1.1 信息安全概述

“信息是能够用来消除随机不确定性的东西”，这是信息论创始人克劳德·香农在1948年提出的对信息的数学定义。信息是对客观世界中各种事物的运动状态和变化的反映，是客观事物之间相互联系和相互作用的表征，表现的是客观事物运动状态和变化的实质内容。

人类社会在经历了机械化、电气化之后，进入了一个崭新的信息化时代。在信息时代，信息产业成为世界第一大产业。信息就像水、电、石油一样，已经成为一种基础资源。信息和信息技术改变着人们的生活和工作方式。离开计算机、电视和手机等电子信息设备，人们将无法正常生活和工作。因此可以说，在信息时代人们生存在物理世界、人类社会和信息空间组成的三维世界中。

早在1982年，加拿大作家威廉·吉布森在其短篇科幻小说《燃烧的铬》中创造了Cyberspace一词，意指由计算机创建的虚拟信息空间。此后，随着信息技术的快速发展和互联网的广泛应用，Cyberspace的概念得到不断丰富和演化。目前，国内外对Cyberspace还没有统一的定义。我们认为，它是信息时代人们赖以生存的信息环境，是所有信息系统的集合。因此把Cyberspace翻译成信息空间或网络空间是比较好的。

人身安全是人对其生存环境的基本要求，即要确保人身免受其生存环境的危害。因此，哪里有人那里就存在人身安全问题，人身安全是人的影子。同样，信息安全是信息对其生存环境的基本要求，即要确保信息免受其生存环境的危害。因此，哪里有信息那里就存在信息安全问题，信息安全是信息的影子。

根据信息论的基本观点，系统是载体，信息是内涵。因此，网络空间安全的核心内涵仍是信息安全，没有信息安全就没有网络空间安全。

1.1.1 信息安全的发展

提及信息安全这一词，很多人会联想到IT、计算机、网络等词语，而信息安全的发展阶段大致可以分为以下4个时期。

第一个时期为20世纪40～70年代。其主要标志是1949年香农发表的《保密系统的通信理论》。在此阶段中，通信技术不发达，人们主要使用电话、传真等进行通信，其主要的安全问题为通信过程中的信息交换，其主要的解决方法是通过密码（主要是序列密码）解决通信安全的保密问题，所以这一阶段可以称为“通信安全时期”。这一阶段人们的研究重点在于探究各种复杂程度的密码来防止信息被窃取，而这种复杂程度限于当时的计算能力。

第二时期为20世纪70～80年代的“计算机安全时期”。这一时期半导体和集成电路技术得到飞速发展，因而推动了计算机软硬件的发展。同时网络技术的发展使数据传输可以通过计算机网络来完成，人们关注的焦点扩展为网络数据传输、处理和存储的保密性、可用性和完整性，主要保证动态信息不被窃取、解密或篡改，从而让读取信息的人能够看到准确无误的信息。1977年美国国家标准局（NBS）公布的国家数据加密标准（DES）和1983年美国国防部公布的可信计算机系统评价准则（Trusted Computer System Evaluation Criteria，TCSEC，俗称橘皮书）标志着信息安全由简单的通信问题转变为信息系统安全问题。

第三时期是从20世纪90年代开始兴起的网络时代。这一时期被称为“信息系统安全时期”。随着互联网技术的飞速发展，网络规模的扩大化以及网络的开放性，信息无论是企业内部还是外部都得到了极大的开放，而由此产生的信息安全问题跨越了时间和空间。信息安全的焦点已经从传统的保密性、完整性和可用性3个原则衍生为诸如可控性、抗抵赖性、真实性等其他的原则和目标。这一阶段的安全威胁主要有网络入侵、病毒破坏、信息对抗等，其重点在于保护比“数据”更精炼的“信息”，以确保信息在存储、处理和传输过程中免受偶然或恶意的非法泄密、转移或破坏，安全措施主要有防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等。

第四时期是从21世纪开始的“信息安全保障时期”。这一时期的主要标志是1998年美国国家安全局（NSA）提出的《信息保障技术框架》（IATF）。信息安全保障这一理念，不仅仅是从系统漏洞方面考虑，还要从业务的生命周期、业务流程来进行分析，其核心思想是综合技术、管理、过程、人员等，在不同的阶段进行安全保障。通过把安全管理和技术防御相结合，如今的防护措施已经不再是被动地保护自己，而是主动地防御攻击，也就是说安全保障理念已经从风险承受模式走向安全保障模式，信息安全阶段已经转变为从整体角度考虑体系建设的信息安全保障时代。

第五时期是从2009年至今。这一时期被称为Cyber Security/Information Assurance（CS/IA），也就是网络空间安全和信息安全保障相结合。2009年10月美国正式成立网络作战司令部，在美国的带动下，世界各国的信息安全政策、技术和实践等方面都发生着重大的变革，各国在信息安全方面都达成一个共识，那就是将网络安全提升到国家安全的重要程度。其核心思想是：从传统防御的信息保障（IA），发展到“威慑”为主的防御、攻击和情报三位一体的信息保障/网络空间安全（IA/CS），即网络防御（Defense）、网络攻击（Offense）和网络利用（Exploitation）。

当前，一方面信息技术与产业的空前繁荣，另一方面危害信息安全的事件不断发生。敌对势力的破坏、黑客攻击、恶意软件侵扰、利用计算机犯罪、隐私泄露等，对信息安全构成了极大威胁。

黑客攻击已经成为经常性、多发性的事件。全国性或国际性的大型活动，都可能遭到大量的黑客的攻击。计算机病毒等恶意代码是黑客的主要攻击武器。目前，计算机病毒有几万种，而且还在继续增加。追求经济和政治利益已经成为研制和使用计算机病毒的新目的。恶意软件的开发、生产、销售，形成了一条地下产业链。

利用计算机进行经济犯罪带来的影响已经远超普通经济犯罪。目前网上银行诈骗和电信诈骗等成为案件的高发区，钓鱼银行网站、伪造银行卡、网络诈骗、电话诈骗等，给人民群众造成了严重的经济损失。

网络上仍存在相当多的有害内容。垃圾邮件、黄赌毒内容、伪科学的内容、政治上不健康的内容时有发现，网络环境还待进一步规范、治理。宣扬网络精神文明成为国家的一项重要任务。

综上所述，网络空间安全的形势是严峻的。

1.1.2 信息安全的目标

信息论的基本观点告诉我们，信息不能脱离它的载体而孤立存在，因此我们不能脱离信息系统而孤立地谈论信息安全。也就是说，每当我们谈论信息安全时，总是不可避免地要谈论信息系统的安全。这是因为，如果信息系统的安全受到危害，则必然会危害到存在于信息系统之中的信息的安全。据此，我们应当从信息系统的角度来全面考虑信息安全的内涵。

信息安全的总体目标是保护信息免受各种威胁的损害，以确保业务连续性，业务风险最小化，投资回报和商业机遇最大化。

从纵向来看，信息安全主要包括以下4个层面：设备安全、数据安全、行为安全以及内容安全。其中数据安全即是传统的信息安全。

1. 设备安全

信息系统设备（硬设备和软设备）的安全是信息系统安全的首要问题。这里包括三个侧面。

（1）设备的稳定性：保证设备在一定时间内不出故障的概率。

（2）设备的可靠性：保证设备能在一定时间内正确执行任务的概率。

（3）设备的可用性：设备随时可以正确使用的概率。

2. 数据安全

数据安全是指采取措施确保数据免受未授权的泄露、篡改和毁坏。传统的信息安全强调信息（数据）本身的安全属性。数据安全主要包含以下3点。

（1）保密性：数据不被未授权者知晓的属性。

（2）完整性：保证数据正确的、真实的、未被篡改的、完整无缺的属性。

（3）可用性：数据可以随时正常使用的属性。

除了上述3点之外，数据安全的基本要求还延伸至其他方面，比如下述几点。

（1）真实性：对信息的来源进行判断，能对伪造来源的信息予以鉴别。通过保证信息的真实性来防止被虚假信息欺骗。

（2）不可抵赖性：建立有效的责任机制，防止用户否认其行为，这一点在电子商务中极其重要。

（3）可控制性：对信息的传播及内容具有控制能力。管理机构对危害国家的来往信息、使用加密手段从事非法的通信活动等进行监视审计，从而达到对信息的控制。

3. 行为安全

行为安全是从主体行为的过程和结果来考察是否会危害信息安全，或者说是否能够确保信息安全。从行为安全的角度来分析和确保信息安全，符合哲学上实践是检验真理唯一标准的基本原理。

（1）行为的秘密性：行为的过程和结果不能危害数据的秘密性，必要时行为的过程和结果也应是保密的。

（2）行为的完整性：行为的过程和结果不能危害数据的完整性，行为的过程和结果是预期的。

（3）行为的可控性：当行为过程偏离预期时，能够发现、控制或纠正。

4. 内容安全

内容安全是信息安全在政治、法律、道德层次上的要求，是语义层次的安全。

（1）信息内容在政治上是健康的。

（2）信息内容在法律上符合国家法律法规。

（3）信息内容符合中华民族优良的道德规范。

根据上面的分析，要确保信息系统的安全，就必须确保信息系统的设备安全、数据安全、行为安全和内容安全。信息系统的硬件系统安全和操作系统安全是信息系统安全的基础，密码和网络安全等技术是信息系统安全的关键技术。确保信息系统安全是一个系统工程，只有从信息系统的硬件和软件的底层做起，从整体上综合采取措施，才能有效地确保信息系统的安全。