在谈到安全的时候，我们往往想用尽一切办法，购置尽可能多的产品，并制定详尽的安全规程。而这样做是否有效，并且是否值得，这需要我们仔细斟酌。
事实上，安全的性质决定了从来没有也不可能有绝对的安全状态。网络是现实的虚拟实现，网络世界中的安全问题实际上是一场无休止的人与人的对抗，入侵与防守的关系决定了这是一个不断变化的动态进程。与安全有关的诸多因素均难恒定，系统的弱点与入侵的威胁都随着时间的推移而有所不同。今天出现的防护措施未必能够抵御明天的入侵手段，入侵是动态的，防护也必然随之而动。由于实现安全的努力依赖于许多因素，例如：人员的调整、新业务应用的实施、新攻击技术与工具的导入和安全漏洞的出现等等。在这个意义上：安全是一个过程而非目的。同时，也说明安全仅有产品是远远不够的，加入了人的因素的安全服务才是安全得以实现的根本保证。
那么安全的目的是什么？毫无疑问：保障用户业务的顺利进行，满足用户的业务需求是网络安全的首要任务，离开这一主题，奢谈安全技术和产品无异于南辕北辙。在这一前提下，我们必须清楚的是：不同用户的业务所处的安全环境各有差异，其对安全的需求和侧重是各不相同的。比如证券、保险等金融行业较侧重于信息的存取控制能力，而信息发布网站则更侧重于服务保证能力；正如不能用一把钥匙去开所有的锁一样，没有任何一个单一的安全工具或方案能够满足所有用户的所有安全要求。而安全的敏感性也决定了每一个用户所配置的安全方案必须是独一无二的。因此说：安全必须个性化定制，通用的方案并不存在。
网络安全所要实现什么样的目标呢？我们可以用三句话来描述：
1．网络访问主体能够且只能够访问他被授权访问的网络资源；
2．通过不当手段得到的信息是不可被理解的；
3．被破坏的网络资源应该能够被及时恢复。
对第一句话，我们强调网络访问主体能够访问他被授权访问的资源，因为这的确是一个很现实的安全问题。 互联网上有很大一部分攻击行为就是拒绝服务攻击(Denial of Service)， 使原本应该对外提供服务的网络资源被恶意淹没和终止。这句话的另一个隐含意义还有：网络访问主体对他的访问行为不能抵赖。
第二句话的含义就是指网络中存储和流动的信息不是以明文的形式存在，通过网络漏洞或其它不当手段得到的信息是不能被理解或至少在该信息失效前是不被理解的。
第三句话的含义就是网络上的资源应有备份系统或有抗破坏能力，比如系统校验恢复。
用更通俗的方式表达就是安全要实现：
进不去、窃不走、看不懂、改不了、打不乱、赖不了、跑不掉。
在明确了安全的性质以及安全的目标后，我们可以了解：绝对安全与可靠的信息系统并不存在。一个所谓的安全系统只能是相对而言的，我们需要建立的是一个相对安全信息系统。它实际上应该是"使入侵者花费不可接受的时间与金钱，并且承受很高的风险能闯入"系统。这其中包括两个成本的核算与对比：
1．时间成本的对比：将用于安全方面的投入与入侵者达到其入侵目的所需要的时间投入进行比较。安全的动态性决定了时间在这场对决中占有至关重要的作用，因此可以说赢得时间就是赢得安全。如果黑客只需3分钟甚至3秒钟就可以攻破一个系统，那么这个系统就是绝对不安全的；但如果攻击一个系统需要3天甚至更长时间，那么我们就可以认为这个系统就是相对安全的。因为在对抗的过程中，系统的安全性为我们赢得了时间和机会，在这一时间段中，我们完全可以完成漏洞阻塞、安全策略配置等工作甚至抓获入侵者。
2．费用成本的对比：将用于安全方面的投入与保护对象的资金成本进行比较。我们知道，安全性与易用性往往成反比，系统安全性的增加通常导致企业费用的增长，这些费用包括系统性能下降、系统复杂性增加、系统可用性降低和操作与维护成本增加等等。二者之间须有一定的平衡，因为重兵把守一个没有价值的空房子与军事重地毫无防护一样是可笑和愚蠢的。花20万防护总价值仅有10万的信息资产是无法理解的，但如果我们的信息资产价值200万甚至更多，那么这样的投入则是适当的。当然，此时我们需要对信息资产的价值以及安全状态进行相应的评估。
一个最重要的观念是：全面保护才是安全。一个好的安全系统离不开：安全风险评估、安全行为审计和分析以及有效的安全管理。整体的系统安全需要与企业系统访问控制、风险评估、安全策略制定、安全架构制定、安全策略架构的实施、雇员的培训、事后的安全审计等结合起来统筹规划。产品是整个安全管理体系的有机组成部分，但对于安全而言，人的因素更为关键，管理才是安全的核心问题。
网络安全到底要保护什么？正确答案是：用户业务的安全。离开业务谈安全毫无意义。目前网络安全市场上常见的安全产品有：防火墙、入侵检测系统、安全评估分析工具、防毒软件等等，缺一不可。但是，在此基础上，还应该有一道最关键的安全防线：对核心业务的防护，这就是基于主机的核心防护。可以用类比方法说明他们各自的功能定位：
防火墙: 安全门卫（企业网络的第一道安全屏障）;
入侵检测: 安全监控（有效抵御外来入侵事件，并监控网络内部非法行为）;
安全评估分析: 安全巡检（对用户环境进行基于安全策略的审计分析，及时发现安全隐患）;
防病毒软件: 安全消防（清除病毒危害并预防病毒事件）;
主机核心防护: 安全保险柜（保护用户最关键的数据和资源）。
不同产品的设计原理和实现功能各有不同，它们分工合作、各司其职，这样才能起到全面保护的作用。但是，在现实中，每个用户的业务都各不相同，这导致其对安全的需求和侧重各不相同，因此，没有一个单一的安全工具或网络方案能够满足所有用户的所有安全要求。只有立足实际的应用需求，秉承整体化安全设计理念，才能真正达到网络安全的目标。因此，针对具体业务的安全需求定制整体网络安全方案将是大势所趋。
