根據國際標準ISO/IEC 17799:2005《信息技術－信息安全管理業務規范》中對信息安全需求的來源定義。信息安全需求有三個主要來源： 法律的、規定的和合同約定的要求；組織已經制訂的特殊原則、目標和需要；組織風險的評估。從企業IT管理的角度來看，其中第一、第二個來源主要是法律及業務相關的硬性要求，即在IT安全建設方面必須滿足的內容。而第三個來源則是信息系統本身所面臨的各種風險及其應當采用的安全防護、安全管理等。

目前我國現行法律法規及規章中，與信息安全直接相關的有65部，其中規范信息安全的法律法規18部，如《中華人民共和國計算機信息系統安全保護條例》等，還有規范指導性的文件，如《信息安全等級保護管理辦法》。在歐美等發達國家由于信息化發展較早，相對應或接近的法案、法規和標準更加的完備和嚴格。比如《薩班斯法案》，以及《ISO27001信息安全管理體系》等，它們涉及網絡與信息系統安全、計算機病毒與危害性程序防治、信息安全犯罪制裁等多個領域，國家在法律法規方面對信息安全的要求是企業信息安全建設的硬性要求，因此法律法規的重要性讓其成為企業信息安全建設的首要需求。 

等級保護中從技術和管理兩個方面整體上規定了信息系統的安全保護等級。內網安全的相關內容包括：

終端接入控制

邊界完整性檢查

主機身份鑒別

內網訪問控制

惡意代碼防范和系統安全管理等

對美國上市單位進行財務約束的薩班斯法案對IT治理、IT內控及外部審計同時做出了嚴格的要求。薩班斯法案覆蓋了非常全面的管理內容，其中404節（內部控制的管理評估）明確要求對企業內部進行控制。

國家以及國外各權威機構對于內網安全都很早就明確了準入控制相關的法律法規，構建IT內部控制系統時必須從全局考慮，借鑒國際內部控制框架及國際最佳實踐經驗，構建一套系統化、標準化、可審計、可持續改進的IT內部控制系統。

ISO27001指出：信息安全是通過實現組合控制獲得的，用以防止信息受到的各種威脅，確保業務連續性，使業務受到損害的風險減至最小，使投資回報和業務機會最大。安全控制可以是策略、慣例、規程、組織結構和軟件功能。 ISO27001中明確指出了接入網絡的管理規范和設備要求規范。