1.内生安全的理念
内生安全，就是在信息化环境内不断衍生出安全能力，即使网络的边界防御被打穿，系统仍然能够在一定程度上保持健康运行，并保证数据和业务安全。
内生安全要求在信息化环境内部建设安全能力，使生产系统、业务系统自身具有一定的免疫力，而不是完全依赖于系统之外的隔离和防护。内生安全落地实现的保障机制是“三同步”原则，即信息化系统与网络安全系统必须同步规划、同步建设、同步运营。只有把网络安全工作贯穿到信息化系统的规划、建设、运营的整个生命周期，将信息化建设与运维工作相结合，将网络安全的防护与响应过程相结合，达到工作任务事项级别的深度绑定，才能够真正实现具有免疫力的内生安全系统。
2.内生安全关键
安全的关键是管理。这里的管理不是传统意义上的管理，它既不是单纯的人员管理、行政管理、体制机制管理，也不是传统的条文式管理、流程式管理，而是一套新管理模式。它由数据驱动，通过与安全体系中的能力平台和服务平台有效对接，实现对安全技术、安全运行等各方面要素的有效管理，从而发现和规避黑客利用安全体系中的漏洞发起的攻击，克服人的不可靠性，弥补人的能力不足。
内生安全，采用“一个中心、五个滤网”模式，从网络、数据、应用、行为、身份五个层面来有效实现对网络安全体系的管理，从而构建无处不在、处处结合、实战化运行的安全能力体系。这种新管理模式，需要有强大的能力体系支撑，需要采用工程化、体系化的方式进行实施，这套方法的成果构成了内生安全框架。
3.内生安全思想
在规划建设阶段，不能仅仅局限在服务于当前的业务系统和解决已知的网络安全问题，而是应当结合企业的业务与信息化发展，使网络安全建设能够服务于企业的战略目标和管理目标，敏捷应对未来的网络安全扩展需求。
所有的网络安全规划与建设应当在某种通用型的统一框架下进行，这样才能确保接口、协议、组建、模块等建设的标准化和可扩展性，尽可能减少或避免封闭式建设在安全扩展、商业替换及技术换代等方面给企业带来的高昂成本。
企业需要明确自身网络安全建设所处的发展阶段，并结合自身的发展目标制定科学的发展规划。
滑动标尺模型保机构的网络安全建设分为5个主要的阶段，分别为架构建设、被动防御、积极防御、威胁情报和进攻反制。将滑动标尺模型优化为政企机构需要叠加演进建设的4个安全能力，即基础结构安全、网络纵深防御、积极防御和威胁情报能力。结合这4种安全能力，政企机构需要识别和设计构成网络安全防御体系的基础设施、平台、系统和工具集。
4.新一代身份安全
身份安全从面向人员实体的身份安全管理演进为对数字身份（人员、设备、程序、接口等）的安全管理，管理模式也从功能驱动转变为数据驱动。基于零信任架构的现代身份管理与访问控制技术为信息系统和网络安全运营奠定了坚实基础。
零信任重点关注身份、凭证、访问管理、运营、终端、主机环境和互联的基础设施，首要目标是使安全可控的主体在合适的时间、地点，安全地访问应用与数据。它通过对泛化身份进行动态、细粒度的访问控制，来应对越来越严峻的越权横溪移动风险。零信任架构是基于这一思想而开发出的一系列概念、方法和技术。
新一代身份安全建设要点：
建设身份管理与访问控制平台，承载统一的数字身份视图，实现身份管理、账号管理、权限管理、资源管理等功能，覆盖人员、设备、应用等各类实体的数字身份及其权限管理。
聚合人员、设备、程序等主体的数字身份、认证因子等数据和IT服务资源属性、环境属性、数据资源安全属性等数据，结合访问控制策略数据，形成企业及的统一身份视图，实现人员、设备、接口、应用的全面身份化。
开展身份数据与权限数据分析，提升数据的质量。发现越权、滥用权限等异常行为，以及违反业务规程、保密要求、内控要求的各种违规类操作。以身份大数据支撑遍及所有工程中的零信任访问控制组建为动态、精细化的访问控制奠定数据基础。
建设统一认证门户，集成PKI基础设施及多因子认证技术，为应用、系统提供统一的多因子认证和单点登录能力。
开发、集成密码服务套件，实现对数字身份、凭证和关键系统信息的加密存储。
以零信任的模式将API访问控制、运维访问控制、远程接入控制等访问控制组建部署到所有工程中，通过动态访问控制策略引擎向部署到各工程中的访问控制组建和集成在IT服务内部的策略执行组件下发动作指令，实现基于零信任的动态、精细化的访问控制能力。
