信息安全规划是系系规核心章节，重点知识较多，涉及信息安全基础、风险管理、安全架构、安全管理体系、安全技术和安全运营等多个方面。

其中9.3这个小节考案例和论文的可能性还是很高的，要重点学习。

本章技术方面的内容较多，很多知识点难以理解，可以先理清本章节的主体结构，管理部分，多记忆和背诵，技术细节一般考选择题会多一点（大概2-3分）。

对于备考系规的同学来说，学习这一部分，不仅要记住基本概念，还要理解各项安全措施之间的关系，并能够将其运用到论文写作和案例分析中。

本文将从 信息安全基础、规划原则、安全架构、四大规划内容、落地实施流程 五个方面，梳理信息安全规划的核心知识点。

一、信息安全基础：先掌握基本概念

1. 信息安全的定义

信息安全规划应立足企业发展战略与业务需求，通过管理制度、技术措施和组织保障，保护企业信息资产，降低安全风险，保障业务持续运行。

• ▪• 企业机密保护： 防止商业秘密和敏感信息泄露。
• ▪• 个人信息保护： 防止个人信息被非法收集、使用或泄露。
• ▪• 信息内容管理： 对不良信息等内容进行必要的管理与控制。
• ▪• 业务连续性保障： 降低安全事件对正常业务的影响。

2. 信息安全的五大基本属性

这五个属性是理解信息安全的基础，建议结合具体场景记忆。

确保信息不被未授权的个人、实体或过程获取、使用和披露。

确保信息在存储、传输和处理过程中不被未经授权地修改、删除或破坏。

确保授权用户在需要时能够及时访问信息和使用相关服务。

确保信息及其使用过程处于必要的管理和控制之下。

确保信息行为的参与方不能事后否认已经发生的相关行为。

记忆提示：保密、完整、可用、可控、不可否认。

3. 常见的信息安全威胁

信息系统面临的安全威胁主要包括

• ▪• 信息类威胁： 信息泄露、数据篡改、抵赖、重放攻击。
• ▪• 访问类威胁： 非授权访问、授权侵犯、旁路控制。
• ▪• 网络类威胁： 窃听、业务流分析、拒绝服务、假冒。
• ▪• 恶意程序类威胁： 计算机病毒、木马、后门、陷阱门。
• ▪• 人员与物理类威胁： 人员渎职、物理侵入、设备窃取、媒体废弃。
• ▪• 业务类威胁： 业务欺骗以及其他影响业务正常运行的行为。

学习时不必只背名词，更重要的是理解威胁可能影响信息的保密性、完整性和可用性中的哪些属性。

二、信息安全规划原则与关键工作

1. 信息安全规划的时效性

根据信息安全建设的目标和时间跨度，可以将规划分为三类。

针对风险严重、紧迫程度较高的问题，制定可快速落地的整改方案，优先控制重大安全风险。

通常面向未来1～3年的安全建设任务，明确总体路线、重点项目、实施步骤和阶段目标，是常见的规划形式。

面向三年以上的发展方向，结合行业趋势、技术演进和组织战略，形成前瞻性的安全建设思路。

2. 信息安全规划的两项核心原则

原则一：安全战略与业务战略保持一致。

信息安全不是孤立的技术建设工作。安全规划应服务于组织整体战略和业务目标，并与企业IT战略保持一致。

原则二：基于业务开展风险管理。

安全规划需要识别可能影响业务目标的风险，分析风险发生的可能性和影响程度，并据此确定安全建设的优先级。

3. 风险管理的关键环节

完整的风险管理不仅包括风险识别、分析和应对，还需要持续监控、沟通培训、应急准备以及审计改进。

风险识别 → 风险分析 → 风险应对 → 风险监控 → 沟通与培训 → 应急准备 → 审计与改进

其中，风险应对通常包括四种策略

• ▪• 规避风险： 通过改变计划或停止相关活动，避免风险。
• ▪• 减轻风险： 采取措施降低风险发生的可能性或影响。
• ▪• 转移风险： 将部分风险及其后果转移给其他方承担。
• ▪• 接受风险： 在评估后接受风险，并根据需要准备应对措施。

风险管理应当持续开展，而不是只在规划初期进行一次评估。

4. 风险偏好与合规管理

风险偏好 是组织对风险的整体态度，反映组织愿意接受、承担或规避风险的倾向。

外部合规： 遵守适用的国家法律法规、地方性法规、行业监管要求及相关合同义务。

内部合规： 确保安全规划与企业内部管理制度、业务流程和管理要求保持一致。

需要注意的是，安全控制并不完全依赖IT系统。组织可以通过管理制度、岗位职责、审批流程等方式实施控制，也可以借助IT系统提高控制的执行效率和可验证性。

三、信息安全架构体系

1. 三道安全防线

信息安全架构通常可以从系统自身、安全技术体系和独立审计三个方面理解。

将安全要求融入系统设计和实现过程，尽可能从源头降低安全风险，减少对外部防护措施的单一依赖。

建设统一的安全基础设施、安全组件、安全工具和支持系统，提升信息系统整体防御能力。

通过独立审计和风险检查发现问题，评估安全控制措施的有效性，并推动整改。

三者相互配合：系统自身落实安全要求，技术体系提供支撑，审计机制负责检查与改进。

2. SABSA安全架构框架

SABSA是一种以业务需求为出发点的信息安全架构框架。

其六层模型可以按照从业务需求到实际运行的逻辑进行理解

• ▪1. 业务视图： 情境安全架构。
• ▪2. 架构视图： 概念安全架构。
• ▪3. 设计视图： 逻辑安全架构。
• ▪4. 构建视图： 物理安全架构。
• ▪5. 实施视图： 组件安全架构。
• ▪6. 服务管理视图： 安全服务管理架构。

SABSA还强调安全架构的全生命周期管理，可以概括为

战略与规划 → 架构设计 → 实施 → 运行管理与度量。

在运行阶段，应根据预先设定的绩效指标评估实际效果，发现偏差并持续改进。

3. GB/T 20274.1信息系统安全保障模型

该模型从三个维度理解信息系统安全保障

• ▪1. 基本执行级： 主要依赖个人经验，实践较为零散。
• ▪2. 计划跟踪级： 对相关活动进行计划、执行和跟踪。
• ▪3. 充分定义级： 形成规范化、可重复执行的过程。
• ▪4. 量化控制级： 建立量化目标，能够进行度量和预测。
• ▪5. 持续优化级： 根据组织目标持续改进和优化。

核心思想是：以风险和安全策略为基础，在信息系统全生命周期中综合运用技术、工程、管理和人员等保障要素，持续提升安全保障能力。

四、信息安全规划的四大核心内容

信息安全规划的主要内容可以归纳为四个方面：组织体系、管理体系、技术体系和运营体系。

1. 信息安全组织体系规划

信息安全工作的顺利开展，需要明确的组织架构、职责分工和协调机制。

一个较为完整的组织体系通常包括以下层次。

负责安全治理、战略决策、资源协调和重大事项决策。

由管理层及相关业务部门负责人参与，协调不同部门之间的安全工作。

包括信息安全主管部门、IT部门以及其他业务配合部门，负责安全制度落实、技术建设和日常管理。

与监管部门、行业安全机构、应急协作单位等建立必要的联系，获取安全信息并开展协同工作。

组织体系规划的关键，不只是设立部门，更要明确职责、权限、协作关系和责任追踪机制。

2. 信息安全管理体系规划

信息安全管理体系应建立在全面的安全风险评估基础上，通过制度、流程和控制措施，对安全风险进行持续管理。

• ▪• 以风险评估为基础，突出预防和控制。
• ▪• 遵守适用的法律法规及合同要求。
• ▪• 覆盖信息系统的全生命周期。
• ▪• 根据风险和成本合理选择安全控制措施。
• ▪• 优先保护关键业务和重要信息资产。
• ▪• 持续保障信息的保密性、完整性和可用性。
• ▪• 通过持续改进支持业务连续性。

网络安全等级保护

网络安全等级保护按照信息系统受到破坏后可能造成的危害程度划分保护等级，并据此提出相应的安全保护要求。

基本框架：一个中心、三重防御。

• ▪• 三重防御：安全计算环境、安全区域边界、安全通信网络。
• ▪2. 分析适用的基本安全要求和特定安全需求。
• ▪4. 根据保护要求和风险情况选择、调整安全措施。
• ▪6. 持续开展运行管理、检查和改进。

实际实施中，还需要结合适用的等级保护标准和主管部门要求，确定具体工作流程。

3. 信息安全技术体系规划

安全技术体系的规划，需要将安全需求转化为可以落地的技术能力。

（1）身份认证

身份认证用于确认用户或系统的身份，常见方式包括

• ▪• USB Key及基于PKI或挑战应答机制的认证。
• ▪• 生物识别，如人脸、虹膜等。

理解认证方式时，可以结合三个基本因素

• ▪• 你知道什么： 密码、PIN码。
• ▪• 你拥有什么： 安全令牌、智能卡等。
• ▪• 你是什么： 指纹、虹膜、人脸等生物特征。

多因素认证通常要求结合两个或多个不同类别的认证因素，而不是简单叠加同一类别的验证方式。

（2）访问控制

访问控制用于防止未经授权的主体访问资源。

由资源所有者或具有相应权限的主体决定访问权限。

基于角色的访问控制（RBAC）

根据用户承担的角色分配权限，适合组织化的权限管理。

根据预先定义的规则、条件或策略判断是否允许访问。

依据安全级别、标记及预先设定的强制策略控制访问。

实际工作中，访问控制还应遵循最小权限原则，并定期复核权限分配。

（3）边界与主机防护

• ▪• 防火墙： 根据访问控制规则过滤网络流量。
• ▪• 网闸： 通过隔离和受控的信息交换机制降低不同网络之间的直接连接风险。
• ▪• 入侵检测： 识别可疑行为和攻击迹象，可采用实时检测或事后分析等方式。
• ▪• 防病毒： 通过预防、检测、控制传播、清除和恢复等措施降低恶意程序造成的影响。

防护措施需要相互配合，不能仅依赖单一设备或某一种检测手段。

（4）数据加密

数据加密可以保护信息在存储和传输过程中的机密性。

对称加密： 加密与解密使用相同的密钥，通常具有较高的处理效率，但密钥分发和管理需要重点考虑。

非对称加密： 使用公钥和私钥组成的密钥对，适用于特定的加密、密钥交换或数字签名场景，具体用途取决于算法和协议设计。

按照保护位置和处理方式，还可以区分

• ▪• 链路加密： 在通信链路上进行加密。
• ▪• 节点加密： 在通信节点进行相应的加密和解密处理。
• ▪• 端到端加密： 使数据在通信端点之间保持加密，降低中间环节暴露明文的风险。

规划数据加密体系时，应结合数据敏感程度、业务场景、密钥管理和性能要求进行选择。

4. 信息安全运营体系规划

安全运营不是一次性的建设项目，而是需要长期持续开展的工作。

（1）安全运营基本原则

按需知悉： 用户只能访问履行工作职责所必需的信息。

最小权限： 用户仅获得完成指定任务所必需的权限。

职责分离： 将关键操作的不同职责分配给适当的人员或岗位，降低单点滥用权限的风险。

（2）常见管理措施

这些措施需要根据组织的风险情况和业务特点合理实施。

（3）安全培训与意识提升

• ▪1. 基础知识培训：提高员工对常见威胁的认识。
• ▪2. 操作规范培训：明确安全操作要求和岗位责任。
• ▪3. 模拟演练培训：通过场景演练提升实际处置能力。
• ▪4. 持续宣传教育：通过常态化宣教强化安全意识。

（4）应急响应

应急响应的目标是在安全事件发生后，尽可能快速地控制影响、恢复业务，并减少类似事件再次发生的可能性。

制定应急策略 → 建立联络渠道 → 制定处置流程 → 开展应急演练 → 形成事件记录 → 复盘与改进。

• ▪• 分析事件原因、影响范围和处置效果。

应急响应计划应定期演练，并根据组织架构、系统环境和业务变化及时更新。

五、信息安全规划落地实施流程

掌握知识点之后，还需要理解如何将规划转化为实际建设工作。

一套较为完整的实施路径可以概括为以下七个步骤。

结合企业整体战略、业务目标和发展方向，明确安全建设的总体目标和原则。

梳理现有组织架构、业务流程、信息资产、安全措施及管理制度，开展风险评估和合规差距分析。

结合业务需求和风险评估结果，设计组织、管理、技术和运营等方面的总体安全架构。

比较现有安全能力与目标架构之间的差距，识别需要优先解决的问题。

将总体目标分解为可执行的建设项目，明确项目范围、责任主体、资源需求和验收标准。

结合风险优先级、业务影响、建设成本和项目依赖关系，安排实施顺序和阶段目标。

跟踪项目实施情况，检查安全控制措施的实际效果，根据风险变化和业务需求持续调整规划。

这七个步骤形成从战略目标到落地实施的完整闭环。

六、考前速记：把整章知识串起来

如果复习时间有限，可以先掌握下面这条主线。

企业战略与业务需求 → 风险识别与评估 → 安全架构设计 → 安全项目实施 → 运行监控与持续改进。

• ▪• 管理体系：明确按什么制度执行。
• ▪• 技术体系：明确采用什么技术措施。
• ▪• 运营体系：明确如何持续运行和改进。

系统安全架构、安全技术体系架构、安全审计架构。

保障要素、信息系统生命周期、安全能力成熟度。

安全管理中心、安全计算环境、安全区域边界、安全通信网络。

这些知识点之间不是孤立的。规划确定目标，风险评估识别问题，安全架构明确整体设计，四大体系负责具体建设，运营和审计负责持续验证与改进。

理解这条逻辑主线，比单纯背诵大量名词更有助于应对综合知识、案例分析和论文写作。

七、论文写作思路：如何将知识点转化为项目实践

如果论文题目涉及信息安全规划或信息安全管理，可以按照以下思路组织项目实践内容。

介绍项目所属行业、业务特点、系统规模、重要信息资产以及开展信息安全规划的原因。

说明如何梳理资产、识别威胁、分析脆弱性、评估风险，并结合业务影响确定整改优先级。

说明如何将安全目标与业务战略对齐，并从组织、管理、技术和运营等方面制定总体规划。

结合真实项目，说明如何制定建设计划、协调资源、落实安全措施，并控制实施过程中的风险。

介绍安全监控、权限管理、培训演练、应急响应、审计整改和效果评估等实际工作。

使用真实、可核实的项目数据说明建设成效，并总结实施过程中遇到的问题、采取的措施及改进经验。

论文不能只是把上述知识点逐条抄写一遍。更重要的是围绕真实项目，说明为什么这样规划、具体如何实施、遇到了什么问题，以及最终取得了什么效果。

知识点整理好了，接下来更重要的是把知识转化成论文答题能力。

备考的同学，可能都遇到过这些问题

• ▪• 看得懂，不会写： 知道知识点是什么，但不知道如何结合项目背景展开论述。
• ▪• 有素材，拼不成文： 背了不少范文，遇到不同的论文题目，还是不知道如何组织内容。
• ▪• 写完了，不知道问题在哪： 自己读起来感觉还不错，却很难判断是否紧扣题目、论述是否充分、案例是否具体。

针对这些备考痛点 ，「软考速记」小程序提供了论文定制和论文批改功能，帮助你把论文备考从“看范文”推进到“动手写、发现问题、持续修改”。

✍️ 论文定制：不知道怎么写，就从自己的项目开始

结合论文主题、项目背景和具体写作要求，梳理论文结构与论述思路，生成可供学习和修改的参考内容。

不必只依赖千篇一律的通用模板，可以围绕自己的项目经历整理素材，逐步建立适合自己的论文写作框架。

📝 论文批改：写完之后，看看还能怎么改

提交自己练习的论文，借助批改功能检查文章中的问题，获得相应的分析与修改建议。

从题目回应、内容结构到论述表达，帮助你发现自己容易忽略的薄弱环节，让每一次练习都有明确的改进方向。

🎯 更推荐这样的备考方式

先梳理知识点，再研究范文和历年真题；尝试独立写作后，再通过批改发现问题、逐步修改。

不要只满足于“看过一篇范文”，更要练到自己能写、知道怎么改。

📱 搜索 「软考速记」 ，进入小程序，体验论文定制与批改功能。

论文生成内容用于备考学习与写作参考，建议结合真实项目经历、考试题目要求进行核对、修改和完善。

写在最后

信息安全规划的核心，不是简单地堆叠安全设备或技术措施，而是从企业战略和业务需求出发，识别风险、设计体系、落实项目，并通过持续运营不断改进。

备考时，建议先理解整体框架，再记忆关键模型和常见措施，最后结合项目实践练习案例分析与论文表达。

把知识点串成体系，才能在考试中真正做到理解、记忆和应用。

关注「软考速记」，一起把复杂知识点拆开学，把该掌握的内容练扎实。