国务院1994年2月18日颁布的《中华人民共和国计算机信息系统安全保护条例》第一章第三条的定义是：计算机信息系统的安全保护，应当保障计算机及其相关的配套的设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。

ISO17799定义：“信息安全是使信息避免一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报，涉及的是机密性、完整性、可用性。”

国标《计算机信息系统安全保护等级划分准则》定义：“计算机信息人机系统安全的目标是着力于实体安全、运行安全、信息安全和人员安全维护。安全保护的直接对象是计算机信息系统，实现安全保护的关键因素是人。

计算机信息系统的实体安全是整个计算机信息系统安全的前提。因此，保证实体的安全是十分重要的。计算机信息系统的实体安全是指计算机信息系统设备及相关设施的安全、正常运行。其内容包括以下三个方面：

1.环境安全

环境安全是指计算机和信息系统的设备及相关设施所放置的机房的地理环境、气候条件、污染状况以及电磁干扰等对实体安全的影响。在国标GB50173-93《电子计算机机房设计规范》 、GB2887-89《计算机站场地技术条件》 、GB9361-88《计算机站场地安全要求》中对有关的环境条件均作了明确的规定。根据上述国标规定，在选择计算机信息系统的站场地时应遵守以下原则：

⑴ 远离滑坡、危岩、砾石流等地质灾害高发地区。

⑵ 远离易燃、易爆物品的生产工厂及存储库房。

⑶ 远离环境污染严重的地区。例如：不要将场地选择在水泥厂、火电厂及其它有毒气体、腐蚀性气体生产工厂的附近。

⑷ 远离低洼、潮湿及雷击区。

⑸ 远离强烈振动设备、强电场设备及强磁场设备所在地。

⑹ 远离飓风、台风及洪涝灾害高发地区。

2.设备安全

设备安全保护是指计算机信息系统的设备及相关设施的防盗、防毁以及抗电磁干扰、静电保护、电源保护等几个方面。

⑴ 防盗、防毁保护

防盗、防毁主要是防止犯罪分子偷盗和破坏计算机信息系统的设备、设施及重要的信息和数据。这方面的安全保护主要通过安装防盗设备和建立严格的规章制度来实现。普通的防盗设备有防盗铁门、铁窗，主要作用是阻止非法人员进入计算机信息系统机房。对于重要的计算机信息系统应安装技术先进的报警系统、闭路电视监视系统，甚至安排专门的保安人员昼夜值班。在规章制度的建设方面：一是严格控制进入计算机信息系统机房人员的身份；二是严格控制机房钥匙的管理；三是严格控制系统口令和密码。

⑵ 抗电磁干扰

计算机信息系统的设备在受到电磁场的干扰后，使其设备电路的噪声加大，导致设备的工作可靠性降低，严重时会致使设备不能工作。在站场地选择时，我们已经强调应远离强电磁场设备，实在无法避免时，可以通过接地和屏蔽来抑制电磁场干扰的影响。

⑶ 静电保护

计算机机房内主要有三个静电来源：一是计算机机房用地板，人行走时鞋底与其磨擦时会引起静电；二是机房内使用的设施，如工作台、工作柜及机架等，不可避免地与之磨擦而产生静电；三是工作人员的服装，尤其是化纤制品的服装，在穿着过程中因磨擦而产生静电并传给人体，在一定的温、湿度条件下会产生高达 40KV 的静电电压，人体带电电压也高达20KV 左右。静电会引起计算机的误操作，严重时会损坏计算机器件，尤其是MOS为主组成的存贮器件，静电放电时产生的火花也可能产生火灾。

静电的防止与消除应根据静电来源和条件采取一些措施。一是采用一套合理的接地和屏蔽系统；二是采用防静电地板作为地面材料；三是工作人员的工作服装要采用不易产生静电的衣料制作，鞋底用低阻值的材料制作；四是控制室内温、湿度在规定范围之内。静电对计算机的危害已引起了人们的重视，在目前的机房工程中，普遍使用了抗静电地板和接地系统，但在静电的防护方法和措施上还存在很多需要进一步研究的课题。

⑷ 电源保护

为计算机提供能源的供电及其电源质量直接影响到计算机运行的可靠性。电气干扰超过设备规定值时会影响设备正常工作，降低可靠性，严重时会烧坏计算机。发生停电时致使计算机及设备不能工作。 电源的保护一般采用下列措施：一是采用专线供电，以避免同一线路上其它用电设备产生的干扰；二是保证电源的接地满足要求；三是采用电源保护装置。

3.媒体安全

媒体安全是指对存贮有数据的媒体进行安全保护。在计算机信息系统中，存贮信息的媒体主要有：纸介质、磁介质（硬盘、软盘、磁带） 、半导体介质的存贮器以及光盘。媒体是信息和数据的载体，媒体损坏、被盗或丢失， 损失最大的不是媒体本身，而是媒体中存贮的数据和信息。对于存贮有一般数据信息的媒体，这种损失在没有备份的情况下会造成大量人力和时间的浪费，对于存贮有重要和机密信息的媒体，造成的是无法挽回的巨大损失，甚至会影响到社会的安定和战争的成败。

运行安全的保护是指计算机信息系统在运行过程中的安全必须得到保证，使之能对信息和数据进行正确的处理，正常发挥系统的各项功能。影响运行安全主要有下列因素：

(1）工作人员的误操作 工作人员的业务技术水平、工作态度及操作流程的不合理都会造成误操作，误操作带来的损失可能是难于估量的。常见的误操作有：误删除程序和数据、误移动程序和数据的存贮位置、误切断电源以及误修改系统的参数等。

(2）硬件故障 造成硬件故障的原因很多，如电路中的设计错误或漏洞、元器件的质量、印刷电路板的生产工艺、焊结工艺、供电系统的质量、静电影响及电磁场干扰等均会导致在运行过程中硬件发生故障。硬件故障轻则使计算机信息系统运行不正常、数据处理出错，重则导致系统完全不能工作，造成不可估量的巨大损失。

(3）软件故障 软件故障通常是由于程序编制错误而引起。随着程序的加大，出现错误的地方就会越多。这些错误对于很大的程序来说是不可能完全排除的，因为在对程序进行调试时，不可能通过所有的硬件环境和处理数据。这些错误只有当满足它的条件时才会表现出来，平时我们是不能发现的。众所周知，微软的操作系统就存在大量错误、漏洞。发现这些错误后均通过打补丁的形式来解决，以致于“打补丁”这个词在软件产业界已经习以为常。程序编制中的错误尽管不是恶意的，但仍会带来巨大的损失。例如， “2000年问题”是一个因设计缺陷而引起的涉及范围最广，损失最大的特例，各国均花费了巨额资金和大量人力、物力来解决此问题。

(4）计算机病毒 计算机病毒是破坏计算机信息系统运行安全的最重要因素之一， Internet 在为人们提供信息传输和浏览方便的同时，也为计算机病毒的传播提供了方便。计算机病毒已经进入了 Internet 时代，它主要以 Internet 为传播途径，传播速度快，波及面广，造成的损失特别巨大。计算机病毒一旦发作，轻则造成计算机运行效率降低，重则使整个系统瘫痪，既破坏硬件，也破坏软件和数据。

（5）“黑客”攻击 黑客一词是网络时代产生的新名词，它是英文 HACKER 的音译，原意是指有造诣的计算机程序设计者，现在专指那些利用所学计算机知识，利用计算机系统偷阅、篡改或偷窃他人的机密资料，甚至破坏、控制或影响他人计算机系统运行的人。 “黑客具有高超的技术，对计算机硬、软件系统的安全漏洞非常了解。他们的攻击目的具有多样性，一些是恶意的犯罪行为；一些是玩笑型的调侃行为。

（6）恶意破坏 恶意破坏是一种犯罪行为，它包括对计算机信息系统的物理破坏和逻辑破坏两个方面。物理破坏只要犯罪分子能足够地接近计算机便可实施，通过暴力对实体进行毁坏。逻辑破坏是利用冒充身份、窃取口令等方式进入计算机信息系统，改变系统参数、修改有用数据、修改程序等，造成系统不能正常运行。物理破坏容易发现，而逻辑破坏具有较强的隐蔽性，常常不能及时发现。

信息是一种资产，同其他重要的商业资产一样，它对其所有者而言具有一定的价值。信息可以以多种形式存在，它能被打印或者写在纸上，能够数字化存储；也可以由邮局或者用电子方式发送；还所以在电影中展示或者在交谈中提到。无论以任何形式存在，或者以何种方式共享或存储，信息都应当得到恰当的保护。

信息安全是指防止信息财产被故意的或偶然的泄漏、破坏、更改，保证信息使用完整、有效、合法。

信息安全主要表现在如下几个方面：

机密性（Confidentiality） ：反映了信息与信息系统的不可被非授权者所利用

真实性（Authentication） ：反映了信息与信息系统的行为不被伪造、篡改、冒充

可控性（controllability ）：反映了信息的流动与信息系统可被控制者所监控

可用性（Availability） ：反映了信息与信息系统可被授权者所正常使用

（1）可用性（Availability）

信息的可用性是指用户的应用程序能够利用相应的信息进行正确的处理。计算机程序与信息数据文件之间都有约定的存放磁盘、文件夹、文件名的关系，如果将某数据文件的文件名称进行了改变，对于它的处理程序来说这个数据文件就变成了不可用，因为它不能找到要处理的文件。同样，将数据文件存放的磁盘或文件夹进行了改变后，数据文件的可用性也遭了破坏。另一种情况是在数据文件中加入一些错误的或应用程序不能识别的信息代码，导致程序不能正常运行或得到错误的结果。

在当前的信息系统建设、操作、维护和扩展中，硬件故障、计算机病毒、应用软件故障以及人为操作的错误是影响可用性的主要问题。据统计，在这几个常见的问题当中，系统硬件故障可以达到 44%，人为错误可以达到 32%，而应用软件故障可以达到14%。信息可用是解决系统硬件故障和人为错误的主要手段，它帮助我们最大化系统可用性或运行时间，对于信息基础架构建设至关重要。

（2）真实性（Authentication）

信息的真实性是指信息与信息系统的行为不被伪造、篡改、冒充。

信息真实性的破坏可能来自多个方面，人为的因素，设备的因素，自然的因素及计算机病毒等均可能破坏信息的真实性。在信息的录入或采集过程中可能产生错误的数据，已有的数据文件也可能被人有意或无意地修改、删除或重排。

（3）机密性（Confidentiality）

在国民经济建设、国家事务、国防建设及尖端科学技术领域的计算机信息系统中，有许多信息具有高度的保密性，一旦其保密性遭到破坏，其损失是极其重大的，它可能关系到战争的成败，甚至国家和民族的存亡。当然，对于普通的民用或商业计算机信息系统，同样有许多保密信息，保密性的破坏对于企业来

信息泄漏包含人为泄漏和设备、通信线路的泄漏。人为泄漏是指掌握有机密信息的人员有意或无意地将机密信息传给了非授权人员，这是一种犯罪行为；设备及通信线路的信息泄漏主要有电磁辐射泄漏、搭线侦听、废物利用几个方面：电磁辐射泄漏是指计算机及其设备、通信线路及设备在工作时所产生的电磁辐射，利用专门的接收设备，可以在很远的地方接收到这些辐射信息。另一种泄漏的方式是被搭线侦听，当信息的传输是依靠电话线路、电缆时，由于线路长、铺设地理环境复杂，在一些偏僻无人的地方，完全可以在线路上搭线侦听，从而获取机密信息。如果信息是用无线信道传输，侦听变得更加容易，只需一台相应的无线接收机即可。废物利用也是犯罪分子获取机密信息的一个主要手段，我们对记录有机密信息的各类媒体，因各种原因要进行消毁时，不能随便扔掉了事，必须进行粉碎性处理或烧毁，即便对于已经损坏了的信息媒体也应如此。坏了的磁盘，不是所有的存储区域都损坏了，通过一些专门的软件，仍可读出许多信息。更不要认为对机密信息文件进行了删除，或对磁盘进行了格式化就已经安全了，删除文件实际上并没有删掉文件的内容，删除的仅仅是文件名。

（4）可控性（controllability ）

可控性是指对信息的传播及内容具有控制能力。实现信息安全需要一套合适的控制机制，如策略、惯例、程序、组织结构或软件功能，这些都是用来保证信息的安全目标能够最终实现的机制。例如，美国制定和倡导的“密钥托管”、“密钥恢复”措施就是实现信息安全可控性的有效方法。

不同类型的信息在保密性、完整性、可用性及可控性等方面的侧重点会有所不同，如专利技术、军事情报、市场营销计划的保密性尤其重要，而对于工业自动控制系统，控制信息的完整性相对其保密性则重要得多。确保信息的完整性、保密性、可用性和可控性是信息安全的最终目标。

人，是信息安全中最关键的因素，同时也是信息安全中最薄弱的环节。很多重要的信息系统安全问题都涉及到用户、设计人员、实施人员以及管理人员。如果这些与人员有关的安全问题没有得到很好的解决，任何一个信息系统都不可能达到真正的安全。只有对人员进行了正确完善的管理，才有可能降低人为错误、盗窃、诈骗和误用设备的风险，从而减小了信息系统遭受人员错误造成损失的概率。

对人员安全的管理，主要涉及两方面：对内部人员的安全管理和对外部人员的安全管理。具体包括：人员录用、人员离岗、人员考核、安全意识教育和培训和外部人员访问管理等五个控制点。