随着以计算机和网络通信为代表的信息技术（IT）的迅猛发展，现代政府部门、金融机构、军事军工、企事业单位和商业组织对IT系统的依赖也日益加重，信息技术几乎渗透到了世界各地和社会生活的方方面面。正是因为组织机构的正常运转高度依赖IT系统，IT系统所承载的信息和服务的安全性就越发显得重要。
信息安全在其发展过程中经历了三个阶段。早在20世纪初期，通信技术还不发达，面对电话、电报、传真等信息交换过程中存在的安全问题，人们强调的主要是信息的保密性，对安全理论和技术的研究也只侧重于密码学，这一阶段的信息安全可以简单称为通信安全，即COMSEC（Communication Security）。20世纪60年代后，半导体和集成电路技术的飞速发展推动了计算机软硬件的发展，计算机和网络技术的应用进入了实用化和规模化阶段，人们对安全的关注已经逐渐扩展为以保密性、完整性和可用性为目标的信息安全阶段，即INFOSEC（Information Security）。20世纪80年代开始，由于互联网技术的飞速发展，信息无论是对内还是对外都得到极大开放，由此产生的信息安全问题跨越了时间和空间，信息安全的焦点已经不仅仅是传统的保密性、完整性和可用性三个原则了，由此衍生出了诸如可控性、抗抵赖性、真实性等其他的原则和目标，信息安全也转化为从整体角度考虑其体系建设的信息保障（Information Assurance）阶段。
开放复杂的信息系统面临着诸多风险，而为了解决这些风险问题，人们从无间断地研究着信息安全的自身特点，并且寻找问题的解决之道，最直接的做法就是各种安全技术和产品的选择使用，这也是一个从单一到全面、从静态防护到动态保障的发展过程。
决定信息安全成败的除了技术因素，另一个就是管理。安全技术是信息安全控制的重要手段，但光有安全技术还不行，要让安全技术发挥应有的作用，必然要有适当的管理程序的支持，否则，安全技术只能趋于僵化和失败。如果说安全技术是信息安全的构筑材料，那安全管理就是真正的粘合剂和催化剂，只有将有效的安全管理从始至终贯彻落实于安全建设的方方面面，信息安全的长期性和稳定性才能有所保证。
当然，无论是选择技术产品还是实施管理程序，要想真正实现信息安全，必须充分考虑信息安全多样性和动态性等特点，结合各种安全因素，从整体上把握信息安全建设的方方面面。实际上，这正是立足于一个完整的信息安全体系来解决安全问题的思想。

信息安全保障
信息安全保障，在美国称之为信息保障IA（Information Assurance）。1996年美国国防部(DoD)在国防部令S-3600.1对信息保障下作了如下定义：
保护和防御信息及信息系统，确保其可用性，完整性，保密性，可认证性，不可否认性等特性。这包括在信息系统中融入保护，检测，反应功能，并提供信息系统的恢复功能。
我们对信息保障给出如下定义： 
信息保障是对信息和信息系统的安全属性及功能、效率进行保障的动态行为过程。它运用源于人，管理，技术等因素所形成的预警能力，保护能力，检测能力，反应能力，恢复能力和反击能力，在信息和系统生命周期全过程的各个状态下，保证信息内容，计算环境，边界与连接，网络基础设施的真实性，可用性，完整性，保密性，可控性，不可否认性等安全属性，从而保障应用服务的效率和效益，促进信息化的可持续健康发展。
信息安全保障的内涵
随着信息技术的发展与应用，信息安全的内涵在不断地延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性，进而又发展为“攻（攻击）、防（防范）、测（检测）、控（控制）、管（管理）、评（评估）”等多方面的基础理论和实施技术。信息安全逐渐演变成一个综合、交叉的学科领域，不再仅仅限于对传统意义上的网络和计算机技术进行研究，必须要综合利用数学、物理、通信、计算机以及经济学等诸多学科的长期知识积累和最新发展成果，进行自主创新研究，并提出系统的、完整的、协同的解决方案。例如防电磁辐射、密码技术、数字签名、信息安全成本和收益等方面的研究都分别涉及并综合了计算机、物理学、数学以及经济学上的一些原理。
信息安全保障体系的含义
 信息安全保障体系，就是由信息系统、信息安全技术、人、管理、操作等元素有机结合，能够对信息系统进行综合防护，保障信息系统安全可靠运行、保障信息的“保密性、完整性、可用性、可控性、抗抵赖性”的具有“WPDRR”能力的综合性信息系统防护体系。
早期的安全模型是：PDR模型。P—Protect（保护）、D—Detect（检测）、R—React（响应）。
如果Pt> Dt+ Rt，则该系统是安全的；
如果Pt< Dt+ Rt，则该系统是不安全的,即存在暴露时间：
Et=(Dt+Rt)-Pt
 
目前信息安全的最新理念是对整个信息和信息系统的保护和防御，除了进行信息的安全保护，还应重视和提高：
? 安全系统的预警能力
? 系统的入侵检测能力
? 系统的事件反应能力
? 系统遭到入侵引起破坏的快速恢复能力
这个理念中信息保障核心是深层防御战略，它主要包括三个主要的层面：
? 人员：培训、意识、物理安全、人员安全、系统安全管理。
? 技术：深层防御技术框架、安全标准、获得IT/IA(信息技术/信息保障）、风险分析、证书与信任。
? 操作：分析、监视、入侵检测、警告、恢复。
深层防御战略的技术框架为：
? 安全需求
? 保护网络和基础设施
? 保护计算环境
? 支撑性基础设施
? 核心目标：
? 在攻击者成功的破坏了某层或某类保护机制的情况下，其它保护机制依然能够提供附加的保护
? 信息保障：
?   提供一个框架进行层次化、多样性的保护
?

WPDRR模型
信息保障的五个技术环节为：预警，保护，检测，响应和恢复。
 
1） 预警的概念：根据以前掌握的系统脆弱性和当前了解的犯罪趋势预测未来可能受到的攻击及危害。能不能预警客观存在着空间差、时间差、知识差、能力差的问题。
预警的技术支持包括：威胁分析、脆弱性分析、资产评估、风险分析、漏洞修补、预警协调；
2） P（保护，PROTECT）：采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否认性。技术手段包括：网络安全、操作系统安全、数据库系统安全访问控制、口令等保密性和完整性技术；
3） D（检测，DETECT）：利用高级技术提供的工具检查系统存在的可能的黑客攻击、白领犯罪、病毒泛滥等脆弱性。技术手段：病毒检测、漏洞扫描、入侵检测、用户身份鉴别等；
4） R（响应，REACT）：对危及安全的事件、行为、过程及时做出响应处理，杜绝危害的进一步蔓延扩大，力求系统尚能提供正常服务。技术手段：监视、关闭、切换、跟踪、报警、修改配置、联动、阻断等；
5） R（恢复，RESTORE）：一旦系统遭到破坏，尽快恢复系统功能，尽早提供正常的服务。技术手段：备份、恢复等。