网络安全是保护数字系统、网络、服务和信息免受未经授权的访问、干扰、篡改或破坏的学科与实践。它将技术防护措施与组织政策、人员专业能力和风险管理相结合。其范围涵盖个人计算机、企业网络、通过互联网提供的服务，以及以数字方式控制的实体设备。防护不仅包括预防攻击，还包括发现系统遭入侵的情况、响应事件，以及恢复关键业务运行。(niccs.cisa.gov)
目标与范围
网络安全与信息安全有所交叉，后者旨在保护信息及信息系统。其中一个核心模型是保密性、完整性和可用性三要素，常称为 CIA 三要素。保密性关注防止未经授权的信息披露；完整性关注防止不当篡改或破坏；可用性关注确保授权用户能够及时、可靠地访问所需资源。这些目标可能需要不同的防护措施：让一份文档保持机密，并不一定能确保其内容准确或可供访问。(csrc.nist.gov)
安全还涉及确认身份、执行权限规则，以及记录重要操作。它与数据隐私相关，但二者并不相同。安全控制措施可以保护个人信息免遭未经授权的访问，而隐私还关注信息如何被收集、处理和使用。因此，一个系统可能同时需要安全控制和隐私控制，而不能将其中任何一方视为另一方的替代品。(csrc.nist.gov)
威胁、漏洞与风险
威胁是可能造成损害的因素，而安全漏洞则是威胁能够利用的弱点。风险评估考量有害事件发生的可能性，以及这些事件对系统、组织或个人造成的后果。威胁并不限于蓄意攻击：操作失误、设备故障和其他中断也可能影响安全目标的实现。(niccs.cisa.gov)
常见的攻击类别包括恶意软件，即危害系统安全的软件，以及勒索软件，后者可通过加密使用户无法访问数据。勒索软件攻击还可能窃取信息，并威胁将其公开。网络钓鱼利用欺骗性通信，诱使接收者透露信息或采取不安全的操作；它属于社会工程的一种，针对的是人的行为，而不只是技术弱点。被盗用的身份凭据和暴露的远程访问服务，可能为攻击者提供最初的入侵入口。(cisa.gov)
拒绝服务攻击通过耗尽资源或以其他方式阻止合法访问，破坏可用性。分布式拒绝服务攻击的攻击流量来自多个来源。其影响不同于信息窃取：即使机密记录未被泄露，服务也可能变得无法使用。(cisa.gov)
防护技术与架构
访问控制决定哪些用户、设备或进程可以使用特定资源。身份验证用于确认身份的可信度，而授权则决定允许执行哪些操作。多因素身份验证要求使用两种或以上不同类型的验证因素，从而减少对单一密码的依赖。最小权限原则将访问权限限制在完成指定任务所必需的范围内。(csrc.nist.gov)
密码学为加密和完整性验证等防护手段提供支持。其有效性取决于具体实现方式和密钥的管理。其他控制措施包括网络过滤、安全配置、软件更新和资源隔离。纵深防御将相互补充的防护措施结合起来，使安全防护不完全依赖某一种机制。这些控制措施针对不同的失效情形，而不是提供可以彼此替代的保障。(csrc.nist.gov)
零信任架构不接受仅凭网络位置或设备归属便赋予隐式信任的做法，而是通过评估请求访问的主体、设备、资源和相关策略来作出访问决策。美国国家标准与技术研究院（NIST）在 2020 年发布的说明强调，应着重保护资源，而不是假定网络边界以内的一切都值得信任。这一方法适用于包含远程用户和云计算的分布式环境。(csrc.nist.gov)
安全开发与安全保障
网络安全也是软件工程的一部分。安全开发将安全要求和实践贯穿于软件的整个生命周期，而不是完全依赖部署后再添加的防御措施。NIST 的《安全软件开发框架》介绍了一系列实践，旨在减少已发布软件中的漏洞、限制残留弱点造成的后果，并解决根本原因，以防问题再次发生。(csrc.nist.gov)
安全保障关注的是能够证明防护措施按预期发挥作用的证据。审查、测试和评估既检查控制措施的实施情况，也考察其有效性。渗透测试是一种经过授权的评估，尝试在规定条件下找出可被利用的弱点。其发现针对的是受测系统和测试条件；它只是更广泛的安全评估计划中的一种评估技术。(csrc.nist.gov)
检测、响应与恢复
检测通过系统日志、可疑活动和资源使用变化等观察信息，识别可能发生的事件。事件响应协调调查、遏制、补救和沟通工作。它需要事先准备并明确职责，而不是等到发现攻击后才开始。NIST 于 2025 年 4 月发布的事件响应指南，将这些活动纳入持续的网络安全风险管理之中。(cisa.gov)
恢复工作在恢复受影响的数据和服务的同时，也要处理导致事件发生的条件。数据备份有助于恢复，但其作用取决于备份的可用性和完整性。离线副本或以其他方式受到保护的副本，可以抵御针对可访问备份的删除或加密攻击。恢复测试用于确认恢复程序在实际操作中是否有效。恢复被加密的文件，本身并不能消除被盗信息此前泄露所造成的影响。(cisa.gov)
治理与组织责任
网络安全治理确立政策、职责、监督机制和可接受的风险水平。NIST 于 2024 年 2 月 26 日发布的网络安全框架 2.0 版，将预期成果归入六项职能：治理、识别、保护、检测、响应和恢复。这些职能并行开展、持续进行，并不是只需按顺序完成一次的步骤。该框架描述期望达到的成果，但不规定一套普遍适用的技术实现方案。(nist.gov)
组织的网络安全计划还涵盖人员培训、供应商关系、资产清单，以及服务之间的依赖关系。在云环境中，提供商与客户依据服务模式和合同安排分担责任。即使基础设施由另一家组织运营，理解这些责任边界仍然是安全管理的一部分。(nist.gov)