信息安全的7个要素

机密性（機密性）是指只有被许可查看的人才能看到信息内容、不会泄露给其他人的性质。

信息安全的基础是 机密性、完整性、可用性 这三个要素，取英文首字母称为 CIA。损害机密性的典型情况是向外部泄露和通信内容被偷窥。保护手段的例子有把内容变成无法读懂的形式的加密，以及为每个用户规定可查看范围的 访问控制。

类比就像只有刷工牌的人才能进入的资料室。里面的文件，除了获准进入的人，谁也看不到。

记法Confidential 也是文件上“内部机密”印章所用的词，表示限定可以看的人。CIA 中的 C 就是它的首字母。

该术语的过去问 3 题 機密性 →

完整性（完全性）是指信息内容正确，保持没有错误、擅自改写和缺失的状态的性质。

篡改 是指无权者擅自改写信息内容。即使没有恶意，只要输入错误或程序缺陷让数据变成错误的内容，完整性也会受损。数字签名 是用只有发送者持有的密钥附加在数据上的标记，可以确认制作者本人，以及内容没有被改写。

类比如果有人偷偷改了菜谱上的用量，就算照着步骤做，菜也会失败。写在上面的内容本身是否正确，就是要保护的对象。

记法英文 Integrity 与 integer（整数）同源，表示“没有缺损、完整为一体”。

该术语的过去问 3 题 完全性 →

可用性（可用性）是指获得许可的人在想用的时候，能够顺利使用信息和系统的性质。

损害可用性的典型情况有停电、设备故障，以及发送大量通信使服务停止的 DoS 攻击。提高可用性的手段之一，是把设备或存储装置做成双重配置，即使其中一台停止也能继续处理。

类比就像全天开放的车站检票口，想过的时候能过才有价值。检票口一旦关闭，即使手里有票也走不过去。

记法日语“可用”可读作“可以使用”。英文 Availability 也来自 available（就在手边、随时能用）。

该术语的过去问 3 题 可用性 →

真实性（真正性）是指能够确认用户、信息和通信对方确实就是其所声称的那样、是真的这一性质。

通过确认本人身份的 认证，可以防止他人假扮本人的 冒充。确认的对象不限于人，也包括通信对方的设备和收到的数据的来源。

类比类似收快递时，先看配送员的制服和工作证，确认是真正的快递公司后才开门。

记法日语“真正”写作“真（真货）且正（正确）”。英文 Authenticity 来自 authentic（真正的），与表示认证的 authentication 属于同一家族的词。

该术语的过去问 1 题 真正性 →

可追溯性（責任追跡性）是指事后能够追查谁在何时进行了哪项操作、从而确定行为人的性质。

支撑它的机制有记录操作和通信的 日志，以及按用户分别分配的 ID。如果多人共用一个 ID，即使留有日志也无法确定是谁的操作。

类比就像工地的施工日志，负责人逐条写下姓名和时间。出了问题时，能从日志中查出是谁做的工作。

记法英文 Accountability 来自 account（说明、报告），表示“处于需要对自己的行为作出说明的立场”。

该术语的过去问 2 题 責任追跡性 →

抗抵赖性（否認防止）是指让进行了某项操作或发送的人，事后无法否认说“我没做过”的性质。

代表性手段是 数字签名：数据上留有只有本人才能生成的签名，因此可以作为此人发送的证据。签名不仅接收者能验证，其他人也能验证，所以也能向第三方证明是本人发送的。

类比就像本人盖上正式印章的合同。印迹留在上面，事后就无法坚持说“我没做过那样的约定”。

记法日语“否認”二字可读作“拒绝（否）承认（認）”。

该术语的过去问 2 题 否認防止 →

可靠性（信頼性）是指系统按预期运行、在相同条件下每次都给出一致结果的性质。

处理结果不出现不一致、因缺陷导致的误动作少，这就是可靠性的内涵。通过充分的测试事先减少缺陷，是提高可靠性的手段之一。

类比就像每天早上准时响的闹钟。时响时不响的闹钟，即使放在手边也靠不住。

记法英文 Reliability 来自 rely（依靠）。

该术语的过去问 2 题 信頼性 →