因此，如何有效地保護信息安全是壹個重要的研究課題，是國家當前和未來安全的迫切需要。隨著人們信息安全意識的提高，信息系統的安全越來越受到重視，如何構建信息與網絡安全體系成為信息化建設中迫切需要解決的問題。計算機網絡化和規模化已經成為壹種趨勢，但是計算機信息系統也面臨著更多新的問題和挑戰。
信息系統由網絡系統、主機系統和應用系統組成，每個系統都有各種可被攻擊的漏洞，網絡線路有被竊聽的危險。網絡連接設備、操作系統和應用系統所依賴的各類軟件在系統設計、協議設計、系統實現和配置等方面存在安全弱點和漏洞，有被利用和攻擊的危險。面對日益復雜的信息安全環境，我們需要動態地認識信息安全，並制定和采取相應的保障措施。
7.1.1信息與信息安全
在《高級漢語詞典》中，“安全”的意思是“無威脅、無危險、無傷害、無損失”。安全被定義為防止間諜或破壞、犯罪、攻擊或逃跑、遠離危險狀態或特征所采取的措施。說到“安全”詞匯，通常會和網絡、計算機、信息、數據聯系在壹起，有不同的側重點和含義。其基本含義是“遠離危險的狀態或品質”或“主觀上沒有威脅，主觀上沒有恐懼”。各個領域都存在安全問題，安全是壹個普遍的問題。信息和數據安全的範圍比網絡安全和計算機安全更廣。它包括信息系統中從信息的產生到信息的應用的整個過程。我們日常生活中接觸到的數據比比皆是。考試成績、銀行存款、人員年齡、貨物庫存等。是按照壹定的需要或壹定的規律收集起來，經過不同的分類、計算和處理，形成具有指導價值和趨勢解釋的信息，供管理決策使用。
從字面上看，信息安全可以理解為“信息安全是指信息不受威脅或丟失”。但是要全面完整地定義信息安全並不容易。
國際標準化組織(ISO)對信息安全的定義是“對數據處理系統的技術和管理安全保護，保護計算機硬件、軟件和數據不因意外和惡意原因而被破壞、更改和泄露”。這個概念強調所采取的措施。
歐盟在1的信息安全評估標準(1.2版)中將信息安全定義為“網絡和信息系統在給定安全級別下抵禦意外事件和防禦危及通過這些網絡和系統提供的存儲或傳輸的數據和服務的可用性、真實性、完整性和保密性的行為的能力”。
我國信息安全專家沈昌祥院士將信息安全定義為:保護信息和信息系統免受未經授權的訪問、使用、泄露、修改和破壞，為信息和信息系統提供機密性、完整性、可用性、可控性和不可否認性。
信息安全是指信息網絡的硬件、軟件及其系統中的數據受到保護，不被意外或惡意原因破壞、更改或泄露，系統連續、可靠、正常運行，不中斷信息服務。信息安全的本質是保護信息系統或信息網絡中的信息資源免受各種威脅、幹擾和破壞，即保證信息的安全。但是信息安全是相對的。可以看出，安全界對信息安全的概念還沒有達成壹致，對信息安全的認識是隨著信息技術及其應用的擴展而加深的。在1996中，美國國防部對信息保障(IA)的定義是:保護和防禦信息和信息系統，以確保其可用性、完整性、機密性、認證性和不可否認性。這包括將保護、檢測和響應功能集成到信息系統中，並提供信息系統的恢復功能。
該定義將信息安全的定義擴展到信息安全，突出了信息安全系統的多重安全能力及其對組織業務職能的支持作用。用“保障”壹詞代替安全主要有兩個目的:壹是用這個質量領域的詞來體現壹個高度信息化社會的安全內涵，即包含可靠性、服務質量等概念；二是從管理需要出發，將安全防範的內容從外部防範拓展到內外防範並重，說明其看待信息安全的視角不再局限於單壹維度，而是將信息安全抽象為由信息系統、信息內容、信息系統所有者和經營者、信息安全規則等因素構成的多維度問題空間。這些變化反映了人們對信息安全的意義、內容和實現方法的不斷思考和實踐。
世界著名黑客米特尼克(Mitnick)曾在美國參議院接受安全專家小組咨詢時說:只要壹個人有時間、金錢和動機，他就可以訪問世界上任何壹臺電腦。米特尼克的話並非危言聳聽。15歲入侵北美防空指揮系統，先後入侵五角大樓、美國聯邦調查局和美國幾乎所有計算機公司的計算機系統。
米特尼克的話反映了網絡世界沒有絕對的安全。從五角大樓被黑的反復新聞中，我們也可以得出結論，戒備森嚴的五角大樓不可避免地會被黑。其他計算機系統如何確保安全？事實上，無論是理論上還是技術上，提供100%的安全保障都是不現實的。
因此，信息安全是壹個動態變化的概念。要全面理解信息安全，需要從信息安全的屬性和內容入手。
在美國國家信息基礎設施(NII)的相關文獻中，給出了安全的五個屬性:機密性、可用性、完整性、可控性和不可否認性。其中，可用性、保密性和完整性是人們在不斷實踐和探索的過程中總結出來的信息安全的三個基本屬性。隨著信息技術的發展和應用，可控性和不可否認性作為信息安全的屬性，也得到了大多數學者的認可。
信息的保密性是指確保只有被授予特定權限的人才能訪問信息。它是信息安全自誕生以來的壹個特點，也是信息安全的主要研究內容之壹。更壹般地說，它意味著未經授權的用戶無法獲取敏感信息。信息的保密性根據允許訪問信息的人數而有所不同。壹般來說，信息可以根據其重要性和保密要求分為不同的級別。比如所有人員都可以接觸到的信息是公開信息，需要限制的信息是敏感或秘密信息，信息可以根據其重要性和保密要求分為不同的等級。比如軍隊內部文件，壹般分為秘密、機密、絕密三個級別。授權用戶可以根據被授予的操作權限對機密信息進行操作。有些用戶只能讀取信息，有些用戶既可以讀取也可以寫入。
信息的完整性是指保證信息和處理方法的正確性和完整性，即網絡中的信息不會被意外或故意刪除、修改、偽造或插入，保證授權用戶獲取的信息是真實的。信息的完整性包括兩個方面:壹方面是指在信息的生命周期中，在信息的使用、傳輸和存儲過程中，不存在篡改信息、丟失信息、錯誤信息等現象；另壹方面意味著要保證信息處理方法的正確性，使處理後的信息能夠是系統需要的正確適用的信息，操作不當可能造成重要文件的丟失，甚至整個系統的癱瘓。
信息的可獲得性是指授權主體在需要信息時及時獲得服務的能力。指的是保證那些被授權的用戶在需要的時候能夠真正訪問到他們所需要的信息，也就是說，在許可方需要的時候，信息和相關的信息資產能夠立即得到。比如通信線路中斷，網絡擁塞，會使信息在壹段時間內無法獲取，影響正常的業務運營。這是對信息可用性的破壞。由於服務器過載，授權用戶的正常操作無法得到及時響應，或者由於網絡通信線路斷開等原因無法獲取信息。，這些都屬於破壞信息可用性。提供信息的系統必須能夠適當地抵禦攻擊，並在失敗時恢復。
信息的可控性是指對信息和信息系統實施安全監控和管理，防止信息和信息系統被非法使用。對於信息系統中敏感信息資源的主體來說，如果任何壹個主體都可以訪問、篡改、竊取和惡意傳播信息，那麽安全系統顯然就失去了效用。有效控制人或主體訪問信息資源的方式是信息安全的必然要求。從國家層面來看，信息安全的可控性不僅與信息的可控性有關，還與安全產品、安全市場、安全廠商、安全R&D人員的可控性密切相關。嚴格控制和規範獲取信息的主體修改、更新、刪除、復制和傳遞信息的權限，是提高信息可控性的主要途徑和方法。
信息的不可否認性，又稱不可否認性和不可否認性，是指在網絡環境下，信息交換雙方在交換過程中，都不能否認發送或接收信息的行為。它是傳統的不可否認的需求在信息社會的延伸。在日常生活中，人們通過紙質介質上的印章或簽名來解決信息的不可否認性問題。然而，在電子政務和電子商務的應用系統中，傳統的印章或簽名已經不能使用了。目前，只有數字簽名技術能夠解決信息的不可否認性問題。人類社會的各種商業和政府事務都是建立在信任的基礎上的。公章、圖章、簽名等傳統手段是實現不可否認性的主要機制，信息的不可否認性也是如此，同樣防止實體否認已經發生的事情。信息的不可否認性可以分為主不可否認性(也叫主不可否認性)和接收不可否認性(也叫接收不可否認性)。前者用於防止發送方否認其已發送的數據和數據內容。後者防止接收方否認接收到的數據和數據內容，實現不可否認的技術手段壹般包括數字證書和數字簽名。
7.1.2信息安全的主要研究內容
信息安全是壹門涉及計算機科學、網絡技術、通信技術、密碼學技術、信息安全技術、應用數學、數論、信息論等學科的綜合性學科。其研究內容主要包括以下兩個方面:壹方面，信息本身的安全性，主要是保證個人數據或企業信息在存儲和傳輸過程中的機密性、完整性、合法性和不可否認性，防止信息的泄露和破壞，防止對信息資源的非授權訪問；另壹方面是信息系統或網絡系統的安全，主要是保證合法用戶正常使用網絡資源，避免病毒、拒絕服務、遠程控制、未授權訪問等安全威脅，及時發現安全漏洞，制止攻擊。
關於信息安全的內容，美國國家電信與信息系統安全委員會(NTISSC SC)主席、C3I負責人、前國防部副部長Latham認為，信息安全應該包括以下六個方面:通信安全(COMSEC)、計算機安全(COMPUSEC)、符合瞬時電磁脈沖輻射標準(TEMPEST)、傳輸安全(TRANSEC)、物理安全和人員安全。在我國，學者們公認的信息安全壹般包括實體安全、運行安全、數據安全和管理安全。
現代信息系統中信息安全的核心問題是密碼學理論及其應用，其基礎是可信信息系統的構建和評估。總的來說，目前信息安全領域人們關註的焦點主要包括以下幾個方面:
(1)密碼學理論與技術。密碼學理論與技術主要包括兩部分，即基於數學的密碼學理論與技術(包括公鑰密碼、分組密碼、序列密碼、認證碼、數字簽名、哈希函數、身份識別、密鑰管理、PKI技術等。)和非數學密碼學理論與技術(包括信息隱形、量子密碼、生物識別理論與技術)。密碼學技術，尤其是加密技術，是信息安全技術的核心技術。國家關鍵基礎設施不可能引進或采用別人的加密技術，只能自主研發。目前，我國在密碼技術的應用水平上與國外還有壹定差距。
(2)安全協議的理論和技術。安全協議的研究主要包括兩個方面，即安全協議的安全性分析方法研究和各種實用安全協議的設計與分析。安全協議的安全性分析方法主要有兩類:壹類是攻擊檢測方法，另壹類是形式化分析方法，其中安全協議的形式化分析方法是安全協議研究中最關鍵的研究問題之壹。其研究始於20世紀80年代初，目前正處於蓬勃發展的階段。眾多壹流大學和公司的介入，使得該領域成為研究熱點。隨著各種有效方法和思想的出現，這壹領域在理論上日趨成熟。在安全協議的研究中，除了理論研究，實用安全協議研究的總趨勢是走向標準化。雖然我國學者在現有國際協議的理論研究和分析方面做了壹些工作，但在實際應用中與國際先進水平仍有壹定差距。
(3)安全體系結構的理論和技術。安全體系結構的理論和技術主要包括:安全體系結構模型的建立及其形式化描述和分析，安全策略和機制的研究，建立測試和評估系統安全性的科學方法和準則，開發符合這些模型、策略和準則的系統(如安全操作系統和安全數據庫系統)。我國在系統安全的研究和應用方面與先進國家和地區存在較大差距。近年來，中國開展了安全操作系統、安全數據庫和多級安全機制的研究，但由於自主安全內核由人控制，很難保證沒有漏洞。
(4)信息對抗理論與技術。信息對抗理論與技術主要包括:黑客防範系統、信息偽裝理論與技術、信息分析與監控、入侵檢測原理與技術、反擊方法、應急響應系統、計算機病毒、人工免疫系統在反病毒與反入侵系統中的應用等。這壹領域正處於發展階段，理論和技術還不成熟，比較分散。但確實是研究熱點。目前取得的成果主要是產品(如IDS、殺毒軟件、病毒查殺軟件等。)，攻擊程序和成功的黑客攻擊。目前，該領域最突出的問題是網絡攻擊。美國在網絡攻擊方面處於國際領先地位，很多官方和民間組織都在做攻擊方法的研究。
(5)網絡安全和安全產品。網絡安全是信息安全的重要研究內容之壹，也是目前信息安全領域的研究熱點。研究內容包括:網絡安全整體解決方案的設計與分析，網絡安全產品的研發等。網絡安全包括物理安全和邏輯安全。物理安全是指對網絡系統中的通信、計算機設備和相關設施進行物理保護，使其免遭破壞和丟失。邏輯安全包括信息的完整性、機密性、不可否認性和可用性。它是壹個涉及網絡、操作系統、數據庫、應用系統、人員管理等等的事情，必須綜合考慮。
7.1.3信息安全的產生和發展
在信息社會，壹方面，信息成為人類的重要資產，對計算機技術的依賴越來越深，信息技術幾乎滲透到社會生活的方方面面。另壹方面，由於信息容易傳播、擴散和破壞，信息資產比傳統的實物資產更加脆弱和易受攻擊。因此，隨著人們對信息系統依賴性的增加，信息安全問題日益突出。
信息安全發展史分為三個階段:通信安全發展階段、計算機安全發展階段和信息安全發展階段。
7.1.3.1通信安全發展階段
通信安全的發展階段始於20世紀40年代，其時代標誌是香農於1949年發表的《安全系統信息論》，首次將密碼學的研究納入科學軌道。現階段主要的安全威脅是竊聽和密碼分析，主要的保護措施是數據加密。
20世紀40年代以前，通信保密也叫通信保密，是戰爭的需要。40年代增加了電子保密，其實就是電子通信保密。20世紀50年代，歐美國家把通信安全和電子安全稱為信號安全，包括調制和加密。密碼術在這個階段是壹項重要的技術，它成為軍方擁有的技術，並像武器壹樣受到控制。在這個階段，計算機雖然已經出現，但是非常脆弱。此外，由於當時計算機的速度和性能落後，使用範圍有限，所以這壹階段的重點是通過密碼技術解決通信安全問題。
7.1.3.2計算機安全發展階段
20世紀60年代，計算機的使用越來越普及，計算機安全被提上日程。此時對計算機安全的威脅主要是非法訪問、脆弱密碼、惡意代碼(病毒)等。要解決的問題是保證信息系統中硬件、軟件和應用程序的保密性、完整性和可用性。在此期間，密碼學也發展迅速。影響最大的兩個事件是:壹個是Diffiee和Hellman在1976年發表的論文《密碼學的新方向》，引發了壹場密碼學的革命。他們第壹次證明了無需密鑰傳輸就可以在發送方和接收方之間進行安全通信，從而開創了公鑰密碼學的新時代；另壹個是DES，美國在1977年制定的數據加密標準。這兩個事件標誌著現代密碼學的誕生，是信息安全領域的重要事件。1985，美國國防部可信計算機系統安全評估標準(TCSEC)的發布，意味著信息安全問題的研究和應用進入了壹個新的高度。
由於軍方的參與和推動，計算機安全在密碼算法及其應用、信息系統安全模型和評估兩個方面取得了很大進展。開發的主要密碼算法是美國國家標準局1977采用的DES(數據加密標準)。雙鑰公鑰體制RSA，是Rivest、Shamir和Adleman根據Diffie和Hellman在1976的開創性論文《密碼學的新方向》中提出的思想創造的；1985年，N.Koblitz和V.Miller提出了橢圓曲線離散對數密碼體制(ECC)。這種密碼體制的優點是可以用較小的軟硬件在有限的域上實現同類密碼體制的相同安全性。
從美國的TCSEC開始，英國、法國、德國、荷蘭等四個國家發布了信息技術安全評估準則，加拿大也在1993發布了可信計算機產品評估準則，美國也在1993制定了聯邦標準。最後，在20世紀90年代中期，六個國家和七個締約方提出了信息技術安全評估的共同標準。經過近10年的發展，這壹準則已經基本成熟。
7.1.3.3信息保障發展階段
信息保障(IA)是“通過確保信息的可用性、完整性、可驗證性、保密性和不可否認性來保護信息和信息系統的措施，包括通過保護、檢測和響應來恢復信息系統。”資料來源:美國國防部2002年10月24日發布的《國防部關於信息保障的命令》。
20世紀90年代以來，計算機網絡發展迅速，對安全的需求已經擴展到社會的各個領域。此時，網絡環境中的安全威脅主要表現為黑客入侵、病毒破壞、計算機犯罪、情報竊取等。人們需要保護信息在存儲、處理、傳輸和利用過程中不被非法訪問或修改，確保合法用戶獲得服務，拒絕未授權用戶的服務。然而，人們很快發現，單靠計算機安全或通信安全無法保證信息在存儲、處理和系統轉換等階段的安全。信息系統安全應運而生，並賦予了信息安全更廣泛的含義。針對這種需求，人們開發了信息保障(IA)技術，以保證復雜或分布式通信網絡中信息傳輸、處理和存儲的安全性，使接收到的信息與原始信息保持壹致。現階段，由於信息系統遭受攻擊的日益頻繁和電子商務的發展，信息安全不再局限於信息保護，人們需要保護和防禦整個信息和信息系統，包括保護、檢測、響應和恢復能力。