当前，基于边界的安全防护理论显现出越来越多的缺陷，原有的威胁判别机制效力减弱，围绕传统技术构建的安全防护体系也不再适用。因此，网络安全技术正在面临着转折。

各类新的攻击衍生出了新的防护需求，新一代安全建设不能仅仅只专注于已知威胁的防护和外部网络攻击。尤其是云时代的安全问题，中国信息通信研究院在2020年的一项调查显示，我国公有云市场规模2020年起大幅超过私有云，预计2023年将达2300亿元。与此同时，安全问题正成为企业全面上云的主要挑战。

面对新阶段下安全形势的变化，业务部署从本地到云上、业务内容及交付模式转变、安全需求多样化、个性化等业务架构的变革，正在驱动安全体系的全面进阶。新的网络安全体系应该是一个基于大数据分析、人工智能模型的，通过对人、行为和数据的持续关注，持续、实时的进行分析，实现自适应的主动安全防护模式。

在构建新一代安全模型中，我们应该重点关注以下问题：

第一，关注基于“零信任”的安全架构

零信任是一种先进的网络安全理念。它需要在访问过程中持续性的进行身份凭证验证（人员、工作负载、网络、数据和设备），以保证访问的安全性。

零信任将每个人和一切都视为敌对，在零信任模式下，企业网络内外的任何人、设备和系统都需要“持续验证，永不信任”，基于零信任原则，可以保障办公系统的三个“安全”：终端安全、链路安全和访问控制安全。

随着云计算、大数据、物联网等新兴技术的不断兴起，各个企业有成千上万的个人从家中电脑进行连接，脱离了 IT 部门的掌控。而且，用户、数据和资源分布在全球各地，难以快速、安全地连接起来。而脱离了传统本地基础结构的保护，员工的家中环境更易受受到攻击，从而给业务带来风险。

零信任就可以解决这种数据驱动的混合云环境的安全需求。它可以为各个企业提供了自适应的持续保护，还能够主动管理威胁。

第二，注重实战化的攻防演练

在建设现代的网络安全体系中，实战化的安全攻防演练，可以全面评估目标所在网络的整体安全防护能力，检验防守方安全监测、防护和应急响应机制及措施的有效性，锻炼应急响应队伍提升安全事件处置的能力，发现工作中存在的问题，并针对演练中发现的问题和不足之处进行持续优化，不断提高安全保障能力。

渗透方可以通过Oday漏洞攻击、社工钓鱼攻击、多源低频攻击、人员和管理漏洞探测、武器化攻击等方式测试现有的安全防护能力，从而进一步完善企业安全能力成熟度模型。

第三，培养全员的安全意识

企业整体防御能力的提升不能只依靠专业安全团队，还需要对企业各部门的员工进行安全意识培训，将每位员工都视为安全防护体系中的一份子，从而全面提升组织的网络安全。

每个企业都必须使用某种形式的安全计划和培训来降低遭到网络钓鱼攻击的可能性。因此，企业必须制定有关办公设备使用和网络类型的明确政策，并且经常进行网络安全意识培训，以确保其员工熟悉网络欺诈的类型以及如何识别和报告这些欺诈行为，从而避免不明软件和钓鱼的攻击。

另外，企业在组织开展网络安全培训时，需要充分考虑全体员工的网络意识水平现状，采取区别化的培训模式，让员工“印象深刻”同时又有参与的积极性，那样才能抵御不断发展的网络安全挑战。