数据为中心的网络安全
随着联网设备的多样化以及移动办公的兴起，传统网络安全边界在逐渐消失，当几乎不存在网络边界的时候，怎么保证网络安全？当越来越多的用户可随时通过各种方法接入公司网络的时候，怎么跟踪授权和非授权用户。于是，当今企业安全面对的主要问题，就是：网络安全工具、服务和解决方案的重心一直都在该网络安全“堡垒”概念上，而这又转换成对保护网络(及硬件)中所有组件的安全产品的重视，以及对业务(及软件)执行相关应用和程序的相对放松。
面对现代错综复杂的网络接入方式，可以采用以数据为中心的网络环境安全方法，重点应首先放在明确有哪些有价值数据和信息，及其对公司的价值，而其他强调技术的策略应围绕保护该有价值数据来发展。
首先需要对数据进行分类(数据分类)，知道哪些数据对企业运营的有巨大的价值；然后进行数据流或业务流分析，一旦数据被识别并分类，就必须评估数据在网络中的发现点，都有谁访问或“消费”这些数据、分别是出于何种目的，数据从产生到消亡过程中在网络里巡游的全部踪迹，以及数据到达生命周期末尾时是怎么处理的；最后再应用风险管理模型，在理解了保护的数据对象是什么的基础上，进行数据流分析，发现数据存储或处理的位置，以及谁能或谁应该访问这些数据。然应用正确的安全控制措施。
以上公式的元素有:
- 风险：比如数据遗失或被盗，数据篡改；
- 漏洞：薄弱环节，往往是编程缺陷、编码错误、不当配置等；
- 威胁：基本上就是攻击者做事的方法——远程侵入、物理破坏、网络钓鱼、病毒，或者恶意软件；
- 对策：以安全之名所做的所有事。包括VPN或防火墙之类访问控制措施的部署、入侵检测系统、警报和监视解决方案、文件完整性监测、白名单解决方案，以及终端防护；
- 估值：想保护的东西的价值，还有安全工作的成本
风险管理模型的目标是要减小风险,减小风险的方法，就是减少环境中漏洞，识别并封锁或威慑威胁，以及实现安全对策以降低漏洞或威胁所留影响的组合。这是一个持续的过程，必须不断考虑技术、人员、公司使命和威胁态势的改变。持续运作的过程，需要被写下来，被遵循，并定期修订以反映运营的最新变化。这种安全方法可被称为安全生命周期，拥有以下特性：
- 从知道要保护什么东西开始
- 安全需要系统性方法（评估当前位置、记录想去往何方、实现安全架构）
- 策略即战略
- 架构就是策略得以实施的连贯集成战术集
- 没有策略的安全只不过是技术