这是什么 ：这是《大话系规·官方教材·免费版》日更系列的第23讲，讲信息安全架构到底怎样分层。老孙每天更一篇，配一条三分多钟短视频，按第2版官方教材顺序，一天讲清一个系规判断，10月10日更完，给考前留下完整复习窗口。今天这篇对应教材第9章 9.2 信息安全架构。

免费版合集目录 → 《大话系规·官方教材·免费版》

这套免费版的定位 ：精简、通俗、每天一口。它比你自己硬啃官方教材轻松得多，先帮你把框架建起来、把焦虑压下去。想要每一章更详实、更深的版本，文末给你指路。

防火墙、审计和身份系统各自都强，拼在一起却未必是一套安全架构。同学们，今天老孙就带大家把第9章9.2这块骨头啃明白：信息安全架构到底怎样分层，为什么分层之后安全措施才不会各自为战。

安全属于企业架构

先纠一个最常见的误解。很多同学一提安全架构，脑子里冒出来的是一张设备清单：这台防火墙、那套堡垒机、再加一个日志平台。 架构不是产品拼盘 ，信息安全架构是企业架构的一部分，它必须从业务目标、资产和风险出发，而不是从某个安全产品出发。

顺序是这样走的。第一步，业务提出保护需求，关键服务、数据和合规边界决定了重点在哪儿，对应的是业务目标、关键资产、风险约束这三样东西。第二步，架构把需求转成能力，映射到安全策略、控制能力和组织保障上去。第三步，技术实现要可追溯，每一项组件都能说清楚自己在服务哪个业务要求，做到需求追踪、组件映射、效果验证。

考试落点很直白：理解信息安全架构与企业架构的关系。你只要记住"业务目标决定保护什么"这一句，选项里凡是"从某某技术出发搭建安全架构"的，基本都可以先怀疑。

三道防线各有责

教材把信息安全架构分成三类，同学们可以理解成三道防线，各管一段，谁也替不了谁。

第一道是系统安全架构，负责构建整体防护，统筹边界、层次、区域和控制关系，说白了就是安全域怎么划、防护分几层、总体结构长什么样。第二道是安全技术体系，负责提供技术能力，把身份管理、访问控制、密码保护、检测响应这些具体的技术控制配置到位。第三道是审计架构，它是独立的，专门检查前面两道防线是否真的有效，靠的是审计检查、证据评价和整改跟踪。

审计必须独立 ，这一点是考点。审计架构不做防护、不上设备，它只回答一个问题：你说的那些控制，到底跑起来了没有、跑得对不对。考试常考的就是让你区分这三类架构，别把技术体系的活儿安到审计头上去。

六层从业务往下落

接下来是本讲的重头戏，SABSA（一套强调从业务需求和风险出发、逐层形成安全服务与技术组件的安全架构方法）。它的精神只有一句：让安全架构保持业务驱动。

它的思路是三问。先问业务为什么，明确业务属性、资产价值和安全目标；再定需要什么，形成安全概念、策略、控制目标和服务能力；最后决定怎样做，选择流程、技术设计、组件和运行管理方式。

落到结构上就是六层，同学们按顺序背：背景层、概念层、逻辑层、物理层、组件层，最后是安全服务管理层。背景层识别业务，概念层形成安全策略，这两层定方向；逻辑层定义服务，物理层确定机制与位置，这两层做设计；组件层选择具体实现，服务管理层负责持续运营。 抽象逐层降低 ，越往下越具体，这是六层最好记的一根线。

再加一个容易漏的知识点：每一层还可以从六个方面提问，资产、动机、过程、人员、位置、时间，也就是保护什么、为什么保护、怎样保护、谁负责、在哪里实施、何时发生。六层配六问，就形成一张完整的分析矩阵，好处是不遗漏——纵向能追踪，横向够完整，同一个需求从业务一路细化到组件，前后不打架。

还要提醒一句，安全架构不是一次性蓝图。它要经历战略与规划、设计、实施以及管理和度量，并根据结果持续调整。战略规划定边界，设计实施建能力，管理度量促改进，转起来才叫架构。

四要素与五级成熟度

最后这块是信息系统安全保障，考的是两组数字，四要素和五级。

四要素是技术、工程、管理、人员。技术控制提供防护，工程过程保证正确建设，管理制度和组织规范运行，人员能力和安全意识支撑执行。 单强不等于可信 ，四类共同作用，任何一块短板都可能破坏整体保障效果。老孙见过太多单位技术买得最好，管理机制和人员意识跟不上，最后照样出事。

保障还要贯穿生命周期：规划设计阶段靠安全需求、风险分析和设计评审做前置控制；实施运行阶段靠安全测试、变更控制和运行监测持续检查；退出处置阶段同样不能遗漏，数据迁移、介质销毁、权限回收一样都不能少。每个阶段都要留下对应的控制和证据。

五级成熟度是从执行走向优化。一级基本执行，二级对计划和进度进行跟踪，三级组织建立统一的过程定义、角色和方法，四级用数据做定量控制，五级持续优化。级别越高，过程越稳定、越可度量。

收个尾。什么叫合格的安全架构？它能把业务风险一路追踪到控制服务、技术组件和运行证据，再通过审计与度量检验效果。业务风险是源头，控制组件是实现，证据度量验结果，这条链子接得上，架构才立得住。

今天记住这几点

• ▪信息安全架构是企业架构的一部分，从业务目标、资产和风险出发，每项组件都要说得清服务哪个业务要求。
• ▪三道防线分清楚：系统安全架构定整体，安全技术体系给能力，审计架构独立查效果。
• ▪SABSA六层是背景、概念、逻辑、物理、组件、安全服务管理，抽象程度逐层降低；保障模型记住技术工程管理人员四要素和五级成熟度。

明天预告：第24讲，安全规划怎样落到项目动作。

📚 这套免费版看着不过瘾？给你指两条更深的路

第一条·主推 ：付费版《老孙大白话-系规官方教材》。跟免费版一样按官方教材二十四章顺序走，但每一讲篇幅更长、内容更详实——把每个概念讲透，配更完整的案例和考法拆解，共八十余讲。你可以理解为：免费版是"每天一口的试吃"，付费版是"同一桌菜的完整主菜"。想把某一章真正吃透，就升级看付费版。

付费合集目录 → 《老孙大白话-系规官方教材》

第二条·互补 ：自研《系规精讲图文课》（80讲）。这套不按教材顺序，而是老孙用二十余年行业经验，结合最新软考政策，把知识重新编排成认知、规划、治理服务、前沿、法规、实战、冲刺七个阶段的原创攻略。它和上面的官方教材版不冲突、不矛盾，反而互补：一个帮你顺着教材读懂，一个帮你按拿分逻辑重排。两套结合着看，效果最好。

自研精讲合集 → 《系规精讲图文课·80讲》

🎓 买课、刷题、做评测，都可以用老孙的"软考通关"小程序

不想马上花钱也别走开：小程序里还可以 免费刷题、做能力评测 ，先把自己的底子摸清楚，再决定买哪套。

进小程序的方式：点击本文里的小程序卡片就能进；要是没看到卡片，长按识别下面这张"软考通关"小程序码

📌 往期重要文章

• ▪《2025 下半年系规首考：是"坑"还是"香饽饽"？客观分析助你理性抉择》
• ▪《老孙深度科普：重新认识软考 — 历史、价值与你的职称直通车》
• ▪《2025 年上半年软考高项考前：7 篇绩效域论文极限速记指南》
• ▪《2025 年上半年软考高项后随想及未来计划 — 一个"斜杠中年"的软考之路》
• ▪《软考通关，职称升级：老孙为您量身打造高效备考方案》

🙋‍♂️ 关于"努力的老孙"

考友你好，很高兴在这里与你相遇。

我是"软考找老孙"网站主理人，一个在 IT 行业摸爬滚打 20+ 年 的老兵。从开发工程师 → 项目经理 → 客户销售 → 创业管理 —— 一线 IT 项目的那些"坑"，我都替你踩过。

我不是学院派讲师，我是"从真实项目里反复踩过的坑"积累经验 。所以我拒绝纯理论照本宣科 ——

• ▪🎯 虚拟项目教学 ：用"智慧邻里"等真实案例贯穿全程
• ▪🎭 角色扮演训练 ：模拟项目冲突，把考点变成实战
• ▪💬 经验转译能力 ：帮你把工作经历翻译成 PM 管理语言
• ▪✍️ 一鱼多吃论文法 ：一个项目素材训练多个论文主题

2025 年起开始软考辅导 ，专注做两件事

• ▪📘 信息系统项目管理师 （高项，5 月考试）
• ▪📕 系统规划与管理师 （系规，10 月考试）

已发布 200+ 讲原创课程 ，均获 国家版权局登记认证 。截至 2026 年 5 月，已辅导 100+ 付费学员 ，阶段通过率约 75% 。

• ▪📚 教材精讲 ：把厚厚的官方教材，提炼成核心考点
• ▪💼 实战应用 ：让 PMBOK 知识真的能用在你的工作里
• ▪🎯 考情分析 ：跟踪命题规律，少走弯路
• ▪✍️ 论文模板 ：高分论文的 5 段式骨架 + 5 类行业模板
• ▪📅 每日陪伴 ：老孙坚持 日更 ，5/25 起系规免费连载 152 篇

【高项 · 系规】 —— 同学们想考的，这里都有。

⛽ 一键四连，是老孙坚持的"燃料"

🤝 加老孙的个人微信

（平时工作较忙，通过验证 / 回复时间可能较慢，请见谅）