3.3.1　了解业务

对业务了解得越多，就越能更好地确保它的安全。了解组织的目标、目的、与你共事的人员、行业、当前趋势、业务风险、风险偏好和风险容忍度，以及你最有价值的资产，这一点非常重要。我们所做的每一件事都必须反映高层领导批准的业务要求，也正如国际标准化组织ISO 27001中规定的那样。

正如孙子在公元前6世纪所说：

知己知彼，百战不殆；不知彼而知己，一胜一负；不知彼，不知己，每战必殆。

撇开战术的战略是通往胜利最慢的道路，没有战略的战术是失败前的喧嚣。为制定战略，首先必须了解将要应对的威胁和风险。