论文部分内容阅读
“十二五”国家重点图书出版规划项目《信息安全管理体系丛书》执行主编。自2003年起，从事信息安全风险评估与信息安全管理体系的咨询与培训工作。目前，已发表论文42篇，出版专著12本。
信息安全管理系列之十九
IFIP TC8/WG11和TC11/WG13在2013年定义了一个信息系统管理的研究分支：行为信息安全研究。但是，在国内尚没有明确的学科设置，下文对该研究方向进行介绍的同时，并认为在后续的研究中，应该更多地关注行为网络安全研究。
谢宗晓（特约编辑）
摘要：本文对信息安全研究的主要方向进行了梳理，由此给出了行为信息安全研究所处的位置，并介绍了该研究领域的关注点。最后，讨论了在网络空间中个体行为所表现的不同特征，指出研究趋势必然从行为信息安全研究过渡到行为网络安全研究。
关键词： 网络空间安全 网络安全 信息安全 行为信息安全研究 行为网络安全研究
Abstract： This paper summarized the main directions of information security research， and introduced the focus of Behavioral InfoSec Research. Finally， we discussed the different characteristics of the individual behavior in cyberspace， and proposed that the research trend should shift from Behavioral InfoSec Research to Behavioral Cybersecurity Research.
Key words： cyberspace security， cybersecurity， information security， Behavioral InfoSec Research， Behavioral Cybersecurity Research
1 信息安全的主要研究方向
1.1 密码学（cryptography）
从之前的讨论中，我们可以看出，“信息安全”的词汇随着“载体”或者“关注点”保持了持续的变化，从“通信安全”“计算机安全”，到“网络安全（network security）”直至“信息安全”[1]，本质都是为了保护最核心的资产，即“信息”。ISO/IEC 27000：2014中对信息安全的定义为：保证信息的保密性（confidentiality）、完整性（integrity）和可用性（availability）；另外也可包括例如真实性（authenticity）、可核査性（accountability）、不可否认性（non-repudiation）和可靠性（reliability）等。
这其中的诸多安全属性主要依靠密码学的相关技术或机制解决[2]，具体如表1所示，表中的数据来自GB/T 9387.2—1995 / ISO 7498-2：1989。
因此，一直以来，密码学都是信息安全最重要的研究方向之一。在通信安全时代及其之前，载体方面主要防止窃听，这并不需要形成单独的学科，最重要的安全措施是加密传输，但是在计算机与信息系统出现之后，仅靠消息加解密已经不能解决所有的问题，更重要的是，在信息大爆炸的时代，这不现实也没必要。
信息安全引起广泛重视，一个很重要的原因还是信息系统的普及。围绕信息系统，存在两个最重要的研究方向，即关注如何设计信息系统的计算机科学与技术领域，以及关注如何应用信息系统的信息系统管理领域，具体如图1所示。
通过图1，也给出了解决信息安全问题的两种主要途径：一是技术，即通过安全防护系统加固现有的信息系统；或者二，通过管理，即通过信息安全制度加强对个体行为的约束。
1.2 起源于计算机领域的安全防护系统研发
防火墙、防病毒和入侵检测系统（Intrusion Detection Systems，IDS）等信息安全防护系统研发是目前实践中最常见的手段，也是研究领域的热点之一。按照Basie von Solms[3，4]对信息安全实践的划分，技术部署是最早出现的浪潮。当然，在今天的信息安全实践中，已经不再可以区分技术手段还是管理手段，更多的是关注安全目标，例如，在ISO/IEC 27001：2013中，一个安全控制目标所对应的不仅是技术，也包括管理。
1.3 起源于管理学领域的信息系统安全管理
单纯的技术不会解决任何问题，在目前信息安全业界已经得到公认[5]。首先，技术不是万能的，不能解决所有的问题；此外，即使是技术系统，最终需要人去操作，依然需要相应的制度或策略。例如，防火墙策略的配置。即使在“最技术”的密码学领域，BruceSchneier也曾经指出“再强的密码算法也抵不过前克格勃的美女”[6]。
2 为什么研究重点会转移到行为信息安全
2.1 安全机制中最薄弱的环节
普遍认为，人是安全机制中最薄弱的环节，航空领域的诸多事故基本证实了这一点。在集中计算时代，每一个管理员都如同飞行员一样，都是专业人员，这种脆弱性表现的并不突出。但是在个人PC广泛普及的时代，人在安全机制中的脆弱性就暴露无遗。
以信息安全风险评估为例。在集中计算的时代，信息安全风险评估并没有完整的流程，而是一系列的检查表（checklist）[7]，例如PD3000系列。这实际是最经济，也是最有效的方式之一，例如在其他行业，医疗领域的新生儿阿普加（Apgar）评分表2），原理不复杂，但是有效地降低了新生儿死亡率，到现在仍然应用于临床。再如，飞行员做安全检查的主要依据是一系列的检查表。但是，要使定性的检查表有效，一个重要前提是操作者是专业人员，因此当分布式计算时代来临的时候，检查表就不再能够有效地发挥作用。或者说，基于主观判断的检查表并不适用于非专业人员，于是促生了现在常用的“经典六因素法”（资产，威胁，脆弱性，控制措施，可能性和影响），信息安全风险评估成了规范的流程/方法，检查表只是其中的一个技术工具。 2.2 行为信息安全研究出现的必然性
在很多行业，从对技术的关注转向对人的关注也是一个必然过程，在每个人都可以操作的系统中表现的尤为明显，主要因为：第一，技术是新生事物，而不是必然存在的，因此在发展的开始阶段，更多地考虑技术进步，但是技术一旦成熟，如何应用就成了关注的重点；第二，技术的进步在某种程度上是可控的，是一个不断迭代的过程，但是人类本身的进步却是缓慢的，在短时间内不会超越生理极限，而且以系统论的观点来看，越复杂的系统，可能越不可靠，人恰恰是最复杂的系统。
此外，限定只有专业人员操作的行业可以通过规范操作等途径来加强管理，例如航空业，但是每个人都可以操作的信息系统则很难实现，行为表现出更大的复杂性且操作者不能挑选。在航空安全等领域，人类工效学（ergonomics）或人因因素（human factors）主要是针对专业人员，使用者或者旅客等对安全的影响有限。
在这种背景下，国际信息处理联合会（International Federation for Information Processing，IFIP） TC8/WG11和TC11/WG133）在2013年定义了行为信息安全研究方向[8]，主要关注信息安全中的个体行为。行为信息安全在学科中的位置如图2所示。
行为信息安全研究大致起源于1990年，期间经历了产生、发展、形成和定义等阶段，在后续的文章中，我们将陆续介绍。
在实践中，流行的信息安全架构已经将个体行为的要素考虑在内，例如，ISO/IEC 27001：2013中，“A.7人力资源安全”从人员任用的角度考虑信息安全；“A.9.3 用户责任”从用户角度考虑访问控制问题。因此，信息系统安全管理的研究重点已经从“怎么做系统”转化为“怎么用系统”。
3 网络空间中个体行为的虚拟化
行为信息安全研究的主要关注点还是停留在“物理人”，随着网络空间（cyberspace）的发展，更多的威胁来自“虚拟人”[9]，虽然虚拟人是建立在物理人的基础上，但是两者的个体行为表现出很明显的区别。图3给出了物理人与虚拟人关系的示例。
与现实世界相比较，网络空间中的个体行为主要有如下特征：
（1）在网络空间中，个体数量众多，行为也更多样化。在物理世界，人的数量是有限的，但是在网络空间中，一个人可以同时以各种表现迥异的角色出现，例如，在微博同时开几个账号，以不同的身份发表言论。单个的虚拟人在网络空间中的行为可能比物理世界的人要简单得多，但是由于数量众多所带来的多样性更难以预测。实践已经证明，在网络空间中，个体更容易表现出极端行为或非主流小众行为，虽然这些极端行为不能直接造成人身伤害，但是极端的言论具有很大的危害。
（2）在网络空间中，个体违规能力更弱，但是违规意愿更强。在现实世界中，每一个人都有一定的违规能力，即使是弱者。但是在网络空间中，绝大部分的人都属于技术上的菜鸟，并不具备违规能力，因此表现出的弱者特征更加明显，例如发牢骚、发表威胁性的言论等。心理学的诸多研究表明，人在感受到威胁时更容易表现出攻击性，加上缺乏足够的能力或解决途径，因此在网络空间中，语言暴力往往更加突出。同时，由于违规能力弱，更容易导致“抱团取暖”，从而容易形成群体行为。
（3）在网络空间中，个体更具备机会主义特征。现实世界的秩序已经形成，机会主义缺乏足够的土壤。但是在网络空间中，违规的成本更低，甚至可以反复“复活”，新游戏规则下，个体更具备机会主义特征。例如，在现实世界中，一个人在街上发牢骚，出于自保，一般不会有太多响应，除非引起足够的共鸣。在网络空间中不同，这种“见义勇为”的成本很低，围观者甚至将辨别事实的步骤都省略了就参与进来。
综上所述，由于个体行为所表现出的不同特征，个体信息安全行为研究应该过渡到行为网络安全研究，从而对网络空间中的个体行为给与更多的关注。
参考文献
谢宗晓. 信息安全、网络安全及赛博安全相关词汇辨析[J]. 中国标准导报， 2015（12）：30-32.
GB/T 9387.2—1995/ISO7498-2：1989 信息处理系统开放系统互连基本参考模型 第2部分：安全体系结构
Basie von Solms.Information security—the third wave[J]. Computer& Security 2000 （19）： 615-620.
Basie von Solms. Information security—The fourth wave[J]. Computer& Security 2006（25）165-168.
林润辉，李大辉，谢宗晓，等. 信息安全管理理论与实践[M]. 北京：中国质检出版社/中国标准出版社，2015.
Bruce Schneier. 应用密码学：协议算法与C源程序[M].吴世忠，等译，北京：机械工业出版社，2000.
赵战生，谢宗晓. 信息安全风险评估[M]. 2版. 北京：中国质检出版社/中国标准出版社，2015.
Crossler R E，Johnston A C，Lowry P B，et al. Future directions for behavioral information security research[J]. Computers & Security.2013（32）： 90-101.
谢宗晓. 关于网络空间（cyberspace）及其相关词汇的再解析[J]. 中国标准导报，2016（02）：26-28.
信息安全管理系列之十九
IFIP TC8/WG11和TC11/WG13在2013年定义了一个信息系统管理的研究分支：行为信息安全研究。但是，在国内尚没有明确的学科设置，下文对该研究方向进行介绍的同时，并认为在后续的研究中，应该更多地关注行为网络安全研究。
谢宗晓（特约编辑）
摘要：本文对信息安全研究的主要方向进行了梳理，由此给出了行为信息安全研究所处的位置，并介绍了该研究领域的关注点。最后，讨论了在网络空间中个体行为所表现的不同特征，指出研究趋势必然从行为信息安全研究过渡到行为网络安全研究。
关键词： 网络空间安全 网络安全 信息安全 行为信息安全研究 行为网络安全研究
Abstract： This paper summarized the main directions of information security research， and introduced the focus of Behavioral InfoSec Research. Finally， we discussed the different characteristics of the individual behavior in cyberspace， and proposed that the research trend should shift from Behavioral InfoSec Research to Behavioral Cybersecurity Research.
Key words： cyberspace security， cybersecurity， information security， Behavioral InfoSec Research， Behavioral Cybersecurity Research
1 信息安全的主要研究方向
1.1 密码学（cryptography）
从之前的讨论中，我们可以看出，“信息安全”的词汇随着“载体”或者“关注点”保持了持续的变化，从“通信安全”“计算机安全”，到“网络安全（network security）”直至“信息安全”[1]，本质都是为了保护最核心的资产，即“信息”。ISO/IEC 27000：2014中对信息安全的定义为：保证信息的保密性（confidentiality）、完整性（integrity）和可用性（availability）；另外也可包括例如真实性（authenticity）、可核査性（accountability）、不可否认性（non-repudiation）和可靠性（reliability）等。
这其中的诸多安全属性主要依靠密码学的相关技术或机制解决[2]，具体如表1所示，表中的数据来自GB/T 9387.2—1995 / ISO 7498-2：1989。
因此，一直以来，密码学都是信息安全最重要的研究方向之一。在通信安全时代及其之前，载体方面主要防止窃听，这并不需要形成单独的学科，最重要的安全措施是加密传输，但是在计算机与信息系统出现之后，仅靠消息加解密已经不能解决所有的问题，更重要的是，在信息大爆炸的时代，这不现实也没必要。
信息安全引起广泛重视，一个很重要的原因还是信息系统的普及。围绕信息系统，存在两个最重要的研究方向，即关注如何设计信息系统的计算机科学与技术领域，以及关注如何应用信息系统的信息系统管理领域，具体如图1所示。
通过图1，也给出了解决信息安全问题的两种主要途径：一是技术，即通过安全防护系统加固现有的信息系统；或者二，通过管理，即通过信息安全制度加强对个体行为的约束。
1.2 起源于计算机领域的安全防护系统研发
防火墙、防病毒和入侵检测系统（Intrusion Detection Systems，IDS）等信息安全防护系统研发是目前实践中最常见的手段，也是研究领域的热点之一。按照Basie von Solms[3，4]对信息安全实践的划分，技术部署是最早出现的浪潮。当然，在今天的信息安全实践中，已经不再可以区分技术手段还是管理手段，更多的是关注安全目标，例如，在ISO/IEC 27001：2013中，一个安全控制目标所对应的不仅是技术，也包括管理。
1.3 起源于管理学领域的信息系统安全管理
单纯的技术不会解决任何问题，在目前信息安全业界已经得到公认[5]。首先，技术不是万能的，不能解决所有的问题；此外，即使是技术系统，最终需要人去操作，依然需要相应的制度或策略。例如，防火墙策略的配置。即使在“最技术”的密码学领域，BruceSchneier也曾经指出“再强的密码算法也抵不过前克格勃的美女”[6]。
2 为什么研究重点会转移到行为信息安全
2.1 安全机制中最薄弱的环节
普遍认为，人是安全机制中最薄弱的环节，航空领域的诸多事故基本证实了这一点。在集中计算时代，每一个管理员都如同飞行员一样，都是专业人员，这种脆弱性表现的并不突出。但是在个人PC广泛普及的时代，人在安全机制中的脆弱性就暴露无遗。
以信息安全风险评估为例。在集中计算的时代，信息安全风险评估并没有完整的流程，而是一系列的检查表（checklist）[7]，例如PD3000系列。这实际是最经济，也是最有效的方式之一，例如在其他行业，医疗领域的新生儿阿普加（Apgar）评分表2），原理不复杂，但是有效地降低了新生儿死亡率，到现在仍然应用于临床。再如，飞行员做安全检查的主要依据是一系列的检查表。但是，要使定性的检查表有效，一个重要前提是操作者是专业人员，因此当分布式计算时代来临的时候，检查表就不再能够有效地发挥作用。或者说，基于主观判断的检查表并不适用于非专业人员，于是促生了现在常用的“经典六因素法”（资产，威胁，脆弱性，控制措施，可能性和影响），信息安全风险评估成了规范的流程/方法，检查表只是其中的一个技术工具。 2.2 行为信息安全研究出现的必然性
在很多行业，从对技术的关注转向对人的关注也是一个必然过程，在每个人都可以操作的系统中表现的尤为明显，主要因为：第一，技术是新生事物，而不是必然存在的，因此在发展的开始阶段，更多地考虑技术进步，但是技术一旦成熟，如何应用就成了关注的重点；第二，技术的进步在某种程度上是可控的，是一个不断迭代的过程，但是人类本身的进步却是缓慢的，在短时间内不会超越生理极限，而且以系统论的观点来看，越复杂的系统，可能越不可靠，人恰恰是最复杂的系统。
此外，限定只有专业人员操作的行业可以通过规范操作等途径来加强管理，例如航空业，但是每个人都可以操作的信息系统则很难实现，行为表现出更大的复杂性且操作者不能挑选。在航空安全等领域，人类工效学（ergonomics）或人因因素（human factors）主要是针对专业人员，使用者或者旅客等对安全的影响有限。
在这种背景下，国际信息处理联合会（International Federation for Information Processing，IFIP） TC8/WG11和TC11/WG133）在2013年定义了行为信息安全研究方向[8]，主要关注信息安全中的个体行为。行为信息安全在学科中的位置如图2所示。
行为信息安全研究大致起源于1990年，期间经历了产生、发展、形成和定义等阶段，在后续的文章中，我们将陆续介绍。
在实践中，流行的信息安全架构已经将个体行为的要素考虑在内，例如，ISO/IEC 27001：2013中，“A.7人力资源安全”从人员任用的角度考虑信息安全；“A.9.3 用户责任”从用户角度考虑访问控制问题。因此，信息系统安全管理的研究重点已经从“怎么做系统”转化为“怎么用系统”。
3 网络空间中个体行为的虚拟化
行为信息安全研究的主要关注点还是停留在“物理人”，随着网络空间（cyberspace）的发展，更多的威胁来自“虚拟人”[9]，虽然虚拟人是建立在物理人的基础上，但是两者的个体行为表现出很明显的区别。图3给出了物理人与虚拟人关系的示例。
与现实世界相比较，网络空间中的个体行为主要有如下特征：
（1）在网络空间中，个体数量众多，行为也更多样化。在物理世界，人的数量是有限的，但是在网络空间中，一个人可以同时以各种表现迥异的角色出现，例如，在微博同时开几个账号，以不同的身份发表言论。单个的虚拟人在网络空间中的行为可能比物理世界的人要简单得多，但是由于数量众多所带来的多样性更难以预测。实践已经证明，在网络空间中，个体更容易表现出极端行为或非主流小众行为，虽然这些极端行为不能直接造成人身伤害，但是极端的言论具有很大的危害。
（2）在网络空间中，个体违规能力更弱，但是违规意愿更强。在现实世界中，每一个人都有一定的违规能力，即使是弱者。但是在网络空间中，绝大部分的人都属于技术上的菜鸟，并不具备违规能力，因此表现出的弱者特征更加明显，例如发牢骚、发表威胁性的言论等。心理学的诸多研究表明，人在感受到威胁时更容易表现出攻击性，加上缺乏足够的能力或解决途径，因此在网络空间中，语言暴力往往更加突出。同时，由于违规能力弱，更容易导致“抱团取暖”，从而容易形成群体行为。
（3）在网络空间中，个体更具备机会主义特征。现实世界的秩序已经形成，机会主义缺乏足够的土壤。但是在网络空间中，违规的成本更低，甚至可以反复“复活”，新游戏规则下，个体更具备机会主义特征。例如，在现实世界中，一个人在街上发牢骚，出于自保，一般不会有太多响应，除非引起足够的共鸣。在网络空间中不同，这种“见义勇为”的成本很低，围观者甚至将辨别事实的步骤都省略了就参与进来。
综上所述，由于个体行为所表现出的不同特征，个体信息安全行为研究应该过渡到行为网络安全研究，从而对网络空间中的个体行为给与更多的关注。
参考文献
谢宗晓. 信息安全、网络安全及赛博安全相关词汇辨析[J]. 中国标准导报， 2015（12）：30-32.
GB/T 9387.2—1995/ISO7498-2：1989 信息处理系统开放系统互连基本参考模型 第2部分：安全体系结构
Basie von Solms.Information security—the third wave[J]. Computer& Security 2000 （19）： 615-620.
Basie von Solms. Information security—The fourth wave[J]. Computer& Security 2006（25）165-168.
林润辉，李大辉，谢宗晓，等. 信息安全管理理论与实践[M]. 北京：中国质检出版社/中国标准出版社，2015.
Bruce Schneier. 应用密码学：协议算法与C源程序[M].吴世忠，等译，北京：机械工业出版社，2000.
赵战生，谢宗晓. 信息安全风险评估[M]. 2版. 北京：中国质检出版社/中国标准出版社，2015.
Crossler R E，Johnston A C，Lowry P B，et al. Future directions for behavioral information security research[J]. Computers & Security.2013（32）： 90-101.
谢宗晓. 关于网络空间（cyberspace）及其相关词汇的再解析[J]. 中国标准导报，2016（02）：26-28.