4、內(nèi)容安全：是指對信息在網(wǎng)絡(luò)內(nèi)流動中的選擇性阻斷，以保 證信息流動的可控能力。在此，被阻斷的對象可以是通過內(nèi)容可以判 斷出來的可對系統(tǒng)造成威脅的腳本病毒；因無限制擴散而導(dǎo)致消耗用 戶資源的垃圾類郵件；導(dǎo)致社會不穩(wěn)定的有害信息，等等。主要涉及 信息的機密性、真實性、可控性、可用性、完整性、可靠性等；所面 對的難題包括信息不可識別（因加密）、信息不可更改、信息不可阻
國家信息安全重點實驗室給出的定義是：“信息安全涉及到信息 的機密性、完整性、可用性、可控性。綜合起來說，就是要保障電子 信息的有效性。”
英國 BS7799 信息安全管理標(biāo)準(zhǔn)給出的定義是：“信息安全是使 信息避免一系列威脅，保障商務(wù)的連續(xù)性，最大限度地減少商務(wù)的損 失，最大限度地獲取投資和商務(wù)的回報，涉及的是機密性、完整性、 可用性?！?/p>
息系統(tǒng)的保障，如何建立完整的保障體系，以便保障信息及信息系統(tǒng) 的正常運行，這時學(xué)術(shù)界稱之為“信息保障（IA）”。
從信息安全的作用層面來看，人們首先關(guān)心的是計算機與網(wǎng)絡(luò) 的設(shè)備硬件自身的安全，就是信息系統(tǒng)硬件的穩(wěn)定性運行狀態(tài)，因而 稱之為“物理安全”；其次人們關(guān)心的是計算機與網(wǎng)絡(luò)設(shè)備運行過程 中的系統(tǒng)安全，就是信息系統(tǒng)軟件的穩(wěn)定性運行狀態(tài)，因而稱之為“運 行安全”；當(dāng)討論信息自身的安全問題時，涉及的就是狹義的“信息 安全”問題，包括對信息系統(tǒng)中所加工存儲、網(wǎng)絡(luò)中所傳遞的數(shù)據(jù)的 泄漏、仿冒、篡改以及抵賴過程所涉及的安全問題，稱之為“數(shù)據(jù)安 全”。因此，就信息安全作用點來看問題，可以稱之為信息安全的層 次模型，這也是國內(nèi)學(xué)者普遍認(rèn)同的定義方式，如圖 1 所示。
1、物理安全：是指對網(wǎng)絡(luò)與信息系統(tǒng)的物理裝備的保護。主要 涉及網(wǎng)絡(luò)與信息系統(tǒng)的機密性、可用性、完整性、生存性、穩(wěn)定性、
四、定義信息安全：信息安全四要素 在諸多信息安全的屬性中，分析可見，機密性、真實性、可控 性、可用性屬于基本屬性，相互不能蘊涵。其中機密性反映了信息與 信息系統(tǒng)的不可被非授權(quán)者所利用；真實性反映了信息與信息系統(tǒng)的 行為不被偽造、篡改、冒充；可控性反映了信息的流動與信息系統(tǒng)可 被控制者所監(jiān)控；可用性反映了信息與信息系統(tǒng)可被授權(quán)者所正常使 用。而其它屬性，包括實用性、完整性、合法性、唯一性、不可否認(rèn) 性、特殊性、占有性、可追溯性、生存性、穩(wěn)定性、可靠性等，則屬 于上述四個基本屬性的某個側(cè)面的突出反映，因此可以歸結(jié)為這四個 基本屬性之中。其中實用性反映的是機密性在密鑰依賴方面的機密屬 性；完整性、合法性、唯一性、不可否認(rèn)性、特殊性分別反映的是真 實性在信息內(nèi)容本身、信息來源、信息系統(tǒng)行為主體、信息的發(fā)布行 為、信息熵方面的真實屬性；占有性、可追溯性分別反映的是可控性 在對信息資源的保護、對信息及信息系統(tǒng)行為的審計能力的反映；生
其中計算機硬件可以看作是物理層面，軟件可以看作是運行層面，再 就是數(shù)據(jù)層面；又包含了屬性的概念，其中破壞涉及的是可用性，更 改涉及的是完整性，顯露涉及的是機密性。
縱觀從不同的角度對信息安全的不同描述，可以看出兩種描述 風(fēng)格。一種是從信息安全所涉及層面的角度進行描述，大體上涉及了 實體（物理）安全、運行安全、數(shù)據(jù)（信息）安全；一種是從信息安 全所涉及的安全屬性的角度進行描述，大體上涉及了機密性、完整性、 可用性。
國內(nèi)學(xué)者給出的定義是：“信息安全保密內(nèi)容分為：實體安全、 運行安全、數(shù)據(jù)安全和管理安全四個方面。”
我國計算機信息系統(tǒng)安全專用產(chǎn)品分類原則給出的定義是：“涉 及實體安全、 運行安全和信息安全三個方面?！?/p>
我國相關(guān)立法給出的定義是：“保障計算機及其相關(guān)的和配套的 設(shè)備、設(shè)施（網(wǎng)絡(luò)）的安全，運行環(huán)境的安全，保障信息安全，保障 計算機功能的正常發(fā)揮，以維護計算機信息系統(tǒng)的安全”。這里面涉 及了物理安全、運行安全與信息安全三個層面。
摘要：本文首先將國內(nèi)外對信息安全概念的各種理解歸納為兩 種描述，一種是對信息安全所涉及層面的描述；一種是對信息安全所 涉及的安全屬性的描述。然后提出了以經(jīng)緯線的方式將兩種描述風(fēng)格 融為一體的方法，即基于層次型描述方式。同時，在傳統(tǒng)的實體安全、 運行安全、數(shù)據(jù)安全這三個層面的基礎(chǔ)之上，擴充了內(nèi)容安全層面與 信息對抗層面，并將其歸類為信息系統(tǒng)、信息、信息利用等三個層次。 另外還針對國外流行的信息安全金三角的描述不足，擴充為信息安全 四要素，從而完備了對信息安全概念框架的描述。最后，給出了關(guān)于 信息安全的完整定義。
機密性、真實性、可控性、可用性、完整 性、可靠性 機密性、真實性、實用性、完整性、唯一 性、不可否認(rèn)性、生存性
真實性、可控性、可用性、合法性、唯一 性、可追溯性、占有性、生存性、穩(wěn)定性、
美國國家安全局信息保障主任給出的定義是：“因為術(shù)語‘信息 安全’一直僅表示信息的機密性，在國防部我們用‘信息保障’來描 述信息安全，也叫‘IA’。它包含 5 種安全服務(wù)，包括機密性、完整 性、可用性、真實性和不可抵賴性。”
國際標(biāo)準(zhǔn)化委員會給出的定義是：“為數(shù)據(jù)處理系統(tǒng)而采取的技 術(shù)的和管理的安全保護，保護計算機硬件、軟件、數(shù)據(jù)不因偶然的或 惡意的原因而遭到破壞、更改、顯露”。這里面既包含了層面的概念，
二、信息安全多種理解的緣由 信息安全出現(xiàn)多種不同說法，存在著多種觀察視角，并不是偶 然的現(xiàn)象。信息安全的發(fā)展歷史、信息安全的作用層面、信息安全的 基本屬性，都決定了信息安全的不同內(nèi)涵。 從信息安全的發(fā)展歷史來看，早在上世紀(jì)四、五十年代，人們 認(rèn)為信息安全就是通信保密，采用的保障措施就是加密和基于計算機 規(guī)則的訪問控制，這個時期被稱為“通信保密（COMSEC）”時代， 其時代標(biāo)志是 1949 年 Shannon 發(fā)表的《保密通信的信息理論》；在七 十年代，人們關(guān)心的是計算機系統(tǒng)不被他人所非授權(quán)使用，這時學(xué)術(shù) 界稱之為“計算機安全（INFOSEC）”時代，其時代特色是美國八十 年代初發(fā)布的橘皮書——可信計算機評估準(zhǔn)則（TCSEC）；九十年代， 人們關(guān)心的是如何防止通過網(wǎng)絡(luò)對聯(lián)網(wǎng)計算機進行攻擊，這時學(xué)術(shù)界 稱之為“網(wǎng)絡(luò)安全（NETSEC）”，其時代特征是美國八十年代末出現(xiàn) 的“莫里斯”蠕蟲事件；進入了二十一世紀(jì)，人們關(guān)心的是信息及信
斷、信息不可替換、信息不可選擇、系統(tǒng)不可控等；主要的處置手段 是密文解析或形態(tài)解析、流動信息的裁剪、信息的阻斷、信息的替換、 信息的過濾、系統(tǒng)的控制等。
5、信息對抗：是指在信息的利用過程中，對信息熵的真實性的 隱藏與保護，或者攻擊與分析。主要涉及信息熵的機密性、完整性、 特殊性等；所面對的主要問題包括多角度綜合分析、攻擊或壓制信息 的傳遞、用無用信息來干擾信息熵的本質(zhì)；主要的處置手段是消隱重 要的局部信息、加大信息獲取能力、消除信息的不確定性等。
處理、電磁屏蔽、數(shù)據(jù)校驗、容錯、冗余、系統(tǒng)備份等。 2、運行安全：是指對網(wǎng)絡(luò)與信息系統(tǒng)的運行過程和運行狀態(tài)的
保護。主要涉及網(wǎng)絡(luò)與信息系統(tǒng)的真實性、可控性、可用性、合法性、 唯一性、可追溯性、占有性、生存性、穩(wěn)定性、可靠性等；所面對的 威脅包括非法使用資源、系統(tǒng)安全漏洞利用、網(wǎng)絡(luò)阻塞、網(wǎng)絡(luò)病毒、 越權(quán)訪問、非法控制系統(tǒng)、黑客攻擊、拒絕服務(wù)攻擊、軟件質(zhì)量差、 系統(tǒng)崩潰等；主要的保護方式有防火墻與物理隔離、風(fēng)險分析與漏洞 掃描、應(yīng)急響應(yīng)、病毒防治、訪問控制、安全審計、入侵檢測、源路 由過濾、降級使用、數(shù)據(jù)備份等。
一、背景 “信息安全”曾經(jīng)僅是學(xué)術(shù)界所關(guān)心的術(shù)語，就像是五、六十 年前“計算機”被稱為“電算機”那樣僅被學(xué)術(shù)界所了解一樣?，F(xiàn)在， “信息安全”因各種原因已經(jīng)像公眾詞匯那樣被廣大公眾所熟知，盡 管尚不能與“計算機”這個詞匯的知名度所比擬，但也已經(jīng)具有廣泛 的普及性。問題的關(guān)鍵在于人們對“計算機”的理解不會有什么太大 的偏差，而對“信息安全”的理解則往往各式各樣。種種偏差主要來 自于從不同的角度來看信息安全，因此出現(xiàn)了“計算機安全”、“網(wǎng)絡(luò) 安全”、“信息內(nèi)容安全”之類的提法，也出現(xiàn)了“機密性”、“真實性”、 “完整性”、“可用性”、“不可否認(rèn)性”等描述方式。 關(guān)于信息安全的定義，以下是一些有代表性的定義方式：
在此，基于信息安全的作用點，從信息系統(tǒng)、信息、及信息熵 的角度，可以將信息安全看作是由三個層次、五個層面所構(gòu)成的層次 框架體系，并且在每個層面中各自反映了在該層面中所涉及的信息安 全的屬性。如圖 3 所示：
3、數(shù)據(jù)安全：是指對信息在數(shù)據(jù)收集、處理、存儲、檢索、傳 輸、交換、顯示、擴散等過程中的保護，使得在數(shù)據(jù)處理層面保障信 息依據(jù)授權(quán)使用，不被非法冒充、竊取、篡改、抵賴。主要涉及信息 的機密性、真實性、實用性、完整性、唯一性、不可否認(rèn)性、生存性 等；所面對的威脅包括竊取、偽造、密鑰截獲、篡改、冒充、抵賴、 攻擊密鑰等；主要的保護方式有加密、認(rèn)證、非對稱密鑰、完整性驗 證、鑒別、數(shù)字簽名、秘密共享等。
圖 1、一種信息安全的層次模型 從信息安全的基本屬性來看，機密性就是對抗對手的被動攻擊， 保證信息不泄漏給未經(jīng)授權(quán)的人，或者即便數(shù)據(jù)被截獲，其所表達的 信息也不被非授權(quán)者所理解。完整性就是對抗對手主動攻擊，防止信 息被未經(jīng)授權(quán)的篡改。可用性就是確保信息及信息系統(tǒng)能夠為授權(quán)使 用者所正常使用。這三個重要的基本屬性被國外學(xué)者稱為信息安全金 三角（CIA），如圖 2 所示。
映的含義。從本質(zhì)上來看，信息對抗是在信息熵的保護或打擊層面上 討論問題，也就是圍繞著信息的利用來進行對抗。
從信息安全的屬性來看，除了前面所介紹的機密性、完整性、 可用性等三個基本屬性之外，還有更多的一些屬性也用于描述信息安 全的不同的特性，如真實性、可控性、合法性、實用性、占有性、唯 一性、不可否認(rèn)性、可追溯性、生存性、穩(wěn)定性、可靠性、特殊性等。 其中：真實性反映的是主體身份、行為及相關(guān)信息的真實有效；可控 性反映的是信息系統(tǒng)不會被非授權(quán)使用，信息的流動可以被選擇性阻 斷；合法性反映的是信息或信息系統(tǒng)的行為獲得了授權(quán)；實用性反映 的是信息加密密鑰與信息的強關(guān)聯(lián)性及密鑰不可丟失的特性；占有性 反映的是信息載體不可被盜用，確保由合法信息所占有；唯一性反映 的是各信息以及信息系統(tǒng)行為主體之間不會出現(xiàn)混淆；不可否認(rèn)性反 映的是所生成的信息或信息系統(tǒng)的合法行為不會被抵賴；可追溯性反 映的是信息系統(tǒng)的行為具有被審計的能力；生存性反映的是信息系統(tǒng) 在受到攻擊時可以通過采取降級等措施以保持最低限度的核心服務(wù) 能力；穩(wěn)定性反映的是信息系統(tǒng)不會出現(xiàn)異常情況；可靠性反映的是 信息系統(tǒng)能夠保持正常運行而不受外界影響的能力；特殊性反映的是 信息所需要表現(xiàn)的特定的內(nèi)涵。