安全或者说是保密，并不是一个新鲜的话题。自古以来，人们就一直探讨如何加强保密的手段。而在军事活动当中则表现得最为明显，密码的产生就归结于战争中对机密信息传递的需要。那么，到底安全是什么，信息安全的概念怎样理解呢？安全是有关你所不知道的东西的，你不可能求正一个负数……（101逻辑）就像我们不可能证明：“我们没有侵入事件”、“没有发生过未得到授权的访问”、“证书的安全性不可能被危害”等等诸如此类的论断。而我们经常提到的风险管理，就是如何去防范那些未发生、却又可能发生的事件。即风险管理是有关理解和超越你所不知道的东西。
由于网络的定义有许多种，所以各种关于网络安全的定义也不同，有的定义说：网络安全就是保护网上保存和流动的数据，不被他人偷看、窃取或修改，也有的认为：网络信息安全是指保护信息财产，以防止偶然的或未授权者对信息的泄漏、修改和破坏，从而导致信息的不可行或无法处理。根据分析问题的角度，可以从商业和技术两个角度来描述网络安全。
从商业角度看，安全是以一种使风险最小化的方式保护资产。从技术角度看又包括三个方面的内容：
其一，计算机安全，即计算机物理系统的良好状态；
其二，信息安全，信息的良好状态，该信息可能是存储在某台计算机上的；
其三，物理安全，物理环境的良好状态，包括系统及用户。
因此，网络安全的一个比较完整的定义是：利用网络管理控制和技术措施，保证在一个网络环境里，信息数据的机密性完整性及可使用性受到保护，网络安全的主要目标是要确保经网络传送的信息，在到达目的地时没有任何增加，改变，丢失或被非法读取以及保证存储于计算机硬件环境里的数据、文件等信息资产不受到窃取、破坏或非法访问。
在传统的信息安全领域，关于安全有3个原则：即古老相传的C.I.A原则。
C是指机密性。即确保信息不暴露给未授权的实体或进程。也就是说，是指网络中有保密要求的信息只能供经过允许的人员，以经过允许的方式使用。
I是指完整性。只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改。网络中的信息安全、精确与有效，不因种种不安全因素而改变信息原有的内容、形式与流向。这应是我们评判的重中之重。因为完整性的破坏是对网络安全的主要危害。
A是指可用性。得到授权的实体在需要时访问数据，即必须保证所有的资源不能被占用而阻碍授权者的工作。网络资源在需要时即可使用，不因系统故障或误操作等使资源丢失或妨碍对资源的使用。网络可用性还包括具有在某些不正常条件下继续运行的能力。对网络可用性的影响包括合法的用户不能正常访问网络的资源和有严格时间要求的服务不能得到及时响应。
而在基于开放网络的互联网时代，安全的原则在PKI的3要素基础上还必须加上一个非常重要的A，即认证（Authentication）。认证是判别访问信息系统的用户的权限，或者通过网络进行通信的对方身份真实性的手段。
那么，作为网络安全的一个课题，我们要保护的对象到底有哪些呢？一个商业信息系统的运行依赖于硬件、操作系统、应用软件、外围设备、通讯设备等多种要素所构成的信息网络环境。可以说，成功的破坏上述任何一种，将危及系统及存储在系统上的信息的安全。所以说我们的网络安全工程的实施，应该包含以下几个方面：
1）网络实体安全。
如计算机机房的物理条件、物理环境及设施的安全标准，计算机硬件、附属设备及网络传输线路的安装及配置等。
2）软件安全。
如保护网络系统不被非法侵入，系统软件与应用软件不被非法复制、篡改、不受病毒的侵害等。
3）网络中的数据安全。
如保护存储或传输于网络当中的信息的数据安全，不被非法存取，保护其完整、一致等。
可以说，我们实现任何的安全功能都是梳理用户访问某个资源的特定的规程的规范，即：向主体（人，应用软件，系统，网络，数据库，等等）提供对受保护的资源（目标）的访问权。如果上述CIA要素哪一个出现问题的话，就会导致信息数据的丢失、损坏或被窃取，都不能保证互联网上的信息的安全性。然而，我们必须注意到大部分信息系统是不够安全的。因为计算机硬件和网络设备的运行是建立在人工编写的软件的基础之上。各种安全方面的疏忽是不可避免的。同时，因为网络原理先天性的互联、共享的特点，就决定了大部分计算机系统是不安全的。在1994年美国政府曾经对美国国防部的9000个大小系统进行了一项暗中安全测试，结果，测试后所作的弱点评估发现：88%的系统可以利用***手段非法侵入；95%的***行为自始至终没有被相关人员觉察；只有5%被探测到的***行为汇报到了责任部门。
同时，CSIFBI有关“频繁的***点”的研究发现，作为调查对象的国际互联网系统在2000年有59%的系统在没有任何觉察的情况下被***。而到了2001年这个比率更是上升到了79%。从以上实例我们可以看出，大部分的系统的安全性是非常差的。所以，我们可以认识到安全不是某一个点的问题，而必须是由一系列的环节组成的安全体系。而其核心就是加密与认证。