IATF 是美国国家安全局（NSA）制定的，为保护美国和工业界的信息与信息技术设施提供技术指南。IATF从整体、过程的角度看待信息安全问题，其代表理论为“深度防护战略（D efense-in-Depth）”。IATF强调人、技术、操作这三个核心原则，关注四个信息安全保障领域：保护网络和基础设施、保护边界、保护计算环境、支撑基础设施。前我们经常介绍信息安全体系和模型——阐述功能服务和技术机制的ISO 7498-2、动态安全模型PDR,APPDRR，都表现的是信息安全最终的存在形态，是一种目标体系和模型，这种体系模型并不关注信息安全建设的工程过程，并没有阐述实现目标体系的途径和方法。此外，已往的安全体系和模型无不侧重于安全技术，但它们并没有将信息安全建设除技术外的其他诸多因素体现到各个功能环节当中。当信息安全发展到信息保障阶段之后，人们越发认为，构建信息安全保障体系必须从安全的各个方面进行综合考虑，只有将技术、管理、策略、工程过程等方面紧密结合，安全保障体系才能真正成为指导安全方案设计和建设的有力依据。信息保障技术框架（Information Assurance Technical Framework，IATF）就是在这种背景下诞生的。IATF是由美国国家安全局组织专家编写的一个全面描述信息安全保障体系的框架，它提出了信息保障时代信息基础设施的全套安全需求。IATF创造性的地方在于，它首次提出了信息保障依赖于人、技术和操作来共同实现组织职能/业务运作的思想，对技术/信息基础设施的管理也离不开这三个要素。IATF认为，稳健的信息保障状态意味着信息保障的策略、过程、技术和机制在整个组织的信息基础设施的所有层面上都能得以实施。

IATF规划的信息保障体系包含三个要素：

人（People）：人是信息体系的主体，是信息系统的拥有者、管理者和使用者，是信息保障体系的核心，是第一位的要素，同时也是最脆弱的。正是基于这样的认识，安全管理在安全保障体系中就愈显重要，可以这么说，信息安全保障体系，实质上就是一个安全管理的体系，其中包括意识培训、组织管理、技术管理和操作管理等多个方面。

技术（Technology）：技术是实现信息保障的重要手段，信息保障体系所应具备的各项安全服务就是通过技术机制来实现的。当然，这里所说的技术，已经不单是以防护为主的静态技术体系，而是防护、检测、响应、恢复并重的动态的技术体系。

操作（Operation）：或者叫运行，它构成了安全保障的主动防御体系，如果说技术的构成是被动的，那操作和流程就是将各方面技术紧密结合在一起的主动的过程，其中包括风险评估、安全监控、安全审计、跟踪告警、入侵检测、响应恢复等内容。

人，借助技术的支持，实施一系列的操作过程，最终实现信息保障目标，这就是IATF最核心的理念之一。