安全策略：是指在某个安全区域内（一个安全区域，通常是指属于某个组织的一系列处理和通信资源），用于所有与安全相关活动的一套规则。这些规则是由此安全区域中所设立的一个安全权力机构建立的，并由安全控制机构来描述、实施或实现的。

网络管理员或者CIO根据组织机构的风险及安全目标制定的行动策略即为安全策略。安全策略通常建立在授权的基础之上，未经适当授权的实体，信息不可以给予、不被访问、不允许引用、任何资源也不得使用。

按照授权的性质，安全策略分为如下几个方面：

（1）基于身份的安全策略

（2）基于规则的安全策略

（3）基于角色的安全策略

最小特权原则是指主体执行操作时，按照主体所需权利的最小化原则分配给主体权利

最小泄露原则是指主体执行任务时，按照主体所需要知道的信息最小化的原则分配给主体权利

多级安全策略是指主体和客体间的数据流向和权限控制按照安全级别的绝密（TS）、机密（C）、秘密（S）、限制（RS）和无级别（U）5级来划分。

当前的信息化对网络与信息安全提出了更高的要求。网络与信息的安全性已成为维护国家安全、社会稳定的焦点。网络应用是利用网络以及信息系统直接为用户提供服务以及业务的平台。网络应用服务直接与成千上万的用户打交道：用户通过网络应用服务浏览网站、网上购物、下载文件、看电视、发短信等，网络应用服务的安全直接关系到广大网络用户的利益。因此网络应用服务的安全是网络与信息安全中重要组成部分。

虽然当前全社会关注网络与信息安全，但对网络与信息安全的相关概念、范围却缺乏共识。当前常用的概念与说法有网络安全、信息安全、网络与信息安全、信息与信息安全、信息系统安全、网络应用服务、网络业务等。不同的部门对上述概念基于各自的立场与利益做出了不同的解释，导致当前概念与范围相对混乱。本文采用如下定义。

狭义信息安全是指信息的机密性、完整性和不可否认性，主要研究加密和认证等算法。狭义信息安全还可能包括意识形态相关的内容安全。广义信息安全通常是指信息在采集、加工、传递、存储和应用等过程中的完整性、机密性、可用性、可控性和不可否认性以及相关意识形态的内容安全。

狭义的网络安全通常是指网络自身的安全。如果网络与业务捆绑，例如电话网，则还包括业务的安全。狭义的网络安全通常不提供高层业务，只提供点到点传送业务的网络。广义的网络安全除包括狭义网络安全内容外还包括网络上的信息安全以及有害信息控制。广义的网络安全通常用在提供高层业务的网络。

对于基础电信网，例如光纤网、传输网、支撑网、信令网以及同步网而言，网络安全仅仅包括网络自身安全以及网络服务安全。网络和信息安全主要强调除网络自身安全以及服务提供安全外，还包括网络上的信息机密性、完整性、可用性以及相关内容安全的有害信息控制。网络与信息安全范围等同与广义的网络安全。

在网络上利用软/硬件平台满足特定信息传递和处理需求的行为。信息在软/硬件平台上处理，通过网络在平台与信息接收者/发送者之间传递。一些商务模式完善的网络应用服务已成为电信业务。

包括网络与应用平台的安全，由网络应用平台提供的服务能够合法有效受控开展，还包括网络应用的信息存储、传递加工处理能完整、机密且可用，信息内容涉及内容安全时能及时有效采取相应措施。

网络应用服务安全可以分为如下四层。

网络与应用平台安全：主要包括网络的可靠性与生存行与信息系统的可靠性和可用性。网络的可靠性与生存行依靠环境安全、物理安全、节点安全、链路安全、拓扑安全、系统安全等方面来保障。信息系统的可靠性和可用性可以参照计算机系统安全进行。

应用服务提供安全：主要包括应用服务的可用性与可控性。服务可控性依靠服务接入安全以及服务防否认、服务防攻击、国家对应用服务的管制等方面来保障。服务可用性与承载业务网络可靠性以及维护能力等相关。

信息加工和传递安全：主要包括信息在网络传输和信息系统存储时完整性、机密性和不可否认性。信息完整性可以依靠报文鉴别机制，例如哈希算法等来保障，信息机密性可以依靠加密机制以及密钥分发等来保障，信息不可否认性可以依靠数字签名等技术来保障。

信息内容安全：主要指通过网络应用服务所传递的信息内容不涉及危害国家安全，泄露国家秘密或商业秘密，侵犯国家利益、公共利益或公民合法权益，从事违法犯罪活动

网络应用服务可以有多种分类方法。一些典型的分类方法如下文所述。

按照技术特征分类：点到点业务与点到多点业务；按照电信业务分类：基础电信业务和增值电信业务；按照是否经营分类：经营性网络应用服务与非经营性网络应用服务；按照所传递加工的信息分类：自主保护、指导保护、监督保护、强制保护与专控保护五级；按照服务涉及的范围分类：公众类网络应用服务与非公众类网络应用服务。

各个分类方式从不同角度将网络应用服务进行了分类。本文采用公众类网络应用服务与非公众类网络应用服务的分类方法。

公众信息类网络应用是在公众网络范围内信息发送者不指定信息接收者情况下的网络应用。信息发送者将信息发送到应用平台上，信息接收者主动决定是否通过网络接收信息的网络应用，信息发送者在一定范围内以广播或组播的方式不指定信息接收者强行推送信息。公众信息类网络应用通常涉及网络媒体，主要包括有BBS、网络聊天室、WWW服务、IPTV、具有聊天室功能的网络游戏等应用。

非公众信息类网络应用是公众网络范围内信息发送者指定信息接收者的网络应用以及非公众网络范围内的网络应用。非公众信息类网络应用类型中，公众网络上一般是点到点的信息传播的网络应用，主要有普通QQ应用、普通MSN应用、普通Email、PC2PC的VoIP、电子商务等应用。

网络应用服务安全分析中涉及到如下几个实体：信息发送者，通过网络发送信息的实体，可以是ICP或者发送信息的个人。平台提供者，网络应用的提供者，通信的双方（多方）通过应用平台交互信息。通道提供者，为信息发送者、信息接收者和平台提供者提供接入网络的手段以及网络层面的互通。信息接收者，网络接收信息的实体。设备制造商，为信息发送者、信息接收者、平台提供者、通道提供者提供软硬件设备。业务监管者，监管网络应用的安全，主要包括业务安全以及内容安全。

几个典型的网络应用服务分析如下所述。

普通3W浏览应用：3W服务器构成的服务平台。3W页面的拥有人为信息发送者，3W页面的请求者为信息接收者，ISP为通道提供者。公网上的3W应用是一种典型的公众信息类网络应用服务，是信息发送者无法指定信息接收者的媒体类网络应用。在3W应用中网络与平台安全由通道提供者ISP与3W服务器拥有人负责。3W服务提供安全主要体主管部门对服务平台的监管。信息传递安全由ISP或者信息发送者与信息接收者端到端负责，信息存储处理安全由3W服务器拥有人负责。

电话业务：电话网作为服务平台以及通道提供者。主叫方作为信息发送者，被叫方作为信息接收者。电话业务的信息接收者（被叫方）由信息发布者（主叫方）通过电话号码指定，这是一种典型的非公众信息类网络应用服务。在电话业务中，网络与平台安全由电话业务提供者负责。服务提供安全通过认证等方式提供。监管由主管部门负责。信息传递安全由电话业务提供者负责。信息内容安全由信息发送者负责，法定授权部门查处。

DNS服务：由DNS服务器以及客户机构成的服务平台，该服务平台分层架构。DNS服务器的拥着者为平台提供者，根域名服务器由ICANN拥有维护，各级域名服务器由相应组织拥有维护。DNS域名服务器信息发布者为DNS拥有人，DNS服务信息接收者为域名解析的请求者。公网上的DNS服务通常由通道提供者ISP提供。DNS信息接收者无法指定，因此也是一种古拙类网络应用服务。DNS服务中网络与服务平台安全由ISP与DNS服务器拥有人负责：DNS服务不涉及业务提供安全：信息传递安全由ISP负责：信息存储安全由ICANN负责：DNS服务不涉及信息内容安全。

BBS应用：由Telnet/3W协议服务器端、BBS服务器端以及主机构成服务平台。BBS服务器的拥有者为平台提供者。BBS发帖人为信息发布者，访问BBS阅读的人为信息接收者。BBS服务的信息发送者一般无法指定信息接收者，因此BBS应用通常也有媒体功能，是一种公众类网络应用服务。在BBS应用中网络与平台安全由通道提供者ISP与BBS服务器拥有人负责：BBS服务提供安全主要体主管部门对服务平台的监管：信息传递安全由ISP或者信息发送者与信息接收者端到端负责：信息存储处理安全由WWW服务器拥有人负责：信息内容安全由平台提供者与信息发送者负责，主管部门监管，法定授权部门查处。

Mail应用：由SMTP服务器端、POP3服务器端以及主机构成的服务平台。Mail服务器的拥有者为设备提供者。邮件发送者为信息发布者，邮件接收者为信息接收者。邮件服务的信息接收者通过邮件地址指定，是一种典型的非公众信息类网络应用服务。在邮件服务中，平台安全由邮件服务提供者负责：服务提供安全通过认证等方式提供，监管由主管部门负责：信息传递安全由ISP或者端到端保障：信息内容安全由信息发送者负责，法定授权部门查处。

MSN应用：由MSN服务器端以及主机（群）构成的服务平台。MSN服务器的拥有者为平台提供者。发信息的人为信息发送者。聊天看到信息的人是信息接收者。聊天双方既是信息发布者也是信息接收者。ISP为通道提供者。MSN应用的信息接收者由信息发布者指定，是一种典型的非公众信息类网络应用服务。在MSN应用中，网络与平台安全由MSN业务提供者负责：服务提供安全通过认证等方式提供：信息内容安全由信息发送者负责，法定授权部门查处。

网络本身只是一个提供互通的平台，网络应用通过网络为用户提供丰富多彩的服务，可以说网络应用服务促进了网络的飞速发展。网络应用服务的安全是当前网络与信息安全中的重要组成部分。网络应用服务安全可以分网络与应用平台安全、应用服务提供安全、信息传递加工安全以及信息内容安全四层研究。网络应用服务可以分成公众类网络应用服务与非公众类网络应用服务两类。在这两类应用服务中四个层面的安全问题可以分别落实到信息发送者、信息接收者、平台提供者、通道提供者以及业务监管者这些实体上负责。不同类型网络应用服务中各个实体的责权利有待进一步研究。

企业需要为移动设备的安全进行预算，因为在发生硬件丢失时，IT部门需要认证工具及类似的专业软件来跟踪设备并删除其中的数据。

IT管理者应当重视设备内部和外部的认证。许多可用的企业级移动设备平台包括了比普通设备自身内部所安装的认证更为强健的认证。相同的认证策略可用于所有不同类型的设备，并可推广到整个网络。

这种认证意味着在雇员每次访问设备时都必须输入口令。IT管理者必须确保口令难以猜测，并且雇员不会将口令粘贴在某个明显的位置（如笔记本的电脑包上等）。

也许要求雇员在每次检查新邮件时都需要输入口令有点儿麻烦，但是这样做可以提醒雇员：你正在使用包含着机密信息的设备进行工作。

当然，企业的移动设备安全策略需要最适用的规则，要提供充分的帮助信息。IT管理者要警告雇员不能将移动设备随意放置在饭店或酒吧的桌子上，而应当随身携带。在旅馆住宿时，如果不使用设备，要将其锁在保险箱或其它安全设备中。要警告雇员，无论是工作用的笔记本电脑还是智能手机，都不要轻易允许他人使用。