信息系统安全体系(Information Systems Security Architecture, ISSA) ，包括信息系统安全技术体系、安全管理体系、安全标准体系和安全法律法规，其基本框架如图7-10 所示。

1.信息系统相关法律法规
首先是安全法律法规与政策。其中包括法律法规、组织结构、组织政策和业务需求等内容。解决系统安全第一步，要弄清楚系统可以提供什么样的服务，即业务需求。在设计安全系统之前，相关部门可对这个系统进行安全评估，安全评估的过程通常会比较关心以下问题:
①该系统提供什么样的服务?不同的服务会面临什么不同的风险?
②该服务给整个系统会带来什么样的风险?预计该服务所占总业务的比例是多少?如果系统因某些原因而瘫痪的话，整个实体单位正常业务将会受到多大的影响?
③系统的业务量是多少?每个交易的估值是多少?根据数据算出每天的风险量，来看是否能承担这个风险，即进行风险和价值的总体评估。如果不能承担，就会要求降低肉上的处理量，或者需要提高安全保护。
④有什么样的保护措施?措施效能如何?
系统设计者需要针对以上的问题做基本的业务风险分析，以确保系统自身的健康运作和客户对系统的要求得到满足。设计安全系统时，要确保客户的信心不被破坏，就要确定风险是什么，出现安全事故时候由谁承担责任等。当这些问题存在不确定性时，用户就很可能不敢使用系统服务。因此，保障用户信心是安全系统的核心问题，需要通过安全措施去控制风险，提高确定性来确保用户信心。因此，风险管理的办法就是减少系统管理的不确定性，就需要进行风险分析和评估，包括业务风险;然后，再进行控制风险、管理风险;最后，要确定责任。
可见，整套安全体系都归结于系统的设计可信问题。在设计之前要了解管理原则、管理目标，从管理角度来考虑安全目标和安全需求。用户的身份认证、用户指令的处理、执行都很重要。总之，根本目的就是在确保系统自身安全性的前提下，要保障用户对系统的信任，即系统与用户之间的双向互信。
就系统所面临的危险来说，信息系统面临来自各个方面的安全威胁，从角色来看，其来源有外部攻击者级、内部攻击者级、用户级、网络运营商级等，这就需要从技术、业务、管理等不同角度去考虑。因此，针对不同的威胁需要有不同的安全保护，还需要一系列有效的安全保护措施，即除了一般意义的安全技术外，还有标准条款、审计、保险等。
2. 信息系统安全技术体系
从技术角度而言，通用的安全技术体系包括以下的模块:
.信息系统硬件安全:密码机、密码加速一卡等:
•操作系统安全:防病毒、访问控制、白名单等:
•密码算法技术RSA、ECC 、AES 、3DES;
•安全协议技术CCITI X.509 、IS09798 、TLS;
•访问控制:RBAC 、ACL 等:
•安全传输技术SSL、HTTPS 等;
•应用程序安全SIMIME 、PKCS 等:
•身份识别与权限管理技术:指纹、IC 卡、USBKey 等:
.入侵检测技术和防火墙技术等。
同时，对于不同的信息系统，根据其应用场景与业务的不同，会对一部分的安全技术更为关注，例如，在金融领域，身份识别和权限管理技术、访问控制等会较为得到重视。同时，不同的行业与客户也会由于自身规模、业务、安全风险、资金投入等不同情况，对不同技术进行相应的取舍。
3. 信息系统安全管理体系
信息系统的安全管理体系，主要包括以下内容:
.安全目标确定:
•安全需求获取与分类:
.风险分析与评估:
•风险管理与控制:
.安全计划制定:
•安全策略与机制实现:
.安全措施实施。
信息系统的构建主要围绕系统的安全目标和风险管理进行。在系统的构建过程中，设计研发人员首先要考虑信息系统在安全方面需要满足哪些安全目标，然后再分析评估所面临的风险。值得一提的是，目前许多信息系统的安全目标通常会受监管组织的法律法规的影响，如《计算机信患系统安全等级划分准则》 (GB 17859-1999) ，因此可以依据这类国家或者行业的安全规范来进行相应的目标评定与风险评估。
4. 目前信息系统安全标准体系
目前我国现有的信息系统安全标准体系可分为基础类、应用类、产品类。其中基础类有《计算机信息系统安全保护等级划分准则》(GB 17859-1999) 、《信息系统安全等级保护基本要求》(GB/T 22239-2008); 应用类包括信息系统定级类: 《信息系统安全保护等级定级指南》 (GB/T 22240-2008) ，等级保护实施类: 《信息系统安全等级保护实施指南》(GB/T 25508-2010) ，信息系统安全建设类《信息系统适用安全技术要求》(GB/T 20271-2006) 、《信息系统等级保护安全设计技术要求》 (GB/T 25057-2010) 、《信息系统安全管理要求》(GB/T 20269-2006) 、《信息系统安全工程管理要求》 (GB/T20282-2006) 、《信息系统物理安全技术要》(GB/T 20270-2006) 等:产品类:操作系统类: 《操作系统安全技术要求》( GB/T20272-2006) 、《操作系统安全评估准则》(GB/T2008-2005) ，数据库类: 《数据库管理系统安全技术要求》(GB/T 20273-2006) 、《数据库管理系统安全评估准则》 (GB/T 20009-2005) ，网络类《网络端设备隔离部件技术要求》(GB/T 20279-2006) 、《网络端设备隔离部件测试评价方法》(GB/T 20277-2006) 、《网络脆弱性扫描产品技术要求》(GB/T 20278-2006) 、《网络脆弱性扫描产品测试评价方法》 ( GB/T 20280-2006) 等， PKI 类《PKI 系统安全等级保护技术要求》(GB/T21053-2007) ，服务器类《服务器安全技术要求》( GB/T 21028-2007) 等。
一般来说，规模较大的组织也会按照自身需要，制定相关的信息系统安全标准。一般安全标准体系也包括基础安全标准、环境与平台标准、信息安全产品标准、信息安全管理标准、信息安全测评与认证标准等五类。
在以上的标准框架的基础上，开发人员在设计信息系统时，需要遵循相关的安全标准进行设计和规划。在系统构建方面，可以参考安全开发生命周期的方法，对整个系统开发的过程做出全富的安全考虑。