同学们好，我是老孙。
精讲站这一篇讲信息安全，对应收费文章第 7 讲。
信息安全在综合知识里在后文列出的多个年份题目中出现，教材第 2 章和第 4 章都有它的身影，适合先从基础属性建立认识。可很多非信息技术背景的同学一看到保密性、完整性、可用性这几个词，再看到后面一堆加密、认证、等级保护，就觉得这是专业人士才懂的东西，早早放弃了。
其实这一块的核心特别小，小到就三个词。这三个词想明白了，才能继续学习具体安全技术与管理措施，写论文讲安全也有了底子。今天就把这三个词，还有老孙常说的立体安保思路，一次讲清楚。
一、这一块到底在讲什么
先不谈术语。想一想，你把一份重要文件锁进保险柜，你在担心什么？
无非三件事。第一，别让不该看的人看到，这是保密。第二，别让人偷偷改了内容而你不知道，这是完整。第三，你自己要用的时候能随时打开拿到，这是可用。
信息安全要保护的，就是这三件事，只不过对象从纸质文件换成了信息系统里的数据。教材把这三件事起了正式的名字，叫信息安全三要素，因为三个词的英文首字母凑起来是 CIA，也常被叫做 CIA 三要素。
教材第2章的三个定义如下，先理解含义再记关键词：
保密性：信息不被未授权者知晓的属性。
完整性：信息是正确的、真实的、未被篡改的、完整无缺的属性。
可用性：信息可以随时正常使用的属性。
教材第 4 章还补了一句，这三个属性是信息安全最为关注的三个属性，也经常被称为信息安全三元组。所以三要素、三元组、CIA，说的是同一件事，考试换着叫，你要认得出来。
放到智慧邻里 2.0 这个虚拟项目里就更具体了。它是老孙这套课贯穿使用的智慧社区平台，人物和数字都是编来讲课的。业主的人脸信息、门禁记录、缴费数据存在平台里：不让无关的人查到业主是谁、住哪栋，是保密性；确保缴费记录没被人偷改、金额准确，是完整性；业主想刷脸进门时系统随时能识别、能开门，是可用性。三要素不是抽象概念，是这个平台每天都要守住的三条底线。
再补一个教材点到、但容易被忽略的地方：教材说 CIA 有其局限性，它关注的重心在信息本身，对整个信息系统的安全来说，只考虑这三个是不够的，还有其他重要因素。所以从广义上讲，凡是涉及信息的保密性、完整性、可用性，以及真实性和可核查性的相关技术和理论，都属于信息安全的研究领域。这句话告诉我们两件事：三要素是核心但不是全部；真实性、可核查性这些词一旦出现在选项里，它们是广义信息安全的属性，但不属于 CIA 三要素本身。这个区分正是下面一类题的陷阱所在。
二、核心概念与容易混的说法
三要素看着简单，考试就在细节处埋坑。把最容易混的几处用一张表理清楚。
| 要素 | 一句话 | 被破坏的例子 | 常见考法 |
|---|---|---|---|
| 保密性 | 不该看的人看不到 | 数据被窃取、被非法拷贝 | 给场景问属于破坏了哪个要素 |
| 完整性 | 内容没被改过、是对的 | 数据被篡改、被插入删除 | 完整性的定义、防篡改 |
| 可用性 | 要用的时候用得上 | 系统瘫痪、被切断、拒绝服务 | 可用性计算、可用性策略 |
三者里，完整性容易和保密性混，要区分观察的对象和动作。记一个区分口诀：保密性怕被看见，完整性怕被改动，可用性怕用不了。 一道题描述的是防止别人偷看，指向保密性；描述的是防止别人偷改，指向完整性；描述的是保证随时能用，指向可用性。
这里要提醒一个陷阱。CIA 是三要素，只有三个，凡是题目问三要素包不包括某个词，只要那个词不是保密性、完整性、可用性，就都不属于。常被拿来当干扰项的是不可抵赖性、真实性、可控性这些，它们确实是信息安全的重要属性，但不在 CIA 这三个里面。
顺便把这几个容易和三要素混的属性也认一下，考试见到不慌：不可抵赖性，指的是做过的事赖不掉，比如你在系统里做了一笔操作，事后不能否认，靠的是数字签名；真实性，指的是信息的来源是可信的、不是伪造的；可控性，指的是对信息的传播和内容能够控制。这三个是信息安全的扩展属性，重要，但都不是 CIA 三要素。记忆时守住一条：三要素永远只有保密性、完整性、可用性三个，别的再重要也别往里塞。
三、从三要素到立体安保体系
只记住三个要素还不够。三要素说的是"要保护什么"，接下来要回答"从哪些层面去保护"，这就引出老孙常跟学员讲的立体安保思路。
之所以叫立体，是因为安全不能只堵一个口子。教材讲得很清楚：针对信息系统，安全可以划分为四个层次：设备安全、数据安全、内容安全、行为安全。
这四个层次，就是一栋楼从下到上的四道防线，放到智慧邻里 2.0 里一一对应：
- 设备安全：机房服务器、门禁读卡器、摄像头这些硬件本身不出故障、不被破坏。
- 数据安全：业主信息、缴费记录这些数据不被窃取、不被篡改、不丢失。
- 内容安全：平台上发布的公告、业主论坛里的内容不出现违法有害信息。
- 行为安全：使用系统的人，操作行为在受控范围内，越权访问、异常操作能被发现。
老孙把这四层叫立体安保体系，意思是安全要从设备、数据、内容、行为四个层面立体地防，缺一层就有漏洞。需要说明的是，立体这个说法是为了帮大家记忆和理解，教材本身用的是四个层次这个表述，考试作答以教材的四个层次为准。
三要素和四层次是什么关系？三要素描述核心安全属性，四层次是分析和防护的层面。 保密、完整、可用是我们想达到的三个目标，设备、数据、内容、行为是我们布防的四个层面。分析四个层面有助于发现遗漏，但不能仅凭覆盖四层就宣称安全目标已实现。
为什么强调立体，而不是只守一层？举个反例：智慧邻里 2.0 如果只在数据层面做了加密，业主信息存得再安全，但机房大门没锁、谁都能进去拔硬盘，设备层面一破，数据层面的功夫全白费。反过来，设备守得再严，操作系统的账号谁都能登、想删就删，行为层面一漏，照样出事。四个层面是环环相扣的，安全的强度取决于最薄弱的那一层，这就是立体防护的意义。做案例分析时可以从四层检查线索，再结合威胁、资产和已有措施判断风险，不能把没有逐项写全等同于已证实存在漏洞。
四、考试怎么考
本篇选取四种理解和练习方向，逐个说。
考法一：三要素是什么、不包括什么
这是最直接的送分题。二零二四年上半年第 1 批第 69 题，直接问信息安全管理的 CIA 三要素指的是什么，答案就是保密性、完整性、可用性。二零二三年下半年第 1 批第 30 题反着问，CIA 三要素不包括哪一项，四个选项里保密性、完整性、可用性都在，多出来的不可抵赖性就是答案。
这类题只要把三个词记死，正着问反着问都不怕。
考法二：给场景，判断破坏了哪个要素
这类题给一段描述，让你判断它威胁的是哪个安全属性。经典的是二零一七年下半年第 18 题，把针对操作系统的安全威胁按行为方式分成切断、截取、篡改、伪造四种，问哪一种是对完整性的威胁，答案是篡改。
这四种威胁的对应关系可按该题本地解析理解；解析引用的是旧版教材，值得记住：切断威胁的是可用性，因为资源被破坏就用不了了；截取威胁的是保密性，因为信息被人偷看了；篡改威胁的是完整性，因为内容被改了；伪造威胁的是合法性。用口诀套：偷看破坏保密，偷改破坏完整，切断破坏可用。
二零二三年上半年第 12 题也是一路数，问哪种服务用于防止非法实体对交换数据的修改、插入、删除，答案是数据完整性服务。修改、插入、删除都是动内容的动作，对应的自然是完整性。
考法三：四层次与安全技术
这类题考立体安保的四个层面，或者具体的安全技术。二零一九年上半年第 15 题问，信息系统安全划分为设备安全、数据安全、内容安全和什么，答案是行为安全。这就是四层次的直接考法，把最后一层挖空让你填。
再往细里，教材还列了常见的网络安全技术：防火墙、入侵检测与防护、虚拟专用网络、安全扫描、网络蜜罐、用户和实体行为分析等。这些名词认个脸熟就行，考到多是问哪个属于网络安全技术，或者某项技术是干什么的。
考法四：可用性的度量
可用性除了定义，还有一种计算考法，值得单独提一句。系统的可用性可以用平均无故障时间和平均修复时间来度量，平均无故障时间越长、平均修复时间越短，系统可用性越高。像要求系统可用性达到百分之九十九点九九这类描述，考的就是把这两个时间代进公式算可用性，或者反过来判断哪套系统更可用。常用的稳态可用性模型是：可用性等于平均无故障时间除以“平均无故障时间加平均修复时间”。例如平均正常运行九十九小时、平均修复一小时，结果是百分之九十九。保持另一个量不变时，前者越大可用性越高，后者越大可用性越低，但这不是简单的正比例、反比例关系。该模型有适用条件，不能直接代表所有实际服务的统计口径。
五、这一块和等级保护的分工
讲到信息安全，很多同学会立刻想到等级保护 2.0。这里先划清一条线：等级保护是另一个专门的大考点，涉及定级流程、国家标准编号、三重防护，内容多、也容易和三要素搅在一起。今天这一篇只讲三要素和四层次这个底子，等级保护 2.0 放到后面的真题速评和精讲站单独讲，两块不混着记。
一句话记住它们的关系：三要素回答保护什么，四层次回答从哪些层面保护，等级保护回答按国家要求保护到什么程度。 三个问题层层递进，今天先把前两个弄扎实。
很多同学一上来就想把等级保护的国家标准编号、定级流程一起背，结果三要素这个最该记牢的地基反而没打稳，考场上一道最简单的三要素题都会犹豫。老孙的建议是分层拿分：先把三要素和四层次记到条件反射，本篇列出的题目可用来检查是否记清；等级保护作为进阶内容后面再攻，攻的时候也不会和三要素混。先地基后高楼，是这一块最省力的复习顺序。
六、能不能写进论文
能，而且越来越该写。前面论文站讲过，二零二六年上半年第 2 批的论文主标题已经出现了安全管理和风险管理的跨界方向（考生回忆版）。信息安全也能用于论文主题训练，但该回忆版非官方原题，不代表下一年命题方向。
写论文用信息安全，不要去堆加密算法、安全协议这些技术细节，技术介绍不能替代题干要求的管理论述。要写的是项目管理视角：你的项目里，数据的保密性、完整性、可用性面临什么风险，你从设备、数据、内容、行为哪几个层面做了防护，用了什么管理手段，效果如何。技术是背景，管理才是采分点。 三要素和四层次刚好给了你一个现成的、条理清晰的论述框架。
举个虚构教学思路，正式使用时要替换为真实经历：在论文的风险管理或者做法段里，写你识别出项目在数据保密性上的风险，比如业主个人信息可能泄露，然后写你从数据层面做了加密和权限控制、从行为层面做了操作留痕和越权告警、从设备层面做了机房门禁，最后说明如何检查权限、抽查操作记录、演练恢复，并据实写检查结果。没有统计证据不能写“安全事件为零”，尚未验收不能写已通过验收。这样一段，既有三要素、又有四层次，还落到了具体做法和结果，比空谈安全重要要有分量得多。
七、考点锚定
| 年份批次 | 题号 | 考点 | 考法 |
|---|---|---|---|
| 二零二四年上半年第 1 批 | 第 69 题 | CIA 三要素指的是什么 | 直接问三要素 |
| 二零二三年下半年第 1 批 | 第 30 题 | CIA 三要素不包括哪一项 | 反问三要素 |
| 二零一七年下半年 | 第 18 题 | 篡改是对完整性的威胁 | 给场景判断要素 |
| 二零二三年上半年 | 第 12 题 | 数据完整性服务防修改插入删除 | 给场景判断要素 |
| 二零一九年上半年 | 第 15 题 | 信息系统安全四层次含行为安全 | 四层次填空 |
本篇考法总结三句话：
第一句，信息安全三要素是保密性、完整性、可用性，也叫 CIA 三元组，正问反问都要记死，不可抵赖性不在其中。
第二句，保密性怕被看见、完整性怕被改动、可用性怕用不了；切断破坏可用、截取破坏保密、篡改破坏完整。
第三句，信息系统安全分设备、数据、内容、行为四个层次，三要素描述核心属性、四层次提供分析视角，等级保护另讲。
八、下一步
今天留一个小任务：拿你自己单位或者身边的一个信息系统，比如考勤系统、报销系统、业主群，试着说出它的三要素各体现在哪里。哪些数据不能外泄，是保密性；哪些数据一旦被改就会出乱子，是完整性；系统一旦打不开会影响谁，是可用性。能把三要素套到自己熟悉的系统上，这个知识点就真正是你的了。
这个小练习看着简单，作用却很实在：它把三个抽象的词，绑定到了你天天在用的具体系统上。以后考场上再遇到三要素的题，你脑子里浮现的不是干巴巴的定义，而是自己那套系统的画面，判断起来又快又准。
信息安全是综合知识里的稳分区，也是论文写安全主题的地基。收费文章第 7 讲讲信息安全三驾马车与立体安保体系，把加密、认证、数字签名、等级保护逐个讲透，涉及法规的内容还需按学习和考试时的现行官方文本核验。想把安全这一块系统吃下来的同学可以去看，想有人帮你把项目里的安全素材整理成论文段落的同学，可以找老孙聊论文专班或一对一，加入即开课。
明天是论文站，讲一个每个人都要过的关：论文开头的项目背景，怎么写才让阅卷人相信你真的带过这个项目。
老孙保持日更，明天见。
#高项 #信息系统项目管理师 #软考
