信息安全体系必须基于系统可能面临潜在威胁的前提，因此关注的是防御这些威胁。