第3章　工业互联网信息安全防护的基本特点

3.1　信息安全概述

3.1.1　信息安全一般概念

目前，信息安全还没有全球公认的、权威的、统一的概念性定义。其中，美国联邦政府对信息安全的定义如下：信息安全是保护信息免受意外或故意的非授权泄露、传递、修改或破坏。国际标准化组织（ISO）对信息安全的定义如下：信息安全是为数据处理建立和采取的技术和管理的安全保护机制，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露。当然，国内外还有其他一些组织也对信息安全做出过相关定义[10]。

综合对信息安全的各种定义，可以总结出广义的信息安全是指保护系统不受意外或未经授权的访问、更改或破坏的条件，系统的安全行为是一个连续统一体，而不是呈布尔状态。信息安全保障通常是根据风险进行评估的，安全风险的要素包括威胁（试图造成伤害的人或物）、目标资产（有价值），资产可以被威胁利用的潜在弱点或弱点，以及试图降低任何安全事件的可能性和影响的对策。为确保信息系统资产的安全，需要考虑的要素是机密性、完整性和可用性，通常被简称为CIA。

机密性是指信息资产不向未经授权的个人、实体或过程提供或披露。违反机密性规定的行为可能会通过语言交流、打印、复制、发送电子邮件或存在允许攻击者执行读取或过滤数据操作的漏洞等方式发生。数据外泄是指在攻击者控制下的另一个位置，未经授权地传输数据的攻击方式，这些数据可能被用于勒索或其他目的。机密性控制机制包括访问控制和加密技术等。

完整性确保防止不当的信息修改或破坏，完整性控制包括散列（Hashing）、校验和、防病毒功能、白名单和代码签名，实现确保系统、代码和应用的基本元素没有被更改的功能。数据完整性是完整性的一个子集，将确保未经授权的实体，无法在未经检测的情况下更改数据并控制系统。

可用性是授权用户按需、及时和可靠地访问和使用信息的属性。负责控制物理过程的系统，应提供由人工操作人员对物理过程进行持续控制和监督的能力，操作人员需要在发生攻击时进行干预，如关闭系统。可用性控制通常包括冗余和工程变更控制，有时还包括发现和减轻软件漏洞的安全活动，这些漏洞将诱发不可靠的执行、隐私信息可视化或对系统产生负面影响的资源消耗。