曾遇见过一个例子，说要在服务器上装防病毒软件，推断就了解是传统企业的思路，不是没真正实践过网络企业安全就是没被业务线挑战过。在大型网络企业，只是性能损耗、运维本钱和软件本钱这几条就能分分钟把这种需要干掉，更不需要进入对于服务器防护这种更实质的话题了。不少标准说到底都是各厂家参与撰写，博弈并达成妥协，有益于自己商品销售的代言白皮书，并非完全站在建设性的角度的。
1．传统企业的安全建设从安全建设上来看，传统企业的安全建设是：在边界部署硬件防火墙、IPS/IDS、WAF、商业扫描器、堡垒机，在服务器上安装防病毒软件，集成各种设施、终端的安全日志建设SOC，当然购买的安全硬件设施可能远不止这类。在管理方法上比较看重ISMS（信息安全管理体系）的建设，看重规范步骤、看重审计，有的行业也需要做等级保护与满足很多的合规性需要。
2．网络企业的安全建设网络可分为生产互联网和办公互联网，即使近期谷歌声称取消内网也是针对办公互联网而非生产互联网。网络行业的大多数安全建设都围绕生产互联网，而办公互联网的安全一般只占整体的较小比重。但某些传统企业可能完全没生产互联网而只有办公互联网，那样互联网安全也就变成办公互联网的互联网安全。但我推断，伴随社会“网络+”进程的加速，不少传统企业也会有我们的生产互联网，最后都变成和网络公司一样的形态。
所以对于那些在给传统企业顾客提供咨询和解决方法的乙方的工程师，假如不学习网络安全，也早晚会陷入困境。网络企业的生产互联网中，安全解决方法基本上都是以攻防为驱动的，怕被黑、怕拖库、怕被劫持就是安全建设的最直接的驱动力。网络公司基本不太会考虑等保、合规这种形而上的需要，只从最实质的角度出发，这一点是比传统企业更务实的地方。
