尽管信息安全问题和防御措施古已有之，但其深入的研究和飞速的发展还是从20世纪初开始的。回溯其发展阶段，众多文献将其归纳为“通信安全、计算机安全、网络安全和信息安全保障”四个阶段。无论在哪个阶段，信息安全的基本目标都在于将信息安全属性（如保密性、完整性和可用性）保持在可容忍的范围内。为了简要说明每个阶段的特点，笔者从四个方面勾勒各阶段的形态：一是最关注的信息安全属性，二是标志性事件或成就，三是运行环境、威胁和防御思想，四是关于安全性的评价方法。
（一）通信保密阶段
通信保密的观念和措施古已有之，古代军队采用换位、符号替换等变换方法来保护机密信息，以确保信息即使被敌方截取，也无法在短时间内破译成功。但对信息安全保护进行系统性的理论研究却是20世纪的事情了，其标志是香农发表的里程碑式的论文《保密通信的信息理论》，自此以后，信息安全便从以实践和经验为主“登堂入室”，具备了理论研究的数学基础。
1.最关注的信息安全属性
这一时期人们对信息安全的认识以信息的保密性为主。
2.标志性事件或成就
标志性成就包括香农的《通信保密中的数学原理》和IBM推出的DES算法。
3.运行环境、威胁和防御思想
信息变换的环境以数据通信为主，主要威胁是窃听和密码破译，防御思想是算法的可计算性问题。
4.关于安全性的评价方法
信息通信的保密性评价方法要点包括：一是算法强度计算，二是关于加密算法的密钥交换协议的安全性证明。
（二）计算机安全阶段
1.最关注的信息安全属性
这一阶段除了通信保密之外，计算机已应用到日常的科学计算和业务计算中。但由于尚未有大规模的计算机网络出现，对信息的保护还是侧重于通信中的信息保密，以及计算机中的信息保密性。由于《美国可信计算机系统评价标准》（Trusted Computer System Evaluation Criteria，简称TCSEC，即“桔皮书”）的需求来源于军队的需要，所以针对多级安全的强制访问控制也是信息安全保护的有效措施之一。
另外，针对存储区域的“病毒”也产生了，因此计算机系统的完整性保护也很重要。
ISO组织将“计算机安全”定义为：“为数据处理系统建立的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄漏。”
2.标志性事件或成就
这期间的标志性成就包括BLP保密性模型、美国发布的TCSEC，以及TCSEC在操作系统安全性设计和测评方面起到的作用。
TCSEC将计算机安全与操作系统可信计算机紧密地联系在一起，通过访问控制等一系列安全措施，防止对信息的非授权访问，从而保持信息的保密性。
3.运行环境、威胁和防御思想
信息变换的运行环境是以计算机为核心的小范围局域网；威胁除了窃听和破译之外，还包括物理威胁，以及病毒和人员对计算机的未授权访问；防御思想在通信保密阶段采取措施的基础上，还应加上两点：一是关于访问控制的形式化安全证明，二是针对单机的病毒防护。
4.关于安全性的评价方法(www.xing528.com)
本阶段的评价方法要点包括四方面：一是算法强度计算，二是关于加密算法的密钥交换协议安全性证明，三是强制访问控制和自主访问控制的粒度，四是关于病毒对计算机系统破坏的完整性保护问题。
尽管对保密性保护是主流，各单项评价技术也很重要，但面对日益复杂的计算机系统，研究人员已逐渐考虑防护要素之间的关系，以整个安全保护体系的视角评价信息安全的效果，所形成的体系就是代表。
（三）网络安全阶段
1.最关注的信息安全属性
随着互联网的快速发展，保密性已不足以反映人们对信息保护的需求，“完整性”和“可用性”逐渐成为人们关注的信息安全属性，这三个属性成为以互联网为纽带的计算机信息系统的安全属性。关于这三个属性，从TCSEC到ITSEC再到CC的各种标准中，均对它们有相应的定义，笔者不再赘述。
2.标志性事件或成就
这一阶段的主要标志性成就应该是凌驾于单项技术之上的，体现整体防护思想的各种信息安全标准。它们既是各单项防护技术的总结，又考虑了各技术之间的关系。主要成就包括三方面：一是从TCSEC发展起来的CC，二是侧重于安全管理的ISO17799和ISO13335，三是美国标准化组织发布的NIST-SP-800系列。
3.运行环境、威胁和防御思想
这个阶段的运行环境是以互联网为纽带的计算机信息系统。威胁包括各种恶意代码和黑客攻击手段，如红色代码、DOS、窃听、欺骗等，威胁是动态多变的。而防御思想的要点包括四方面：一是确保信息的CIA；二是对威胁采取防护、检测、打补丁等多种安全措施；三是强调安全功能实现过程的质量，即CC中的保证要求（assurance requirement）；四是“人、技术、流程”是研究者们构建信息安全体系的三要素。
4.关于安全性的评价方法
除了前面各阶段的单项评价技术外，这一阶段逐渐强调对信息系统整体安全状况的评价，包括两方面：一是信息安全风险评估，二是信息安全等级保护评估。
（四）信息安全保障阶段
1.最关注的信息安全属性
为了从国家安全的高度理解和实现信息安全，美国军方提出了信息保障（IA）的概念：“保护和防御信息和信息系统，确保其可用性、完整性、保密性、鉴别、不可否认性等特性。这包括在信息系统中融入保护、检测、响应等功能，并提供信息系统的恢复功能。”（美国国防部令S-3600.1）这一阶段的信息安全特别强调整体性、协同性和动态性，为此，信息安全属性包括保密性、完整性、可用性、可控性和不可否认性。
2.标志性事件或成就
以美国颁布的信息保障技术框架（IATF）为标志，信息安全进入了信息保障的发展阶段。
3.运行环境、威胁和防御思想
信息安全的运行环境是全球化的网络互联和业务的有效运行。威胁不仅包括以前所有的威胁（深度和广度均有加强），还包括国与国之间的网络战，如黑客相关人员构成一个“黑色的经济体”。信息安全上升到国家安全的高度，防御思想的要点包括五方面：一是对信息及信息系统的动态防护环节，即“防护—检测—响应—恢复”；二是强度整体安全，尤其是对应用的保护；三是讲求多层次安全措施协同的纵深防御；四是建立信息安全系统工程（ISSRE），以追求信息安全工作的质量和过程保障；五是强调安全技术和安全管理并重，将ITIL、COBIT等先进的IT工作方法引入信息安全建设中。
4.关于安全性的评价方法
评价方法的特点包括两方面：一方面，强调信息安全保障的评价，即一种对信息安全信心的评估，并不过分强调绝对的信息安全，而是追求适度信息安全保护；另一方面，量化信息安全的整体价值，在安全投入、收益和安全风险间达致平衡。
总之，这一阶段信息安全概念发生了三点变化：第一，信息安全不再局限于信息的保护，更强调对整个信息系统的保护和防御，并规范了动态安全防护措施的环节，即保护、检测、响应和恢复（PDRR）；第二，信息安全与应用的结合更加紧密，期待将信息安全纳入业务风险管理的范畴；第三，追求适度风险的信息安全成为共识，安全不再单纯地以功能或机制的强度作为评判指标，而是结合了应用环境和应用需求，强调安全是一种信心的度量，使信息系统的使用者确认其预期的安全目标已得到满足。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
