信息安全管理中的安全系统开发生命周期调查阶段

在上小节中所描述的传统系统开发生命周期方法也适合支持一个安全系统项目，并演变成安全系统开发生命周期( SecSDLC)方法。尽管这种开发过程在几个特定的过程中也许存在不同，但总的方法是相同的。安全系统开发生命周期的过程包括识别具体的威胁和风险，然后设计和实施特定的控制来解除这些威胁， 同时，辅以风险管理手段。如此，把信息安全变为一套连贯的策略计划，而不只是对单个威胁和攻击进行反应。图2-9显示了安全系统开发生命周期中的各阶段。      

图2-9安全系统开发生命周期各阶段

调查阶段

安全系统开发生命周期的调查阶段以高层管理层的指示开始，指主要明确该项目的过程、结果、项目最终目标以及项目的预算成本和其他约束条件。通常，该阶段首先确定或者设计安全策略，机构的安全计划方案将以此为基础。相关的管理人员、员工、顾问共同分析各种问题，定义所涉及的范围，明确阶段目标和最终目标，找出企业安全策略中未顾及的附加约束条件。更为完整的信息安全策略方法将在第4章讲述。最后，可行性分析将决定机构是否有资源和责任来进行成功的安全分析和设计。

遗憾的是，许多信息安全项目只是出于对机构内部重大负面事件的响应。这样的环境对于一个机构开展信息安全工作来讲并不是理想的条件，SecSDLC项目小组应当向机构管理层强调改变这种处境的重要性。