刘卓军中国科学院研究员

系统安全如果仅仅停留在理念层面，就失去了其本来的意义，其价值也会大打折扣。系统安全既是方法也是目标，形式上是对流程和规则的遵守，而本质上体现的是对管理和工程方面的原理、标准及技术实施有意图和有计划的应用。

实施系统安全要从确定系统安全规划（SSP）开始。有一个很形象的认识，“没有计划等于是计划着失败”，既没有规划就非常有可能带来可怕的结果。SSP通常要基于系统的规模、复杂程度、安全临界性质、资金、系统生命周期各阶段的特征等因素建立安全规划和要求，明确阐述管理和实施规划中所需要面对的基本问题，尤其重要的是，所有这些都要建立起与之相应的文档。这些文档一般应包括：列出对于有效的安全规划必须要完成的任务;为完成任务而准备使用的方法，包括任务的执行和时间等的规定;对任务执行人员的资格和条件的要求;各管理层对执行任务的授权以及确保任务完成所需必要资源的说明。如此文档化的正式文件的整体常被称为系统安全规划计划或系统安全规划方案（SSPP）。制定旨在获得系统安全规划的系统安全规划方案，需要有一个专门的工作团队，通常称为系统安全规划工作小组（SSPG）。容易理解，办好任何事情都需要有合适的人和恰当的准备，所以，SSPG是取得高质量SSPP乃至高质量SSP的关键。

尽管对SSPP的格式没有硬性要求，但它所应包含的必要和适当的内容却是基本的：