对冲策略软件开发中的策略一词在日常生活中经常被提到，但什么是对冲策略软件开发，不少人却认识模糊。国内外标准中对策略也有不同定义。GB/T22081-2008中定义“方针”为“管理者正式发布的总的宗旨和方向”，DOD5200.28-STD中定义“安全策略”为“规范组织如何管理、保护和分发敏感信息的一组法律法规、规则和实践”，CB/T 19715.1-2005中定义“IT安全策略”为“支持如何在一个组织管理、保护和分发资产（包括敏感信息）的规则、指令和习惯做法”，GB/T 18336中定义“组织安全策略”为“一个组织为其运转而强制推行的一个或多个安全规则、程序、惯例和指南”。

　　通过分析安全策略概念，不难发现它们具有共同的组成要素：首先，策略要有一个保护对象，如保护组织，或是保护资产等等；其次，策略的制定者是管理层，是由管理层正式发布的，用来指导特定对象全生命周期的保护工作；第三，策略是法律法规政策、规则、指令和惯例的集合，也就是说，法律法规政策、规则、指令和惯例都是策略的重要组成内容。

　　因此，我们不难给出信息安全策略定义。信息安全策略：管理者正式发布的、规范组织在使用计算机系统中如何管理、保护和分发资产的一组法律法规、规则、指令和习惯做法。这样的概念还是过于抽象，消除不了人们关于安全策略与安全战略及系统配置安全策略之间，安全策略与标准之间，安全策略与制度之间到底是什么关系的困惑。

　　对冲策略软件开发按照指导层次不同，信息安全策略可划分为信息安全战略、特定信息安全策略和系统配置安全策略。信息安全战略，或称信息安全方针，规定了组织关于信息安全的总的意图和原则，是组织最高层次的信息安全策略，是为组织整体战略服务的，是组织整体战略的重要组成部分。

　　一般而言，信息安全战略至少要建立组织安全目标的框架和信息安全工作的总方向和原则，具有高度稳定性，高度精炼。特定信息安全策略，是针对组织资产全生命周期的各种活动采取的信息安全策略，目的是降低信息安全风险，落实信息安全战略，实现信息安全目标，特定信息安全策略较为具体，需定期进行评审和改进。系统配置安全策略，是信息系统根据安全目标和特定信息安全策略要求而可利用系统自身功能进行灵活配置的安全策略，包括操作系统访问控制策略、防火墙访问控制策略等。

　　信息安全策略与标准的关系体现在如下几个方面：首先，信息安全策略具有合规性，要遵循相关标准要求；第二，标准通常是国际、国家、行业或地方规定的所有人都应遵循的特定系统或特定程序的要求，而信息安全策略是特定组织规定的、该组织一定范围内人应遵循的特定要求或规则，组织可在不违背标准的前提下，根据自身实际对标准进行裁减选用等本地化工作和细化工作，比如，国家标准GB/T 22239-2008是国家层面关于信息安全的意图和指向，它要求我国所有单位的计算机信息系统都应遵循，对于具体单位而言，其安全策略除了可对该标准进行本地化和细化外，还有自己特定的安全策略需要遵循；第三，信息安全策略不关注技术细节，而标准可以规定具体技术细节的要求。