对于大多数企业来说，网络安全问题都是最为尴尬的一个问题：网络安全并不会给他们带来多少核心竞争力，然而，他们却不得不对此作出足够的重视。毕竟，在互联网信息技术应用越来越为广泛越来越为深入的今天，网络信息安全已不容忽视。一个稳定的企业网络，一个安全的信息平台，这是作为一个信息化社会的企业得以开展业务的基础。
而这一问题放到中小企业身上，则显得更为尴尬。由于资金规模的有限，大部分中小企业往往都存在网络安全预算缺乏的问题，然而他们面临的安全问题，实际上并不会比大型企业简单多少。从内网到外网，从被动防御到主动监控，防病毒，防火墙，反垃圾邮件，VPN，上网管理，数据加密等等，中小企业的安全需求也同样复杂多样。如何以紧缩的安全预算来满足复杂的安全需求，这成为中小企业网络安全管理人员头疼的问题。
除了资金不足的问题外，技术和管理方面的原因也让中小企业的安全问题隐患重重。许多中小企业缺乏专门的IT部门和专业的网管人才，缺乏有效的安全管理人员和管理机制，这使中小企业的网络管理在安全性方面存在严重漏洞，容易受到网络病毒的侵害。另一方面，由于缺少对员工进行网络安全意识的培训，不少中小企业的员工网络安全意识欠缺，没有主动维护系统安全的习惯，这使得安全问题更容易内部产生，事实上，调查表明，很多安全问题都是来自内部而非外部的。
那么，面对这些问题，中小企业应该以何种思路来建立自己的网络信息安全防护体系呢？
有关安全专家表示，对于国内很多中小企业，首要是企业决策层要意识到网络安全建设的重要性，然后才能对症下药。不少企业决策者认为，公司规模较小，不会成为黑客攻击的目标，但事实上，普遍缺乏安全保护措施的中小企业，正是黑客攻击的绝佳目标。只有企业决策层意识到安全的重要性，加大对网络安全建设方面的支持力度，中小企业的网络安全建设工作才能得以顺利开展。
具体到实施方面，中小企业应该结合自身特点，明确自已的安全需求，然后再来选择性价比最适合自己安全解决方案。在实施安全解决方案前，可以先进行一下安全咨询，对企业现有的IT系统进行一下整体评估，了解自身目前的网络安全状况，然后才能对症下药，解决其中最需要解决的安全问题。同时，中小企业还需弄清楚IT系统中哪些是最为重要的关键应用、业务，然后对这些方面进行重点保护。总之，整体的思路就是要利用极为有限的资金，最大限度去保护企业的核心信息资产。也就是说，中小企业应当在良好的安全理念指导下，进行细致的规划和评估，利用自身企业小、防御广度小且集中的优势，做好基础的安全防御的同时，展开定点防御。
一般来说，中小企业的安全防护系统也需具备系统性与主动性的特点，能够实现全方位的安全保护。其中基本上的内容应该包括反病毒系统、反垃圾邮件系统以及防火墙等网关防护设备等，这些可为企业提供基础的安全防御。在此之外，还应针对自身的独特安全需求进行重点防护。比如，企业数据保密程度高的，需要部署数据加密系统，防止企业数据泄露;需对员工上网行为进行控制和管理的，可以部署上网行为管理设备;需要时刻关注企业网络安全状况，防范网络攻击，保障企业网络持续运营的，就可能需要部署IPS/IDS等。
从技术方面来讲，中小企业应重点关注以下这些方面。首先是终端安全，终端是网络安全要保护的最终对象，企业应该通过统一的网络防毒、进程控制，补丁检测，加固等措施，打造一个可控的安全终端运行环境；杜绝终端，尤其是个人终端成为木马、病毒窃取破坏企业信息的跳板。其次，中小企业也应该注意监控和审计，企业要能够监控每个终端，认证和记录这些终端的登录、数据操作、存储、转移和物理接口使用情况，保证企业关键信息时刻处在可控的状态。另外，如果企业分支单位较多，或者员工常用使用远程移动办公，需要关注数据传输安全，保证信息在网络传递过程中不被监听和篡改，就需要部署VPN系统，SSL VPN产品是比较适合中小企业应用的。而对于那些网络安全需求比较多样化而又预算有限的中小企业，整合多种安全功能的UTM设备是一个非常不错的选择，这相对于单独购置各种功能可有效地降低成本投入。而且，UTM安全设备统一的用户接口有助于缓解中小企业技术力量不足的问题，实施和管理上的难度都大大降低，也便于用户学习掌握。市场研究认为，UTM产品未来几年中仍将保持高速增长，并有望成为主流的信息安全产品。
不过，不管采取何种网络安全解决方案，广大中小企业用户都必须认识到，仅仅依靠种种网络安全产品还是无法保障网络安全的，这些只是企业信息安全工作的基础，人的因素在网络安全工作中也不能忽视。俗话说三分技术，七分管理，企业的信息安全是一个整体的问题，中小企业需要从管理与技术相结合的高度出发，制定与时俱进的整体管理策略，并切实认真地实施这些策略，才能达到提高企业信息系统安全性的目的。此外，安全专家还表示，向员工提供安全意识培训是一种必要的手段，只有了解了安全知识，员工才可以避免工作中可能遇到的一些网络威胁，并且在遭遇网络威胁时，也可尽快查觉并上报，然后在IT安全人员的帮助下，迅速解决掉问题。
