一、什么是安全域
傳統的解釋是具有相同安全需求的網絡物理區域，也可以是獨立管理的網絡邏輯區域。從安全保護要求的角度，可以從物理上劃分，也可以從邏輯上劃分。那么，安全域就是由一組具有相同安全保護要求且相互信任的系統組成的物理或邏輯區域。
安全域的思路就是要把保護的資源和訪問者分離開來，部署訪問控制措施，嚴禁數據高密低流，確保涉密信息的安全。安全域劃分可以簡化各個安全域內的管理復雜性，主要是為了隔離安全域內事件發生影響其它安全域，減少攻擊面。
二、什么是網絡邊界
在分級保護的安全域的劃分中，也會產生不同的邊界定義，主要包括互聯網絡邊界和安全域之間邊界。
1.互聯網絡邊界
互聯網絡邊界指的是某個單位涉密網絡與外部單位的網絡連接，需要劃定一個專門用于互聯的安全域。與外單位涉密網絡互聯時，原則上只能同一密級網絡才能互聯，如果不是就需要建立過渡密級安全域;與外單位非涉密網絡互聯時，原則上是禁止的，但是考慮到特殊要求，外單位必須滿足等級三級以上標準，外單位網絡不能有與互聯網連接的通道，本單位建立過渡密級區域。
2.安全域邊界
安全域邊界指的安全域之間的互聯邊界，一般通過防火墻、路由器、交換機、網閘等設備構成邊界區域，進行嚴格的數據流向控制。主要包括不同密級安全域邊界、同密級安全域邊界。不同密級安全域邊界必須保證高密級信息不能流向低密級區域;同密級安全域之間的信息可以雙向流動，但是要做好訪問控制措施，遵循“最小授權”原則，對涉密信息要做到“最小知悉范圍”原則。
在產品設計過程中，針對網絡邊界的畫像，一定要結合客戶實際業務場景和安全域建設現狀，進行合理的取舍。總之，在對網絡邊界的刻畫中，要充分考慮互聯網絡之間和安全域之間涉密信息流向的指標，用戶訪問業務系統的指標、運維人員的運維指標等。
三、什么是三網六域
在分級保護建設中，通俗的說法，三網指業務網、運行維護網、授權管理網;六域指用戶終端域、管理員終端域、應用服務域、安全服務域、安全運維管理域、授權管理域。
1.三網
業務網
業務網也叫數據網，通過普通網口進行數據交互，提供各種業務應用服務，如辦公業務系統等;普通用戶通過該網絡進行業務訪問。應用類(OA、郵件、文件交換、PDM系統、檔案管理系統、內部門戶網站等)、安全保密類(如三合一、主審、打刻、殺毒、身份鑒別、準入、文檔隱寫溯源系統等)產品都部署在業務網中。
運行維護網
通過BMC接口(基板管理控制器，是IPMI協議的核心組件，集成在服務器、網絡設備等產品中的硬件管理器，用于狀態監測和遠程管理)進行數據交互，提供對專用服務器的遠程運維管理服務，類似KVM控制器，管理員可通過該網絡實現對服務器的遠程監控和控制。
授權管理網
通過安全卡(SOC卡)接口進行數據交互，提供對涉密專用計算機的授權管理，包括安全卡網絡配置、時鐘同步、登錄授權、軟/硬件重啟關機、系統告警推送、三合一管理(I/O策略管控、專用優盤、違規外聯、網絡端口管理等)。管理員通過該網絡對涉密專用計算機的安全保密授權管理。
2.六域
用戶終端域
普通用戶所在的安全區域，用戶在日常辦公中使用的終端劃分在這個區域。
管理員終端域
管理員所在的安全區域，管理員在運維工作中使用的運維終端劃分在這個區域。
應用服務域
應用服務器所在的安全區域，部署應用的服務端程序，對內提供類似OA系統、郵件系統、文件交換系統等應用服務。
安全服務域
安全保密產品所在的安全區域，部署主審、殺毒、打刻、身份鑒別等各種安全保密產品的服務端，提供安全保密服務。
安全運維管理域(BMC域)
BMC接口組網所在的安全區域，管理員通過該安全域對各個專用服務器進行遠程運維管理。
授權管理域
SOC接口組網所在的安全區域，管理員通過該安全域使用專用服務器SOC卡接口進行專用服務器保密授權管理。
總之，三網六域的說法不是特定的標準，每個單位都可以根據實際安全保密需要，進行安全域的規劃，同時安全域還可以劃分若干個安全子域。在分保建設中，一切安全域的劃分都必須站在保密的角度，結合實際情況進行合理的安全域劃分。
四、總結
在涉密網絡建設中，根據分保建設要求，涉密網絡必須進行分級分域，安全域的劃分也存在一些難點：一是確定業務密級困難，業務是變化的，涉密信息是增長的;二是網絡分拆比較麻煩，物理位置和邏輯劃分錯綜復雜;三是不同密級的人員訪問不同密級應用系統的訪問控制問題，如何進行崗位密級和不同應用系統密級的匹配;四是跨不同密級安全域邊界的控制問題。
在涉密領域，安全域的合理劃分是保障涉密信息安全的基礎，俗話說基礎不牢，地動山搖，要確保涉密領域的安全，必須深入思考安全域的劃分，從用戶崗位密級、系統密級、安全域密級、文件密級、設備密級等多個層面考慮安全域的劃分，做到涉密數據流向正確，涉密數據訪問控制正確，遵循“最小授權”和“最小知悉”原則。
