本节目标：
• 安全的目标和原则
• 可用性
• 完整性
• 机密性
• 安全控制措施
信息安全的核心目标和原则
安全的核心目标是为关键资产提供可用性、完整性和机密性（AIC 三元组）保护，这三个目标也被称为CIA。
这三个方面对我们的企业是同等重要的，只是有些时候在不同的场景下侧重点不同。例如：情报机构比较关注机密性，金融机构比较关注于完整性，而提供电子商务的企业比较关注于可用性。
对于安全专业人员来说，我们需要把这三个方面整合到企业的安全保障体系中，并且平衡三者的关系。如果过多的关注可用性有时会破坏到机密性。过度强调完整性，例如过度的安全检测，可能会影响到可用性。因此，我们在应用安全技术时，一定要根据需求来平衡这三方面。
可用性（availability）
可用性意味着对信息实施了必要的安全措施，使得信息和系统能够被授权的实体，可靠、及时的访问到。可用性保护确保授权的用户，能够对数据和资源进行及时的和可靠的访问。网络设备、计算机和应用程序应当提供充分的功能，从而能够在可以接受的性能级别，以可预计的方式运行。它们应该能够以一种安全而快速的方式从崩溃中恢复，这样生产活动就不会受到负面影响。应该采取必要的保护措施消除来自内部或外部的威胁，这些威胁会影响所有业务处理元素的可用性及工作效率。
完整性（integrity）
完整性意味着对信息实施了必要的安全措施，阻止未授权的篡改和破坏，也包括信息的不可否认性和真实性。完整性指的是保证信息和系统准确和可靠，并禁止对数据的非授权更改。硬件、软件和通信机制必须协同工作，才能正确地维护和处理数据，并且能够在不被意外更改的情况下，将数据移动至预期的目的地。应当保护系统和网络免受外界的干扰和污染。
机密性（confidentiality）
机密性意味着对信息实施了必要的安全措施，防止未授权的访问和泄露，这些信息还包括个人隐私、敏感数据等。机密性确保在数据处理的每一个过程点上，都实施了必要级别的安全保护，并阻止未经授权的信息披露。在数据存储到网络内部的系统和设备上时，在数据传输的时候，以及在数据到达目的地之后，这种级别的保密都应该发挥作用。
安全控制措施
AIC三元组原则看似简单，而实际上要满足其要求却极具挑战，下面列出AIC三元组对应的一些安全控制措施项：
可用性:
独立磁盘冗余阵列（Redundant Array of Independent Disk , RAID）
群集
负载均衡
冗余数据和电源线
软件和数据备份
磁盘映像
co-location和异地备用设施
回滚功能
故障切换配置
完整性：
散列（数据完整性）
配置管理（系统完整性）
变更控制（进程完整性）
访问控制（物理的和技术的）
软件数字签名
传输循环冗余校验（Cyclic Redundancy Check, CRC）功能
机密性：
加密静止数据（整个磁盘、数据库加密）
加密传输（IPSec、TLS、PPTP、SSH）中的数据
访问控制（物理的和技术的）
