数据词典：信息安全保障技术框架（Information Assurance Technical Framework）

赵老师

信息安全保障技术框架（Information Assurance Technical Framework,IATF）由美国国家安全局发布，为保障美国政府和工业的信息基础设施提供技术指南。IATF编制的目的是帮助定义和理解其技术需求并选择满足其需求的方案，其目标读者包括系统安全工程师、用户、科学家、研究者、产品和服务厂商、标准组织及相关联盟。

IATF提出信息安全保障的核心思想是“纵深防御”，采用一个多层次的、纵深的安全措施来保障信息系统的安全。因为信息系统的安全不是仅仅依靠一两种技术或者简单的安全防御措施就能实现，必须在不同层次、不同技术框架区域中实施保障机制，才能最大程度地降低风险，应对攻击并保护信息系统的安全。

IATF提出的深度防御战略3个核心要素为人、技术和操作。信息系统安全保障依赖于人、技术和操作来共同实现组织机构的职能。

人是信息系统中的主体，也是信息系统的拥有者、管理者和使用者，是信息安全保障的核心，也是信息安全保障的第一要素。

技术是实现信息安全保障的重要手段，信息安全保障体系所需要的各项安全服务就是通过技术机制来实现的。

操作也被称为运行，是信息系统安全保障的主动防御体系，与技术手段的被动防御不同，操作就是将各方面技术紧密结合在一起的主动的过程，包括风险评估、安全监控、安全审计、跟踪告警、入侵检测、响应恢复等内容。

IATF提供了一个通用的框架对信息系统进行解构和描述，从技术层面上，IATF关注网络和基础设施、区域边界、计算环境、支撑性基础设施等4个焦点领域。

【出处】朱胜涛,温哲,位华,张晓菲, 沈传宁.注册信息安全专业人员培训教材.北京师范大学出版社,2019年5月第1版.