1.2.3信息系統安全保障評估框架

1.相關概念和關系

信息系統是用于采集、處理、存儲、傳輸、分發和部署信息的整個基礎設施、組織結構、機構人員和組件的總和。隨著當前社會信息化程度的不斷提高，各類信息系統越來越成為其所從屬的組織機構生存和發展的關鍵因素，信息系統的安全風險也成為組織風險的一部分。同時，信息系統受來自于組織內部與外部環境的約束，信息系統的安全保障除了要充分分析信息系統本身的技術、業務、管理等特性，還要考慮這些約束條件所產生的要求。為了保障組織機構完成使命，系統安全管理人員必須針對信息系統面臨的各種各樣的風險制定相應的策略。

信息系統安全風險是具體的風險，產生風險的因素主要有信息系統自身存在的漏洞和來自系統外部的威脅。信息系統運行環境存在特定威脅動機的威脅源。使用各種攻擊方法，利用信息系統運行環境中的各種漏洞，對信息系統造成相應的風險，由此才會產生信息安全事件和問題。

信息系統安全保障是在信息系統的整個生命周期中，通過對信息系統的風險分析，制定并執行相應的安全保障策略，從技術、管理、工程和人員等方面提出信息安全保障要求，確保信息系統的保密性、完整性和可用性，把安全風險到可接受的程度，從而保障系統能夠順利實現組織機構的使命。

信息系統安全保障工作就是針對信息系統在運行環境中所面臨的各種風險，制定信息安全保障策略體系，在策略指導下，設計并實現信息安全保障架構或模型，采取技術、管理等安全保障措施，將風險減少至預定可接受的程度，從而保障其使命要求。策略體系是組織機構在對風險i資產和使命綜合理解的基礎上所做出的指導文件。策略體系的制定，反映了組織機構對信息系統安全保障及其目標的理解，它的制定和貫徹執行對組織機構信息系統安全保障起著綱領性的指導作用。

上圖說明了信息系統安全保障中的這些高層概念的關系。

信息安全保障工作的基礎和前提是風險管理。信息安全策略必須以風險管理為基礎，針對可能存在的各種威脅和自身存在的弱點，采取有針對性的防范措施。信息安全不是追求絕對的安全，不強調面面俱到，但風險必須是能夠管理的。

最適宜的信息安全策略就是最優的風險管理對策，這是一個在有限資源前提下的最優選擇問題。防范不足會造成直接的損失；防范過多又會造成間接的損失。也就是說，信息安全保障的問題就是安全的效用問題，在解決或預防信息安全問題時，要從經濟、技術、管理的可行性和有效性上做出權衡和取舍。