过物理设备（如防火墙、交换机）进行网络分割，每个安全域使用不同的接口或网卡进行连接。
（2）虚拟隔离：利用虚拟化技术，将一个物理网络分割成多个虚拟网络，每个虚拟网络对应一个安全域。
（3）逻辑隔离：通过访问控制列表（ACL）、VLAN等手段进行网络划分，实现不同安全级别之间的隔离。
三、隔离技术的应用1. 网络设备隔离：将核心交换机、路由器等网络设备隔离在独立的安全域中，限制对其的访问权限，提高设备的安全性。
2. 用户隔离：将不同用户、不同部门的终端设备划分到独立的安全域中，限制用户之间的访问，有效防止内部攻击。
3. 应用系统隔离：将生产系统、管理系统等不同的应用系统划分到独立的安全域中，将系统之间的访问限制在必要的范围内，保护敏感数据。
内部安全域划分原则和系统安全策略
内部安全域划分原则和系统安全策略在当前信息化时代，随着互联网和信息技术的飞速发展，网络安全问题日益突出，内部安全领域划分和系统安全策略显得尤为重要。
为了加强信息系统的安全防护，我们需要明晰内部安全领域划分原则，并制定相应的系统安全策略。
一、内部安全领域划分原则1. 权限分级原则内部安全领域划分的首要原则是权限分级原则。
这意味着不同的用户在信息系统中拥有不同的权限和访问权限。
通过设定权限分级，可以将信息系统的访问限制在合理的范围内，防止未经授权的访问和使用。
在实际应用中，可以根据用户的身份和需要，划分为超级管理员、普通管理员、普通用户等不同的权限级别，从而保障系统的安全性。
2. 安全隔离原则安全隔离原则是指将信息系统内部划分为不同的安全域，实现不同安全等级信息的物理隔离和逻辑隔离。
通过安全隔离，可以有效隔离不同级别的信息传输和访问，避免敏感信息泄露或被未授权访问。
在实际操作中，可以通过网络分割、虚拟局域网(VLAN)、子网划分等手段实现安全隔离。
3. 安全通信原则安全通信原则是指在信息系统内部，所有数据的传输和通信都应该符合安全性要求。
可以使用加密技术对敏感数据进行加密传输，避免信息在传输过程中被窃取或篡改。
在内部安全领域划分中还应充分考虑数据的完整性和机密性，确保数据传输和通信的安全性。
4. 审计追踪原则审计追踪原则是指对信息系统内部的各项操作和活动进行全面、准确的审计追踪。
通过记录和分析用户的操作行为、系统日志和安全事件，可以及时发现潜在的安全风险和问题，提高系统的安全性和稳定性。
在实践中，可以采用审计系统或安全信息和事件管理(SIEM)系统来实现对信息系统的全面审计和追踪。
二、系统安全策略1. 权限控制策略在制定系统安全策略时，权限控制是至关重要的一环。
系统应该建立严格的权限控制策略，根据实际需要对用户的访问权限进行合理分配和管控。
对于敏感信息和关键系统资源，应该实行严格的访问控制，确保只有经过授权的用户才能进行访问和操作。
网络安全域划分与隔离
网络安全域划分与隔离随着互联网的迅猛发展和普及，网络安全问题愈发凸显。
为了保护用户的个人信息和保障网络系统安全，网络安全域划分与隔离成为了一种重要的解决方案。
本文将介绍网络安全域划分与隔离的概念、原因和具体实施方式。
一、概念介绍网络安全域划分与隔离是一种通过划分网络内部各个区域，并在其之间建立适当的安全隔离措施，以限制攻击者的行动范围和减少潜在攻击面的安全措施。
二、原因分析1. 提高系统安全性：通过将网络划分为不同的安全域，并在其之间设置安全隔离，能够有效隔离潜在攻击者，减小攻击威胁。
2. 保护用户隐私：网络安全域划分与隔离可有效防止用户个人信息泄露，提升用户隐私安全。
3. 管理与维护便捷：通过划分网络安全域，可以更好地对各个域进行管理和维护，降低管理的复杂性。
三、具体实施方式1. 虚拟专用网络（VPN）隔离：通过在网络中构建虚拟隧道，实现网络之间的安全隔离。
这种方式常用于企业间或者分支机构与总部之间的通信，保护敏感数据的传输安全。
2. 子网划分：根据不同的功能和安全要求，将网络划分为多个子网，通过防火墙等设备对子网之间的通信进行隔离。
3. 虚拟局域网（VLAN）隔离：将同一个物理局域网划分为多个逻辑局域网，通过虚拟机虚拟网桥等技术进行通信的维护与实现。
4. 孤立网络：对于安全要求极高的系统，可以构建一个完全隔离的网络，与外部网络物理隔离，只允许特定的数据流入和流出。
四、安全域划分与隔离的效益1. 改善网络性能：通过网络安全域划分与隔离，可以降低网络拥堵，提高网络的传输速度和及时性。
2. 加强安全防护：网络安全域划分与隔离能够为网络系统提供安全保护，有效防范外界的威胁和攻击。
3. 隔离安全漏洞：通过域的划分，对于系统中的安全漏洞，可以限制其扩散范围，减小系统受损的可能性。
五、需注意的问题1. 合理划分安全域：划分网络安全域时，需根据实际需求，综合考虑各功能区域的安全需求，避免划分过多或过少导致管理复杂或功能冲突。
网络安全安全域划分策略(Ⅱ)
网络安全安全域划分策略随着网络技术的不断发展，网络安全问题也日益凸显。
在企业和组织的网络环境中，合理的网络安全安全域划分策略显得尤为重要。
本文将从安全域划分的基本概念出发，探讨网络安全领域的相关问题，并提出一些应对网络安全挑战的解决方案。
安全域划分的基本概念安全域划分是指根据网络环境的特点和安全需求，将网络划分为不同的安全域，以便对不同的网络资源进行有效的隔离和管控。
安全域通常根据功能特点和安全等级的不同进行划分，比如内部局域网、外部网络、DMZ（Demilitarized Zone）等。
通过安全域划分，网络管理员可以对不同的网络资源实施不同的安全策略，提高网络安全防护能力。
安全域划分策略在制定安全域划分策略时，需要考虑以下几点：1. 网络拓扑结构：安全域划分应该与网络拓扑结构相匹配，以便对网络资源进行有效的管理和隔离。
常见的网络拓扑结构包括星型、总线型、环型等，不同的网络拓扑结构将对安全域划分产生影响。
2. 安全需求：不同的网络资源具有不同的安全需求，比如数据库服务器、邮件服务器等对安全性要求较高，需要划分独立的安全域进行隔离管理。
而对于一些普通的工作站和打印机等资源，则可以划分到通用的安全域中。
3. 安全策略：在进行安全域划分时，需要明确各个安全域之间的通信策略，以及对外部网络的访问控制策略。
合理的安全策略可以有效地防范网络攻击和数据泄露。
安全域划分的挑战在实际应用中，安全域划分也面临着一些挑战：1. 跨域通信：在不同安全域之间需要进行跨域通信时，需要考虑如何确保通信的安全性和可靠性。
常见的解决方案包括使用防火墙、VPN（Virtual Private Network）等技术进行安全通信。
2. 安全管理复杂：随着安全域的增加，网络管理员需要对不同的安全域进行管理和维护，这将增加管理的复杂性和成本。
因此，如何实现安全域划分的同时简化管理是一个重要的课题。
3. 安全域划分的动态性：随着网络环境的不断变化，安全域划分也需要不断调整和优化。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
目录安全域划分及防护规范 ............................................................................................... 错误!未定义书签。
一. 概述 (3)1.1适用范围 (3)1.2引用标准 (3)二. XX证券信息系统概述 (4)三.安全域划分规范 (6)3.1划分原则 (6)3.2安全域划分 (9)3.2.1网络外部域 (10)3.2.2网络接入域 (10)3.2.3网络核心域 (11)3.2.4计算域 (11)3.2.5管理用户域 (12)3.2.6安全支撑域 (12)3.2.7边界描述 (12)四.安全域保护定级 (15)五.安全域防护策略 (18)5.1 XX证券信息系统防护策略 (18)5.2网络核心域防护 (18)5.2.1边界防护策略 (18)5.2.2边界5的防护策略 (19)5.2.3边界6的防护策略 (19)5.2.4边界7、8的防护策略 (20)5.2.5边界9的防护策略 (21)5.2.6内部防护策略 (22)5.3网络接入域的防护 (24)5.3.1边界防护策略 (24)5.3.2 互联网接入域 (25)5.3.3外联网接入域1的防护策略 (27)5.3.4外联网接入域2的防护策略 (28)5.3.5内联网接入域的防护策略 (30)六. 总结 (31)一. 概述1.1 适用范围本文档是根据xx证券公司2008年网络安全评估项目的要求，结合xx证券网络的建设现状，制定了安全域划分框架，并在此基础上制定了安全域的保护等级以及对应的安全防护规范。
本文档为xx证券信息网络的安全规划和工程建设提供了依据，可用来指导构建详细的安全技术防护体系和安全产品部署方案。
本文档面向xx证券公司信息系统的管理者和信息系统安全的工程技术人员。
1.2 引用标准●《关于加强信息安全保障工作的意见》（中办、国办[2003]27号文）●公安部、保密局、机要局、国务院信息办联合下发的《关于信息安全等级保护工作的实施意见》（公通字【2004】66号文）●国务院信息办信息安全风险评估课题组编制的《信息安全风险评估研究报告》●美国国家标准和技术研究所（NIST，National Institute of Standardsand Technology）制订的SP 800系列文档：《IT系统安全自评估指南》、《IT系统风险管理指南》、《联邦IT系统安全认证和认可指南》、《信息系统安全规划指南》等，/publications/nistpubs/●美国国家安全局，信息保障技术框架IATF（Information AssuranceTechnical Framework），V3.1版，●《计算机信息系统安全保护等级划分准则》（GB 17859）●公安部GA/T 387-391-2002系列标准，计算机信息系统安全等级保护操作系统技术要求、管理要求、通用技术要求、网络技术要求、数据库管理系统技术要求二.xx证券信息系统概述xx证券信息网络整体逻辑如图。
从图中可以看出，xx证券网络采取星型的网络拓扑结构，由双核心交换机为核心连接银行、灾备中心、深沪交易所、营业部、互联网和业务系统，同时还连接相关网络系统。
该图仅说明系统之间的连接关系，对设备间的具体连接、与外部系统的连接、以及系统内部的组成情况都进行了简化。
xx证券网络由4大部分组成，具体如下：1）位于总公司机房的核心交换机，由两台CISCO4006热备，是网络的核心部分。
2）业务系统，包括网上行情、交易系统、银证转帐等，是xx证券网络的主要业务系统。
3）网管系统，对公司信息系统进行管理。
4）对外连接的相关系统，包括：银行系统、深沪交易所、灾备中心、营业部、互联网，核心交换作为xx证券网络的核心，连接了所有的相关系统。
xx证券核心交换和主要业务系统的物理实体集中在总公司机房，在机房中提供业务系统的接入，同时提供主要的对外连接接口以及网络管理的连接。
由上图我们可以看出，信息系统必须与其他系统实现网络互通和信息共享与交互。
在这种应用需求下，使得不同的外部网络、不同身份和目的的人都有机会连接到xx证券内部网络中，从而对信息系统的安全带来了威胁。
从xx证券网络环境的层面而言，信息系统的安全威胁主要来自以下几个方面。
1.来自内部误用和滥用的安全威胁，包括:各种调查都显示来自于内部的误用(操作)和滥用对企业网络和业务的影响都是最为致命的。
而这类误用和滥用，与公司内部不同IT系统或者与其他相关系统的互联互通、合作伙伴之间的互联互通、与客户或者厂商的互联互通所采取的安全措施不利是有非常大关系的;2.来自互联网的安全威胁:目前网上交易系统、网上行情系统等系统是与互联网相连的，如果安全措施不力就很有可能被黑客利用，带来网络安全问题;3.来自缺省配置的安全威胁:在建设IT系统时，大量的UNIX/WINDOWS等系统很多都采用缺省配置，造成开放不必要的端口等安全隐患，如果对其IT局域网架构缺乏安全边界的划分，而又没有采取一个可集中控制访问请求的措施，则很容易被不法分子利用进行非法入侵。
三.安全域划分规范3.1 划分原则信息系统安全体系的最终目标就是在技术可行和管理可行的前提下，将安全风险和隐患降低到一个可以接收的水平。
要实现这一目标，需要解决的问题不仅仅是选购何种品牌的防火墙、IDS和考虑在何处安装这些安全设备，更是需要综合考虑如何在现有网络架构上安装何种安全设备才能发挥最大的作用。
如果没有一个结构清晰、可靠实用、扩展灵活的信息系统，依然沿袭各套系统的安全建设自成体系、分散单一的常规做法，即使选用最先进的安全设备，那么也只能是搭建了一个空中楼阁，无法从根本上减弱信息系统所受到的安全威胁和隐患。
因此，克服和改造信息系统传统局域网整体结构的不足是xx证券解决网络安全的首要工作。
为规划和建设一个完善的信息系统局域网，需要引入安全域。
安全域的定义是，在安全策略的统一指导下，根据各套系统的工作属性、组成设备、所携带的信息性质、使用主体、安全目标等，将xx证券的信息系统划分成不同的域，将不同系统中具有相近安全属性的组成部分归纳在同级或者同一域中。
一个安全域内可进一步被划分为安全子域，安全子域也可继续依次细化。
需要明确的是，信息系统的安全域划分并不是传统意义上的物理隔离，物理隔离是由于存在信息安全的威胁而消极地停止或者滞后信息化进程，隔断网络使信息不能共享;而安全域划分是在认真分析各套系统的安全需求和面临的安全威胁的前提下，既重视各类安全威胁，也允许系统之间以及与其他系统之间正常传输和交换的合法数据。
在安全域划分时应该遵循以下的一些基本原则。
1.根据系统中各设备其所承担的工作角色和对安全方面要求的不同进行划分;在划分的同时有针对性的考虑安全产品的部署。
从网络构架层面来讲，系统整体结构安全域的划分是与安全产品的部署密不可分的，一方面安全域的划分为安全产品的部署提供了一个健康规范灵活的网络环境;另一方面，将安全域划分为域内划分和域外划分两种，域和域之间主要采用通过交换设备划分VLAN和防火墙来彼此策略隔离;在域内主要根据不同被保护对象的安全需求采用部署AAA、IDS和防病毒系统等来完成，因此，安全域的划分不能脱离安全产品的部署。
2.安全域的个数不应过多，否则在策略设置上过于复杂，会给今后管理带来很大不便;在划分的保证各个安全域之间路由或者交换跳数不应该过多;3.安全域划分的目的是发挥安全产品的整体效能，并不是对原有系统整体结构的彻底颠覆。
因此在对网络结构改造的同时需要考虑保护已有投资，避免重复投入与建设。
根据上述原则，为了建立xx证券网络的整体安全防护体系，并作为现有网络系统安全改造的依据和新建网络边界安全防护需遵循的原则，将采用划分安全域、分类分级确定安全防护策略的总体技术思路。
首先，根据所处的运行环境划分信息系统。
具有相同的或相似的运行环境意味着系统所面临的威胁相似，有利于采取统一策略的安全保护。
根据xx证券的实际情况，划分为网络外部域、网络接入域、网络核心域这三类安全域。
其次，在网络外部域、网络接入域、网络核心域这三类安全域内，根据系统结构、业务逻辑、安全威胁、风险大小、安全需求、控制成本等因素，在安全域内部继续划分网络域、计算域和用户域。
网络域是在系统内部从网络架构上进行的划分，为网络层防护策略的具体落实提供基础。
网络域划分完毕后，可根据网络系统内部所包含对象的实际情况，确定是否进行计算域和用户域的划分。
计算域落在网络域内，是数据处理和数据存储的区域，为主机系统层、应用层、数据层防护策略的具体落实提供基础。
用户域落在网络域内，是访问业务应用系统的终端用户所在的区域，为终端系统层、应用层、数据层防护策略的具体落实提供基础。
最后，网络域、计算域和用户域的划分不是内部划分安全域的最佳粒度，还可以进一步细化。
网络域可继续划分为：网络核心域、主网络接入域、备份网络接入域和网络外部域等子域；主网络接入域根据接入系统的情况可分：互联网接入域、外联网接入域、内联网接入域；网络核心域可继续划分为：核心计算域、备份核心计算域、安全支撑域；用户域继续划分为：管理用户域。
3.2 安全域划分对于xx证券核心网来说，首先从网络架构上对其进行安全域的划分，包括网络核心域、主网络接入域、备份网络接入域和网络外部域等子域；其次，网络核心域中包含核心计算域、备份核心计算域、安全支撑域，网络接入域中包含互联网接入域、内联网接入域、外联网接入域和备份网络接入域，网络外部域包含Internet、Extranet、分支网络用户域，如图所示。
3.2.1 网络外部域是指与xx证券公司有连接的其它IT系统所在的区域，包括互联网的接入、银行网络、沪深交易所、各营业部。
3.2.2 网络接入域是指xx证券总部网络之外的网络系统与xx证券总部进行通信的接入区域。
依据对端网络可信度的不同，网络接入域进一步分为：互联网接入域、外联网接入域1、外联网接入域2、管理用户域、备份网络接入域。
1）互联网接入域，连接互联网，经由边界防火墙及radware负载均衡器接入。
其中，使用了1G电信、100M电信、100M网通、10M联通接入。
2）外联网接入域1，连接银行系统，经由3825路由器、交换机接入，实现与银行业务系统的外联。
3）外联网接入域2，连接沪深交易所，经由2M SDH 专线和卫星系统、交换机接入，实现与沪深交易所行情的接收。
4）内联网接入域，连接xx证券各分支机构营业部，经由VPN、ISDN、帧中继等多条线路，由cisco7204、cisco3662、fortigate200A防火墙接入。
实现对分支机构的网络互联功能。