每周阅读文摘20180712 – 网络安全演练专辑(3) 十谈网络安全(Cybersecurity)（上）
网络安全演练专辑分为以下5个部分：
- 从Cyber Europe看网络安全演练
- 网络安全演练分类法
- 十谈Cybersecurity
- 突发事件应急响应、杀伤链、OODA及其它
- 网络安全演练指南
本期阅读与思考文摘，接上期的”网络安全演练分类法”，由于内容较多(近3万字)，“十谈网络安全(Cybersecurity)“将分上、中、下三期发出。
3. 十谈网络安全(Cybersecurity)（上）
- 一谈网络安全(Cybersecurity) – 演进的概念：从通信保密到网络空间安全
- 再谈网络安全(Cybersecurity) – 网络安全是数字化业务的核心(必备)能力
- 三谈网络安全(Cybersecurity) – 数字经济的发展与《网络安全法》
- 四谈网络安全(Cybersecurity) - 管理信息安全风险的三个视角：组织，任务和信息系统
- 五谈网络安全(Cybersecurity) – 3万亿美元经济损失!？
- 六谈网络安全(Cybersecurity) – 从组织能力角度看网络安全
- 七谈网络安全(Cybersecurity) - 网络安全与信息科技风险管理
- 八谈网络安全(Cybersecurity) - 网络空间安全知识体系
- 九谈网络安全(Cybersecurity) - 有效的网络安全框架
- 十谈网络安全(Cybersecurity) - 网络安全评价
一谈网络安全(Cybersecurity) — 演进的概念：从通信保密到网络空间安全
“现在怎么老是说网络安全，还有了《网络安全法》，那是不是还要制定《系统安全法》、《数据安全法》，……？”
“等级保护不是做得挺好吗，关键信息基础设施保护是干什么的？它们是什么关系？”
“领导还是不重视安全啊！@#￥%……&*（）”
……
我们经常听到类似的言语，要想把这些说明白，我们还是先看一下信息安全的发展史。简单地说，信息安全大致经历了以下几个发展阶段：
通信保密阶段
1949年香农发表《保密通信的信息理论》是通信保密阶段理论成型的标志，该阶段的主要目标是保护电脑的物理安全以及通过密码(主要是序列密码)解决通信保密问题。
计算机安全阶段
1977年美国政府正式颁布DES(数据加密标准)和1985年美国国防部DoD正式公布TCSEC(可信计算机系统系统评价标准，即”桔皮书”系列)是其标志性事件，该阶段以保密性、完整性和可用性为目标，保证动态信息在传输过程中不被窃取，即使窃取也不能读；保证数据在传输过程中不被篡改，读取信息的人能够看到正确的信息。
互联网安全阶段
随着上个世纪90年代互联网技术飞速发展，互联网从早期的科研进入商业和人们的日常生活，这一阶段的安全焦点从传统的保密性、完整性和可用性(即C.I.A)三个原则衍生并增加了诸如可控性、抗抵赖性、真实性等其他的原则和目标。
信息保障阶段
21世纪初，美国国家安全局(National Security Agency，NSA)发布IATF(信息保障技术框架)是标志性事件(我国国家973信息与网络安全体系研究课题组在2002年将IATF V3.0引入到国内，IATF对我国信息安全工作的发展和信息安全保障体系的建设也起到了重要的参考和指导作用)，该阶段强调面向业务的安全保障，从业务生命周期入手，分析业务流程，找出关键控制点，从事前、事中、事后分阶段进行保障。IATF从整体、过程的角度看待信息安全问题，其代表理论为”深度防御战略(Defense-in-Depth)“。IATF强调人、技术、操作这三个核心原则，关注四个信息安全保障领域：保护网络和基础设施、保护边界、保护计算环境、支撑基础设施。
网络空间安全阶段
IoT，人工智能，大数据、区块链，……，新技术层出不穷，数字化在人们生活和工作中的比重越来越大，我们正在步入数字化社会。我们所有人，无一例外地，都已经成为网络空间安全的相关方：对个人而言，便利性与隐私保护问题得到高度关注(已有专家说”我们将成为最后一代有隐私的人”，这是真的吗？)；对一般性的组织(机关企事业单位)而言，面临势在必行、迫在眉睫的数字化转型，如何管控风险？(或者进一步，如何”反脆弱”)；对于国家而言，如何维护网络空间主权？等等。也就是说，在数字化(信息)社会的门槛上，我们发现，工业时代的一些规则不再可行了(或者说，不起作用了)，而新的游戏(安全)规则尚在形成过程中。
在一般的认知中，互联网安全和信息保障的分别并不是特别清晰，这两个阶段人们关注的都可以称为信息安全问题；而之后的网络空间安全阶段人们考虑就是网络安全(Cybersecurity)问题了。
既然已经说到了网络空间安全(Cyberspace Security)，那这个”网络空间安全”和下图中的网络安全是什么关系呢？
再进一步，我们日常提到的信息安全、网络安全和网络空间安全分别是什么意思？下面先看看它们的定义：
信息安全(information security)，保护、维持信息的保密性、完整性和可用性，也可包括真实性、可核查性、抗抵赖性、可靠性等性质。(来自《GB/T 25069-2010 信息安全技术 术语2.1.52》，这个定义与《ISO/IEC 27000：2009》完全一致，今年新发布的ISO 27000：2018 3.28也并未变改动。(information security: preservation of confidentiality, integrity and availability of information。 Note 1 to entry: In addition, other properties, such as authenticity, accountability, non-repudiation, and reliability can also be involved。)
网络安全(network security)，指网络的安全。
网络空间安全(cyber security)，保护、维持网络空间中信息的保密性、完整性和可用性，也可包括真实性、可核查性、抗抵赖性、可靠性等性质。(来自《ISO/IEC 27032：Information technology – Security techniques – Guidelines for cybersecurity》，4.20)明显可以看出，这个定义修改自信息安全，着重强调网络空间中的信息安全。网络空间安全，有时也简称为网络安全(cyber security或cybersecurity)。当然，对于网络安全(cybersecurity)，除了国际标准化组织外，其它信息安全机构，也给出了不同的定义。(详见附录1)
因此，两种网络安全，cyber security与network security，是由于翻译的原因产生，在英文中，并无歧义。
以前在信息安全等级保护中(即上图中)信息安全技术体系涉及到的网络安全，是network security，而非我们现在常提到的网络安全(cybersecurity)。
据寿步在《依据国际标准 构建我国网络空间安全法体系》中指出，近年在我国官方文件中”网络安全”也经历了一个演变过程：
2014年4月15日习近平同志在中央国家安全委员会第一次会议上提出总体国家安全观。他要求：构建集政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、信息安全、生态安全、资源安全、核安全等于一体的国家安全体系。这里所说的国家安全体系所涵盖的十一种安全中包括”信息安全”。
2015年7月1日通过并施行的《中华人民共和国国家安全法》是在总体国家安全观指导下进行的立法，其中与总体国家安全观中的”信息安全”对应的条款即第二十五条规定：“国家建设网络与信息安全保障体系，提升网络与信息安全保护能力，加强网络和信息技术的创新研究和开发应用，实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控；加强网络管理，防范、制止和依法惩治网络攻击、网络入侵、网络窃密、散布违法有害信息等网络违法犯罪行为，维护国家网络空间主权、安全和发展利益。“这里采用了”网络与信息安全”的提法。(欧盟内负责网络安全管理和协调工作的机构名称即是网络与信息安全局—The European Union Agency for Network and Information Security，简称ENISA。)
2016年11月7日通过的《中华人民共和国网络安全法》，从名称到正文，“网络安全”出现108次；“网络空间安全”出现1次。虽然该法与国家安全法相比，前者是”目”，后者是”纲”，纲举目张，但该法中并没有沿用国家安全法中”网络与信息安全”的提法，而是自始至终采用了”网络安全”的提法。
在国家互联网信息办公室于2016年12月27日发布的《国家网络空间安全战略》中，却并没有沿用”网络安全”的提法，而是在标题中明确采用了”网络空间安全”的提法，并且在正文一开始就采用了”网络空间安全(以下称网络安全)“的提法，其后”网络安全”总计出现42次。
在外交部和国家互联网信息办公室于2017年3月1日共同发布的《网络空间国际合作战略》中文版中，“网络安全”出现14次；“网络空间安全”出现1次。在《网络空间国际合作战略》的官方英译本中，network security完全没有出现；cyber security出现13次；cyberspace security出现1次。显然，在《网络空间国际合作战略》的发布机关看来，该文件中文版中的”网络安全”直接对应于cybersecurity/cyberspace security。
事实上，10多年前，专业圈子里多用”信息安全”一词(也有个别地方使用”信息系统安全”或”网络和信息安全”)，目前已逐步开始统一到新的”网络安全/网络空间安全”一词上。佐证还包括：
- 2015年6月，国务院学位委员会决定在”工学”门类下增设”网络空间安全”一级学科，学科代码为”0839”，授予”工学”学位。
- 2016年3月25日，中国网络空间安全协会(CyberSecurity Association of China，CSAC)在北京成立。
再谈网络安全(Cybersecurity) — 网络安全是数字化业务的核心(必备)能力
去年年底(2017年11月20日)，公众号黑奇士(微信号：hqssima)发表了一篇文章：“Uber大败局：羊毛党撸走数亿美元 安全影响创业生死。”
下面简要描述一下该文的内容，有兴趣的朋友可直接搜索该文章。先看一下这段文字：“Uber中国最后的欺诈者：手握5000个账号 3个月骗得11.86万。”
“直到2015年年中，Uber中国仅有300-400名正式员工，大部分城市按照1个城市总经理+2个市场运营人员的标准配置团队。这样的人员配置，根本没办法在反欺诈措施上给予足够的重视。与其对应的是，同期的滴滴有3500人左右的团队，尽管也面临刷单威胁，但比Uber已经好得多。”
“根据阿里聚安全发布的《2015数据风控报告》，Uber在2015年的订单中有40%的虚假比例。”
“而媒体报道，截至2016年7月底，Uber大约在中国市场上投入了20亿美元，其中大部分用于市场补贴。也就是说，按40%的虚假订单量，Uber在中国市场浪费了8亿美元。”
“Uber的营销方式、司机服务广受赞赏，极致和口碑；但它对业务安全的忽视、对欺诈的容忍，直接危害到了Uber业务的健康度，危害到了企业赖以生存的现金流，并由于随后的融资失利，不得不把中国业务卖给竞争对手滴滴。”
为什么网络安全对Uber有这么大的影响？其实我也接触过网游、在线教育等行业因网络安全原因造成业务危机的相关案例。与此同时，为什么金融业、电信运营商、轨道交通(高铁/城铁)、电网等对网络安全很重视?
根本原因是同一个，因为这个行业或企业的业务基本上已完全数字化了，这也是我的观点：网络安全是数字化业务的核心(必备)能力要求。对于这些已经高度数字化的行业/企业而言，没有网络安全能力等同于裸奔在数字化世界中，生存危机随时可能会来临。
同时，这也是为什么你家小区楼下的小卖店不需要过多考虑网络安全的原因，因为它的业务数字化比例很低，网络安全对它不会造成太大影响。
三谈网络安全(Cybersecurity) — 数字经济的发展与《网络安全法》
《2017中国数字经济发展报告》是中国信息化百人会对信息经济研究连续发布的第四个年度报告，以下数字和图表均摘自该报告。
近年来，世界各国数字经济规模持续扩张。2016年，美国数字经济全球领先，规模达到10.8万亿美元，数字经济占GDP比重为58.3%；日本2.3万亿美元，占比46.4%；德国2.1万亿美元，占比59.3%；英国1.5万亿美元，占比58.6%；法国9620亿美元，占比39%；韩国6122亿美元，占比43.4%；印度4033亿美元，占比17.8%; 巴西3754亿美元，占比20.9%；俄罗斯2205亿美元，占比17.2%；印度尼西亚1027亿美元，占比11%。
中、美、日、英2008年和2016年数字经济占GDP比重
2008年到2016年，美国数字经济占GDP比重增加了16.7个百分点，占比从41.59%提升到58.33%；日本增加了15.92个百分点，从30.51%提升到46.43%；英国增加了31.5个百分点，从27.14%提升到58.64%；中国从15.22%上升到30.3%，增加了15.08个百分点。
中国与全球主要国家数字经济规模比较
2016年，中国数字经济同比增速达18.9%，总量达到22.6万亿元人民币(折合34009亿美元)，相比2015年增加3.97万亿元，稳居全球第二位，领先排名第三位的日本(22935亿美元)11074亿美元，与排名第一位的美国的差距仍较为明显，仅达到美国数字经济总量(108318亿美元)的31.4%。总体来看，中国数字经济发展态势良好，呈现快速上升趋势，对整体经济的发展起到至关重要的作用。
中国与全球主要国家数字经济占比比较
近年来，世界主要国家数字经济总体保持增长势头，在各国国民经济中的重要性持续提升。从中美日英四国数字经济规模占GDP比重来看，中国数字经济占GDP的比重为30.3%，显著低于全球其他主要国家，分别比美国(58.3%)、日本(46.4%)和英国(58.6%)低28、16.1、28.3个百分点，在国民经济中的重要作用尚未完全发挥出来。尽管中国数字经济占GDP的比重不高，但增速优势明显。2016年，中国数字经济增速高达18.9%，分别比美国(6.1%)、日本(17.0%)和英国(11.5)高出12.5、1.9、7.4个百分点。未来几年，在高增速带动下，中国数字经济占比有望逐渐逼近全球主要国家的平均水平，数字经济在推动中国数字社会发展、构建全球竞争新优势的重要作用将愈发凸现。
2017年4月，腾讯研究院发布了《中国”互联网+“数字经济指数(2017)》，该研究报告对国内2016年数字经济的发展进行了分析，以下数字采用自该报告。
2017中国”互联网+“数字经济总指数省级排名
2016年省级互联网+数字经济指数排名中，广东以54.23点高居榜首，遥遥领先于其他省份，北京、上海、浙江、江苏分列2-5位。头部5省份在互联网+数字经济总指数中占比达49.07%，相较其他省份优势明显。排名6-10位的省份分别为福建、四川、山东、湖北、湖南。各省指数数值均较去年有着较明显的增长。
中国数字经济版图
通过分析，全国351个城市可以按照数字经济发展水平划分为5个层次。北京、上海、广州、深圳构成数字经济一线城市，四个一线城市在总指数中占比为29.0%；成都、东莞、佛山、福州、杭州、南京、苏州、天津、武汉、厦门、西安、长沙、郑州和重庆共14市构成数字经济二线城市，在总指数中占比19.17%；大连、宁波、青岛等19市构成数字经济三线城市，在总指数中占比12.8%；保定、唐山、扬州等65市构成数字经济四线城市，在总指数中占比16.83%；全国其他249个城市构成数字五线城市，在总指数中占比22.2%
从数字化对民生的影响来看，截止2016年底，全国有362个城市通过微信城市服务平台为市民提供各类政务民生服务，100%覆盖了互联网+数字经济指数度量的351个城市。其中，339个城市上线了全国和本地性的智慧民生服务，仅上线全国性服务的只有内蒙古、西藏的12个城市和地区。作为高频刚需服务，公安、公积金、社保、医疗四大重点领域在地域覆盖广度和服务深度两个维度都取得了显著进步。2016年，分别有134、93、55和35个城市新上线了公安、人社、公积金、医疗服务，城市覆盖率分别达到58.4%、34.47%、19.09%和46.15%。拿普及率最广的公安服务来说，已涵盖交管、出入境、户政、治安4个中类、20个细项服务。
过去，智慧民生获得感普遍偏低，但这一现象近年来正被逐渐改善。移动政务的广泛普及正在悄然改变市民的日常生活。交通违法缴罚、挂号就诊支付、公积金查询、出入境续签、购买交通票等过去许多需要长时间排队等候的事情，现在用微信即可一键办理。从前10大服务的用户量数据可以看出，在线服务已成为常态，全国有超2400万的用户在手机上查办交通违章。预约挂号、加油、社保查询、汽车票等服务的用户量也超过千万。目前全国在微信上可查询和办理的服务超过800项，涉及公安、人社、公积金、交通、税务、司法、教育、民政等30个类别，累计服务用户超过2.6亿。
累计用户量最大的前10项服务(单位：万人)
随着各国数字经济的快速发展，各国都在大力实施网络安全战略，强化安全保障。美国发布”网络空间国际战略”，将网络空间视为与国家海、陆、空、外太空同等重要的国家战略性基础设施，并将网络空间安全提升到与军事和经济安全同等重要的地位。英国反复承诺保障国家网络安全，重点在研发和人才方面加大投入。德国计划推广使用安全的通信基础设施，促进数字技术安全产业发展，强化在线服务的安全性。近年来，我国也一直在提升网络安全的重要性(具体内容在”网络安全概念的演进”部分已详述，此处不再重复)。
2014年2月27日，中央网络安全和信息化领导小组宣告成立，在北京召开了第一次会议。该领导小组着眼国家安全和长远发展，统筹协调涉及经济、政治、文化、社会及军事等各个领域的网络安全和信息化重大问题，研究制定网络安全和信息化发展战略、宏观规划和重大政策，推动国家网络安全和信息化法治建设，不断增强安全保障能力。(2019年3月，中共中央印发《深化党和国家机构改革方案》，根据《改革方案》，“中央网络安全和信息化领导小组”改为”中央网络安全和信息化委员会”，并接手工信部管理国家计算机网络与信息安全管理中心，外界认为，这意味着其安全保障职能将加强)
2017年6月1日，《中华人民共和国网络安全法》(以下简称《网络安全法》)正式实施。在第二十一条规定了网络安全等级保护制度，第二十五条规定了网络运营者的应急处置措施，第三十三条规定了关键信息基础设施建设的安全要求，第三十四条规定了关键信息基础设施运营者的安全保护义务，第三十六条规定了关键信息基础设施采购的安全保密义务，第三十八条规定了关键信息基础设施的定期网络安全检测评估的制度；《网络安全法》第五十九条规定：“网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接责任的主管人员处五千元以上五万元以下罚款。关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。”
在随后的”《网络安全法》第一案中”，重庆网警查处了一起网络运营者在提供网络服务过程中，未依法留存用户登录网络日志的违法行为。据报道：“2017年7月22日，宜宾市翠屏区’教师发展平台’网站因网络安全防护工作落实不到位，导致网站存在高危漏洞，造成网站发生被黑客攻击入侵的网络安全事件。宜宾网安部门在对事件进行调查时发现，该网站自上线运行以来，始终未进行网络安全等级保护的定级备案、等级测评等工作，未落实网络安全等级保护制度，未履行网络安全保护义务。根据《网络安全法》第五十九条第一款之规定，决定给予翠屏区教师培训与教育研究中心和直接负责的主管人员法定代表唐某某行政处罚决定，对翠屏区教师培训与教育研究中心处一万元罚款，对法人代表唐某某处五千元罚款。”
那么，网络安全不是一直由信息科技部门在负责吗？为什么《网络安全法》要处罚其法人代表？为什么”各个单位的一把手是本单位数据与网络安全的第一责任人？为什么网络与数据安全，同样要党政同责，谁管行业谁就要管本行业的安全？
这些问题很重要，其背后的逻辑我在下一谈中回答。
四谈网络安全(Cybersecurity) – 管理信息安全的三个视角：组织、业务过程和信息系统
2011年3月，美国国家标准和技术研究院(NIST)发布了《NIST SP800-39：Managing Information Security: Organization, Mission, and System View》(管理信息安全：组织、任务和系统视角)。该文件指出：组织面临众多风险，如项目群风险、投资风险、预算风险、法律责任风险、安全(生产)风险、库存风险、供应链风险和安全风险。与操作和信息系统使用相关的安全风险只是高层管理者所应对的众多风险管理责任之一。
有效的风险管理要求组织在高度复杂、互连的环境中运营，使用最先进的和遗留信息，来执行重要的业务功能并达成使命。SP800-39为组织管理全面的信息安全风险提供一体化的、组织层面的指导，文中描述的风险管理可纳入全面风险管理(Enterprise Risk Management，ERM)中成为其一部分。
组织级的多层次风险管理
就信息安全风险而言，有3个层面的视角：
第1层从组织角度看待风险。这一层实现风险管理的第一个要素：风险框架，为组织执行所有的风险管理活动提供环境，并直接影响第2层和第3层风险管理活动的开展。如，第1层中定义的任务和业务功能影响在第2层中创建的任务/业务过程的设计和实现，以及这些任务/业务功能的执行。第1层指明任务/业务功能的优先级，进而推动投资策略和财务决策，从而影响第2层企业架构(包括嵌入式信息安全架构)的开发、分配和部署，以及第3层中的技术安全控制。第1层活动的示例还包括，影响第2层和第3层中包括公共控制选择、对风险管理者(功能领域)和授权人员提供指导，为那些支持关键任务和业务运营的信息系统确定恢复顺序等。
第2层在第1层知会的风险环境、风险决策和风险活动的基础上，从任务/业务过程角度看待风险。这一层的风险管理活动包括：
(i) 确定支持组织使用和业务功能必需的任务/业务过程； (ii) 依据组织战略目标和目的确定任务/业务过程优先级； (iii) 确定成功执行任务/业务过程必需的信息类型、关键/敏感度，及内外部信息流； (iv) 将信息安全要求合并到任务/业务过程中； (v) 建立包含嵌入式信息安全架构的企业架构，以促进与组织战略目标和绩效指标一致的、经济实用的信息技术方案。
第2层的活动直接影响第3层中活动的开展。如第2层中开发的企业架构中的信息安全部分，会影响和指导信息保护需求的分配，进而影响和指导第3层中信息系统特定部件的安全控制配置。第2层中的企业架构决策会影响第3层中信息系统的设计，包括在开发这些系统时采用哪些信息技术。第2层执行的活动也为第1层提供有用的反馈，并可能导致对第1层中由风险管理者执行的风险管理框架或风险管理活动进行修订。
第3层在第1层和第2层风险环境、风险决策和风险活动的指导下，从信息系统角看待风险。这一层的风险管理活动包括：
(i) 分类信息系统； (ii) 为信息系统及其环境配置安全控制，使其与已建立的企业架构和嵌入式信息安全架构相一致； (iii) 作为跨组织实施的有序和结构化的系统开发生命周期的一部分，管理已配置的安全控制的选择、实施、评估、授权和持续监控。
在第3层中，信息系统责任人(属主)、公共控制提供者、系统和安全工程师、信息系统安全官参考信息系统的实施、运行和监控进行风险决策。以这些日常的风险决策为基础，授权相关人员在随后进行风险决策，以确定信息系统是在最初被授权的指定操作环境中直接运行，还是在日常工作中需要持续得到授权。这些持续的风险决策需要风险管理者指导下由风险管理过程、以及支持任务/业务过程的不同架构提供相关信息。此外，第3层的活动为第1层和第2层提供重要反馈。如果在组织信息系统中新发现的漏洞有可能对整个组织造成影响。那这些漏洞发现就可能触发对企业架构和嵌入式信息安全架构进行变更，或者可能需要调整组织的风险容忍度。
与之相关的，每个层次的主要工作也存在相当大的不同：
第1层：组织视角，通过确立和实施治理结构来达成与组织战略目标和目的，法律法规、政策、标准、任务/业务过程确定要求的一致性。治理结构为以下组织执行的风险管理活动提供监督：
(i) 确立和实施风险管理人职能(risk executive/function)； (ii) 组织风险管理战略，包括风险容忍度等的确定； (iii) 对信息资源和信息安全相关的组织级投资策略的开发和执行。
重点包括：治理、风险管理人职能、风险管理战略(需要考虑任务和风险优先级、预期的风险响应需求和战略投资的局限性)。
第2层：任务/业务过程视角，通过设计、开发和实施任务/业务过程，来支持在第1层中明确的任务/业务过程。组织任务/业务流程指导和知会企业架构的开发，以提供一个有序和结构化的方法论来管理组织信息技术基础设施的复杂性。企业架构的一个关键构件是嵌入式信息安全架构，它提供一个路线图来确保任务/业务过程驱动的信息安全要求和保护需求是明确的，并被配置到合适的信息系统及其运行环境中。
重点包括：任务/业务过程风险意识、企业架构、信息安全架构等。
第3层：信息系统视角。所有信息系统(开发、运行、修改)一定处于系统开发生命周期的一个阶段，第1、2层的风险管理活动都可以集成进第3层信息系统的系统开发生命周期中。信息系统的整体韧性(resilience)是确定任务/业务过程潜在生存能力的关键因素和绩效指标。
简化一些说，在组织管理信息安全风险的过程中，高层领导(高管层，组织视角)、中层领导(部门或特定业务负责人，任务/业务过程视角)和信息科技管理人员(信息科技部门内，信息系统视角)这三个层面各司其职，各负其责。
1991年9月号《科学美国人》出版《通信、计算机和网络》专刊，第一次出现”网络空间Cyberspace”。美国国家安全54号总统令和国土安全23号总统令对Cyberspace的定义是：“连接各种信息技术的网络，包括互联网、各种电信网、各种计算机系统，及各类关键工业中的各种嵌入式处理器和控制器。在使用该术语时还应该涉及虚拟信息环境，以及人和人间的相互影响。”
而根据我国众多专家的观点，网络空间安全涉及到在网络空间中的电子设备、电子信息系统、系统应用、运行数据这四个层面的安全问题，具体包括：
- 第一、防治、保护、处置包括互联网、电信网、广电网、物联网、工控网、在线社交网络、计算系统、通信系统、控制系统在内的各种通信系统及其承载的数据不受损害。
- 第二、防止对这些信息通信技术系统的滥用所引发的政治安全、经济安全、文化安全、国防安全。
一个是保护系统本身，另外是防止利用信息系统带来了别的安全问题。所以针对这些风险，要采取法律、管理、技术、自律等综合手段来应对，而不是像过去说信息安全主要是技术问题。
在信息化发展的早期阶段，组织主要是使用信息科技帮助进行企业管理，组织业务的整体数字化比重并不高，信息安全关注的是信息科技建设和运行过程中遇到的安全问题，这个阶段的信息安全仍是技术性问题，因此其责任人是信息科技管理人员，视野也局限在组织的信息科技部门内；但随着大数据、物联网、云计算、自动化运维、人工智能等的应用，组织业务的数字化程度大幅度提升，这时信息安全的关注点是信息科技使用过程中造成的国家、政治、经济、社会和企业安全问题，这个阶段的信息安全已经是全局性的、战略性的业务问题了，因此其责任人自然转到了高层管理者(组织负责人)身上，视野自然扩展到了全组织。
其实，这才是信息安全/信息保障与网络空间安全(cybersecurity)的根本差异，这也是《网络安全法》将网络安全第一责任人确定为组织一把手的原因：随着数字化在社会各组成部分比重的提升，信息/网络安全已从单纯的技术问题转变为全局性的、战略性的、业务问题了。
再次回顾一下本网络安全演练专辑第1辑中介绍的Cyber Europe 2014(CE2014)，我们当时提到，这个演练是迄今为止，ENISA组织的规模最大、最全面的一次网络安全演练，这个判断是基于它由以下3个部分组成：
- 第一阶段：技术层面演练TLEx 2014.04.28 – 30(持续49小时) 网络安全技术演练
- 第二阶段：操作层面演练OLEx 2014.10.30 分布式操作/运营演练
- 第三阶段：战略层面演练SLEx 2015.02.24，25 研讨会和桌面演练 欧盟决策层级相关方会商
CE2014涵盖了网络安全(cybersecurity)的3个层面(视角)：高层管理者的组织危机管理视角、中层管理人员的任务/业务操作视角和信息技术部门的信息系统视角，并且这3个层级，分别在组织、国家和欧盟三个层面都有所体现(见下图)。
Cyber Europe 2014概要图
从这个角度来看，欧盟和美国对网络安全的理解基本是一致的。那我们自问一下，当前我国各区域、各行业组织的网络安全演练有多大比例全面考虑了这3个层次？
在这一谈的最后，我再引用Rob Annold的观点介绍一下组织中高层管理人员该如何介入网络安全工作。
Rob Arnold在他的《Cybersecurity: A Business Solution》一书中为中小企业的中高层管理者(非IT技术背景)管理网络安全提供了指南(对我们理解企业中高层管理人员如何管理网络安全有些帮助)。
首先，高层管理者的网络安全责任包括：指明并控制方向(在最高层设定目标，反映业务需求)、分配预算、批准公司级政策、保持合规以及处理危机。
一般而言，网络安全的战略目标包括：降低网络攻击可能的损失到可接受水平(降低风险)；使网络安全工作与业务任务保持一致(同步优先级)；识别并满足强制的合规要求(保持合规)；寻找机会使网络安全投资帮助赢得利润或市场份额(利用机会)；因应业务战略、风险态势和事后教训对网络安全进行调整。(当然，控制成本也应是目标之一)
具体的工作包括：设定风险管理目标，牵头战略级网络风险评估(strategic cyber risk assessment)，任命战术网络风险管理团队，根据战略优先级进行预算计划和分配(、平衡预防和准备的投入)，关注实施结果并对网络安全工作持续改进。
其次，组织的中层管理者为主组成了战术级网络风险管理团队(tactical cyber team)，该团队的主要成员通常包括：高管中负责网络安全的人员(executive sponsor)、法律顾问、保险顾问、财务和金融顾问、公共关系负责人、销售和营销负责人、IT及网络安全负责人及其它业务负责人等，其主要职责包括：战术级网络风险评估(技术、法律、财务和保险等)、预算编制和执行，实施和并根据反馈改进。
战术风险评估工作是在战略风险评估之后，在各专门领域评估网络安全风险，并为后续的规划和实施过程提供坚实的基础，其主要工作包括：清点IT资产及服务(包括数据、系统、设备和服务等)、评估新兴系统和技术、整理法律法规要求、评估战术影响、评估战术脆弱性、分享评估结果等。
