（2）PPDRR模型
正如信息安全保障所描述的，一个完整的信息安全保障体系，应当包括安全策略（Policy）、保护（Protection）、检测（Detection）、响应（Reaction）、恢复（Restoration）五个主要环节，这就是PPDRR模型的内容。
保护、检测、响应和恢复四个环节要在策略的统一指导下构成相互作用的有机整体。
PPDRR．模型从体系结构上给出了信息安全的基本模型。
5.信息安全保障体系
要想真正为信息系统提供有效的安全保护，必须系统地进行安全保障体系的建设，避免孤立、零散地建立一些控制措施，而是要使之构成一个有机的整体。
在这个体系中，包括了安全技术、安全管理、人员组织、教育培训、资金投入等关键因素。
信息安全建设的内容多、规模大，必须进行全面的统筹规划，明确信息安全建设的工作内容、技术标准、组织机构、管理规范、人员岗位配备、实施步骤、资金投入，才能够保证信息安全建设有序可控地进行，才能够使信息安全体系发挥最优的保障效果。
信息安全保障体系由一组相互关联、相互作用、相互弥补、相互推动、相互依赖、不可分割的信息安全保障要素组成。
一个系统的、完整的、有机的信息安全保障体系的作用力远远大于各个信息安全保障要素的保障能力之和。
在此框架中，以安全策略为指导，融汇了安全技术、安全组织与管理和运行保障三个层次的安全体系，达到系统可用性、可控性、抗攻击性、完整性、保密性的安全目标。
信息安全保障体系的总体结构如下图所示：
（1）安全技术体系
安全技术体系是整个信息安全体系框架的基础，包括了安全基础设施平台、安全应用系统平台和安全综合管理平台这三个部分，以统一的安全基础设施平台为支撑，以统一的安全应用系统平台为辅助，在统一的安全综合管理平台管理下的技术保障体系框架。
安全基础设施平台是以安全策略为指导，从物理和通信安全防护、网络安全防护、主机系统安全防护、应用安全防护等多个层次出发，立足于现有的成熟安全技术和安全机制，建立起的一个各个部分相互配合的、完整的安全技术防护体系。
安全应用系统平台处理安全基础设施与应用信息系统之间的关联和集成问题。
应用信息系统通过使用安全基础设施平台所提供的各类安全服务，提升自身的安全等级，以更加安全的方式，提供业务服务和信息管理服务。
安全综合管理平台的管理范围尽可能地涵盖安全技术体系中涉及的各种安全机制与安全设备，对这些安全机制和安全设备进行统一的管理和控制，负责管理和维护安全策略，配置管理相应的安全机制，确保这些安全技术与设施能够按照设计的要求协同运作，可靠运行。
它在传统的信息系统应用体系与各类安全技术、安全产品、安全防御措施等安全手段之间搭起桥梁，使得各类安全手段能与现有的信息系统应用体系紧密地结合，实现“无缝连接”，促成信息系统安全与信息系统应用真正的一体化，使得传统的信息系统应用体系逐步过渡为安全的信息系统应用体系。
统一的安全管理平台有助于各种安全管理技术手段的相互补充和有效发挥，也便于从系统整体的角度来进行安全的监控和管理，从而提高安全管理工作的效率，使人为的安全管理活动参与量大幅下降。
（2）安全组织与管理体系
安全组织与管理体系是安全技术体系真正有效发挥保护作用的重要保障，安全组织与管理体系的设计立足于总体安全策略，并与安全技术体系相互配合，增强技术防护体系的效率和效果，同时也弥补当前技术无法完全解决的安全缺陷。
技术和管理是相互结合的，一方面，安全防护技术措施需要安全管理措施来加强；另一方面，安全防护技术措施也是对安全管理措施贯彻执行的监督手段。
安全组织与管理体系的设计要参考和借鉴国际信息安全管理标准BS7799（ISO17799）的要求。
信息安全管理体系由若干信息安全管理类组成，每项信息安全管理类可分解为多个安全目标和安全控制。
每个安全目标都有若干安全控制与其相对应，这些安全控制是为了达成相应安全目标的管理工作和要求。
信息安全管理体系包括了以下管理类：
安全策略与制度、安全风险管理、人员和组织安全管理、环境和设备安全管理、网络和通信安全管理、主机和系统安全管理、应用和业务安全管理、数据安全和加密管理、项目工程安全管理、运行和维护安全管理、业务连续性管理、合规性（符合性）管理。
（3）运行保障体系
运行保障体系由安全技术和安全管理紧密结合的内容所组成，包括了系统可靠性设计、系统数据的备份计划、安全事件的应急响应计划、安全审计、灾难恢复计划等，运行保障体系对于网络和信息系统的可持续性运营提供了重要的保障手段。
1.2信息安全政策
1.2.1我国信息化发展战略与安全保障工作
1.信息化发展战略
2006年，我国发布了《2006～2020年国家信息化发展战略》，指出信息化是当今世界发展的大趋势，是推动经济社会变革的重要力量。
大力推进信息化，是覆盖我国现代化建设全局的战略举措，是贯彻落实科学发展观、全面建设小康社会、构建社会主义和谐社会和建设创新型国家的迫切需要和必然选择。
国家信息化领导小组对信息化发展重点进行了全面部署，作出了推行电子政务、振兴软件产业、加强信息安全保障、加强信息资源开发利用、加快发展电子商务等一系列重要决策。
各地区、各部门从实际出发，认真贯彻落实，不断开拓进取，我国信息化建设取得了可喜的进展。
其中，重要的成就之一是信息安全保障工作逐步加强，制定并实施了国家信息安全战略，初步建立了信息安全管理体制和工作机制。
基础信息网络和重要信息系统的安全防护水平明显提高，互联网信息安全管理进一步加强。
但是，在信息安全领域依然存在着不足，信息安全问题仍比较突出。
在全球范围内，计算机病毒、网络攻击、垃圾邮件、系统漏洞、网络窃密、虚假有害信息和网络违法犯罪等问题日渐突出，如应对不当，可能会给我国经济社会发展和国家安全带来不利影响。
国家对信息化发展提出了九大发展战略，分别是：
（1）推进国民经济信息化；
（2）推行电子政务；
（3）建设先进网络文化；
（4）推进社会信息化；
（5）完善综合信息基础设施；
（6）加强信息资源的开发利用；
（7）提高信息产业竞争力；
（8）建设国家信息安全保障体系；
（9）提高国民信息技术应用能力，造就信息化人才队伍。
其中，应全面加强国家信息安全保障体系建设。
坚持积极防御、综合防范，探索和把握信息化与信息安全的内在规律，主动应对信息安全挑战，实现信息化与信息安全协调发展。
坚持立足国情，综合平衡安全成本和风险，确保重点，优化信息安全资源配置。
建立和完善信息安全等级保护制度，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定的重要信息系统。
加强密码技术的开发利用。
建设网络信任体系。
加强信息安全风险评估工作。
建设和完善信息安全监控体系，提高对网络安全事件应对和防范能力，防止有害信息传播。
高度重视信息安全应急处置工作，健全完善信息安全应急指挥和安全通报制度，不断完善信息安全应急处置预案。
从实际出发，促进资源共享，重视灾难备份建设，增强信息基础设施和重要信息系统的抗毁能力和灾难恢复能力。
大力增强国家信息安全保障能力。
积极跟踪、研究和掌握国际信息安全领域的先进理论、前沿技术和发展动态，抓紧开展对信息技术产品漏洞、后门的发现研究，掌握核心安全技术，提高关键设备装备能力，促进我国信息安全技术和产业的自主发展。
加快信息安全人才培养，增强国民信息安全意识。
不断提高信息安全的法律保障能力、基础支撑能力、网络舆论宣传的驾驭能力和我国在国际信息安全领域的影响力，建立和完善维护国家信息安全的长效机制。
2.信息安全保障工作
2003年7月22日，国家信息化领导小组第三次会议指出，大力推进信息化，是党中央顺应时代进步潮流和世界发展趋势作出的重大决策，是我国实现工业化、现代化的必然选择，是促进生产力跨越式发展、增强综合国力和国际竞争力、维护国家安全的关键环节，是覆盖现代化建设全局的战略举措。
会议以“三个代表”重要思想为指导，分析了我国信息安全工作面临的形势，充分肯定了近年来信息安全保障工作的成绩，深刻阐述了信息安全保障工作的极端重要性，明确了做好新形势下信息安全保障工作的指导方针、基本原则和主要任务，是一次具有里程碑意义的会议。
黄菊同志在会议上的重要讲话，高屋建瓴，统揽全局，理论性、政策性和针对性都很强，是指导我国信息安全保障工作和加快推进信息化的纲领性文献。
这次会议标志着我国的信息安全保障工作进入了一个新的阶段，必将使我国信息安全保障工作提高到一个新的水平。
目前，我国国民经济和社会信息化进程全面加快，信息技术得到广泛应用，网络与信息系统的基础性、全局性作用进一步增强，成为国家的关键基础设施。
随着信息化的发展，信息安全问题日益增加、日渐突出。
网络攻击、病毒传播、垃圾邮件等迅速增长，利用网络进行盗窃、诈骗、敲诈勒索、窃密等案件增多，严重影响了网络的正常秩序，损害了人民群众的利益；网上色情、暴力等不良和有害信息的传播，严重危害了青少年的身心健康；针对网络和信息系统的破坏活动，以及网络与信息系统自身的安全问题严重影响着通信、金融、能源、交通等关键基础设施的正常运转和安全；境内外敌对组织和势力利用网络与信息技术手段所进行的反动宣传、渗透和攻击，对社会政治稳定造成威胁。
总之，信息安全已经不单是一个技术问题、一个业务工作问题，也不仅是信息化本身的问题，而是上升为事关国家经济安全、社会稳定的全局性的战略问题，是国家安全的重要组成部分。
因此，必须从促进经济发展、维护社会稳定、保障国家安全、加强精神文明建设的高度，充分认识加强信息安全保障工作的极端重要性，增强做好这项工作的紧迫感、责任感和自觉性。
国家信息化领导小组《关于加强信息安全保障工作的意见》中提出，加强信息安全保障工作，必须遵循以下原则：
立足国情，以我为主，坚持管理与技术并重；正确处理安全与发展的关系，以安全保发展，从发展中求安全；统筹规划，突出重点，强化基础性工作；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。
信息安全保障工作必须要充分认识到信息安全风险和威胁，立足安全防护，加强信息安全应急处理，在推进信息化发展中同步规划、同步建设信息安全，坚决防止不设防、重建设轻管理、重发展轻安全的问题；要用发展的办法、积极的措施解决信息安全问题，具备应对各种威胁和挑战的能力与手段，而不是通过不上网、不共享、不互联互通，或者片面强调建专网等封闭的方式保安全；要从法律、管理、技术、人员等多个方面，从预防应急和打击犯罪等多个环节采取多种措施，全面提高信息安全防护水平。
要坚持一手抓发展，一手抓安全，正确处理发展和安全的关系，坚持以安全保发展，在发展中求安全。
应该全面理解加强信息安全保障，不能简单地认为“加强”就是要管得更紧、管得更严，要用封闭的方式保安全，“关起门来”搞信息化。
要以保障和促进信息化发展为宗旨，防止信息安全问题危害国家安全和社会稳定，防止因信息安全问题过度增加信息化成本和降低信息化的效益，防止因信息安全问题影响信息系统和信息资源为国民经济服务，为老百姓服务。
应该认识到，如果信息安全得不到保障，不仅国家安全会受到威胁，而且有价值的信息不能上网，可以利用网络处理的业务不能用网络来处理，就难以发挥信息化的巨大效益，信息化发展将受到严重制约。
要坚持以改革开放求安全，用新思路、新机制、新办法解决信息安全保障工作与信息化发展不相适应的问题，走出一条信息安全保障的新路子。
在改革开放进一步深入、经济全球化进一步发展这样—个大环境下推进信息化发展、加强信息安全保障工作，只能坚持用改革的思路、发展的办法。
信息安全是发展中的新问题，并随着信息化的发展而变得突出。
解决信息安全问题不存在一成不变的模式，不存在普遍适用的解决方案，不存在一劳永逸解决问题的技术和产品，在信息安全保障工作中必须坚持与时俱进，开拓仓4新。
多年来，我们在信息安全保障工作中形成了一套行之有效的制度，积累了许多宝贵的经验。
但必须认识到，确有一些思想观念、政策规定、管理方法不完全适应形势的发展，应该积极加以研究，逐步加以完善和提高。
要坚持管理与技术并重，大力发展信息安全高技术，具备坚实的物质基础和先进的技术手段，同时也要着力提高信息安全管理水平。
信息安全保障是高技术的对抗，从长远看，解决信息安全问题还是要靠信息安全高技术和产品，这是信息安全保障的物质基础，也是为信息安全管理提供手段和支持，从而大大降低管理成本，提高管理效率。
同时也要看到，科学的管理是信息安全技术转化为信息安全保障能力的必要条件，是弥补技术不足的重要途径，如果缺乏严格的管理，再好的技术和产品也难以发挥作用。
特别是在核心技术、关键设备还相对落后的情况下，我们更要充分发挥我们的政治优势、制度优势，通过科学管理来弥补技术上的不足。
要坚持统筹兼顾、突出重点，即统筹信息化发展与信息安全保障，统筹信息安全技术与管理，统筹经济效益与社会效益，统筹当前和长远，统筹中央和地方。
我国的信息化发展很不平衡，各地区、各部门处于信息化发展的不同阶段，面临的信息安全形势和问题也有较大差别，必须从各自的实际出发，确定工作重点，进行信息安全建设和管理。
国家信息化领导小组《关于加强信息安全保障工作的意见》指出，加强信息安全基础性工作和基础设施建设是当务之急。
信息安全保障工作专业性、政策性强，涉及方方面面，但当务之急是要加强信息安全基础性工作和基础设施建设，包括实行信息安全等级保护和开展信息安全风险评估，加强以密码技术为基础的信息保护和网络信任体系建设，加强信息安全应急处理工作，等等。
国家信息化领导小组《关于加强信息安全保障工作的意见》的出台为我国信息产业乃至信息安全产业的发展创造了崭新的、良好的政策环境，各级政府部门、党政机关及社会各界将在国家信息化领导小组《关于加强信息安全保障工作的意见》指导下，结合各地方、各行业的具体情况，积极推动和落实信息安全保障工作，构建我国的信息安全保障体系，进一步推动我国信息化建设健康、有序的发展。
1.2.2美国信息安全国家战略
1998年5月，美国政府颁发了《保护美国关键基础设施》总统令（PDD63）。
围绕“信息保障”成立了多个组织，其中包括全国信息保障委员会、全国信息保障同盟、关键基础设施保障办公室、首席信息官委员会、联邦计算机事件响应能动组等10多个全国性机构。
1998年美国国家安全局（NSA）制定了《信息保障技术框架》（I．ATF），提出了“深度防御策略”，确定了包括网络与基础设施防御、区域边界防御、计算机环境防御和支撑性基础设施的深度防御在内的目标。
2000年1月，美国政府发布了《保卫美国的计算机空间——保护信息系统的国家计划》。
该计划分析了美国关键基础设施所面临的威胁，确定了计划的目标和范围，制定出联邦政府关键基础设施保护计划（其中包括民用机构的基础设施保护方案和国防部基础设施保护计划）以及私营部门、州和地方政府的关键基础设施保障框架。
美国政府认为，美国信息网络的脆弱性可能使美国的关键基础设施和信息系统的安全面临严重威胁。
2003年2月14日美国政府公布的《确保网络空间安全的国家战略》报告，强调发动社会力量参与保障网络安全，重视发挥高校和社会科研机构的力量，重视人才的培养和公民的网络安全意识教育，必将对美国未来的国家安全战略指导思想和网络安全管理机制产生深远的影响。
1.主要内容
2003年2月14日美国公布了《确保网络空间安全的国家战略》报告。
该报告共76页，是布什政府对《美国国土安全的国家战略》（2002年7月公布）的补充，并由《保护至关重要的基础设施和关键资产的国家战略》（2003年2月14日公布）作为其补充部分。
该报告确定了在网络安全方面的三项总体战略目标和五项具体的优先目标。
其中的三项总体战略目标是：
（1）阻止针对美国至关重要的基础设施的网络攻击；
（2）减少美国对网络攻击的脆弱性；
（3）在确实发生网络攻击时，使损害程度最小化、恢复时间最短化。
五项优先目标是：
建立国家网络安全反应系统；
建立一项减少网络安全威胁和脆弱性的国家项目；
建立一项网络安全预警和培训的国家项目；
确保政府各部门的网络安全；
国家安全与国际网络安全合作。
《确保网络空间安全的国家战略》报告指出，国土安全部是联邦政府确保网络安全的核心部门，国土安全部将制定确保美国关键资源和至关重要的基础设施安全的全面的国家计划，以便向私营部门和其他政府机构提供危机管理、预警信息和建议、技术援助、资金支持等五项责任。
该报告把关键基础设施定义为“那些维持经济和政府最低限度的运作所需要的物理和网络系统，包括信息和通信系统、能源部门、银行与金融、交通运输、水利系统、应急服务部门、公共安全以及保证
升级会员 