從信息安全的作用層面來(lái)看，人們首先關(guān)心的是計(jì)算機(jī)與網(wǎng)絡(luò)的設(shè)備硬件自身的安全，就是信息系統(tǒng)硬件的穩(wěn)定性運(yùn)行狀態(tài)，因而稱(chēng)之為“物理安全”；其次人們關(guān)心的是計(jì)算機(jī)與網(wǎng)絡(luò)設(shè)備運(yùn)行過(guò)程中的系統(tǒng)安全，就是信息系統(tǒng)軟件的穩(wěn)定性運(yùn)行狀態(tài)，因而稱(chēng)之為“運(yùn)行安全”；當(dāng)討論信息自身的安全問(wèn)題時(shí)，涉及的就是狹義的“信息安全”問(wèn)題，包括對(duì)信息系統(tǒng)中所加工存儲(chǔ)、網(wǎng)絡(luò)中所傳遞的數(shù)據(jù)的泄漏、仿冒、篡改以及抵賴(lài)過(guò)程所涉及的安全問(wèn)題，稱(chēng)之為“數(shù)據(jù)安全”。因此，就信息安全作用點(diǎn)來(lái)看問(wèn)題，可以稱(chēng)之為信息安全的層次模型，這也是國(guó)內(nèi)學(xué)者普遍認(rèn)同的定義方式，如圖1所示。
美國(guó)國(guó)家安全局信息保障主任給出的定義是：“因?yàn)樾g(shù)語(yǔ)‘信息安全’一直僅表示信息的機(jī)密性，在國(guó)防部我們用‘信息保障’來(lái)描述信息安全，也叫‘IA’。它包含5種安全服務(wù)，包括機(jī)密性、完整性、可用性、真實(shí)性和不可抵賴(lài)性?！?/p>
國(guó)際標(biāo)準(zhǔn)化委員會(huì)給出的定義是：“為數(shù)據(jù)處理系統(tǒng)而采取的技術(shù)的和管理的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件、數(shù)據(jù)不因偶然的或惡意的原因而遭到破壞、更改、顯露”。這里面既包含了層面的概念，其中計(jì)算機(jī)硬件可以看作是物理層面，軟件可以看作是運(yùn)行層面，再就是數(shù)據(jù)層面；又包含了屬性的概念，其中破壞涉及的是可用性，更改涉及的是完整性，顯露涉及的是機(jī)密性。
信息內(nèi)容安全的問(wèn)題已經(jīng)深刻地展現(xiàn)在現(xiàn)實(shí)社會(huì)的面前，主要表現(xiàn)在有害信息利用互聯(lián)網(wǎng)所提供的自由流動(dòng)的環(huán)境肆意擴(kuò)散，其信息內(nèi)容或者像腳本病毒那樣給接收的信息系統(tǒng)帶來(lái)破壞性的后果，或者像垃圾郵件那樣給人們帶來(lái)煩惱，或者像謠言那樣給社會(huì)大眾帶來(lái)困惑，從而成為社會(huì)不穩(wěn)定因素。但是，就技術(shù)層面而言，信息內(nèi)容安全技術(shù)的表現(xiàn)形式是對(duì)信息流動(dòng)的選擇控制能力，換句話說(shuō)，表現(xiàn)出來(lái)的是對(duì)數(shù)據(jù)流動(dòng)的攻擊特性。
“信息安全”曾經(jīng)僅是學(xué)術(shù)界所關(guān)心的術(shù)語(yǔ)，就像是五、六十年前“計(jì)算機(jī)”被稱(chēng)為“電算機(jī)”那樣僅被學(xué)術(shù)界所了解一樣。現(xiàn)在，“信息安全”因各種原因已經(jīng)像公眾詞匯那樣被廣大公眾所熟知，盡管尚不能與“計(jì)算機(jī)”這個(gè)詞匯的知名度所比擬，但也已經(jīng)具有廣泛的普及性。問(wèn)題的關(guān)鍵在于人們對(duì)“計(jì)算機(jī)”的理解不會(huì)有什么太大的偏差，而對(duì)“信息安全”的理解則往往各式各樣。種種偏差主要來(lái)自于從不同的角度來(lái)看信息安全，因此出現(xiàn)了“計(jì)算機(jī)安全”、“網(wǎng)絡(luò)安全”、“信息內(nèi)容安全”之類(lèi)的提法，也出現(xiàn)了“機(jī)密性”、“真實(shí)性”、“完整性”、“可用性”、“不可否認(rèn)性”等描述方式。
3、數(shù)據(jù)安全：是指對(duì)信息在數(shù)據(jù)收集、處理、存儲(chǔ)、檢索、傳輸、交換、顯示、擴(kuò)散等過(guò)程中的保護(hù)，使得在數(shù)據(jù)處理層面保障信息依據(jù)授權(quán)使用，不被非法冒充、竊取、篡改、抵賴(lài)。主要涉及信息的機(jī)密性、真實(shí)性、實(shí)用性、完整性、唯一性、不可否認(rèn)性、生存性等；所面對(duì)的威脅包括竊取、偽造、密鑰截獲、篡改、冒充、抵賴(lài)、攻擊密鑰等；主要的保護(hù)方式有加密、認(rèn)證、非對(duì)稱(chēng)密鑰、完整性驗(yàn)證、鑒別、數(shù)字簽名、秘密共享等。
從信息安全的發(fā)展歷史來(lái)看，早在上世紀(jì)四、五十年代，人們認(rèn)為信息安全就是通信保密，采用的保障措施就是加密和基于計(jì)算機(jī)規(guī)則的訪問(wèn)控制，這個(gè)時(shí)期被稱(chēng)為“通信保密（COMSEC）”時(shí)代，其時(shí)代標(biāo)志是1949年Shannon發(fā)表的《保密通信的信息理論》；在七十年代，人們關(guān)心的是計(jì)算機(jī)系統(tǒng)不被他人所非授權(quán)使用，這時(shí)學(xué)術(shù)界稱(chēng)之為“計(jì)算機(jī)安全（INFOSEC）”時(shí)代，其時(shí)代特色是美國(guó)八十年代初發(fā)布的橘皮書(shū)——可信計(jì)算機(jī)評(píng)估準(zhǔn)則（TCSEC）；九十年代，人們關(guān)心的是如何防止通過(guò)網(wǎng)絡(luò)對(duì)聯(lián)網(wǎng)計(jì)算機(jī)進(jìn)行攻擊，這時(shí)學(xué)術(shù)界稱(chēng)之為“網(wǎng)絡(luò)安全（NETSEC）”，其時(shí)代特征是美國(guó)八十年代末出現(xiàn)的“莫里斯”蠕蟲(chóng)事件；進(jìn)入了二十一世紀(jì)，人們關(guān)心的是信息及信息系統(tǒng)的保障，如何建立完整的保障體系，以便保障信息及信息系統(tǒng)的正常運(yùn)行，這時(shí)學(xué)術(shù)界稱(chēng)之為“信息保障（IA）”。
國(guó)內(nèi)學(xué)者給出的定義是：“信息安全保密內(nèi)容分為：實(shí)體安全、運(yùn)行安全、數(shù)據(jù)安全和管理安全四個(gè)方面?！?/p>
我國(guó)計(jì)算機(jī)信息系統(tǒng)安全專(zhuān)用產(chǎn)品分類(lèi)原則給出的定義是：“涉及實(shí)體安全、運(yùn)行安全和信息安全三個(gè)方面?！?/p>
我國(guó)相關(guān)立法給出的定義是：“保障計(jì)算機(jī)及其相關(guān)的和配???? ??????的設(shè)備、設(shè)施（網(wǎng)絡(luò)）的安全，運(yùn)行環(huán)境的安全，保障信息安全，保障計(jì)算機(jī)功能的正常發(fā)揮，以維護(hù)計(jì)算機(jī)信息系統(tǒng)的安全”。這里面涉及了物理安全、運(yùn)行安全與信息安全三個(gè)層面。
國(guó)家信息安全重點(diǎn)實(shí)驗(yàn)室給出的定義是：“信息安全涉及到信息的機(jī)密性、完整性、可用性、可控性。綜合起來(lái)說(shuō)，就是要保障電子信息的有效性?！?/p>
英國(guó)BS7799信息安全管理標(biāo)準(zhǔn)給出的定義是：“信息安全是使信息避免一系列威脅，保障商務(wù)的連續(xù)性，最大限度地減少商務(wù)的損失，最大限度地獲取投資和商務(wù)的回報(bào)，涉及的是機(jī)密性、完整性、可用性?！?/p>
從信息安全屬性的角度來(lái)看，每個(gè)層面所涉及的信息安全的屬性，對(duì)應(yīng)于該層面信息安全的外部特征，也具有相應(yīng)的處置方法。
1、物理安全：是指對(duì)網(wǎng)絡(luò)與信息系統(tǒng)的物理裝備的保護(hù)。主要涉及網(wǎng)絡(luò)與信息系統(tǒng)的機(jī)密性、可用性、完整性、生存性、穩(wěn)定性、可靠性等基本屬性。所面對(duì)的威脅主要包括電磁泄露、通信干擾、信號(hào)注入、人為破壞、自然災(zāi)害、設(shè)備故障等；主要的保護(hù)方式有加擾處理、電磁屏蔽、數(shù)據(jù)校驗(yàn)、容錯(cuò)、冗余、系統(tǒng)備份等。
在此，基于信息安全的作用點(diǎn)，從信息系統(tǒng)、信息、及信息熵的角度，可以將信息安全看作是由三個(gè)層次、五個(gè)層面所構(gòu)成的層次框架體系，并且在每個(gè)層面中各自反映了在該層面中所涉及的信息安全的屬性。如圖3所示：
5、信息對(duì)抗：是指在信息的利用過(guò)程中，對(duì)信息熵的真實(shí)性的隱藏與保護(hù)，或者攻擊與分析。主要涉及信息熵的機(jī)密性、完整性、特殊性等；所面對(duì)的主要問(wèn)題包括多角度綜合分析、攻擊或壓制信息的傳遞、用無(wú)用信息來(lái)干擾信息熵的本質(zhì)；主要的處置手段是消隱重要的局部信息、加大信息獲取能力、消除信息的不確定性等。
2、運(yùn)行安全：是指對(duì)網(wǎng)絡(luò)與信息系統(tǒng)的運(yùn)行過(guò)程和運(yùn)行狀態(tài)的保護(hù)。主要涉及網(wǎng)絡(luò)與信息系統(tǒng)的真實(shí)性、可控性、可用性、合法性、唯一性、可追溯性、占有性、生存性、穩(wěn)定性、可靠性等；所面對(duì)的威脅包括非法使用資源、系統(tǒng)安全漏洞利用、網(wǎng)絡(luò)阻塞、網(wǎng)絡(luò)病毒、越權(quán)訪問(wèn)、非法控制系統(tǒng)、黑客攻擊、拒絕服務(wù)攻擊、軟件質(zhì)量差、系統(tǒng)崩潰等；主要的保護(hù)方式有防火墻與物理隔離、風(fēng)險(xiǎn)分析與漏洞掃描、應(yīng)急響應(yīng)、病毒防治、訪問(wèn)控制、安全審計(jì)、入侵檢測(cè)、源路由過(guò)濾、降級(jí)使用、數(shù)據(jù)備份等。
4、內(nèi)容安全：是指對(duì)信息在網(wǎng)絡(luò)內(nèi)流動(dòng)中的選擇性阻斷，以保證信息流動(dòng)的可控能力。在此，被阻斷的對(duì)象可以是通過(guò)內(nèi)容可以判斷出來(lái)的可對(duì)系統(tǒng)造成威脅的腳本病毒；因無(wú)限制擴(kuò)散而導(dǎo)致消耗用戶(hù)資源的垃圾類(lèi)郵件；導(dǎo)致社會(huì)不穩(wěn)定的有害信息，等等。主要涉及信息的機(jī)密性、真實(shí)性、可控性、可用性、完整性、可靠性等；所面對(duì)的難題包括信息不可識(shí)別（因加密）、信息不可更改、信息不可阻斷、信息不可替換、信息不可選擇、系統(tǒng)不可控等；主要的處置手段是密文解析或形態(tài)解析、流動(dòng)信息的裁剪、信息的阻斷、信息的替換、信息的過(guò)濾、系統(tǒng)的控制等。
層次層面作用點(diǎn)安全屬性信息對(duì)抗信息熵對(duì)抗信息利用機(jī)密性完整性特殊性信息安全內(nèi)容安全攻擊信息機(jī)密性真實(shí)性可控性可用性完整性可靠性數(shù)據(jù)安全保護(hù)信息機(jī)密性真實(shí)性實(shí)用性完整性唯一性不可否認(rèn)性生存性系統(tǒng)安全運(yùn)行安全軟件真實(shí)性可控性可用性合法性唯一性可追溯性占有性生存性穩(wěn)定性可靠性物理安全硬件機(jī)密性可用性完整性生存性穩(wěn)定性可靠性圖3信息安全的層次框架體系在此系統(tǒng)安全反映的是信息系統(tǒng)所面臨的安全問(wèn)題
信息對(duì)抗嚴(yán)格上說(shuō)是信息謀略范疇的內(nèi)容，是討論如何從多個(gè)角度或側(cè)面來(lái)獲得信息并分析信息，或者在信息無(wú)法隱藏的前提下，通過(guò)增加更多的無(wú)用信息來(lái)擾亂獲取者的視線，以掩藏真實(shí)信息所反映的含義。從本質(zhì)上來(lái)看，信息對(duì)抗是在信息熵的保護(hù)或打擊層面上討論問(wèn)題，也就是圍繞著信息的利用來(lái)進(jìn)行對(duì)抗。
從信息安全的屬性來(lái)看，除了前面所介紹的機(jī)密性、完整性、可用性等三個(gè)基本屬性之外，還有更多的一些屬性也用于描述信息安全的不同的特性，如真實(shí)性、可控性、合法性、實(shí)用性、占有性、唯一性、不可否認(rèn)性、可追溯性、生存性、穩(wěn)定性、可靠性、特殊性等。其中：真實(shí)性反映的是主體身份、行為及相關(guān)信息的真實(shí)有效；可控性反映的是信息系統(tǒng)不會(huì)被非授權(quán)使用，信息的流動(dòng)可以被選擇性阻斷；合法性反映的是信息或信息系統(tǒng)的行為獲得了授權(quán)；實(shí)用性反映的是信息加密密鑰與信息的強(qiáng)關(guān)聯(lián)性及密鑰不可丟失的特性；占有性反映的是信息載體不可被盜用，確保由合法信息所占有；唯一性反映的是各信息以及信息系統(tǒng)行為主體之間不會(huì)出現(xiàn)混淆；不可否認(rèn)性反映的是所生成的信息或信息系統(tǒng)的合法行為不會(huì)被抵賴(lài)；可追溯性反映的是信息系統(tǒng)的行為具有被審計(jì)的能力；生存性反映的是信息系統(tǒng)在受到攻擊時(shí)可以通過(guò)采取降級(jí)等措施以保持最低限度的核心服務(wù)能力；穩(wěn)定性反映的是信息系統(tǒng)不會(huì)出現(xiàn)異常情況；可靠性反映的是信息系統(tǒng)能夠保持正常運(yùn)行而不受外界影響的能力；特殊性反映的是信息所需要表現(xiàn)的特定的內(nèi)涵。
摘要：本文首先將國(guó)內(nèi)外對(duì)信息安全概念的各種理解歸納為兩種描述，一種是對(duì)信息安全所涉及層面的描述；一種是對(duì)信息安全所涉及的安全屬性的描述。然后提出了以經(jīng)緯線的方式將兩種描述風(fēng)格融為一體的方法，即基于層次型描述方式。同時(shí)，在傳統(tǒng)的實(shí)體安全、運(yùn)行安全、數(shù)據(jù)安全這三個(gè)層面的基礎(chǔ)之上，擴(kuò)充了內(nèi)容安全層面與信息對(duì)抗層面，并將其歸類(lèi)為信息系統(tǒng)、信息、信息利用等三個(gè)層次。另外還針對(duì)國(guó)外流行的信息安全金三角的描述不足，擴(kuò)充為信息安全四要素，從而完備了對(duì)信息安全概念框架的描述。最后，給出了關(guān)于信息安全的完整定義。
縱觀從不同的角度對(duì)信息安全的不同描述，可以看出兩種描述風(fēng)格。一種是從信息安全所涉及層面的角度進(jìn)行描述，大體上涉及了實(shí)體（物理）安全、運(yùn)行安全、數(shù)據(jù)（信息）安全；一種是從信息安全所涉及的安全屬性的角度進(jìn)行描述，大體上涉及了機(jī)密性、完整性、可用性。
信息安全出現(xiàn)多種不同說(shuō)法，存在著多種觀察視角，并不是偶然的現(xiàn)象。信息安全的發(fā)展歷史、信息安全的作用層面、信息安全的基本屬性，都決定了信息安全的不同內(nèi)涵。
真實(shí)性、可控性、可用性、合法性、唯一性、可追溯性、占有性、生存性、穩(wěn)定性、可靠性
在此，系統(tǒng)安全反映的是信息系統(tǒng)所面臨的安全問(wèn)題。其中，物理安全涉及的是硬件設(shè)施方面的安全問(wèn)題；運(yùn)行安全涉及的是操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)等軟件方面的安全問(wèn)題。狹義的信息安全所反映的是信息自身所面臨的安全問(wèn)題。其中，數(shù)據(jù)安全是以保護(hù)數(shù)據(jù)不受外界的侵?jǐn)_為目的，包括與泄密、偽造、篡改、抵賴(lài)等有關(guān)的行為；內(nèi)容安全則是反過(guò)來(lái)對(duì)流動(dòng)的數(shù)據(jù)進(jìn)行限制，包括可以對(duì)指定的數(shù)據(jù)進(jìn)行選擇性的阻斷、修改、轉(zhuǎn)發(fā)等特定的行為。信息對(duì)抗則是針對(duì)信息中的信息熵而進(jìn)行的隱藏、掩蓋，或發(fā)現(xiàn)、分析的行為。
從信息安全的作用層次來(lái)看，前面已經(jīng)介紹了人們所關(guān)注的三個(gè)層面，即物理安全層、運(yùn)行安全層、及數(shù)據(jù)安全層。但是，還有兩個(gè)層面尚沒(méi)有人在同一個(gè)框架之下給出清晰地描述。一個(gè)是關(guān)于信息內(nèi)容的安全問(wèn)題，一個(gè)是關(guān)于信息對(duì)抗的問(wèn)題，而這兩個(gè)層面的安全問(wèn)題也是業(yè)界普遍關(guān)心的問(wèn)題。所不同的是，內(nèi)容安全更被文化、宣傳界人士所關(guān)注；而信息對(duì)抗則更被電子對(duì)抗研究領(lǐng)域的人士所關(guān)注。
從信息安全的基本屬性來(lái)看，機(jī)密性就是對(duì)抗對(duì)手的被動(dòng)攻擊，保證信息不泄漏給未經(jīng)授權(quán)的人，或者即便數(shù)據(jù)被截獲，其所表達(dá)的信息也不被非授權(quán)者所理解。完整性就是對(duì)抗對(duì)手主動(dòng)攻擊，防止信息被未經(jīng)授權(quán)的篡改。可用性就是確保信息及信息系統(tǒng)能夠?yàn)槭跈?quán)使用者所正常使用。這三個(gè)重要的基本屬性被國(guó)外學(xué)者稱(chēng)為信息安全金三角（CIA），如圖2所示。
在諸多信息安全的屬性中，分析可見(jiàn)，機(jī)密性、真實(shí)性、可控性、可用性屬于基本屬性，相互不能蘊(yùn)涵。其中機(jī)密性反映了信息與信息系統(tǒng)的不可被非授權(quán)者所利用；真實(shí)性反映了信息與信息系統(tǒng)的行為不被偽造、篡改、冒充；可控性反映了信息的流動(dòng)與信息系統(tǒng)可被控制者所監(jiān)控；可用性反映了信息與信息系統(tǒng)可被授權(quán)者所正常使用。而其它屬性，包括實(shí)用性、完整性、合法性、唯一性、不可否認(rèn)性、特殊性、占有性、可追溯性、生存性、穩(wěn)定性、可靠性等，則屬于上述四個(gè)基本屬性的某個(gè)側(cè)面的突出反映，因此可以歸結(jié)為這四個(gè)基本屬性之中。其中實(shí)用性反映的是機(jī)密性在密鑰依賴(lài)方面的機(jī)密屬性；完整性、合法性、唯一性、不可否認(rèn)性、特殊性分別反映的是真實(shí)性在信息內(nèi)容本身、信息來(lái)源、信息系統(tǒng)行為主體、信息的發(fā)布行為、信息熵方面的真實(shí)屬性；占有性、可追溯性分別反映的是可控性在對(duì)信息資源的保護(hù)、對(duì)信息及信息系統(tǒng)行為的審計(jì)能力的反映；生存性、穩(wěn)定性、可靠性分別反映的是可用性在信息系統(tǒng)的容災(zāi)能力、信息系統(tǒng)的健壯能力、信息系統(tǒng)的可靠能力方面的可用屬性。由此，機(jī)密性、真實(shí)性、可控性、可用性這四個(gè)基本屬性實(shí)際上就是信息安全的四個(gè)核心屬性，可以反映出信息安全的基本概貌。相對(duì)信息安全金三角而言，可稱(chēng)之為信息安全四要素，簡(jiǎn)稱(chēng)CACA，如圖5所示。