安全或者說是保密，並不是一個新鮮的話題。自古以來，人們就一直探討如何加強保密的手段。而在軍事活動當中則表現得最爲明顯，密碼的產生就歸結於戰爭中對機密信息傳遞的需要。那麼，到底安全是什麼，信息安全的概念怎樣理解呢？安全是有關你所不知道的東西的，你不可能求正一個負數……（101邏輯）就像我們不可能證明：“我們沒有侵入事件”、“沒有發生過未得到授權的訪問”、“證書的安全性不可能被危害”等等諸如此類的論斷。而我們經常提到的風險管理，就是如何去防範那些未發生、卻又可能發生的事件。即風險管理是有關理解和超越你所不知道的東西。
由於網絡的定義有許多種，所以各種關於網絡安全的定義也不同，有的定義說：網絡安全就是保護網上保存和流動的數據，不被他人偷看、竊取或修改，也有的認爲：網絡信息安全是指保護信息財產，以防止偶然的或未授權者對信息的泄漏、修改和破壞，從而導致信息的不可行或無法處理。根據分析問題的角度，可以從商業和技術兩個角度來描述網絡安全。
從商業角度看，安全是以一種使風險最小化的方式保護資產。從技術角度看又包括三個方面的內容：
其一，計算機安全，即計算機物理系統的良好狀態；
其二，信息安全，信息的良好狀態，該信息可能是存儲在某臺計算機上的；
其三，物理安全，物理環境的良好狀態，包括系統及用戶。
因此，網絡安全的一個比較完整的定義是：利用網絡管理控制和技術措施，保證在一個網絡環境裏，信息數據的機密性完整性及可使用性受到保護，網絡安全的主要目標是要確保經網絡傳送的信息，在到達目的地時沒有任何增加，改變，丟失或被非法讀取以及保證存儲於計算機硬件環境裏的數據、文件等信息資產不受到竊取、破壞或非法訪問。
在傳統的信息安全領域，關於安全有3個原則：即古老相傳的C.I.A原則。
C是指機密性。即確保信息不暴露給未授權的實體或進程。也就是說，是指網絡中有保密要求的信息只能供經過允許的人員，以經過允許的方式使用。
I是指完整性。只有得到允許的人才能修改數據，並且能夠判別出數據是否已被篡改。網絡中的信息安全、精確與有效，不因種種不安全因素而改變信息原有的內容、形式與流向。這應是我們評判的重中之重。因爲完整性的破壞是對網絡安全的主要危害。
A是指可用性。得到授權的實體在需要時訪問數據，即必須保證所有的資源不能被佔用而阻礙授權者的工作。網絡資源在需要時即可使用，不因系統故障或誤操作等使資源丟失或妨礙對資源的使用。網絡可用性還包括具有在某些不正常條件下繼續運行的能力。對網絡可用性的影響包括合法的用戶不能正常訪問網絡的資源和有嚴格時間要求的服務不能得到及時響應。
而在基於開放網絡的互聯網時代，安全的原則在PKI的3要素基礎上還必須加上一個非常重要的A，即認證（Authentication）。認證是判別訪問信息系統的用戶的權限，或者通過網絡進行通信的對方身份真實性的手段。
那麼，作爲網絡安全的一個課題，我們要保護的對象到底有哪些呢？一個商業信息系統的運行依賴於硬件、操作系統、應用軟件、外圍設備、通訊設備等多種要素所構成的信息網絡環境。可以說，成功的破壞上述任何一種，將危及系統及存儲在系統上的信息的安全。所以說我們的網絡安全工程的實施，應該包含以下幾個方面：
1）網絡實體安全。
如計算機機房的物理條件、物理環境及設施的安全標準，計算機硬件、附屬設備及網絡傳輸線路的安裝及配置等。
2）軟件安全。
如保護網絡系統不被非法侵入，系統軟件與應用軟件不被非法複製、篡改、不受病毒的侵害等。
3）網絡中的數據安全。
如保護存儲或傳輸於網絡當中的信息的數據安全，不被非法存取，保護其完整、一致等。
可以說，我們實現任何的安全功能都是梳理用戶訪問某個資源的特定的規程的規範，即：向主體（人，應用軟件，系統，網絡，數據庫，等等）提供對受保護的資源（目標）的訪問權。如果上述CIA要素哪一個出現問題的話，就會導致信息數據的丟失、損壞或被竊取，都不能保證互聯網上的信息的安全性。然而，我們必須注意到大部分信息系統是不夠安全的。因爲計算機硬件和網絡設備的運行是建立在人工編寫的軟件的基礎之上。各種安全方面的疏忽是不可避免的。同時，因爲網絡原理先天性的互聯、共享的特點，就決定了大部分計算機系統是不安全的。在1994年美國政府曾經對美國國防部的9000個大小系統進行了一項暗中安全測試，結果，測試後所作的弱點評估發現：88%的系統可以利用***手段非法侵入；95%的***行爲自始至終沒有被相關人員覺察；只有5%被探測到的***行爲彙報到了責任部門。
同時，CSIFBI有關“頻繁的***點”的研究發現，作爲調查對象的國際互聯網系統在2000年有59%的系統在沒有任何覺察的情況下被***。而到了2001年這個比率更是上升到了79%。從以上實例我們可以看出，大部分的系統的安全性是非常差的。所以，我們可以認識到安全不是某一個點的問題，而必須是由一系列的環節組成的安全體系。而其核心就是加密與認證。