信息系统安全的核心属性

参照《ISO/IEC 27002-2013 信息技术 安全技术 信息安全管理实用规则》内的标准描述，信息安全是指保持信息的保密性（Secrecy）、完整性（Integrity）、可用性（Availability），（并称CIA，注意，这个CIA需区别于Central Intelligence Agency-美国中央情报局）；另外也可包括例如真实性、可核查性、不可否认性和可靠性等。前段提到的保密只是信息安全特性的一种。从另一个角度来看，信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。（引用自百度百科）保密性-secrecy这个属性指的就是要求所保护的信息不能被未经授权的个人、实体或者过程利用或熟悉的特性。比如在电视剧《神话》当中，秦始皇陵完整的图纸只有负责整个项目的总监造才允许看，手下其他三人只有部分图纸，不能看到完整图纸，要是看到了就要挖去双眼，这个体现的就是保密性。

网络空间已经逐步发展成为继陆、海、空、天之后的第五大战略空间，是影响国家安全、社会稳定、经济发展和文化传播的核心、关键和基础，其安全性至关重要，存在一些急需解决的重大问题。网络空间安全（Cyberspace Security）是研究网络空间中的信息在产生、传输、存储、处理等环节中所面临的威胁和防御措施，以及网络和系统本身的威胁和防护机制。不仅包括传统信息安全所研究的信息的保密性、完整性和可用性，还包括构成网络空间基础设施的基础设施的安全和可信。需要明确信息安全、网络安全、网络空间安全概念之异同，三者均属于非传统安全，均聚焦于信息安全问题。网络安全及网络空间安全的核心是信息安全，只是出发点和侧重点有所差别。现在已经成为国家一级学科，其专业人才社会需求很大。

信息安全的基本属性主要表现在以下5个方面：1、保密性，保证信息为授权者享用而不泄漏给未经授权者。2、完整性，保证信息从真实的发信者传送到真实的收信者手中，传送过程中没有被非法用户添加、删除、替换等。3、可用性，保证信息和信息系统随时为授权者提供服务，保证合法用户对信息和资源的使用不会被不合理的拒绝。4、可控性，出于国家和机构的利益和社会管理的需要，保证管理者能够对信息实施必要的控制管理，以对抗社会犯罪和外敌侵犯。5、不可否认性，人们要为自己的信息行为负责，提供保证社会依法管理需要的公证、仲裁信息证据。

（1）物理安全。物理安全主要包括环境安全、设备安全、媒体安全等方面。处理秘密信息的系统中心机房应采用有效的技术防范措施，重要的系统还应配备警卫人员进行区域保护。　　（2）运行安全。运行安全主要包括备份与恢复、病毒的检测与消除、电磁兼容等。涉密系统的主要设备、软件、数据、电源等应有备份，并具有在较短时间内恢复系统运行的能力。应采用国家有关主管部门批准的查毒杀毒软件适时查毒杀毒，包括服务器和客户端的查毒杀毒。　　（3）信息安全。确保信息的保密性、完整性、可用性和抗抵赖性是信息安全保密的中心任务。　　（4）安全保密管理。涉密计算机信息系统的安全保密管理包括各级管理组织机构、管理制度和管理技术三个方面。　　计算机安全：　　国际标准化委员会的定义是"为数据处理系统和采取的技术的和管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露。"　　中国公安部计算机管理监察司的定义是"计算机安全是指计算机资产安全，即计算机信息系统资源和信息资源不受自然和人为有害因素的威胁和危害。"

涉密计算机信息系统的安全保密包括4个方面： （1）物理安全。物理安全主要包括环境安全、设备安全、媒体安全等方面。处理秘密信息的系统中心机房应采用有效的技术防范措施，重要的系统还应配备警卫人员进行区域保护。 （2）运行安全。运行安全主要包括备份与恢复、病毒的检测与消除、电磁兼容等。涉密系统的主要设备、软件、数据、电源等应有备份，并具有在较短时间内恢复系统运行的能力。应采用国家有关主管部门批准的查毒杀毒软件适时查毒杀毒，包括服务器和客户端的查毒杀毒。（3）信息安全。确保信息的保密性、完整性、可用性和抗抵赖性是信息安全保密的中心任务。（4）安全保密管理。涉密计算机信息系统的安全保密管理包括各级管理组织机构、管理制度和管理技术三个方面。要通过组建完整的安全管理组织机构，设置安全保密管理人员，制定严格的安全保密管理制度，利用先进的安全保密管理技术对整个涉密计算机信息系统进行管理。

完整性　　指信息在传输、交换、存储和处理过程保持非修改、非破坏和非丢失的特性，即保持信息原样性，使信息能正确生成、存储、传输，这是最基本的安全特征。　　保密性　　指信息按给定要求不泄漏给非授权的个人、实体或过程，或提供其利用的特性，即杜绝有用信息泄漏给非授权个人或实体，强调有用信息只被授权对象使用的特征。　　可用性　　指网络信息可被授权实体正确访问，并按要求能正常使用或在非正常情况下能恢复使用的特征，即在系统运行时能正确存取所需信息，当系统遭受攻击或破坏时，能迅速恢复并能投入使用。可用性是衡量网络信息系统面向用户的一种安全性能。　　不可否认性　　指通信双方在信息交互过程中，确信参与者本身，以及参与者所提供的信息的真实同一性，即所有参与者都不可能否认或抵赖本人的真实身份，以及提供信息的原样性和完成的操作与承诺。　　可控性　　指对流通在网络系统中的信息传播及具体内容能够实现有效控制的特性，即网络系统中的任何信息要在一定传输范围和存放空间内可控。除了采用常规的传播站点和传播内容监控这种形式外，最典型的如密码的托管政策，当加密算法交由第三方管理时，必须严格按规定可控执行。