3. Defining information security In

3. Defining information security
In this chapter we consider:
• Availability, Confidentiality, Integrity and other concepts
• The various layers of security and how they relate to information
The previous two chapters discussed “security” without actually defining it, on the
assumption that it is such a common concept that everyone understands what it means.
Sadly, this is not completely true because of the linguistic ambiguity and confusion
discussed earlier.
3.1. What is meant by “Information Security”
In the 1990s, emerging information security standards3 defined information
security as consisting of three elements:
• The preservation of confidentiality: ensuring that information can only be
accessed by those authorised to do so
• Maintaining integrity: safeguarding the accuracy and completeness of
information and that no unauthorised changes are made
• Ensuring availability: ensuring that authorised parties can access to information
when required.
This definition is reflected in the international standard ISO 27000 and is widely
used. Security practitioners have proposed additional components. In 2002, D.B.
Parker proposed three additional elements:
• Authenticity: ensuring that the parties in an electronic transaction are who they
claim to be and that the components of the transaction are genuine.
• Possession and Control: loss of possession and control of data creates the risk
of loss of security. Example: a laptop computer forgotten and unrecovered at an
airport security point.
• Utility: the ability to use the information. For example suppose that encrypted
data is provided to an individual together with the encryption key but the
recipient loses the encryption key. The data remains available, authentic and
confidential, it retains the original integrity and is in the intended person’s
possession. But as it is not usable it has no utility.


Electronic commerce added one more element: Non-Repudiation: The mechanism
that ensures that a party to a transaction cannot deny having received a transaction and
neither can the other party deny having sent it.
3.2. Differences between Enterprise security, Information security and Information Technology security
The management of information security relies on three distinct areas of
accountability. These are not always well linked or coordinated as their management
is placed in different organisational structures which may not even talk to each other.
These are shown in Figure 2.
Figure 2: the organisational pillars of corporate information security
3.2.1. Enterprise and Physical Security
There are few organisations that do not have some form of physical security and
someone responsible for it. The presence of receptionists or uniformed guards to
control access is familiar to everyone.
But, do they and their colleagues, many “behind the scenes”, have responsibilities
for information security? In fact, they do, together with other units. This starts with
pre-engagement background checks for or with the Human Resources function

Kết quả (Việt) 2:

3. Quy định bảo mật thông tin
Trong chương này, chúng ta xem xét:
• Tính sẵn sàng, bảo mật, toàn vẹn và khái niệm khác
• Các lớp khác nhau của an ninh và cách chúng liên quan đến thông tin
Hai chương trước đã thảo luận "bảo mật" mà không thực sự xác định nó, trên
giả định rằng nó là một khái niệm phổ biến như vậy mà tất cả mọi người hiểu được ý nghĩa của nó.
Đáng buồn thay, điều này không hoàn toàn đúng bởi vì những sự mơ hồ về ngôn ngữ và sự nhầm lẫn
đã thảo luận trước đó.
3.1. Có nghĩa là gì "An toàn thông tin"
Trong những năm 1990, nổi lên standards3 an ninh thông tin được xác định thông tin
bảo mật gồm có ba yếu tố:
• Việc bảo quản bảo mật: bảo đảm thông tin đó chỉ có thể được
truy cập bởi những người có thẩm quyền để làm như vậy
• Duy trì tính toàn vẹn: đảm bảo an toàn độ chính xác và đầy đủ của
thông tin và không thay đổi trái phép được thực hiện
• Đảm bảo tính sẵn sàng: bảo đảm rằng các bên được ủy quyền có thể truy cập thông
tin. khi cần
định nghĩa này được phản ánh trong các tiêu chuẩn quốc tế ISO 27000 và được rộng rãi
sử dụng. Học viên an ninh đã đề xuất thành phần bổ sung. Năm 2002, DB
Parker đề xuất ba yếu tố bổ sung:
• Xác thực: đảm bảo rằng các bên trong giao dịch điện tử là những người mà họ
yêu cầu bồi thường và các thành phần của các giao dịch là chính hãng.
• Kiểm soát bóng và điều khiển: mất thời gian bóng lăn và kiểm soát dữ liệu tạo ra nguy cơ
mất an ninh. Ví dụ: một máy tính xách tay bị lãng quên và không tìm lại được tại
một. Điểm an ninh sân bay
• Tiện ích: khả năng sử dụng thông tin. Ví dụ: giả sử rằng mã hóa
dữ liệu được cung cấp cho một cá nhân cùng với các phím mã hóa nhưng
người nhận mất chìa khóa mã hóa. Các dữ liệu vẫn có sẵn, xác thực và
bảo mật, nó vẫn giữ được tính toàn vẹn ban đầu và là nơi con người dự định của
sở hữu. Nhưng vì nó không phải là có thể sử dụng nó không có ích. Thương mại điện tử thêm một yếu tố nữa: không thoái thác: Các cơ chế để đảm bảo rằng một bên giao dịch không thể chối khi nhận được một giao dịch và. Không thể bên kia từ chối đã gửi nó 3.2 . Sự khác biệt giữa bảo mật doanh nghiệp, an ninh thông tin và an ninh Công nghệ thông tin Công tác quản lý an ninh thông tin dựa trên ba lĩnh vực riêng biệt của trách nhiệm. Những điều này không phải lúc nào cũng được liên kết hoặc phối hợp như quản lý của họ được đặt trong cơ cấu tổ chức khác nhau mà thậm chí có thể không nói chuyện với nhau. Chúng được thể hiện trong hình 2. Hình 2: các trụ cột của tổ chức an ninh thông tin của công ty 3.2.1. Doanh nghiệp và Bảo mật vật lý có một số ít các tổ chức mà không có một số hình thức bảo mật vật lý và một người nào đó chịu trách nhiệm về nó. Sự hiện diện của nhân viên lễ tân hoặc bảo vệ mặc đồng phục để kiểm soát truy cập là quen thuộc với tất cả mọi người. Nhưng, họ và các đồng nghiệp của mình, nhiều "hậu trường", có trách nhiệm bảo mật thông tin? Trong thực tế, họ làm, cùng với các đơn vị khác. Điều này bắt đầu với nền tảng kiểm tra trước khi đính hôn cho hay với các chức năng Nhân sự