下载掌阅APP，畅读海量书库
立即打开
中国著名物理学家钱学森认为：系统是由相互作用和相互依赖的若干组成部分结合而成的、具有特定功能的有机整体，而且这个有机整体又是它从属的更大系统的组成部分。而信息系统的概念是针对计算机体系提出来的，是“人、规程、数据库、软硬件等各种设施、工具和运行环境的有机结合，它突出的是计算机和网络通信等技术的应用”。
计算机技术和互联网技术的发展，推动了信息的社会化进程，各行各业都纷纷建立自己的信息系统。计算机网络本身就是信息系统中的一个重要组成部分，为信息系统提供了基础设施和平台，使得信息系统中的各个组件能够相互连接、协同工作，所以现代信息系统需要保证在开放互联网环境下有效运行。而这种开放性无疑增加了信息系统的风险，因此信息安全是信息系统稳定运行的保障。对于“信息安全”，其包含的内容也没有统一。目前的信息安全属性模型有很多，但是几乎所有的模型都是在经典的CIA模型上的扩展。CIA模型规定了信息安全的3个属性，包括机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。其中的机密性是指，信息不能被未授权者获得或理解。信息安全的这个特性和数据保护的特性是重合的。信息系统往往是数据的重要存储方。一旦信息系统被破坏，其信息有可能被泄露，所以信息系统防护就是数据保护的基础。由于信息的易传输、易扩散等特点，信息资产比传统资产更加脆弱，更容易受到损伤。信息系统在日常运行中面临着各种安全威胁，如病毒、恶意软件等。同时，计算机网络通过提供数据加密、防火墙等安全技术，可以保护信息系统中的数据不被非法访问、篡改或泄露。这对于维护信息系统的安全性、机密性和完整性具有重要意义。
但是无论对攻击者还是防御者，任何措施都是有成本的，任何不计成本的攻防都不是理性的选择。面对繁杂的防御技术，信息系统管理员面临的一个问题是，是否需要安装防御措施。如果需要安装防御措施，那么要保护哪些信息资产。如果要保护这些信息资产，那么需要选择哪些措施，防止哪种程度的攻击。同时，对于攻击者，这些问题也是需要考虑的。在网络空间内有那么多的信息系统，攻击哪个，用哪些技术攻击，这些也是摆在攻击者面前的问题。解决这些问题的一个比较直观的方法就是衡量攻击者和防御者每次选择所能带给自己的收益。对防御者来说，如果需要安装的防御系统的价格高过了所需要保住的信息资产的价值，那么这个防御系统显然是没必要安装的。对于攻击者来说，也不会选择一个攻击后获得的资产价值还不如自己攻击成本高的信息系统。
理性的攻击者和防御者的选择刚好符合博弈模型中参与人的理性假设。按照这种假设，网络攻防行为可以被视为一种博弈过程，其中攻击者和防御者作为博弈的参与人。攻防双方根据当前的网络环境和对方的行为策略，选择对自己最有利的策略，以最大化自己的收益。攻击者试图利用漏洞和弱点破坏系统的安全性，而防御者则试图通过各种手段来检测和防御这些攻击。这种攻防对抗的本质可以被抽象为攻防双方的策略依存性，而这种策略依存性正是博弈论的基本特征。一般情况下，攻防双方都有一定的信息安全背景，都有隐藏自己特征的动机和能力。那么这种情况下，攻防过程就可以被抽象成不完全信息博弈模型。如果双方可以观察到对方的行动，那么这个过程就可以被抽象成完全信息博弈模型。一个信息系统往往不只面对一个攻击者，所以攻防过程还可以被抽象成重复博弈。而不同的防御措施会招致不同的攻击策略，最终哪些措施有效就可以用演化博弈来分析。
信息系统风险评估本身就是将信息资产量化的过程。而攻防双方对于自己工具的选择又对应于博弈模型中的策略选择。在有了参与人、策略集和收益的情况下，博弈模型在信息系统风险控制中的应用就是水到渠成的了。