系统安全需求分析是构建安全信息系统的基础。系统安全需求分析是指针对安全的吕标，对信息系统中可能存在的风险及潜在威胁影响进行发现并分析，并以此为依据对信息及信息系统进行有依据的安全分类，从而利用不同的安全技术制定保护措施来应对风险。
一般而言，首先是明确安全的目标。正如之前所讨论的，安全目标要因应组织的情况而定，首要考虑业务对数据的依赖和相关法律法规的要求。例如，在FIPS-199 安全需求分类方法中，安全目标的关键就是实现安全的三大要素:
1.机密性
维护对信息访问和公开经授权的限制，包括保护个人隐私和私有的信息，机密性的缺失是指信息的非经授权的公开。
2. 完整性
防止信息不适当的修改和毁坏，包括保证信息的不可抵赖性和真实性。完整性的缺失是指信息未经授权的修改和毁坏。
3. 可用性
保证信息及时且可靠的访问和使用。可用性的缺失是指信息或信息系统的访问或使用被中断。然后，基于针对数据的安全目标，分析可能存在的风险对于组织和个人的潜在影响。目前，在国际上得到广泛应用的FIPS-199 标准把潜在影响分别定义为三个级别。需要再次强调的是，这个关于潜在影响级别的定义必须是和每一个给定的组织具体相关的。
针对每一个安全属性，作为一个仅供参考的指导原则，潜在威胁影响可以进行适当地定级，并简单分为三个级别:
(1)低(Low，L)
预期的机密性、完整性或可用性可能的缺失只能对组织营运、组织的财产和个人产生有限的负面影响。具体来说，上述有限的负面影响包括但不限于以下内容:导致完成任务能力的退化及组织能够履行其主要职能的明显减少:导致对组织资产较少的破坏:导致较少的经济损失:导致对个人较少的伤害。
(2) 中(Moderate，M)
预期的机密性、完整性或可用性可能的缺失只能对组织营运、组织的财产和个人产生严重的负面影响。具体来说，上述严重的负面影响可以是指:导致完成任务能力的明显退化及组织能够履行其主要职能的重大减少:导致对组织资产较大的破坏:导致较大的经济损失;导致对个人较大的伤害，但不包括生命的丧失或者严重的危害生命的伤害。
(3)高(High ， H)
预期的机密性、完整性或可用性可能的缺失造成对组织营运、组织的财产和个人产生灾难性的负面影响。具体来说，上述灾难性的负面影响可以是指:导致完成任务能力的剧烈退化及组织无法履行其一个或多个主要职能:导致对组织资产严重的破坏:导致严重的经济损失:导致对个人灾难性的伤害，包括生命的丧失或者严重的危害生命的伤害。
最后，根据可能存在的风险对组织和个人的潜在影响的级别，对信息及信息系统的安全进行分类。一是进行信息类壁的安全分类。信息类型的安全分类可以同时关联用户信息和系统信息，并且包含能够被应用到电子或非电子格式的信息。二是建立一个合适的信息类型安全分类需要针对特定的安全类型，确定对每一个安全目标的潜在影响。例如，一般性的信息类型的安全分类的表达如下:
{ (机密性，影响等级)， (完整性，影响等级)， (可用性，影响等级) }
在上述表达式中"影响等级"的值可以取为低、中、高三级，以及不适用(Not Applicable, NA) 。在常见的应用系统里，通常"不适用"只针对机密性。例7-1 一个普通人在它的个人Web 服务器上管理其公开信息。那么，对于这个公开信息类型，首先，机密性的缺失并没有什么潜在的影响，因为公开的信息没有保密的需求，机密性在公开信息类型中并不适用:其次，对于完整性的缺失是一个Moderate 的影响;再次，对可用性的缺失也是一个Moderate 的影响。这种类型的公开信息的安全分类表述如下:
{ (机密性， NA), (完整性， M), (可用性， M) }
例7-2 上面这个例子的分类只适用于特定实例，这是因为安全分类跟信息所涉及的业务有关。例如，如果公开的信息是网上证券交易系统实时提供的最新股票报价的话，那么其完整性和可用性使非常重要，这两个属性对它们的组织与业务的影响都非常的高。这种类型的公开信息的安全分类表述如下:
{ (机密性， NA), (完整性， H) , (可用性， H) }
以上介绍了信息类型的安全分类，在此基础上，也可以用同样的概念与原则对信息系统的安全进行分类。一般来说，确定信息系统的安全分类需要更多的分析，必须考虑信息系统中所处理的所有信息类型的安全分类。
对于一个信息系统， FIPS-199 的三大安全目标同样适用。然而，它们应该采用的潜在影响的赋值，必须是所有信息系统中的信息类型的安全分类时确定的信息类型潜在影响的最高值。以下是一般性的信息系统的安全分类的表述如下:
{ (机密性，影响)， (完整性，影响)， (可用性，影响) }
信息系统安全分类的表达跟以上介绍的信息类型的安全分类差不多，在上述表达式中"影响"的值可以取:
•低(Low ， L);
•中(Moderate ， L);
•高(High ， H) 。
这里值得注意的是， JER信息类型的分类不一样，在进行信息系统安全分类时"不
适用"不能再赋值于任何信息系统的安全目标。因为对整体的信息系统保护而言，对于机密性、完整行、可用性的威胁都有最低的潜在影响，其目的就是出于保护对系统级别的处理功能和影响信息系统操作的信息的基本要求。一个简单的解释是:可以考虑系统内管理员的系统登录口令。无论如何这个口令的保护都是必需的，因此，这信息的机密性就不可能是"不适用"所以存储这个口令的系统也就不可能有"不适用"的机密性赋值了。
此外，在目前互联网系统中，当信息涉及公众个人利益时候，还存在隐私性的概念，这一概念是FIPS-199 所没有定义的，这一点也需要设计者在特定的应用场景与业务背景下予以考虑与探讨其相应的分类。