科学活动是以探索发现为核心的活动，技术活动是以发明革新为核心的活动，那么，信息安全管理体系的工程哲学分析是?
[摘要]信息安全是信息化发展到一定阶段的必然产物，信息安全管理体系是这个过程中出现的普遍被接受的工程集成创新，是目前公认的保证信息安全的实践集之一，从工程哲学的角度分析信息安全管理体系的演化过程，发现“渐进性、积累性创新”的一般规律，在使用信息系统，部署信息安全管理体系的过程中，坚持用“两点论”辩证地看问题，在事物发展的不同阶段，分清主要矛盾和矛盾的主要方面。
[关键词]工程哲学;信息安全;管理体系;ISMS
0引言
信息安全是信息化发展到一定阶段的必然产物。Tanenbaum认为网络仅局限于研究人员相互发邮件时自然不会凸显信息安全的重要性，但是一旦渗透到包括银行转账和网上购物等日常行为，或者过渡到云计算时代，信息安全问题就无法再回避。
信息安全管理体系(InformationSecurityManagementSystem，ISMS)被认为是良好的信息安全管理实践集之一，从工程哲学的视野来看，这是由某一(或某些)专业技术为主体和与之配套通用的相关技术，按照一定规则、规律所组成的，为实现某一(或某些)工程目标的组织、集成活动。这其中包括人与自然的关系，也包括人与人、人与社会的关系，并由此构筑了新的存在物。目前绝大部分的研究都集中于信息安全管理体系的应用，而缺乏从整体角度出发，以工程创新为主线，从工程哲学的角度进行审视、思考和分析的研究，本文对这些问题进行分析。
1以“三元论”的视角审视信息安全管理体系
1.1科学、技术和工程“三元论”
Mitcham提出工程哲学(EngineeringPhilosophy)词汇，并阐述哲学对工程的重要性，但是他认为工程处于技术之下，是技术的一部分，而李伯聪教授则认为科学、技术和工程是彼此独立的个体，彼此既有联系又有区别，科学、技术和工程“三元论”是工程哲学得以成立的基础。
科学活动是以探索发现为核心的活动，技术活动是以发明革新为核心的活动，工程活动是以集成建构为核心的活动。人们既不应把科学与技术混为一谈，也不应把技术与工程混为一谈。工程并不是单纯的科学应用或技术应用，也不是相关技术的简单堆砌和剪贴拼凑，而是科学要素、技术要素、经济要素、管理要素、社会要素、文化要素、制度要素以及环境要素等多要素的集成、选择和优化。“三元论”明确承认科学、技术与工程存在密切的联系，而且突出强调它们之间的转化关系，强调“工程化”环节对于转化为直接生产力的关键作用、价值和意义，强调应努力实现工程科学、工程技术和工程实践的有机互动与统一。
1.2信息安全管理体系的工程本质及特点
信息安全管理体系是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的，包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源等内容。信息安全管理体系的支撑标准为ISO/IEC27000标准族。在ISO/IEC27000标准族中，不但给出了“建立、实施、运行、监视、评审、保持和改进信息安全的”“基于业务风险(的)方法”，而且还给出了信息安全管理体系的要求、实用规则、审核指南以及相关安全域的具体指南等。例如，仅GB/T22081-2008/ISO/IEC27002：2005信息安全管理实用规则，就包括了11个控制域，39个控制目标，133项控制措施。
信息安全管理体系可在不同的学科中找到其渊源，在实施框架上，信息安全管理体系应用了质量管理中的Plan-Do-Check-Act的戴明环，在具体的控制措施上，则包括了密码学、人员安全以及各类信息安全技术，其研究的特点是将科学思维、工程思维和社会思维相结合，但更强调工程思维的“设计”理论。工程研究活动不同于科学研究活动的基本特征就是“设计”。工程设计活动包括对象设计和过程设计。例如，建造水坝的坝体设计是对象设计，如何实施就是过程设计，在信息安全中，设计组织自己的信息安全管理体系是对象设计，设计如何部署是过程设计。
按照“三元论”理论，信息安全管理体系在其中的位置如图1所示。
2信息安全管理体系的演化过程与规律
2.1信息安全管理体系的起源和发展
信息安全管理体系是建立在体系(System)化基础上的“最佳实践集”，到国际标准的正式公布，大致经历了3个阶段。
第一阶段为过度关注技术，忽略人的作用的“技术浪潮”阶段，在这个阶段涌现出了大量的信息安全技术产品，例如，防火墙、防病毒和入侵检测系统(IDS)等。
第二阶段为强调人的作用的“管理浪潮”阶段，在这个阶段大部分企业开始设置专职的信息安全管理岗位，以加强对个人行为的控制。
第三阶段即“体系阶段”，在体系阶段信息安全以目标为导向，不再局限于手段的应用，而是技术、制度和人员管理等各个方面的有机结合。这个阶段是信息安全的工程化阶段，体现了工程的实践性、经验性、继承性、创造性和系统性等特点。