信息安全保障解决方案 以风险评估和法规要求得出的安全需求为依据 考虑系统的业务功能和价值 考虑系统风险哪些是必须处置的,哪些是可接受的 贴合实际具有可实施性 可接受的成本 合理的进度 技术可实现性 组织管理和文化的可接受性