- 机密性：不可见，确保数据只被授权的主体访问，不被任何未授权的主体访问。前提条件：明确授权规则。
- 完整性：不可改，确保数据只被授权的主体进行授权的修改。
- 可用性：可读，确保数据能够被授权的主体访问到。
- 通常来说，在互联网企业发展初期，可用性的优先级较高。如果涉及金钱相关的业务，则完整性的优先级更高；而涉及个人隐私相关的业务，则保密性的优先级更高。对于大部分企业而言，可用性在初期受到的挑战更多，则越发展越稳定，后期在可用性上的投入会逐渐降低。而完整性和机密性，会随着业务的发展，重要性越来越高，在企业的安全投入中，占比会越来越大。
- 黄金法制：认证（Authentication）、授权（Authorization）、审计（Audit）。
- 大部分情况下，事前防御属于认证，事中防御属于授权，事后防御属于审计。
- 安全问题需要自上而下进行管理和推动。5年左右战略计划，1年左右战术计划，3个月左右操作计划。
- 积极寻找短板，全面发展，不要过分追求完美，先有基本保障就行。
- 对称加密具备较高的安全性和性能，要优先考虑。在一对多的场景中（如多人登录服务器），存在密钥分发难题的时候，我们要使用非对称加密；不需要可逆计算的时候（如存储密码），我们就使用散列算法。
- 对称加密用 AES-CTR、非对称加密用 ECC、散列算法用 SHA256 加盐。所谓“盐”，就是一串随机的字符，是可以公开的。将用户的密码“盐”进行拼接后，再进行散列计算，这样，即使两个用户设置了相同的密码，也会拥有不同的散列值。“盐”值越长，安全性就越高。
