应用系统这个词很大，首先要分好类，这样才能有一个全局的规划。
目前，我们可以把它分为由硬件、软件、湿件组成的三个领域，来考察应用系统的安全性。

硬件：应用系统的物理环境（开发环境、测试环境、生产环境），所使用的计算机、网络设备、网络基础架构。

软件：开发工具、测试工具等；规章制度、法律法规、备忘录、流程、文档等；

湿件：在应用系统的各个环节中所涉及到的人。

我想，无论目前的标准，是靠CC还是17799，还是生命周期、itil、IT内控,都逃不开这几个分类.

硬件的特点是，不宜也不易经常变动的。软件则是经常修改变动的。而湿件则完全是不可控的，目前我们的做法是依赖于硬件和软件的协同，来制约湿件，使他尽量在可能的控制范围内。