信息安全的本质是实现对信息安全风险的有效控制，使风险的可能性空间降低到可接受的范围，保证业务的持续运行。风险控制的前提是需要获得信息系统安全状态的信息，这些信息通过测量安全状态参数产生，而不同信息系统安全特性不一，测度也不同。本文通过对可操作的最佳实践安全度量的介绍，研究了信息系统安全测度的构成。