方案基于数据流转及业务功能进行网络区域划分，将整网划分为数据中心外网、数据中心内网两个区域及若干子区域，用以提供基于业务特点的专项安全防护功能，同时也使得网络系统更易于管理。

在数据中心外网与数据中心内网间新建数据交换区，部署下一代防火墙及网闸设备，用以提供基于私有协议摆渡功能的网络强隔离，并对域间业务流量进行应用层入侵检测和病毒过滤，对跨域流量实行严格管控。

在数据中心外网新增互联网防火墙和上网行为管理设备，针对互联网流量及上网行为操作进行威胁发现和控制，并通过部署WEB应用防火墙设备保障对外提供卷烟营销订货服务的WEB应用系统的安全性。

在数据中心内网新增下一代防火墙针对性地防护源于互联网的攻击行为，及部署上网行为管理设备提供员工上网行为审计和管控。此外，构建运维管理区，部署日志审计、终端防御系统（EDR）服务器、态势感知平台以提供整网的安全管控与审计能力，简化运维操作，提升管理效率。