东方瑞通 · CISSP

安全文档体系：策略、标准、基线、指南

安全文档体系自上而下分四层——策略定方向、标准定做法、基线划底线、指南给建议，下层不得与上层冲突。

考点精讲

策略（Policy）是最高层的管理层声明，规定「必须做什么、目标是什么」，具强制性，如可接受使用策略（AUP）、密码策略；标准（Standard）规定「如何做」的强制统一要求，如加密算法必须用 AES-256；基线（Baseline）是最低限度安全配置的强制基准，所有系统不得低于此配置；指南（Guideline）是「建议怎么做」的推荐性说明，非强制，为员工提供灵活参考。层级关系为「策略 > 标准/基线 > 指南」，越往下越具体。

记忆技巧

按「方向、做法、底线、建议」四词记：策略定方向、标准定做法、基线划底线、指南给建议。
比喻记忆：策略是「宪法」、标准是「实施细则」、基线是「最低门槛」、指南是「温馨提示」。
记强制性排序：策略/标准/基线是强制的，指南是非强制的——违反「不必然违规」只适用于指南。

常见误区

把「基线」与「标准」混淆——基线强调「最低限度」，标准强调「统一做法」。
误以为指南具有强制性——指南是建议，违反不必然违规。
误以为策略可以很技术化——策略是管理层宏观声明，技术细节应放在标准/基线。

真题思路

【示例】 【示例】常考「某文档属于策略/标准/基线/指南哪一层」或「哪种文档是强制的」的判断。参考 Practice Tests 第 1 章（Domain 1）。

常见问题

Q：四层文档都必须是书面的吗？

A：策略、标准、基线通常须书面签发，指南可以是口头或非正式推荐。

Q：基线和标准的本质区别是什么？

A：基线是「最低门槛」（不得低于），标准是「统一做法」（怎么做）。

Q：指南有强制力吗？

A：没有，指南是建议性说明，违反不必然违规。

Q：策略可以写得很技术化吗？

A：不建议，策略是管理层宏观声明，具体技术细节应放在标准/基线。

Q：四层的上下层级关系是怎样的？

A：策略 > 标准/基线 > 指南，越往下越具体，下层不得与上层冲突。

相关知识

三大安全目标：CIA 三属性访问控制的三大支柱：3A 定量风险分析：SLE、ARO、ALE

教材出处：Domain 1 · 安全与风险管理安全文档体系：策略、标准、基线、指南

AI 助教

让 AI 助教带你深入学习，把你卡住的地方直接问它

随时为您答疑解惑