信息系统安全定义为：确保以电磁信号为主要形式的，在信息网络系统进行通信、处理和使用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的保密性、完整性、可用性和不可抵赖性，以及与网络、环境有关的技术安全、结构安全和管理安全的总和。其中保密性、完整性和可用性是信息系统安全的基本属性。最初对信息系统的安全优先考虑的是可用性，随后是保密性和完整性，后来又增加了真实性和不可抵赖性，再后来又有人提出可控性、不可否认性等等。

安全属性也扩展到5个：保密性、完整性、可用性、真实性和不可抵赖性。要实现具有这么多安全属性、并达到相互之间平衡的信息系统近乎是件不可能的任务，以至于后来的通用评估准则(CC，ISO／IECl5408，GB／T18336)和风险管理准则 (BS7799，ISO／IEC27001)都直接以安全对象所面临的风险为出发点来分别研究信息安全产品和信息系统安全，针对每一风险来采取措施，其终极安全目标是要保护信息资产的安全，保障业务系统的连续运行。