滕 文

（陕西国际商贸学院，陕西 西安 710000）

在安全策略的制定和管理过程中，我们应该从以下几个方面来处理。

1 建立安全策略需要处理好的关系

1.1 安全与应用相互依存的关系

安全与应用既是一对矛盾，又相互依存。没有应用，局不会产生相应的安全需求；不能妥善地解决安全问题，就不能更好的展开应用。安全是有代价的，会增加系统运行负担以及相应的系统建设、硬件设施的费用；会规定一些限制给使用带来一些不便。应用需要安全，安全为了应用。

1.2 适度安全的观点

怎样才是适度安全，需要用风险评估的方法才能得出结论。风险评估围绕威胁、资产、脆弱性、安全措施展开分析。在评估时不仅要考虑现有环境，还应考虑近期和远期发展变化趋势。然后，还应评估控制风险所需的安全代价。在此基础上对风险和代价进行均衡，确定相应的安全策略。

1.3 风险度的观点

信息系统项目是一个非线性的智能化人机结合的复杂系统，由于人能力的局限性，导致很多想法出发点很好，但最终实现起来会有很多的漏洞，还有使用和管理人员在系统应用过程中也经常会犯一些错误，导致了系统的风险。当前对于系统安全性的研究，攻击和反攻击的技术相互追逐，不断提高。安全是相对的，是一个风险大小的问题，是一个动态的过程。我们不能一味地追求所谓的绝对安全，而是要将安全风险控制在合理程度或者是允许的范围内。

1.4 “木桶效应”的观点

“木桶效应”是将整个信息安全系统从一个完整的系统角度，比作一个木桶。……