高等级数据中心内部并非一张扁平的大网。承载核心业务的生产区、对外提供服务的DMZ区、运维管理区、办公区需要按重要性和信任级别划分，区域之间不允许自由互访，而是通过防火墙和网闸按业务需要受控交换。
在涉及敏感数据的区域，跨区数据导出优先采用单向方式：从核心生产区把日志、报表导出到分析区，而不是允许分析区反向连接生产数据库。这种设计即使某一层被突破，影响范围也被限制在单一区域内。
数据中心在设计阶段就应把分区方案和边界设备位置固化到图纸中，而不是建成后再打补丁。这样既能满足合规要求，也能避免后期改造对业务造成的影响。
