本书适合作为研究生和本科生信息安全课程的参考资料，也可作为MBA课程的参考资料，本书的内容符合ISO/IEC 17799：2000（E）的要求，也可以供信息安全专业从业人员参考。

第1章 引言

第2章 基本概念

第3章 信息安全风险

第4章 信息安全策略的制定

第5章 信息安全控制

第6章 资源使用策略

第7章 灾难策略

第8章 恶意代码防护策略

第9章 网络安全策略

第10章 访问控制

第11章 信息安全策略的实施

附录A 部分术语解释

参考文献

信息安全策略是一个组织解决信息安全问题最重要的步骤，也是这个组织整个信息安全体系的基础。信息安全不是天然的需求，而是经历了信息损失之后才有的需求，所以管理对于信息安全是必不可少的。一个组织最主要的管理文件就是信息安全策略，信息安全策略明确规定组织需要保护什么，为什么需要保护和由谁进行保护；没有合理的信息安全策略，再好的信息安全专家和安全工具也没有价值。一个组织的信息安全策略可以反映出这个组织对现实安全威胁和未来安全风险的预期，也可反映出组织内部业务人员和技术人员对安全风险的认识与应对。