企业级内外网安全规范需以网络逻辑结构支撑业务权责，通过分区分域、三层访问控制（边界层双防火墙+dmz、应用层waf+oauth2.0/jwt、数据层代理访问+sm4加密）、策略执行闭环（审批留痕、72小时漏洞响应、白名单矩阵、终端准入）及统一日志审计（180天留存、多因子认证、月度安全报告）实现可执行、可审计、可收敛。

企业级内外网安全规范不是简单划两条线、配两套防火墙就能落地的。核心在于用网络逻辑结构支撑业务权责，让安全策略可执行、可审计、可收敛。

明确内网与外网的定位和边界

信息内网是承载核心业务与内部办公的可信区域，如ERP、财务系统、员工OA；信息外网是面向客户、供应商或互联网用户的非信任区域，如官网、微信小程序后台、API开放平台。两者之间不能直连，必须通过DMZ（隔离区）中转。商贸公司规范明确要求“分区分域、逻辑强隔离、双网双机”，意味着物理网卡、IP段、DNS解析、管理通道都要独立，禁止跨网复用设备或账号。

设计三层访问控制架构

单靠防火墙策略容易失效，需构建纵深防御体系：

• 边界层：部署双防火墙+DMZ。外层防火墙只放通443/80等必要端口，启用状态检测与DDoS防护；内层防火墙严格限制DMZ服务器仅能访问内网指定IP与端口（如API服务调用数据库3306），并禁止反向扫描行为
• 应用层：所有对外服务必须前置Web应用防火墙（WAF），过滤SQL注入、XSS、恶意爬虫等攻击；API接口强制使用OAuth2.0或JWT鉴权，不接受裸Token传输
• 数据层：核心数据库、文件服务器严禁暴露在DMZ或外网，访问必须经由应用服务代理；敏感字段（如身份证号、银行卡号）须在存储层加密（推荐国密SM4），且日志中脱敏处理

制定可落地的策略执行机制

规范的生命力在于执行闭环：

• 所有网络设备策略变更必须经书面审批，并记录操作人、时间、配置前后快照，保存至少90天
• 每季度开展渗透测试与漏洞扫描，对高危漏洞（如未授权访问、弱口令）实行72小时响应机制
• 建立白名单驱动的访问控制矩阵，例如：只允许某CRM系统的IP段访问营销数据库的3306端口，其他一切访问默认拒绝
• 员工终端接入内网前，需完成准入检查（防病毒软件开启、系统补丁版本、硬盘加密状态），不达标则自动隔离至修复VLAN

配套运维与审计能力

没有审计的安全等于没有安全：

• 全网统一日志平台，采集防火墙、WAF、服务器、数据库的操作日志，保留不少于180天
• 关键操作（如管理员登录、数据库导出、策略修改）需多因子认证（密码+手机验证码/App扫码），并实时推送告警
• 每月生成安全运行报告，含异常连接TOP10源IP、高频被拦截攻击类型、策略命中率变化趋势，供管理层决策参考