信息安全

信息安全的內容可以簡化為下列三個基本點，称为CIA三要素，此觀點似乎最早在NIST於1977年所發行的出版品中提到。[1]

机密性（Confidentiality）確保資料傳遞與儲存的隱密性，避免未經授權的使用者有意或無意的揭露資料內容。[2]

数据完整性（Integrity）代表確保資料無論是在傳輸或儲存的生命週期中，保有其正確性與一致性。[3]

在信息安全領域，可用性（Availability）是成功的資訊安全計畫應具備的需求，意及當使用者需透過資訊系統進行操作時，資料與服務須保持可用狀況(能用)，並能滿足使用需求(夠用)。[4]

• 可鑑別性（Authenticity）：能證明主體或資源之識別就是所聲明者的特性。
• 可歸責性（Accountability）：確保實體之行為可唯一追溯到該實體的性質。
• 不可否認性（Non-repudiation）：對已發生的動作或事件的證明，使發起該動作或事件的實體，往後無法否認其行為。實務上做法採用數位簽章技術。

識別資訊使用者的身份，可記錄資訊被誰所存取使用，例如：透過密碼或憑證方式驗證使用者身份。

實務做法：

• 你所知道的（Something you know）：帳號／密碼
• 你所擁有的（Something you have）：IC卡、數位設備、數位簽章、一次性密碼(OTP)
• 你所具備的（Something you are）：指紋、虹膜、聲紋、臉部特徵、靜脈脈紋、DNA

依照實際需求給予實體適當的權限，一般建議採最小權限（Least privilege），意即僅給予實際作業所需要的權限，避免過度授權可能造成的資訊暴露或洩漏。

資訊系統層面的實務存取控制方法分類如下：

• 強制存取控制（Mandatory Access Control）
• 自由選定存取控制（Discretionary Access Control）
• 以角色為基礎的存取控制（Role-Based Access Control）
• 以規則為基礎的存取控制（Rule-Based Access Control）

內容項目包含量測（Measuring）、監控（Monitoring）、報告（Reporting）與紀錄檔案（Logging），以便提供未來作為稽核（Auditing）、計費（Billing）、分析（Analysis）與管理之用，主要精神在於收集使用者與系統之間互動的資料，並留下軌跡紀錄。

信息安全三要素之間存在互相牽制的關係，例如：過度強化機密性時，將造成完整性與可用性的降低，需要高可用性的系統則會造成機密性與完整性的降低，因此在有限資源的前提下，在信息安全三要素中取得適當的平衡是資訊安全管理階層的重要課題。

对信息安全的认识经历了的数据安全阶段（强调保密通信）、网络信息安全时代（强调网络环境）和目前的信息保障时代（强调不能被动地保护，需要有保护——检测——反应——恢复四个环节）。

安全技术严格地讲仅包含3类：隐藏、访问控制和密码学。

典型的安全应用有：

1. 数字水印属于隐藏；
2. 网络防火墙属于访问控制；
3. 数字签名属于密码学。

「網路与訊息安全事件」（Network & Information Security Incident）是突发事件的一种，也被称为「訊息安全事件」（Information Security Incident）。網路与訊息安全事件在业界尚未有统一的定义，政府管理、科学研究、企业根据各自的关注点对其的理解也存在一定的差异。至於中华人民共和国国家质量监督检验检疫总局和中国国家标准化管理委员会制定发布的两个现行技术标准中，对该术语的定义如下：

• 在《》（GB/Z 20985-2007）中被定义为“”
• 在《》（GB/Z 20986-2007）中被定义为“