信息安全包括哪些内容，整体分为物理安全、网络安全、主机系统安全、数据安全、应用安全、身份与访问安全、安全管理、应急与灾备、人员安全九大板块，你可以按板块逐项核对资产、配置、权限、流程，中小企业优先补齐数据安全、身份访问安全和基础网络安全，个人用户重点落实数据安全、主机安全，工业控制场景需要额外增加工控专项防护，普通办公场景不用部署工控类防护措施。

信息安全之物理安全

物理安全是信息系统硬件载体的防护，防护对象包含服务器、交换机、存储设备、终端电脑、监控硬盘、机房基础设施。你需要落实机房门禁、视频监控、防火、防水、防雷、稳压供电，设备上锁存放，报废硬盘做消磁或者粉碎处理，防止硬件被盗、损毁、介质外泄。单纯设置机房门锁，没有配套监控和供电冗余，防护能力会明显下降。

信息安全之网络安全

网络安全负责管控设备之间的数据传输链路，主要包含边界防火墙、入侵检测、无线局域网防护、虚拟专用网络、网络分区隔离、流量审计。你要把内网按照业务划分不同网段，限制跨网段随意访问，关闭不必要的外网端口，定期核查异常外联流量，无线网络使用WPA3加密，避免弱密码被嗅探破解。

信息安全之主机与终端安全

主机和终端覆盖服务器、台式机、笔记本、平板等终端设备，重点做操作系统补丁更新、杀毒软件部署、基线配置、外设管控。你要关闭系统多余账户、禁用自动运行，限制U盘拷贝权限，定期扫描恶意程序，服务器不要直接用管理员账号日常登录，减少恶意代码拿到高权限的机会。

信息安全之数据安全

数据安全是信息安全的核心，覆盖数据采集、存储、传输、使用、共享、销毁全生命周期。你需要对敏感数据分类分级，对身份证、手机号、交易记录这类敏感字段做脱敏或者加密，留存访问日志，管控数据导出权限，对外共享前评估泄露风险，数据销毁时不能只简单删除文件。

信息安全之应用安全

应用安全针对网站、小程序、业务系统、接口程序，常见风险有SQL注入、跨站脚本、越权访问、文件上传漏洞。开发阶段要做代码审计，上线前执行渗透测试，上线后持续监控报错和异常请求，接口增加签名校验和调用频次限制，不要直接把数据库账号写在前端代码里。

信息安全之身份与访问安全

身份访问安全决定谁能访问系统、能做哪些操作，核心是账号管理、多因素认证、最小权限原则、权限回收机制。员工离职当天，你要同步禁用全部业务账号，不要长期保留闲置账号，高权限账号强制开启二次验证，普通员工只分配完成本职工作必需的权限。

最小权限，是这条的核心准则。

信息安全之安全管理、应急与灾备

安全管理包含制度文档、定期安全巡检、风险评估、安全培训；应急灾备包含应急预案、定期演练、数据备份、异地备份。备份要区分全量备份和增量备份，备份文件定期做恢复测试，只备份不测试，出现故障时备份文件大概率无法正常使用。企业可以参照网络安全等级保护2.0的要求搭建整套管理流程，该制度适用于国内非涉密网络运营单位。

信息安全之人员安全

人员安全管控内部人员和外包人员带来的安全风险，包含入职安全背景核验、在岗保密协议签署、离职安全交接、钓鱼邮件培训。很多信息泄露事件不是外部黑客攻击，而是内部人员误发文件、点击钓鱼链接造成，固定周期开展钓鱼演练，能够有效降低这类失误概率。

防护方向适合个人适合中小企业办公适合工控场景
物理安全基础基础强依赖
工控专项安全不适用不适用必须配置
数据安全基础优先配置优先配置