文章正式开始前我们要知道等保2.0中安全通用要求的十个方面包括物理环境、通信网络、区域边界、计算环境、管理中心、管理制度、管理机构、管理人员、建设管理、运维管理。

    本章是第一级别的最后一章，我将汇总第一级别十个安全方面和其控制点来整体查看一下。请看下表，我将列举第一级别的十个安全方面、包括控制点和最低要求。

   对比上表我做出防范总结的两组分类，分别是从系统构成方面的物理层面，数据层面，人员结构层面。还有受害来源的恶意行为层面和非恶意行为层面。具体详情请先看表格。

  我的系统构成层面其实就是将等保要保护的“资产”分成了三类：物理资产、数据资产、人员资产。

  而之所以如此分类，是因为等保2.0明确把“人”纳入了安全管理的核心——因为人是系统的一部分，而且是最不可控的一部分。

  我将威胁分成了两类：故意的（恶意）和偶然的（非恶意），对于防恶意的行为有需要入侵防范、访问控制、审计、加密。而对于防非恶意的行为有需要备份、冗余、环境监控、设备维护。

  我的模型把等保2.0的“技术类”和“管理类”要求全部整合到了一起，形成了“资产 × 威胁”的分析框架。

  那么在我看来等保2.0安全通用要求第一级别的表格如下。

   总结：从我的模型上来看第一级别对于物理层面来讲，非恶意防范大于恶意行为。这是因为此时系统预估的攻击者很少会进行社会工程学进攻，相反小系统对于非恶意行为要求是不会太低于大系统的。

    而数据层面上，恶意行为防范高于非恶意行为，是因为对于系统构成的数据（包含储存信息和服务数据支持）从一开始就要立出骨架，因为数据是系统的核心资产，也是网络攻击最频繁的目标。

   数据层面的“非恶意行为防范”（如备份、漏洞修补）在第一级虽然控制点少，但“备份”是数据层面的安全底线。即使系统被恶意攻击摧毁，有备份就能恢复。因此数据层面虽然恶意防范条目多，非恶意防范的“备份”却具有兜底价值。

    而人员结构上，恶意与非恶意大概是一半一半。这是因为人是不稳定，所以防范要全面。这也是等保2.0会注重人的安全层面的原因，因为人没有保修期，也没有稳定运行时间，人的变化突然且快捷，只有做好周全的制度和要求才能防范于未然。