1.2.3 信息系统层次化构成视图

作为评估对象，在技术架构体系层面，信息系统可以按照所处位置的不同，将信息组件划分为物理环境、网络设施、系统与应用软件和数据资产共四个层次。

（1）物理环境

物理环境主要包括机房环境及其附带的HVAC基础设施等。一般而言，信息系统需要部署在受一定保护的物理环境中，依赖机房部署硬件设备，依赖可靠的供电、温湿度控制等来保障其设备的正常运行。对物理环境的安全检测主要从其功能和性能加以入手，检查能否满足信息系统运行的基础需求，例如，防火、防水、防静电、供电能力、温湿度调控和安全门禁等。

对于给定的TOE，如果部署在云端，则在本地不需要再配备专门的物理机房，可以降低系统的运维成本。

如果TOE属于工业控制系统，则对应的物理环境可能要对接工业制造场地，需要考虑对安全运维人员和安全测评人员增加额外的人身安全防护措施。

（2）网络设施

网络设施主要包括网络交换和互联设备、网络线缆和安全防护设备等。常见的网络交换和互联设备有Hub、路由器、交换机和无线路由器等。常见的安全防护设备有防火墙、IDS、IPS设备、Web应用防火墙（WAF）、流量监控和清洗设备等。对网络设施的安全检测主要是从其功能的完备性和安全配置层面进行。

（3）系统与应用软件

系统软件主要部署在主机端，包括操作系统软件和数据库软件。常见的操作系统软件主要有Windows系列、Linux系列和UNIX系列等。常见的数据库软件包括Oracle、SQL Server、MySQL以及一些开源的数据库。在一些分布式系统中，Web中间件（如Apache Tomcat等）和Java EE中间件（如Weblogic等）也被视为系统软件。大多数系统软件在功能的完备性方面已经满足了安全需求。所以，对系统软件的安全检测主要是从其安全配置层面进行。

应用软件即支撑信息系统业务运行的有关软件。常见的应用软件包括电子商务网站、邮件系统、ERP系统、财务系统和OA系统等。这些应用软件系统可能是自主开发而成或向软件开发商采购所得，其安全功能和安全配置在安全评估过程中均须加以测评。

（4）数据资产

对于企业而言，数据是有价值的资产，数据资产在信息系统中占据非常重要的位置。数据是信息系统运行的主要输出结果。常见的数据包括生产数据、客户资料数据、财务数据、OA数据等。数据的保密性、完整性和可用性等安全属性极为敏感且重要。绝大多数针对信息系统的安全攻击主要针对其内部的数据发起，攻击者试图窃取数据、篡改数据或者破坏数据的可用性。为了更有效地保护数据的安全，常常对数据按照其重要性进行分类，形成不同等级的数据划分。例如，在电子商务系统中，订单和客户数据的保密性需要重点保护，Email之类的日常OA数据的重要性则相对可以弱化。另外，组织需要制订应急响应或灾难恢复计划等，来保证信息系统在安全事件或者灾难发生后数据可恢复和系统可恢复。