基于信息系统生命周期的信息安全保障

4.基于信息系统生命周期的信息安全保障

在信息系统安全保障模型中，信息系统的生命周期层面和保障要素层面不是相互孤立的，而是相互关联、密不可分的。下图描述了它们之间的关系。

在信息系统生命周期模型中，将信息系统的整个生命周期抽象成规划组织、开发采购、 实施交付、运行维护和废弃五个阶段，以及在运行维护阶段的变更产生的反馈，形成信息系统生命周期完整的闭环结构。在信息系统生命周期中的任何时间点上，都需要综合信息系统安全保障的技术、管理、工程和人员保障要素。

1)计划组织阶段：组织机构的业务要求、法律法规的要求、系统所存在的风险等因素，产生了信息系统安全保障需求。在此阶段，信息安全策略应加人至信息系统建设和使用的决策中，从信息系统建设伊始，就应该综合考虑系统的安全保障要求，确保信息系统建设和信息系统安全保障建设同步规划、同步实施；

2)开发采购阶段：此阶段是规划组织阶段的细化和具体体现。在此阶段中，进行系统安全需求分析、系统安全体系设计以及相关预算申请和项目准备等活动。在此阶段，应克服传统拘泥手具体技术的片面性，要综合考虑系统的风险和安全策略，将信息系统安全保障作为一个整体，进行系统地设计，建立信息系统安全保障整体规划和全局视野。组织机构可根据具体要求，对系统整体的技术、管理安全保障规划或设计进行评估，以保证对信息系统的整体规划满足组织机构的建设要求和相关国家和行业的要求；

3)实施交付阶段：在此阶段，组织机构可通过对承建方进行信息安全服务资格要求和人员专业资格要求以确保施工组织的服务能力；组织机构还可通过信息系统安全保障工程保障对实施施工过程进行监理和评估，最终确保所交付系统的安全性；

4)运行维护阶段：信息系统进入运行维护阶段后，对信息系统的管理、运行维护和使用人员的能力等方面进行综合保障，是信息系统得以安全正常运行的根本保证；

5)变更：信息系统投入运行后并不是一成不变的，它随着业务和需求的变更、外界环境的变更产生新的要求或增强原有的要求，重新进入信息系统组织计划阶段（即规划阶段）；

6)废弃阶段：当信息系统不再满足业务要求时，信息系统进入废弃阶段，在这个阶段，需要考虑信息安全销毁等要素。

这样，通过在信息系统生命周期所有阶段融人信息系统安全保障概念，确保了信息系统的持续动态安全保障。