【摘要】：预防性安全措施可以降低威胁利用脆弱点导致安全事件发生的可能性。保护性安全措施可以减少因安全事件发生对信息系统造成的影响，如业务持续性计划。对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代，这有助于随后进行的安全措施的选取。
2.3.6 已有安全措施的确认
安全措施可以分为预防性安全措施和保护性安全措施两种。预防性安全措施可以降低威胁利用脆弱点导致安全事件发生的可能性。这可以通过两个方面的作用来实现：一方面是减少威胁出现的频率，如通过立法或健全制度加大对员工恶意行为的惩罚，可以减少员工故意行为威胁出现的频率，通过安全培训可以减少无意行为导致安全事件出现的频率；另一方面是减少脆弱点，如及时为系统打补丁、对硬件设备定期检查能够减少系统的技术脆弱点等。保护性安全措施可以减少因安全事件发生对信息系统造成的影响，如业务持续性计划。
对已采取的安全措施进行确认，至少有两个方面的意义：一方面，这有助于对当前信息系统面临的风险进行分析，由于安全措施能够减少安全事件发生的可能性及影响，对当前安全措施进行分析与确认，是资产评估、威胁评估、脆弱点评估的有益补充，其结果可用于后面的风险分析；另一方面，通过对当前安全措施的确认，分析其有效性，对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代，这有助于随后进行的安全措施的选取。
该步骤的主要任务是，对当前信息系统所采用的安全措施进行标识，并对其预期功能、有效性进行分析。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
