从信息安全的作用层次来看，前面已经介绍了人们所关注的三个层面，即物理安全层、运行安全层、及数据安全层。但是，还有两个层面尚未在同一个框架之下给出清晰地描述。一个是关于信息内容的安全问题，一个是关于信息对抗的问题，这两个层面的安全问题也是业界普遍关心的问题。所不同的是，内容安全更被文化、宣传界人士所关注;而信息对抗则更被电子对抗研究领域的人士所关注。

信息内容安全的问题已经深刻地展现在现实社会面前，主要表现在有害信息利用互联网所提供的自由流动的环境肆意扩散，其信息内容或者像脚本病毒那样给接收的信息系统带来破坏性的后果，或者像垃圾邮件那样给人们带来烦恼，或者像谣言那样给社会大众带来困惑，成为社会不稳定因素。但是，就技术层面而言，信息内容安全技术的表现形式是对信息流动的选择控制能力，换句话说，表现出来的是对数据流动的攻击特性。

信息对抗严格上说是信息谋略范畴的内容，是讨论如何从多个角度或侧面来获得信息并分析信息，或者在信息无法隐藏的前提下，通过增加更多的无用信息来扰乱获取者的视线，以掩藏真实信息所反映的含义。从本质上来看，信息对抗是在信息熵的保护或打击层面上讨论问题，也就是围绕着信息的利用来进行对抗。

信息安全专家方滨兴院士在深入分析和继承了传统信息安全的定义前提下，根据当前国际信息安全的发展现状，给出了信息安全四要素，并重新概括和界定了新线圈的内涵和外延。

在诸多信息安全的属性中，分析可见，机密性、真实性、可控性、可用性属于基本属性，相互不能蕴涵。其中机密性反映了信息与信息系统的不可被非授权者所利用;真实性反映了信息与信息系统的行为不被伪造、篡改、冒充;可控性反映了信息的流动与信息系统可被控制者所监控;可用性反映了信息与信息系统可被授权者所正常使用。而其它属性，包括实用性、完整性、合法性、唯一性、不可否认性、特殊性、占有性、可追溯性、生存性、稳定性、可靠性等，则属于上述四个基本属性的某个侧面的突出反映，因此可以归结为这四个基本属性之中。其中实用性反映的是机密性在密钥依赖方面的机密属性;完整性、合法性、唯一性、不可否认性、特殊性分别反映的是真实性在信息内容本身、信息来源、信息系统行为主体、信息的发布行为、信息熵方面的真实属性;占有性、可追溯性分别反映的是可控性在对信息资源的保护、对信息及信息系统行为的审计能力的反映;生存性、稳定性、可靠性分别反映的是可用性在信息系统的容灾能力、信息系统的健壮能力、信息系统的可靠能力方面的可用属性。由此，机密性、真实性、可控性、可用性这四个基本属性实际上就是信息安全的四个核心属性，可以反映出信息安全的基本概貌。相对信息安全金三角而言，可称之为信息安全四要素，简称CACA，如图所示。

信息安全四要素

根据这一思路，重新定义信息安全的概念如下：信息安全是对信息系统、信息与信息的利用的固有属性(即“序”)攻击与保护的过程。它围绕着信息系统、信息及信息熵的机密性、真实性、可控性、可用性这四个核心安全属性，具体反映在物理安全、运行安全、数据安全、内容安全、信息对抗等五个层面上。

综合信息安全的层次性特性与安全属性特性，可以形成一个信息安全概念的经纬线，如表1所示：

信息安全概念的经纬线

传统信息安全的定义

“信息安全”曾经仅是学术界所关心的术语，就像五、六十年前“计算机”被称为“电算机”那样仅被学术界所了解一样。现在，“信息安全”因各种原因已经像公众词汇那样被人所熟知，尽管尚不能与“计算机”这个词汇的知名度相比，但也已经具有广泛的普及性。问题的关键在于人们对“计算机”的理解不会有什么太大的偏差，而对“信息安全”的理解则各式各样。种种偏差主要来自于从不同的角度来看信息安全，因此出现了“计算机安全”、“网络安全”、“信息内容安全”之类的提法，也出现了“机密性”、“真实性”、“完整性”、“可用性”、“不可否认性”等描述方式。

关于信息安全的定义，以下是一些有代表性的定义方式：

1)国内学者给出的定义是：“信息安全保密内容分为：实体安全、运行安全、数据安全和管理安全四个方面。”

2)我国相关立法给出的定义是：“保障计算机及其相关的和配套的设备、设施（网络）的安全，运行环境的安全，保障信息安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全”。这里面涉及了物理安全、运行安全与信息安全三个层面。

3)英国BS7799信息安全管理标准给出的定义是：“信息安全是使信息避免一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报，涉及的是机密性、完整性、可用性。”

4)美国国家安全局信息保障主任给出的定义是：“因为术语‘信息安全’一直仅表示信息的机密性，在国防部我们用‘信息保障’来描述信息安全，也叫‘IA’。它包含5种安全服务，包括机密性、完整性、可用性、真实性和不可抵赖性。”

5)国际标准化委员会给出的定义是：“为数据处理系统而采取的技术的和管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露”。这里面既包含了层面的概念，其中计算机硬件可以看作是物理层面，软件可以看作是运行层面，再就是数据层面；又包含了属性的概念，其中破坏涉及的是可用性，更改涉及的是完整性，显露涉及的是机密性。

从信息安全的作用层面来看，人们首先关心的是计算机与网络的设备硬件自身安全，就是信息系统硬件的稳定性运行状态，称之为“物理安全”；其次人们关心的是计算机与网络设备运行过程中的系统安全，就是信息系统软件的稳定性运行状态，称之为“运行安全”；当讨论信息自身的安全问题时，涉及的就是狭义的“信息安全”问题，包括信息系统中所加工存储和网络中所传递的数据的泄漏、仿冒、篡改以及抵赖过程所涉及的安全问题，称之为“数据安全”。因此，从信息安全作用点来看问题，可以称之为信息安全的层次模型，这也是国内学者普遍认同的定义方式，如图所示。

一种信息安全的层次模型

从信息安全的基本属性来看，机密性就是对抗对手的被动攻击，保证信息不泄漏给未经授权的人，或者即便数据被截获，其所表达的信息也不被非授权者所理解。完整性就是对抗对手主动攻击，防止信息被未经授权的篡改。可用性就是确保信息及信息系统能够为授权使用者所正常使用。这三个重要的基本属性被国外学者称为“信息安全金三角”（CIA，Confidentiality-Integrity-Avaliability），如图所示。

企业信息安全框架及其实施内涵

从上一节的介绍不难看出，当代信息安全定义在企业信息安全中的使用还存在如下几个问题，需要进行进一步改进：

·概念含糊不清，且没有给出实施的可用参考：只是列出了信息安全需要关注的协议层面、系统单元和牵涉到的几个安全属性；而在安全属性中，流量机密性和机密性本来就是同一回事，所采用的技术也是大同小异，并没有给出企业在信息安全的保障实施过程中的任何可行性建议和手段；

·忽略了管理安全：该框架只强调技术，而忽略了管理在企业信息安全保障中的重要作用和地位。所谓“三分技术，七分管理”，没有管理的技术难以落到实处，缺乏管理的指导性，盲目的使用技术也是不合理的。

为了根据企业的自身特点来制定可行的企业信息安全框架，我们可以回顾一下信息安全定义。结合企业在信息安全工作的特点，将其中的“信息对抗”改进为“管理安全”，这主要是因为如下2个重要原因：

·企业的信息安全工作主要是“防”，以防为主，立足自身，基本上不会采取信息对抗的方式来还击外部黑客和不法用户；

·企业的信息安全工作很大一部分在于满足外部对企业的审核要求，企业对自身员工、资源等的管理要求，这就依赖于管理安全，他们需要参考和遵循许多业界成熟的标准和制度，比如ISO/IEC27001、萨班斯法案等。

因此，我们形成了企业信息安全框架。其本质是：企业信息安全从技术角度来看是对信息与信息系统的固有属性的攻击与保护的过程。它围绕着信息系统、信息自身及信息利用的机密性、真实性、完整性、可控性、可用性、不可抵赖性这六个核心安全属性，具体反映在物理安全、运行安全、数据安全、内容安全、管理安全五个层面上。如图所示：

企业信息安全框架

而根据图4的企业信息安全框架，在实践的过程中，需要采用各种各样的技术来完成多个安全任务，并参照相应的业界成熟的法规和制度来进行检查，从而完成企业信息安全工作，具体的内容请见表。

表 企业信息安全工作内容详表