信息安全和网络安全的区分在哪 - 实践

由于最近发现大家对信息安全和网络安全这两个术语经常有模糊情况，但它们之间存在清晰的层次和范围差异，故写此文。

简单来说，网络安全是信息安全的一个子集。我们可以用一个形象的比喻来理解：

信息安全就像是保护整个国家（所有形式的信息），包括其领土、领海、领空、经济、政治、文化等所有方面的安全。
网络安全就像是保护国家的公路、铁路、航空和海运网络（数字网络）的安全，确保在这些通道上行驶的车辆、运输的货物不被劫持、破坏或窃取。

---

核心区别：范围与焦点

特征	网络安全	信息安全
核心焦点	保护网络空间和数字基础设施。	保护所有形式的信息的CIA三性。
保护范围	数字领域、网络环境。 （如：互联网、局域网、广域网、数据网络）	所有领域，包括物理和数字世界。 （如：纸质资料、口头交流、数字数据）
保护对象	网络、平台、网络流量、网络可访问的资源。	信息本身（无论其形态），以及处理信息的整个流程和人。
主要威胁	黑客、恶意软件、DDoS攻击、网络入侵、僵尸网络。	除了网络威胁，还包括物理盗窃、内部人员泄露、社会工程、设备丢失、废物搜寻等。
方法论	侧重于技术防御：防火墙、入侵检测系统、网络访问控制、VPN。	采用整体性方法：包括技能、流程和人员。

---

深入解析

1. 信息安全

信息安全的终极目标是保障信息的CIA 三要素，有时还会加上真实性和不可否认性：

• 保密性：信息不被未授权者访问。例如，加密一份文档，只有有密码的人能看。

• 完整性：信息在存储或传输过程中不被篡改或破坏。例如，确保一份合同在发送过程中没有被修改。

• 可用性：授权用户在需要时可能正常访问信息和使用架构。例如，防止服务器被DDoS攻击打垮而导致服务中断。

信息安全的保护范围极广，包括：

• 数字信息：数据库、文档服务器、个人电脑素材。

• 物理信息：打印出来的纸质文件、设计图纸、会议记录。

• 知识产权：商业计划、专利、源代码。

• 个人信息：员工记录、客户数据。

因此，信息安全的措施不仅包括技术手段（如加密、访问控制），还包括：

• 物理安全：门禁系统、监控摄像头、文件碎纸机。

• 行政管理：信息安全政策、员工保密协议、安全意识培训。

• 法律合规：遵循《网络安全法》、GDPR等数据保护法规。

2. 网络安全

网络安全是信息安全的“数字防线”，它专注于保护在网络空间中传输和存储的数字信息。它的核心任务是确保网络基础设施本身是可靠、安全且不被滥用的。

网络安全的典型场景包括：

• 防止外部黑客入侵公司内网。

• 检测和阻断网络中的恶意软件传播。

• 保护网络边界，过滤恶意流量。

• 确保无线网络（Wi-Fi）的安全。

• 防御针对网站或在线服务的拒绝服务攻击。

它的措施首要围绕网络设备和流量展开。

---

一个容易的例子来说明区别

假设一家公司有一份包含客户名单的机密文件。

• 信息安全的角度，需要：

  1. 保密性：将文件锁在保险柜里（物理安全），并对电子版进行加密（技术安全），只授权给少数人查看（管理安全）。

  2. 完整性：使用数字签名技术，确保文件内容没有被篡改。

  3. 可用性：确保在需要时，能打开保险柜或能访问存储文件的服务器。

• 网络安全的角度，则更专注于：

  1. 保护公司的内部网络，防止黑客从互联网上入侵，从而窃取这份档案的电子版。

  2. 监控网络流量，如果发现有人试图将这份文件外传，及时报警和阻断。

  3. 确保文件服务器所在的网络区域与其他网络隔离，并受到防火墙的保护。

结论：

如果网络安全防线被突破（例如黑客入侵了网络），那么信息安全的保密性就被破坏了。但信息安全的范畴远不止于此，即使网络安全固若金汤，一名员工要是无意中将机密文件的打印稿丢进了公共垃圾桶，这同样构成了严重的信息安全事件。

因此，一个强大的信息安全体系，必须建立在坚实的网络安全基础之上，并向外扩展到物理和管理层面。在现代数字化时代，网络安全是信息安全的基石，也是最受关注的组成部分。