概念
网络与信息安全实质就是保证数据或信息系统不受外界恶意的侵入或破坏，保证信息与数据的完整可用，系统能够正常有序不间断的运行下去。本篇文章简单讲述了密码编码学、防火墙技术、等级保护制度、信息安全风险评估等内容。
密码学
国际标准化组织（ISO）将安全定义为“为数据处理系统建立和采取的技术与管理方面的安全保护，保护硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。而是安全在网络环境下的进一步拓展和延伸。因此，可以理解为：采取相应的技术和措施，使网络系统的硬件、软件能够连续、可靠地正常运行，并且使系统中的网络数据受到保护，不因偶然和恶意的原因遭到破坏、更改、泄露，确保数据的可用性、完整性和保密性，使其网络服务不中断。主要包括用户身份验证、访问控制、数据完整性、数据加密、病毒防范等内容，其中数据的保密性、完整性、可用性、真实性及可控性等方面的技术问题成为网络安全研究的重要课题。随着计算机通信技术的迅猛发展，大量的敏感信息通过公共设施或公共网络进行交换，电子商务和电子政务的迅速发展，越来越多的信息需要进行严格的保护，因此密码学逐渐的兴起。
密码学是研制编制密码和破译密码的技术科学，而编码学研究密码变化的规律，用于编制加解密算法以保守通信秘密的，总称为密码学。密码是通信双方按照约定法则进行信息特殊交换的一种重要保密手段。最初，我国的加密算法采用的是国际加密算法，对于国家的一些关键设备无法做到安全、自主、可控，因此我国自主研发出一套国密算法确保数据传输和存储过程中的安全可靠。
基本的信息加解密分为对称加密和非对称加密，二者区别在于是否使用了相同的秘钥进行加解密。除了信息的加解密，还有用于确定数据安全的数据完整性的单项散列技术，又称消息摘要。信息的加解密与信息的单项散列的区别是对称核非对称加密是可以通过秘钥解密出明文，而单向散列是不可逆的。信息的加解密，密文是不定长的，而单线散列可以是定长的。结合密码学的加解密技术和单项散列技术，又出现了防止消息被篡改的消息认证码技术，防止伪装的数字签名技术以及认证证书。
针对不同的应用场景，技术对应关系总结如下：
防火墙&IDS
控制对计算机和网络附加设备的物理访问，或许要比其他任何安全方面更为重要。对内部站点的任何类型的物理访问都将使站点暴露在危险之中。如果能够进行物理访问，那么要获得安全文件、密码、证书和所有其他类型的数据并非难事。对于站点而言，除了基本的物理安全之外，另一个重要的方面是对出入组织网络的数字访问进行控制。大多数情况下，控制数据访问意味着控制与外界的连接点。
防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。防火墙最基本原理就是控制在计算机网络中，不同信任程度区域间传送的数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信，与建筑中的防火墙功能相似。典型信任的区域包括互联网和一个内部网络。最终目标是提供受控连通性在不同水平的信任区域通过安全政策的运行和连通性模型之间根据最少特权原则。防火墙的核心技术有包过滤、应用代理、状态检测、安全内容检测。其中包过滤是最常用的技术，工作在网络层，根据数据包头中的IP、端口、协议等确定数据包是否通过；应用代理工作在应用层，通过编写应用代理程序，实现对应用层数据的检测与分析；状态检测处理的对象不是单个数据包，而是整个连接，通过规则表和连接状态表，综合判断是否允许数据包通过；安全内容检测需要很强的性能支撑，极有包过滤功能，也有与代理的功能。不仅分析数据包头信息、状态信息，而且对应用层协议进行还原和内容分析，有效防范混合型安全威胁。入侵检测系统（intrusion detection system，简称“IDS”）是一种网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。它与其他网络安全设备的不同之处便在于，IDS是一种积极主动的安全防护技术。入侵检测系统就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。与防火墙不同的是，入侵检测系统是一个旁路监听设备，没有也不需要跨接在任何链路上，无须网络流量流经它便可以工作。因此，对入侵检测系统的部署的唯一要求就是：入侵检测系统应当挂接在所有所关注流量都必须流经的链路上。
等级保护
1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定：计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部同有关部门制定。信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。信息安全等级保护工作包括5个过程：（1）定级。即全国范围内的信息系统，按照重要性和遭受损坏后的危害性分为五个安全保护等级（第一级最低，逐级递增，第五级最高）；（2）备案。等级确定后，第二级及以上信息系统到公安机关备案，公安机关审核合格后颁发备案证明；（3）建设整改。备案单位根据信息系统安全等级，按照国家标准开展建设整改，建设安全设施、落实安全措施、落实安全责任、建立和落实安全管理制度；（4）等级测评。备案单位选择符合国家规规定条件的测评机构开展等级测评；（5）监督检查。公安机关对第二级信息系统进行指导，对第三、第四级系统定期开展监督、检查、指导。
风险评估
信息安全风险评估是指风险事件发生之前或之后，对该事件给人们的生活、生命和财产等各个方面造成的影响和损失的可能性进行量化评估的工作。即量化测评某一事件或事物带来的影响和损失。从信息安全的角度分析，风险评估是对信息资产所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性屏估。风险分析是风险评估的核心部分，主要内容为：（1）对资产进行识别，对资产的重要性进行赋值；（2）对威胁进行识别，描述威胁的属性，并对威胁出现的频率进行赋值；（3）对资产的脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；（4）根据威胁和脆弱性的识别结果判断安全事件发生的可能性；（5）根据威胁性的严重程度及安全事件所作用资产的重要性计算安全事件的损失；（6）根据安全事件发生的可能性以及安全事件的损失，计算安全事件一旦发生对组织的影响，即风险值。
