Az informatikai biztonsági koncepció fôbb tartalmi összetevôi:
Emlékeztetésül felidézzük, hogy "alapfenyegetettség"-nek azon fenyegetô tényezôk hatásösszegét nevezzük, amelyek az információk
Mindazonáltal az értékek nem korlátozódnak az adott hardverekre és szoftverekre, amelyek pénzbeli értéke (ár) ismert. Nagyobb jelentôségûek azok az értékek, amelyeket az informatikai rendszer alkalmazása és a feldolgozandó információk képviselnek. Az informatika-alkalmazás és az információk értéke azzal határozható meg, ha elképzeljük, milyen utólagos következményekkel jár bizonyos események bekövetkezése - amelyeket egyébként fenyegetô tényezôknek nevezünk. Ezeket a következményeket általában értékvesztésnek vagy kárnak tekintjük, s arra kell törekednünk, hogy ne következzenek be. Az értékek - és ezzel párhuzamosan a károk - a következô területeken jelentkezhetnek:
| Tárgyiasult elemcsoportok | környezeti infrastruktúra |
| hardver | |
| adathordozók | |
| dokumentumok, iratok | |
| Logikai elemcsoportok | szoftver |
| adatok | |
| kommunikáció | |
| Személyi elemcsoport | személyzet, felhasználók, ellenôrök |
Az egyes elemcsoportok között alapvetôen komplex függôségek állnak fenn abban az értelemben, hogy egy rendszerelem rendelkezésre állása, sértetlensége bizalmassága, hitelessége és mûködôképessége más rendszerelemek rendelkezésre állását, sértetlenségét bizalmasságát, hitelességét és mûködôképességét feltételezi. Durva megközelítésben a következô ábra szemlélteti azokat a függôségeket, amelyek a nyolc rendszerelem-csoport között fennállnak.
Példák a függôségekre: Az adatok sértetlensége függ az alkalmazói- és a rendszerszoftverek mûködôképességétôl. A szoftver rá van utalva egy sértetlen és rendelkezésre álló hardverre. A környezeti infrastruktúra - mint például az áramszolgáltatás - nélkül egyetlen informatikai rendszer sem üzemképes. Központi szerepet játszanak a személyek, egyebek között felhasználói, kezelôi, adminisztrációs-igazgatási, ôrzôi funkciójukban.
A rendszerelemekhez rendelve egyedileg meg kell határozni a fenyegetô tényezôket, amelyek a vizsgált környezetben egyáltalán felléphetnek. Miután nem védekezhetünk valamennyi fenyegetô tényezô ellen tökéletesen, meg kell ismerni a legfontosabb fenyegetô tényezôket. Ehhez valamennyi feltárt fenyegetô tényezôt értékelni kell. Az értékelés függ a kár bekövetkezésének várható valószínûségétôl és a bekövetkezett kár nagyságától, amennyiben a fenyegetô tényezô kifejtheti hatását. Ebbôl a két részbôl tevôdik össze a kockázat.
A bekövetkezés valószínûsége olyan eseményeknél, amelyeket emberek célzottan okoznak, a potencionális tettesek felkutatásával és azok számának megadásával becsülhetô meg, akik a megfelelô lehetôségekkel és ismeretekkel rendelkeznek. Az olyan események gyakoriságát, melyek mûszaki hibák vagy vis maior esetek által lépnek fel, statisztikák és saját tapasztalatok összegzésével lehet megbecsülni. Ugyanez érvényes a személyek akaratlan hibás tevékenysége miatt bekövetkezô károk gyakoriságának becslésére. A statisztikáknál mindazonáltal figyelembe kell venni, hogy mely körülmények között készültek, miután nem lehet szolgai módon átvenni, illetve minden további nélkül alkalmazni azokat egy adott felhasználó speciális körülményeire. Ezen túlmenôen figyelembe kell venni, hogy a statisztikai adatok mindig tartalmaznak bizonytalanságokat.
A kárnagyság elôzetes értékelésekor mérlegelni kell, hogy az adott fenyegetô tényezô hatására milyen anyagi és más természetû károk következnek be, melyek a közvetlen károk és milyen késôbbi következményekkel, úgynevezett következményes károkkal kell számolni.
A kockázatelemzésbôl biztonsági igény adódik, amennyiben minden kockázatot megvizsgálunk és megállapítjuk, hogy egy vagy több kockázat nem elviselhetô. A biztonsági követelmények egyenként abból adódnak, hogy kiválasztjuk a túl magas kockázatokat. Ezen biztonsági követelményekbôl kiindulva kell elkészíteni az informatikai biztonsági koncepciót, ennek keretében kiválasztani a megfelelô intézkedéseket, amelyek ezeket a kockázatokat elfogadható szintre csökkentik, és a költségek, illetve a haszon szempontjából is igazolhatók.
A következô ábrán a befolyásoló tényezôk, illetve a kielégítendô követelmények áttekintô ábrázolása szerepel, amelyeket figyelembe kell vennünk, illetve amelyek érvényesítésére törekednünk kell az informatikai biztonsági koncepció készítése során.
Az informatikai biztonsági koncepciót az adott cég, szervezet, vagy hatóság összbiztonsági koncepciójába kell integrálni. Ez utóbbiban kell meghatározni a biztonsági stratégiát, azaz a biztonságot érintô általános célkitûzéseket. Az általános biztonsági stratégiából vezethetôk le a még elviselhetô maradványkockázatok mértékei és a tervezett intézkedések elfogadhatósága. Ha még nem létezik biztonsági stratégia, akkor annak a kiindulópontjául lehet tekinteni az informatikai biztonsági koncepcióban szereplô megállapításokat, ezek segítségével megfogalmazni a generális biztonsági célokat és irányelveket. Ugyanakkor az IBK-t egyeztetni kell az informatikai bevezetési koncepcióval is, mint ahogyan - ideális esetben - a biztonsági stratégiának össze kell csengenie az adott szervezet feladataival és céljaival:
