Ma sok, az informatikai biztonsághoz kapcsolódó kifejezés használata terjedt el ennek a fogalomkörnek a lefedéseként vagy részeként. Ilyenek például:

• adatvédelem,
• adatbiztonság,
• információbiztonság,
• információvédelem,
• informatikai biztonság,
• megbízható működés, stb.

Célszerűnek látszik pontosabban értelmezni az informatikai biztonságot. Először kicsit távolabbról indulva az informatikai biztonság alapproblémájának megfogalmazását legszemléletesebben a játékelmélet segítségével adhatjuk meg. Az alapfelállás az, hogy a központban áll egy érték, az adatok által hordozott információ, amelyet az egyik oldalról támadnak, a másik oldalon az információk tulajdonosa pedig védi azt. Mindkét fél egymástól független, egymás számára ismeretlen stratégiával igyekszik megvalósítani támadási, illetve védelmi szándékait. A játékelmélet nyelvén ez a szituáció a "két személyes, nullától különböző összegű játékkal" modellezhető, amelyben a támadókat és a védőket egyszerűsítéssel egy-egy személy testesíti meg, akik egymás szándékairól semmilyen vagy nagyon hiányos információkkal rendelkeznek. A játék kimenetele abban az értelemben nullától különböző, hogy a védő mindig többet veszít, mint amit a támadó nyer.

A biztonság megfelelő mértékét e modell alapján pontosabban meg tudjuk fogalmazni, ha kicsit jobban szemügyre vesszük a támadó költségeinek, illetve nyereségének és a védő költségeinek egyenlegét.

Hangsúlyozni szeretnénk, hogy a sikeres támadások kára, illetve haszna itt szélesebb (politikai, erkölcsi, üzleti, stb.) és nem csak a szűken vett anyagi értemet veszi fel.

A biztonság akkor kielégítő mértékű, ha a védelemre akkora összeget és olymódon fordítunk, hogy ezzel egyidejűleg a támadások kárvonzata, pontosabban a kockázata (kárérték * bekövetkezési gyakoriság) az elviselhető szint alá süllyed, azaz a nem nulla összegű játék eredménye a nullához közelít a támadó egyenlegét konstansnak feltételezve.

Hangsúlyozzuk, hogy a védelemre fordított költségeknek nemcsak az összege, hanem a ráfordítás módja is lényeges, azaz a védelmet teljes körűen és zártan kell kialakítani. A ráfordítás mértékét az elviselhető kockázat mértéke szabja meg, amelyet a kárérték és a bekövetkezési gyakoriság osztályok alapján felállított kockázati mátrixban kijelölt elviselhetőségi határ szabja meg. Ezt a határt minden szervezet informatikai biztonsági vizsgálatánál egyedileg kell meghatározni.

A biztonság általánosabb megfogalmazása után térjünk rá konkrétan az informatikai biztonság gyakorlati szintű modelljére, amelyben a támadás, illetve a védelem alapvető tárgya az adat, amely az információkat hordozza. A támadások azonban nem közvetlenül érik az adatokat, hanem az azokat "körülvevő" rendszerelemeken (pl. a hardver és/vagy szoftver elemeken, a környezeti infrastruktúrán) keresztül. A támadás alatt nem csak az adatok bizalmasságát, sértetlenségét, hitelességét veszélyeztető akciókat kell érteni, hanem minden olyan fenyegetést is, amely a rendszer megbízható működését, ezáltal az adatok rendelkezésre állását és a funkcionális követelményeknek megfelelő felhasználásukat veszélyezteti.

Az adatot, mint a támadások alapvető célját a következő rendszerelemek veszik körül:

• az informatikai rendszer fizikai környezete és infrastruktúrája,
• hardver rendszer,
• szoftver rendszer,
• kommunikációs, hálózati rendszerek
• adathordozók,
• dokumentumok és dokumentáció,
• személyi környezet (külső és belső).

E rendszerelemekre különböző fenyegetések hatnak, amelyek a rendszerelemek meghatározott láncán keresztül az adatokat veszélyeztetik. Így a védelmi intézkedések is közvetlenül a rendszerelemekhez kapcsolódnak. Ha az összes fenyegetésnek kitett rendszerelemet a kockázattal arányosan kiépített védelemmel látjuk el úgy, hogy közben figyelembe vesszük a különböző védelmi intézkedések sokszor egymást erősítő hatását is, akkor az informatikai biztonságot olyan szintre emeltük, amelynél az adott valószínűségű támadások mellett a káresemények bekövetkezésének valószínűsége lényegesen alacsonyabb, azaz a kockázat elviselhető mértékű, de soha nem nulla.

A következő ábra ezt a gyakorlati szintű modellt ábrázolja, amelyen rajztechnikai okok miatt csak néhány jellemző fenyegetést tüntettünk fel.

Ezek után az informatikai biztonságot úgy határozhatjuk meg, hogy az az állapot amikor az informatikai rendszer védelme - a rendszer által kezelt adatok bizalmassága, hitelessége, sértetlensége és rendelkezésre állása, illetve a rendszerelemek rendelkezésre állása és funkcionalitása szempontjából - zárt, teljes körű, folyamatos és a kockázatokkal arányos.

• Teljes körű védelem alatt azt értjük, hogy a védelmi intézkedések az rendszer összes elemére kiterjednek.
• Zárt védelemről az összes releváns fenyegetést figyelembe vevő védelem esetén beszélünk.
• A folyamatos védelem az időben változó körülmények és viszonyok ellenére is megszakítás nélkül megvalósul.
• A kockázattal arányos védelem esetén egy kellően nagy időintervallumban a védelem költségei arányosak a potenciális kárértékkel. Ezt az arányt a biztonságpolitika határozza meg, és mint a védelem erősségét is értékelhetjük. A védelem akkor kielégítő erősségű (mértékű), ha a védelemre akkora összeget és olyan módon fordítanak, hogy ezzel egyidejűleg a releváns fenyegetésekből eredő kockázat (kárérték × bekövetkezési gyakoriság) a szervezet számára még elviselhető szintű vagy annál kisebb.

Hangsúlyozzuk, hogy a védelemre fordított költségeknek nemcsak az összege, hanem a ráfordítás módja is lényeges, azaz a védelmet teljes körűen és zártan kell kialakítani. A ráfordítás mértékét az elviselhető kockázat mértéke szabja meg, amelyet a kárérték és a bekövetkezési gyakoriság alapján meghatározott elviselhetőségi határ determinál. Ezt a határt minden szervezetnek egyedileg kell meghatároznia.

A gyakorlatban sok esetben egy védelmi intézkedésnek a megcélzott rendszerelemen kívül más rendszerelem vonatkozásában is van erősítő vagy gyengítő hatása, pl. egy erős fizikai védelmi intézkedés mellett az adott biztonsági tartományban nem szükséges olyan szintű azonosítási és hitelesítési eljárás a számítógéprendszerben, mint anélkül, vagy a biztonsági naplózás alkalmazásánál mindig figyelembe kell venni, hogy az, hogyan hat a felhasználói funkciók hatékonyságára (pl. a válaszidőre). Egy rendszerelemre vonatkozóan elsődlegesen alkalmazott intézkedések más rendszerelemekre ható járulékos hatását szinergikus hatásként vesszük számításba.

Ha a védelmi intézkedések szinergikus hatását figyelmen kívül hagyjuk, akkor egy teljes körű, zárt, folyamatos és kockázatokkal arányos védelmi rendszert egyenszilárdságúnak tekinthetünk, mert az intézkedések minden rendszerelemre nézve pontosan a kockázatokkal arányosak lesznek úgy, hogy közben minden releváns fenyegetés figyelembevételre került.

Ha azonban az intézkedések szinergikus hatását figyelembe vesszük, akkor egy adott rendszerelemre az elsődleges intézkedés és a többi intézkedés szinergikus hatásának eredője pozitív vagy negatív irányban a kockázat-arányostól el fog térni. Tehát ebben az esetben egyenszilárdságú védelmi rendszert akkor tudunk kialakítani, ha ezeket a "torzító" szinergikus hatásokat úgy korrigáljuk, hogy a kockázattal arányos védelmi szint minden rendszerelemre megvalósul. Tekintve, hogy a védelmi intézkedések szinergikus hatása gyakorlatban egzakt módon a legtöbb esetben nagyon nehezen mérhető, ezért csak megfelelő tapasztalat birtokában, heurisztikus módszerrel lehet az egyenszilárdságot megközelíteni.

Az informatikai biztonság két alapterületet foglal magába:

• információvédelem, amely az adatok által hordozott információk sértetlenségének, hitelességének és bizalmasságának elvesztését hivatott megakadályozni.
• az informatikai rendszer megbízható működése területét, amely az adatok rendelkezésre állását és a hozzájuk kapcsolódó alkalmazói rendszerek funkcionalitását hivatott biztosítani.

Az információvédelem helyett helyesebb lenne az adatvédelem kifejezést használni, de ez a fogalom a személyes adatok védelméről szóló törvény létéből adódóan az adatok egy szűkebb körére, a személyes adatok védelmével kapcsolatosan használt. Ennek ellenére ma is sokan használják az adatvédelem kifejezést az adatok szélesebb értelmében véve, sőt sok esetben még a megbízható működés területét is beleértik. E félreértést elkerülendő használjuk az informatikai biztonságon belül az információvédelmet, amely ebben az összefüggésben az informatikai rendszerben kezelt összes adat által hordozott információ védelmét jelenti.

Ugyanakkor létezik az információvédelemnek egy szélesebb értelmezése, amely szerint mind a hagyományos eszközökkel (papír, telefon, szóbeli közlés, stb.), mind az informatikai eszközökkel kezelt adatok halmaza beletartozik, amit viszont helyesebben információbiztonságnak nevezünk.

A védelmi intézkedéseknek ki kell terjedniük a fizikai, a logikai és az adminisztratív védelem területeire.