沈昌祥，中国工程院院士，著名信息安全专家，曾获国家科技进步一等奖2项、二等奖3项、三等奖3项，省部级奖10多项。曾任第七届全国人大代表。目前担任国家信息化专家咨询委员会委员，多所著名高校博士生导师，国家密码管理局、国家保密局等国家部委专家顾问，中国计算机学会信息保密专业委员会主任，教育部高等学校信息安全类专业教学指导委员会主任委员。

    比较系统地介绍了信息安全的基础知识。全书共分10章，第1章从总体上介绍了信息安全的宏观概念和我国信息安全保障工作情况。第2章介绍了学习信息安全所需的基础知识。第3、4、5章分别介绍了密码技术、信息系统安全技术以及可信计算技术。第6章介绍了信息安全等级保护的基本内容及高安全等级系统的设计思路。第7、8、9章分别介绍了信息安全工程、信息安全管理以及信息安全应急处理和灾难恢复。第10章介绍了信息安全法规和标准的知识。
　　《信息安全导论》是面向高等学校信息安全本科专业的专业基础课教材，建议在本科二年级第二学期或本科三年级第一学期使用。《信息安全导论》也适合用做信息安全培训教材，初学者可以通过《信息安全导论》在较短的时间内掌握信息安全技术和管理的基本内容。

    自20世纪初开始，摧毁或破坏为军事力量提供支持的通信、供给和经济基础设施便成为一条重要的军事原则，被认为同攻击军事力量几乎同等重要，这是各国大力保护关键基础设施的根本原因。传统上，各国的关键基础设施一般处于对手能够作用到的物理范围之外，而信息时代的到来则为其潜在对手提供了全新的选择，使其基础设施正处在若干年前看起来还遥不可及的攻击方式的危险之中。导致这一情况出现的根本原因，是信息安全攻击与防御的非对称性。1.攻防技术非对称信息技术属于高科技技术，但大量自动化攻击工具的出现，已经使得入侵网络与信息系统的门槛降到极低。操作系统、应用软件不可避免地存在大量漏洞，虽然根据业界的规则，在补丁程序发布之前，漏洞信息不会事先公布于众，但由于很多网络与信息系统疏于及时更新补丁程序，导致这些网络与信息系统存在巨大的安全脆弱性。网络的全球互联特点，使这些安全脆弱性完全对全球开放。针对已知的系统漏洞以及用户的一些不良使用习惯（如随意下载来历不明的软件、口令过于简单等），攻击者们开发了很多强有力的攻击工具，并通过互联网广泛传播。这些工具使用方便，且往往伴有详细的攻击教程，甚至只掌握初级计算机应用水平的人，都可以依靠这些工具完成复杂的攻击行动。对于某些功能特别强大的攻击软件，则有人明码标价公开出售。甚至有攻击者在使用木马程序控制别人计算机后（受害主机俗称“肉鸡”）出售对计算机的控制权。

    第1章 信息化发展与信息安全
1.1 信息化发展
1.1.1 信息化对我国的重要影响
1.1.2 信息化发展对信息安全的需求
1.2 信息安全的基本属性
1.2.1 保密性
1.2.2 完整性
1.2.3 可用性
1.3 信息安全概念的演变
1.3.1 通信保密
1.3.2 计算机安全和信息系统安全
1.3.3 信息保障
1.3.4 新的信息安全观
1.4 信息安全的非传统安全特点
1.4.1 威胁的多元性
1.4.2 攻防的非对称性
1.4.3 影响的广泛性
1.4.4 后果的严重性
1.4.5 事件的突发性
1.5 我国信息安全保障工作
1.5.1 总体要求
1.5.2 主要原则
1.5.3 主要基础性工作
1.5.4 未来展望
本章小结
问题讨论

第2章 信息安全基础
2.1 信息系统安全要素
2.1.1 基础概念
2.1.2 各要素间的相互关系
2.1.3 信息安全风险控制
2.2 网络安全基础
2.2.1 ISO/OSI参考模型
2.2.2 TCP/IP参考模型
2.2.3 开放系统互连安全体系结构
2.3 信息安全保障体系
2.3.1 概述
2.3.2 一个确保
2.3.3 四个层面
2.3.4 两个支撑
2.4 积极防御的信息安全技术保护框架
2.4.1 对当前信息安全保护思路的反思
2.4.2 “两个中心”支持下的三重信息安全技术保护框架
2.5 常用安全技术
2.5.1 防火墙
2.5.2 入侵检测系统
2.5.3 恶意代码防护
本章小结
问题讨论

第3章 密码技术与应用
3.1 密码技术概述
3.1.1 基本概念
3.1.2 密码学的发展历史
3.1.3 密码体制分类
3.1.4 密码攻击概述
3.1.5 保密通信系统
3.2 流密码
3.2.1 基本原理
3.2.2 流密码分类
3.2.3 密钥流生成器
3.3 分组密码
3.3.1 概述
3.3.2 DES算法
3.3.3 其他分组密码算法
3.4 公钥密码
3.4.1 概述
3.4.2 RSA算法
3.4.3 椭圆曲线密码算法
3.5 散列函数
3.5.1 概述
3.5.2 MD5
3.5.3 SHA-1
3.6 相关方面的应用
3.6.1 数字签名
3.6.2 公钥基础设施（PKI）
本章小结
问题讨论

第4章 信息系统安全
4.1 信息系统安全模型
4.1.1 BLP安全策略模型
4.1.2 Biba安全策略模型
4.1.3 二维安全策略模型
4.1.4 其他安全策略模型
4.1.5 安全策略模型面临的挑战
4.2 安全操作系统
4.2.1 安全操作系统基本概念
4.2.2 安全操作系统发展
4.2.3 安全操作系统主要安全技术
4.3 安全数据库
4.3.1 数据库系统基本概念
4.3.2 数据库安全威胁
4.3.3 数据库安全需求
4.3.4 数据库安全的含义
4.3.5 数据库安全标准与对策
4.3.6 数据库主要安全技术
4.4 网络安全
4.4.1 骨干网安全要素
4.4.2 安全要求
4.4.3 安全威胁
4.4.4 攻击类型
4.4.5 安全措施
本章小结
问题讨论

第5章 可信计算技术
5.1 可信计算概述
5.1.1 可信计算的概念
5.1.2 可信计算的发展与现状
5.1.3 可信计算TCG规范
5.1.4 可信计算平台体系结构
5.2 可信计算平台密码方案
5.2.1 密码与可信计算平台功能的关系
5.2.2 密码算法配置
5.2.3 密码使用
5.2.4 密钥管理
5.2.5 证书管理
5.3 可信平台控制模块
5.3.1 体系结构
5.3.2 主要功能
5.4 可信平台主板
5.4.1 体系结构
5.4.2 主要功能
5.5 可信基础支撑软件
5.5.1 软件框架
5.5.2 主要功能
5.6 可信网络连接
5.6.1 体系结构
5.6.2 主要功能
5.6.3 远程证明
5.7 可信计算的应用
5.7.1 可信计算平台应用场景
5.7.2 可信网络连接应用场景
本章小结
问题讨论

第6章 信息安全等级保护
6.1 信息安全等级保护综述
6.1.1 等级保护的原则
6.1.2 等级划分
6.1.3 等级保护相关法规标准
6.2 等级保护安全设计技术要求
6.2.1 等级保护安全设计技术框架
6.2.2 第一级信息系统的安全
6.2.3 第二级信息系统的安全
6.2.4 第三级信息系统的安全
6.2.5 第四级信息系统的安全
6.2.6 第五级信息系统的安全
6.3 定级系统安全保护环境主要产品类型及功能
6.3.1 第一级系统安全保护环境主要产品类型及功能
6.3.2 第二级系统安全保护环境主要产品类型及功能
6.3.3 第三级系统安全保护环境主要产品类型及功能
6.3.4 第四级系统安全保护环境主要产品类型及功能
6.4 等级保护三级应用支撑平台的设计实例
6.4.1 三级应用支撑平台的体系架构设计
6.4.2 三级安全应用支撑平台访问控制流程
6.4.3 系统组成
6.4.4 总体结构流程
6.4.5 子系统接口
6.4.6 计算环境的设计
6.4.7 通信网络子系统
6.4.8 区域边界子系统
6.4.9 安全管理中心
本章小结
问题讨论

第7章 信息系统安全工程
7.1 信息系统安全工程基础——系统工程过程
7.1.1 系统工程过程概况
7.1.2 发掘需求
7.1.3 定义系统功能
7.1.4 设计系统
7.1.5 实施系统
7.1.6 有效性评估
7.2 经典信息系统安全工程（ISSE）过程
7.2.1 ISSE概述
7.2.2 发掘信息保护需求
7.2.3 定义信息系统安全要求
7.2.4 设计系统安全体系结构
7.2.5 开展详细的安全设计
7.2.6 实现系统安全
7.2.7 评估信息保护的有效性
7.3 系统安全工程-能力成熟度模型（SSE-CMM）
7.3.1 概述
7.3.2 SSE-CMM的体系结构
7.3.3 安全工程的过程分类
本章小结
问题讨论

第8章 信息安全管理
8.1 概述
8.1.1 什么是管理和信息安全管理
8.1.2 信息安全管理的重要性
8.1.3 国外信息安全管理相关标准
8.1.4 我国信息安全管理相关标准
8.2 信息安全管理控制措施
8.2.1 信息安全方针
8.2.2 信息安全组织
8.2.3 资产管理
8.2.4 人力资源安全
8.2.5 物理和环境安全
8.2.6 通信和操作管理
8.2.7 访问控制
8.2.8 信息系统获取、开发和维护
8.2.9 信息安全事件管理
8.2.10 业务连续性管理
8.2.11 符合性
8.3 信息安全管理体系
8.3.1 PDCA模型
8.3.2 建立ISMS
8.3.3 实施和运行ISMS
8.3.4 监视和评审ISMS
8.3.5 保持和改进ISMS
8.4 信息安全风险评估
8.4.1 概述
8.4.2 资产识别
8.4.3 威胁识别
8.4.4 脆弱性识别
8.4.5 风险分析与处理
8.4.6 风险评估与信息系统生命周期阶段的关系
本章小结
问题讨论

第9章 信息安全事件应急处理和灾难恢复
9.1 信息安全事件分类
9.1.1 考虑要素与基本分类
9.1.2 有害程序事件
9.1.3 网络攻击事件
9.1.4 信息破坏事件
9.1.5 信息内容安全事件
9.1.6 设备设施故障
9.1.7 灾害性事件
9.1.8 其他信息安全事件
9.2 信息安全事件分级
9.2.1 分级考虑因素
9.2.2 特别重大事件（Ⅰ级）
9.2.3 重大事件（Ⅱ级）
9.2.4 较大事件（Ⅲ级）
9.2.5 一般事件（Ⅳ级）
9.3 信息安全应急处理关键过程
9.3.1 准备阶段
9.3.2 检测阶段
9.3.3 抑制阶段
9.3.4 根除阶段
9.3.5 恢复阶段
9.3.6 总结阶段
9.4 信息系统灾难恢复
9.4.1 概述
9.4.2 灾难恢复能力的等级划分
9.4.3 灾难恢复需求的确定
9.4.4 灾难恢复策略的制定
9.4.5 灾难恢复策略的实现
9.4.6 灾难恢复预案的制定、落实和管理
本章小结
问题讨论

第10章 信息安全法规和标准
10.1 法律基础
10.1.1 法的意义与作用
10.1.2 我国《立法法》规定的法律层次
10.2 我国信息安全法律体系
10.2.1 主要信息安全法律
10.2.2 主要信息安全行政法规
10.2.3 主要信息安全部门规章
10.2.4 地方性法规和地方政府规章
10.2.5 我国信息安全立法存在的问题
10.2.6 我国信息安全立法工作进展
10.3 标准基础
10.3.1 基本概念
10.3.2 标准的意义与作用
10.3.3 标准的层次与类别
10.4 我国信息安全标准化工作
10.4.1 组织结构
10.4.2 其他信息安全标准管理机构
10.4.3 国家信息安全标准制定流程
10.4.4 国家信息安全标准化工作成果
10.4.5 工作规划
10.5 国外信息安全标准化组织及其工作进展
10.5.1 信息安全标准化组织
10.5.2 信息安全评估国际标准的发展
10.5.3 ISO/IEC JTC1 SC27主要活动
本章小结
问题讨论
参考文献