miniatura|Màquina Enigma utilitzada per xifrar informació per les forces d'Alemanya durant la Segona Guerra Mundial.
La seguretat de la informació és el conjunt de mesures preventives, reactives i correctives de les organitzacions i dels sistemes tecnològics que permeten protegir la informació buscant mantenir la confidencialitat, la disponibilitat i integritat d'aquesta.
El concepte de seguretat de la informació no ha de ser confós amb el de seguretat informàtica, ja que aquest últim només s'encarrega de la seguretat en el mitjà informàtic, però la informació pot trobar-se en diferents mitjans o formes, i no solament en mitjans informàtics.
Per a l'home com a individu, la seguretat de la informació té un efecte significatiu respecte al seu privadesa, la que pot cobrar diferents dimensions depenent de la cultura d'aquest.
El camp de la seguretat de la informació ha crescut i evolucionat considerablement a partir de la Segona Guerra Mundial, convertint-se en una carrera acreditada a nivell mundial. Aquest camp ofereix moltes àrees d'especialització, inclosos l'auditoria de sistemes d'informació, planificació de la continuïtat del negoci, ciència forense digital i administració de sistemes de gestió de seguretat, entre d'altres.
Història de la seguretat de la informació La història de la seguretat de la informació comença amb la necessitat que tenia l'ésser humà de protegir les instal·lacions locals, el maquinari dels ordinadors (hardware) i el seu programari (software) de les possibles amenaces (definició de seguretat informàtica) quan, durant la Segona Guerra Mundial, els primers programaris eren utilitzats com transmissors del codi comunicatiu. Eren diferents nivells de seguretat els que s'utilitzaven per protegir aquestes instal·lacions informàtiques i els arxius que aquestes contenien: per exemple, per accedir informació que il·lustrava diferents posicions militars estratègiques s'havien de passar múltiples controls de plaques, claus i reconeixement facial per part de guàrdies de seguretat autoritzats. Aquests mètodes de seguretat i protecció informàtica van anar convertint-se en uns altres més complexos i amb una tecnologia més sofisticada quan la necessitat de mantenir la nació segura es feia cada cop més present.
Els primers mètodes de seguretat informativa eren senzills; eres mètodes que partien de seguretat física i de simples sistemes de classificació de personal amb una documentació específica. Aquests mètodes estaven a l'altura de les primeres amenaces que van sorgir: robatori dels equips computacionals, espionatge contra la informació de la maquinària i sabotatge.
Dècada 1960 Durant la Guerra Freda, el nombre d'instal·lacions informàtiques que gaudien d'una connexió online, capaços de complir tasques més complexes i sofisticades, va començar a augmentar, davant la necessitat que es tenia d'habilitar una via comunicativa entre dues centrals computacionals menys incòmoda que la que es tenia fins aleshores (s'enviaven cintes magnètiques entre centrals). L'Agència d'Investigacions de Projectes Avançats de Defensa (en anglès, Advanced Research Projects Agency, ARPA), davant aquesta necessitat, va començar a examinar la viabilitat d'un sistema de comunicacions a la xarxa redundant. Va ser Larry Roberts, conegut com el fundador d'internet, qui va començar i desenvolupar aquest projecte, el qual va anomenar ARPANET (actualment conegut com el predecessor de l'internet).
Dècades 1970 i 1980 Durant els anys 70 l'ús de l'ARPANET va créixer potencialment, així com el seu mal ús. Va ser al desembre de 1973 quan un dels precursors del desenvolupament de l'Ethernet, Robert M. ‘’Bob’’ Metcalfe, va diagnosticar seriosos problemes de seguretat al seu projecte: usuaris no autoritzats podien arribar a certs arxius d'altres usuaris individuals per no tenir el suficient control i protecció dels seus arxius, les contrasenyes i claus eren vulnerables, existia una falta de procediments de seguretat durant connexions telefòniques, no existia una identificació ni autorització d'usuaris prèvia al connectar-se a la xarxa... Si els números de telèfon es publicaven, el risc de tenir l'ARPANET hackejat era alt. Va ser al 1978, quan ja no es parlava de seguretat de la xarxa sino d'inseguretat a la xarxa, quan un estudi anomenat ‘’Protection Analysis: Final Report’’ va ser publicat. En ell se centraven tots els errors de seguretat que es presentaven a la xarxa d'ARPANET. El Departament de Defensa va patrocinar el ‘’Rand Report R-609’’, un paper classificat durant deu anys que llistava els diferents mecanismes i controls possibles per la protecció física de la informàtica i la computació. A la primavera de 1967 la seguretat informàtica va captar l'atenció de diferents investigadors, per qüestions militars i de defensa, i l'octubre d'aquell mateix any l'Agència d'Investigacions de Projectes Avançats de Defensa va crear un mètode que proporcionava un sistema amb la seguretat necessària per la protecció d'arxius classificats. Aquestes noves reformes de la seguretat van formar part del ja anomenat "Rand Report R-609", el qual va marcar història, doncs, a més de protegir les localitzacions físiques informàtiques, també garantien una seguretat dels arxius, limitaven l'accés a tots aquells usuaris que no tenien autorització a arribar a aquests arxius i involucrava a diferents nivells de personal de seguretat en la protecció d'aquests.
La majoria dels recents estudis sobre seguretat de la informació asseguren que el primer sistema operatiu integrat que aportaven un cert grau de seguretat va ser l'anomenat amb les sigles MULTICS (en anglès, Multiplexed Information and Compuing Service). Després d'ell va arribar un de més útil, l'UNIX, el qual portava incorporat la funció de posar constrasenya als ordinadors.
Va ser als finals dels anys 70 que l'ordinador arribava a totes les cases, amb la seva variant de l'ordinador personal (PC), el qual va provocar una descentralització de la informàtica i va potenciar la interconnectivitat entre ordinadors, cosa que va portar noves formes d'amenaça.
Dècada 1990 A finals del segle 20 va tenir lloc la normalització d‘ordinadors amb xarxes i la possible connexió entre ells. És aquí quan sorgeix un internet, la primera xarxa global de xarxes, ja disponible pel públic general (no només per al govern, l'acadèmia i els professionals que es dedicaven al seu desenvolupament, com passava amb anterioritat). L'internet arribava a tots aquells ordinadors que es podien connectar a una xarxa telefònica o una xarxa d'àrea local (LAN). Va ser en aquesta dècada quan la tecnologia comença a ser un fenomen penetrant i expandit per tot el voltant del globus, la qual deixà pas a la comercialització de l'internet.
L'internet va ser, ja al principi, una xarxa d'interconnexió entre milions de xarxes basades en estàndards de facto, els quals es van adaptar a la indústria però no es preocupaven gaire per la seguretat de la informació. Abans de fer negoci d'aquesta xarxa de xarxes, quan només era utilitzada per científics del sector, ni una mínima seguretat (autentificació del mail, encriptació dels missatges...) semblava necessària. La seguretat no era una prioritat; i són, de fet, molts problemes que trobem avui dia a l'intenet fruit de la no preocupació de seguretat d'aquesta època. Mentre els ordinadors amb xarxa anaven convertint-se en la base de la informàtica, la seguretat física d'aquests va anar deixant de ser en voltant del hardware i el lloc on es trobaven, deixant l'emmagatzematge de les dades vulnerables davant les amenaces.
2000 – Present Actualment, l'internet està replet de xarxes informàtiques en cert grau insegures que es troben en contínua comunicació entre elles i altres. Positivament, la seguretat de la informació que trobem emmagatzemada en un ordinador és contingent en el nivell de seguretat de qualsevol altre sistema al qual estigui connectat. En els últims anys s'han pogut veure avanços a la seguretat de la tecnologia informàtica, seguint relacionant-la amb la seguretat nacional, motivats per l'evolució de les amenaces que han sigut presentades. El continu perill d'amenaça d'un atac cibernètic ha fet preocupar a governs i grans companyies, cosa que ha provocat la instal·lació de nombrosos sistemes de control de serveis públics controlats mitjançant ordinador i altres tipus d'infraestructura crítica. També hi ha un augment de preocupació per part dels estats o nacions que participen en la guerra d'informació, doncs existeix la possibilitat de convertir-se en víctimes si es troben indefensos en el camp del tràfic i emmagatzemament d'informació.
Concepció de la seguretat de la informació En la seguretat de la informació és important assenyalar que el seu maneig està basat a la tecnologia i devem saber que pot ser confidencial: la informació està centralitzada i pot tenir un alt valor. Pot ser divulgada, mal utilitzada, ser robada, esborrada o sabotejada. Això afecta la seva disponibilitat i la posa en risc. La informació és poder, i segons les possibilitats estratègiques que ofereix tenir accés a certa informació, aquesta es classifica com: Crítica: És indispensable per a l'operació de l'empresa. Valuosa: És un actiu de l'empresa i molt valuós. Sensible: Deu ser coneguda per les persones autoritzades Existeixen dues paraules molt importants que són risc i seguretat: Risc: És la materialització de vulnerabilitats identificades, associades amb la seva probabilitat d'ocurrència, amenaces exposades, així com l'impacte negatiu que ocasioni a les operacions de negoci. Seguretat: És una forma de protecció contra els riscos.
La seguretat de la informació comprèn diversos aspectes entre ells la disponibilitat, comunicació, identificació de problemes, anàlisis de riscos, la integritat, confidencialitat, recuperació dels riscos.
Precisament la reducció o eliminació de riscos associat a una certa informació és l'objecte de la seguretat de la informació i la seguretat informàtica. Més concretament, la seguretat de la informació té com a objecte els sistemes l'accés, ús, divulgació, interrupció o destrucció no autoritzada d'informació.44 O.S.C § 3542 (b)(1) (2006) Els termes seguretat de la informació, seguretat informàtica i garantia de la informació són usats freqüentment com a sinònims perquè tots persegueixen la mateixa finalitat de protegir la confidencialitat, integritat i disponibilitat de la informació. No obstant això, no són exactament el mateix. Aquestes diferències rauen principalment en l'enfocament, les metodologies utilitzades, i les zones de concentració. A més, la seguretat de la informació involucra la implementació d'estratègies que cobreixin els processos on la informació és l'actiu primordial. Aquestes estratègies han de tenir com a punt primordial l'establiment de polítiques, controls de seguretat, tecnologies i procediments per detectar amenaces que puguin explotar vulnerabilitats i que posin en risc aquest actiu, és a dir, que ajudin a protegir i salvaguardar tant informació com els sistemes que l'emmagatzemen i administren. La seguretat de la informació incumbeix a governs, entitats militars, institucions financeres, els hospitals i les empreses privades amb informació confidencial sobre els seus empleats, clients, productes, investigació i la seva situació financera.
En cas que la informació confidencial d'una empresa, els seus clients, les seves decisions, el seu estat financer o nova línia de productes caiguin en mans d'un competidor; es torni pública de forma no autoritzada, podria ser causa de la pèrdua de credibilitat dels clients, pèrdua de negocis, demandes legals o fins i tot la fallida d'aquesta.
Per més de vint anys la Seguretat de la Informació ha declarat que la confidencialitat, integritat i disponibilitat (coneguda com la Tríade CIA, de l'anglès: "Confidentiality, Integrity, Availability") són els principis bàsics de la seguretat de la informació.