要谈论信息技术发展的趋势和信息安全面临内外部环境的变化，就像一个一直在匆匆行路的人,突然要停一下,观看周围环境,预估和展望前面的道路。 但是要想象前方，恐怕先要回头看看走过的路，因为有两种可能:一种是走出来的路，过去和现在影响着未来;二种的情况是，也许路一直在前方，变化的则是我们的认识和行为。无论怎样，“时而思”比不思则罔更有益。信息安全的历史有多久？五年,五十年,还是五千年？都可以。

1、“谁的”信息安全？

信息安全自身没有价值和意义，它对于信息和信息系统所有者、管理者、使用者、监管者才有意义。因此，同样一个信息及其系统对于不同的人、组织甚至国家的意义是不同的，因为其安全的目标和需求是不同的。

比如说，某商业银行的信息系统，对于银行自身、银行监管部门，以及政府来说，安全价值与意义有着根本的区别。作为企业的银行，其安全核心是保障组织机构的正常运行和获得商业利益的能力;作为行业管理部门是金融信息安全风险的一个组成部分;从国家和政府部门来说它是事关国计民生的重要信息系统,它的信息安全影响社会。

2、“什么的”信息安全？

从历史发展看，信信息安全逐步从信息传输的安全，发展到信息产生，传输、处理、存储等整个生命周期的安全。同时信息安全也从单纯的指信息数据的保密安全，扩展到支撑信息流动的软硬件、载体的IT安全。

在新一代信息技术大规模普及的今天,信息安全还包括信息的使用安全,信息内容的安全与信息及信息系统互动的人的安全等方面。

因此，信息安全不是孤立的。当我们谈论安全时，一定是指特定对象的信息安全，同时要强调这个特定的对象是对于谁而言,言论中的信息安全必须在明确的上下文环境之中，否则就失去意义和准确性。

3、安全是什么？

安全是一种或多种性质或属性吗？它和色彩,质量是对象的属性类似吗？ 这个问题很难回答。假设安全是“属性”，安全信息安全经典定义中的保密性、完整性、可用性。这三性都是以否定语句来定义的。要证明一个肯定的性质存在比较容易，找到它即可。

要证明“不被修改”等类似否定语句的性质比较困难。 此外,要证明信息或系统同时满足三个性质更为困难，因为这些安全性质是动态变化，它会随着外部对手和系统内部自身变化而变化，也就是常说的今天的安全难以保证明天的安全。

因此，很有必要反思安全作为性质是否妥当。近年来，从风险角度来重新定义安全的趋势十分明显，将安全定义为风险可控可管理的过程。这样一来，安全就不是系统自身的性质了，转化为对抗风险的保障能力。安全保障能力由技术、管理、人等措施来构建起来，安全亦被风险和保障两个概念所取代，隐身在后面。

安全与否不再是去寻找这些性质存在与否,而是去计算保障是否大于对应风险。如果是，就是安全。这种重新定义的安全将不再是性质，而是个过程和目标，通过过程去达到目标,而目标反映了信息安全在上下文环境中特定要求。

这些探讨和思考能否达到我们理解信息安全的本质，笔者不得而知,但是这是一个探索的过程。在信息技术层面上,在我们实际可以设计实现的信息处理技术的进展中,可以看到未来信息安全技术的发展趋势:

（1）软件安全：软件是构建信息世界和社会的核心部件，信息安全问题的产生很大程度上来源它的不安全、不可靠，如何提高软件的信息安全性将会是个重点，有理由相信，随着软件形式化、自动化的提高，其信息安全性会快速的提高。

（2）安全度量：有人说，不可度量的不是科学，信息安全正处于这样的境地。确实，目前我们还无法在信息安全领域找到类似物理世界的度量，如时间量、空间量、质量等，也没有类似比特的信息量，因此信息安全要成为科学还有很长的路要走。但尽管如此，我们已逐渐找到一些度量，它对提高信息安全是有好处的，比如信息安全功能强度，人力的部署和能力提升，过程控制的环节等等。

（3）信息流控制：除了人、管理、网络系统外，信息安全的核心问题还是保证数据和信息的安全。信息流如何开放的网络系统环境中，如何在不可信、不安全的环境中构建可信的信息流动和控制机制是必须要解决的问题。因为数据和信息不可能像物理世界中永远被隔离和锁在保密柜中，它必须给该看到的人看到，就和货币要流通一样,信息安全必须找到自身的动态价值。

（4）抗攻击技术：由于对手一直存在，破坏安全的外部因素不会消失。信息安全事故和事件时时都会产生，如何提高信息和系统抗攻击以及受攻击后降低损失的技术十分重要，以防范为主的信息安全技术将被抗攻击技术将逐步取代。

（5）内部信息安全：信息安全技术也将从防范外部威胁为主， 转换到关注内部威胁为，构建内控技术和管理体系将会成为最热的市场机遇。在这里，与业务逻辑和网络行为相关安全分析成为技术难点。