下载掌阅APP，畅读海量书库
立即打开
在讨论网络空间安全之前，我们先来讨论安全的概念。
《新华字典》中给出的关于“安全”的解释是：没有危险；不受威胁；不出事故。这个解释对一般人来说足以了解安全了。但是，对于从事安全工作的人来说，这个解释还不够确切。
什么是安全？《辞海》上并没有对“安全”这个词给出定义，而是用另一个词来进行解释——安稳。
在百度百科中，对“安全”给出了如下定义：安全是指没有受到威胁，没有危险、危害、损失；人类的整体与生存环境资源的和谐相处，互相不伤害，不存在危险、危害的隐患，是免除了不可接受的损害风险的状态；在人类生产过程中，将系统的运行状态对人类的生命、财产、环境可能产生的损害控制在人类能接受水平以下的状态。
国家标准（GB/T 28001）对“安全”给出的定义是：免除了不可接受的损害风险的状态，也就是说，安全是主体没有危险的客观状态。
危险和安全互为反义词，用反义词来下定义是一种循环逻辑。
导致损害风险的原因是：资产本身存在的脆弱性被威胁源所利用，并可能形成侵害，或者已经形成了侵害。说到底，威胁是导致风险或侵害的直接动因。没有威胁也就不存在风险和侵害。我们对各类资产（包括对人自身）的保护，本质上也是尽可能地消除脆弱性，而消除脆弱性的目的是提升资产（和人自身）对威胁的防御能力。
在百度百科中，还提出了安全的外在原因与内在原因，有兴趣的读者可自行查阅。
本书对安全的定义是： 安全是主体能够有效管控威胁的客观状态 。（本书并不是专门讨论安全概念的学术文章，此定义是否严谨，还有待论证。）
这个定义里有两层含义：一是威胁，二是是否能“有效管控”这种威胁。因此，我们要先讨论一下威胁。
“威胁”这个词在《辞海》中也没有给出定义，而是用了另外两个词进行解释——逼迫、恐吓。显然这两个词还不能准确地解释“威胁”的含义。百度百科中给出的解释与之类似。
本书对威胁的定义是： 威胁是能对某些目标构成侵害的因素 。
因素是构成事物的要素、成分，是事物发展的条件。可能对某些目标构成侵害的因素基本上可以分为两类：一类是由他人构成的，另一类是由自然因素和自我因素构成的（老祖宗早就用“天灾”和“人祸”两个词帮我们高度概括了）。例如，一个人的财产被盗抢、一个国家被另外一个国家侵略、一个人被其他人诬告等都是“人祸”。而自然因素，即所谓的“天灾”，主要是由于自然的或不可预测的因素而导致的侵害，如被流行病毒感染、不小心跌倒或被动物咬伤等都可算是“天灾”。
当然，也有一些威胁既包含人为因素，也包含自然因素。例如，矿井发生瓦斯爆炸，瓦斯是自然界存在的客观侵害因素，但是，矿井是由人管理的，如果没有进行有效的防护，瓦斯就会对人构成威胁。
有些威胁是看得到的，有些威胁是看不到的。也就是说，有些威胁是显性的，有些威胁是隐性的，或者说是潜在的。
曾有人质疑笔者，认为这个定义是有问题的。因为有些因素对某些人来说是威胁，对另外一些人来说就不是威胁。笔者认为，能对某个目标构成威胁的就是威胁因素，不对这个目标构成威胁的就不是威胁因素。安全本身是一种感受，对于不同的客体，感受程度肯定也是不一样的。因此，安全应该是针对具体对象的，而不是一个抽象的概念。
我们先来讨论不安全。我们一般认为，不安全就是我们的身体（包括生命）、财产（包括这些财产提供的功能）受到了侵害，甚至失去生命或损失全部财产。
为什么会出现这样的情况呢？从风险分析的观点出发，安全事件的发生是因为自身存在脆弱性，而威胁源正是利用了这些脆弱性，才导致安全事件的发生。
我们可以列举很多导致安全事件的因素。假设一个人中暑了。对于人来说，所有人都不能抵御高温，这就是人的脆弱性。而天气太热，气温高达40℃，这就是外部的威胁。一个人（特别是身体本来就比较虚弱的人）长时间处在这样的环境中，就会发生中暑的事件。对于钱包，如果将它放在衣服外面的口袋里，口袋又比较浅，那么很容易掉出来或者被小偷偷走（这就是脆弱性），小偷就是外部的威胁源，钱被偷就是安全事件。大到国家安全、政治安全、文化安全、意识形态安全，小到我们自己各方面的安全，都可能存在威胁源和脆弱性，因此要格外重视安全问题。
说到底，发生安全事件要归结为两个因素，一个是自身的脆弱性，另一个就是威胁。这里所说的威胁，既可能是人为因素，也可能是自然因素。在没有威胁的情况下，即使自身的脆弱性再大，也不会发生安全问题。再次强调，本书给出的安全的定义是： 安全是主体能够有效管控威胁的客观状态 。
当然，这是一种理想的状态，现实中很难做到。而且，威胁是一个动态因素，会随着时间、空间的改变而变化。虽然受到了威胁，但风险尚可控制时也应该是安全的。绝对不受威胁的状态是不存在的，我们所说的安全实际上是指一种“准安全”的状态，即能够对威胁因素进行控制的状态。安全是一个博弈的过程，也就是威胁与控制威胁的斗争。
威胁是一种因素，这种因素可能会产生直接威胁，也可能产生间接威胁。同时，自身的强壮度、与威胁因素的关系都决定了是否会受这个因素的威胁。同样一个因素，对于甲来说是威胁，而对于乙来说可能就不是威胁。同时，这个因素是否能构成威胁还受时间和其他环境因素的影响。
自身的强壮度对应的就是自身的脆弱性。安全事件的发生就是威胁因素利用了自身的脆弱性，没有威胁，自身再脆弱也不会发生安全事件。
我们说的网络，目前主要是指计算机网络。计算机网络还可以加以细分，如涉及全球的Internet网络[请注意，在此我没有使用“互联网”这样的说法，因为目前Internet的根还在美国，由美国的ICANN（Internet Corporation for Assigned Names and Numbers，互联网域名与数字地址分配机构）控制，我们是以一个国家的整体网络接入这个网络中的，其他国家和地区也是这样]、城域网络（一个城市范围内的网络）、行业网络（比如某个大型企业，其网络可能遍布一个国家的许多城市，甚至遍布多个国家）和内部网络（一个组织内部建设的网络）。
一个组织内部建设的网络往往会有特定的应用，这种具有特定应用的网络就是信息系统。当然，这里关于“信息系统”的定义有点粗糙，不是严格的定义。信息系统的严格定义是：由计算机及相关的、配套的设备与设施（包含网络）按一定的应用目标和规则，对信息进行加工、传输和处理的人机系统。
我们说的网络基本上包含两大部分，一部分是基础信息网络，另一部分是信息系统。基础信息网络上有多种应用，但是这个网络并不是为“某一特定”的应用而建设的，如Internet、城域网、行业基础信息网络等；信息系统是具有明确应用的网络，如企业的ERP系统、政府的IA系统、为公众服务的证券交易系统等。
我们所说的网络安全，是指网络不能因为人为因素或者自然因素出现使用障碍，不会使网络上传输、加工、处理的“数据”（关于数据的概念，我们在后面解释）被未授权地改变，也不会出现数据泄露给未授权用户的现象。当然，这里说的是网络安全的目标，并不是网络安全的定义。如何给网络安全下一个准确的定义呢？当然，可以套用上面的定义来定义网络安全： 网络安全是指基础信息网络和（或）信息系统处于风险可控的状态 。
这里的风险既包括人对基础信息网络与信息系统的威胁，如黑客的入侵，也包括自然因素导致的系统故障和破坏。同时，风险也能够衡量基础信息网络或信息系统自身抵御威胁的能力。
我们讨论网络安全时，主要的关注点在于人对网络的侵害，也就是恶意的人对网络构成的威胁。所以，在英语中，和网络安全相关的单词是security。
这里所说的网络安全，还要考虑是广义上的网络安全还是狭义上的网络安全。
狭义的网络安全对应的英语单词是network security，它是指网络、网络设备、网络协议等方面的安全，通常指的是由计算机作为主要连接设备的网络的安全。
广义的网络安全对应的英语单词是cyber security，它包含的范围更加广泛，既包含狭义网络安全中的部分，也有更大的外延。它包含网络上的各类应用，同时连接的设备不仅包括计算机设备，还包括各类可以连接到网络上的元素。
网络空间对应的英文单词是cyberspace，而不是network space。网络空间的范畴更大，不仅包括基础信息网络和信息系统本身，还包括网络上的各类应用。网络空间安全的范畴自然也更大了，不仅包括恶意的人对网络构成侵害的威胁，还包括恶意的人利用网络构成对现实社会的侵害的威胁。例如，利用网络传播各类有害的思想或会导致人们犯罪的各类有害信息，利用网络策划、实施各类犯罪活动，利用网络贩卖各类违禁的物品，等等。这些都属于网络空间安全的范畴。
现在，物联网正蓬勃发展，网络空间安全还要考虑自然因素导致的网络安全问题，以及利用网络直接实施的对人的侵害。要注意的是，在物联网中，控制信号并不等同于数据，对数据的保护要求并不能完全适用于对信号的保护，这一点我们会在后面的章节中详细说明。
在现实社会中，安全的目标是什么？我们可以列举很多安全事件的例子，各位读者也知道很多安全事件的例子，这些例子总是可以进行归类。如果把财产的范围扩大，使之包括无形资产（如文化、意识形态、国土、环境等），那么安全保护的目标就是两大类：一类是人身及生命的安全；另一类是财产，或者叫资产的安全。
那么，网络安全的目标是什么呢？在目前以计算机作为主要连接设备的网络中，还不至于对人身构成直接伤害（当然，可能构成对人的精神方面的侵害），所以计算机网络安全的保护目标属于资产的范畴。
计算机网络资产不只包括计算机、网络设施这些硬件，更重要的资产是指：在计算机中存储、加工处理、传输的数据；由计算机网络提供的服务功能，如网络游戏；网上购物平台、网络交易平台等。这些都是具有资产属性的。因此，计算机网络安全的目标是数据安全以及网络的服务功能安全。
网络空间安全的目标首先应该包括网络安全的目标，还要包括防范利用网络对现实社会构成的侵害，这类侵害主要涉及政治的、军事的、经济的、文化的侵害等。
很多人把网络安全分为多个层次，如网络本身的安全、主机安全、应用安全、内容安全等。这样划分有一定的道理，但是，这些不是网络安全的全部目标。
网络安全的目标要具体问题具体分析，对于信息系统来说，请记住网络安全的目标只有两个：
●数据的安全；
●网络服务功能的安全。
对以计算机作为主要连接设备的基础信息网络来说，保护数据、保护网络的服务功能仍然是主要的目标，同时，由于网络的无界性，还要考虑到计算资源不能被其他人在不知情的情况下占用。对于普通人说，往往没有重视这一点，或者说意识不到这一点。比如，家庭或者单位连接到Internet上的计算机如果被非法占用，就可能被用来攻击其他计算机目标；或者联网的计算机被非法占用，正在为某个人“挖矿”，等等。所以对于基础信息网络来说，安全的目标是：
●数据的安全；
●网络服务功能的安全；
●防范计算资源被非法占用。
对于网络空间来说，安全目标要进一步扩大。特别是在万物互联的时代，网络空间与现实社会实现了高度的融合，这时候网络安全目标不仅要包括上面所说的三项，还必须重视在现实社会中关注的人的生命和财产的安全，并且这类安全要放在第一位。在这样的网络环境下，安全的目标可归纳为以下5个方面：
●人的生命的安全；
●各类财产的安全；
●数据的安全；
●网络服务功能的安全；
●计算资源的有效自我控制。