先了解需要保护什么
建立服务器、终端、网络设备、云服务、账号和外部连接清单，为重要资产确定责任人、关键等级与可接受停机时间。
把身份作为新的边界
邮件、VPN、远程管理和特权账号应使用多因素认证。管理员的日常账号与管理账号应分离，并定期清理闲置账号和过度权限。
持续管理漏洞
优先处理互联网暴露、已被利用以及影响关键业务的漏洞。所有例外都应有责任人、期限和补偿措施。
限制事件影响范围
将用户、服务器、生产、访客和管理区域分开，只允许业务所需流量，而不是默认信任整个内部网络。
确保备份能经受攻击
备份应与生产凭据隔离并定期执行恢复测试，同时为关键系统定义数据丢失和恢复时间目标。
基础安全体系是可持续管理的地基，其他专业控制应根据威胁模型和业务影响逐步增加。