（1）风险评估。风险评估的目的是尽可能准确地估计威胁的大小，系统的脆弱性和如果攻击成功所造成的损失。风险评估是如何建立或改进安全系统的依据。
（2）适当保护，保护成本。被保护信息的价值和使用方便性必须平衡，价值仅1万元的信息如果用5万元的技术和设备去保护是一种不适当的保护。为了安全而影响使用方便性常常是难以接收的。
（3）多重保护，任何安全保护措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其他层保护仍可保护信息的安全，例如一个单位的网络可在与Internet的接口处建立防火墙，在内部路由器建立访问表（Accesslist）而在各服务器的操作系统和数据库系统上设置访问控制。
（4）网络分段，网络分段是安全的主要措施。网络分段可分为物理分段和逻辑分段，网络可从物理上分为若干段，通过交换器连接各段。现在许多交换器都有一定的访问控制能力。但是更为强有力的安全控制是逻辑分段，对于TCP/IP，即把网络分成若干子网，各子网通过路由器连接。路由器通常可设置访向表，可控制各子网的访问。
（5）用户知晓原理，大量的安全问题是由于用户的不小心引起的，例如使用易猜测的口令，甚至几个人共用一个口令，在这种情况下，无论建立什么样的安全系统都难以起作用，因此向用户作宣传，使用户了解安全的重要性，以及他们怎样做才能比较安全，这对于安全来说可能是最主要的。此外一些安全措施可能会影响使用的方便性，只有让用户充分理解，才能取得用户的谅解。
（6）安全政策、技术和标准，任何组织都应根据自己的需要，制定自己的安全政策，采用合适的安全技术，选择合适的标准。各军事单位，由于具体情况差别很大，因此政策、技术和标准自然不同。但无论什么单位都必须有自己的政策，遵循合适的标准，采用合适的技术。
