网络安全概念的变化反映出安全的覆盖面在不断扩大,不同领域背景的人,对网络安全概念的认识也不尽相同,并在其中出现一些理解上的混乱。比如信息安全,政府人员就容易认为是指信息保密。通信领域的人员就认为是不良信息、垃圾邮件。IT 人员会认为是信息系统安全。还有一种混乱情况是范围的界定。比如,有人认为电磁防泄露不属于网络安全。再比如,利用电话或网络社交工具进行的诈骗、勒索也不属于网络安全。还有,对人为物理破坏或自然灾害的防范也不属于网络安全。本部分内容试图给出网络安全的概况性定义、本质和一些相关特性,当然这只是一家之言,谨供业内人士思考与讨论。
网络安全的核心概念:网络与对抗
从网络安全概念的演化可以看出, “网络与信息系统” 和 “攻防对抗” 是网络安全最为核心的两个关键词。其中,网络与信息系统即是攻防对抗的目标也是手段。因此,网络安全的本质或概念可以简单概括成一句话:基于或面向网络与信息系统展开的对抗过程。“基于” 是指把网络与信息系统当作工具或手段,“面向” 则是指攻防的目标对象就是网络与信息系统。由于网络的无处不在,攻防双方的目标可能为陆、海、空、天等空间中的任意对象,不仅仅是由电子设备、通信网络及应用程序、文档数据等构成的网络与信息系统本身,还包括与之相关联的实体设施,甚至是舆论思想和人身安全。这也正是网络空间安全概念提出的真正意义所在。
网络安全的层级外延:事件、威胁与风险
网络安全概念的解释,从攻的角度,电子设备的破解、通信协议的劫持、信息数据的盗窃,从防的角度,为防止数据的无意丢失和泄露采用的数据加密,维护网络与信息系统的稳定运行,甚至是为了防止人为破坏或自然灾害所采用的系统备份、网络保险等手段,均属于网络安全的范畴。但在现实中,对抗性质不明显的防范或保护,往往被列入相关技术范畴,比如保障系统稳定运行,归为网络运维,数据备份则归到存储。
围绕网络安全,有三个词最为常用:事件、威胁与风险,后两个词还经常被很多人混用。但实际上,这三个词之间有着递进扩展的关系。“事件” 最为直接,它的内含在于对抗,发生安全事件时,所做的应急、响应、处置等第一时间的行为。“威胁” 的内含是预防,在威胁变成事件之前的保护。比如,系统存在漏洞但还没有被利用,就是典型的威胁,需要更新系统打补丁。“风险” 的内含是控制,因为风险是不可避免的,而资源是有限的,所以要将风险控制在可接受的范围内。比如业务连续性,灾难备份等。“事件” 最为直接,发生了事情必须解决。“威胁” 是未发生或未发现的事情,用户的感受虽然不那么直接,但威胁防御也有对抗的性质,只不过是对抗过程的延伸。“风险” 的概念最为广义,对抗的内含也最为泛化(如与自然灾害的对抗),而且理论上投入多少资源都无法杜绝风险。因此,用户在风险上的投入也最不敏感。