2.3 IATF

IATF由NSA制定并发布，是信息保障技术框架（Information Assurance Technical Framework）的缩写，其前身是网络安全框架（Network Security Framework，NSF）。IATF是一系列信息安全和信息设施安全的保证，为建设信息保障系统及其软硬件的组件定义了一个过程，依据所谓的纵深防御策略，提供了一个多层次的、纵深的安全措施来保障用户信息及信息系统的安全。

IATF划分了4个安全领域：局域计算环境（Local Computing Environment）、区域边界（Enclave Boundary）、网络和基础设施（Network&Infrastructure）、支撑性基础设施（Supporting Infrastructure）。其中，支撑性基础设施包括KMI/PKI（密钥管理架构/公钥架构）及检测响应等。这4个领域构成了完整的信息保障体系，在每个领域范围内，IATF都描述了其特有的安全需求和相应的可供选择的技术措施。

IATF信息保障的核心思想是纵深防御战略，强调人（People）、技术（Technology）和运营（Operation）是核心要素，如下图所示。人是第一要素的同时也是最脆弱的要素，对人采取的措施包括意识培训、组织管理、技术管理、运营管理等。技术是实现信息保障的重要手段，包括安全平台建设、安全工程开发等。运营是将各方面技术紧密结合在一起的过程，包括风险评估、安全监控、安全审计、跟踪告警、入侵检测、响应恢复等。