Page 45 - 大数据背景下网络安全问题研究

» 第二章 信息安全工程实践应用

第二章 信息安全工程实践应用

第一节 信息安全工程等级的划分及特征

一、信息安全工程的概念

信息安全的概念经历了一个漫长的历史。从信息的保密性（保证信息不泄露给未

经授权的人）拓展到信息的完整性（防止信息被未经授权的篡改，保证真实的信息从
真实的信源无失真地到达真实的信宿）、信息的可用性（保证信息及信息系统确实为
授权使用者所用，防止由于计算机病毒或其他人为因素造成的系统拒绝服务，或为敌
手可用）、信息的可控性（对信息及信息系统实施安全监控管理）和信息的不可否认

性（保证信息行为人不能否认自己的行为）等。从早期的安全就是杀毒防毒，到后来
的安全就是安装防火墙以及购买系列安全产品，直至开始重视安全体系的建设，人们
对安全的理解正在一步一步地加深，将信息安全保障问题作为一个系统工程来考虑和

对待的工作正在逐步开展。
信息安全需要“攻、防、测、控、管、评”等多方面的基础理论及技术。信息安
全保障问题的解决既不能只依靠纯粹的技术，也不能靠简单的安全产品的堆砌，它要
依赖于复杂的系统工程——信息安全工程。信息安全工程是系统工程的一个子集，系

统工程的原理适用于信息安全工程的开发、集成、运行、管理、维护和演变。
国际标准化组织（ISO）将信息安全定义为：“为数据处理系统建立和采取的技
术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破

坏、更改和显露。”
从以计算机为核心的信息系统形态和运行过程出发，可把信息安全分为实体安
全、运行安全、数据安全和管理安全四个方面：
①实体安全是指保护计算机设备、设施（含网络）以及其他媒体免遭地震、水
灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施、过程。

②运行安全是指为保障系统功能的安全实现，提供一套安全措施（如安全评估、
审计跟踪、备份与恢复、应急措施等）来保护信息处理过程的安全。
③数据安全是指防止数据资源被故意或偶然的非授权泄露、更改、破坏，或使敏

感数据被非法系统辨识、控制和否认，即确保信息的完整性、保密性、可用性、可控
性和不可否认性。

• 33 •