近年来信息安全事件呈现产业化、规模化趋势，暴露出企业和单位防护体系的致命短板：
1、★ 医疗行业：（来源于法治日报法治网）哈尔滨某医院因第三方运维人员使用弱密码登录系统，导致约20GB患者诊疗记录被窃取，被挂在暗网以比特币标价售卖。警方通报显示，泄露数据包含患者姓名、诊断记录及联系方式；
2、 ★教育领域：（来源于“南昌网警巡查执法”官方公号）南昌某高校因未建立数据安全管理制度，导致存储的3000余万条师生信息（含教职工、学生、缴费记录）被黑客入侵，其中3万余条敏感数据在境外暗网售卖；
3、 ★零售行业：（来源于某奢侈品官方短信）某奢侈品电商数据库因遭到未经授权的访问，导致部分客户姓名、性别、手机号码、电子邮箱、邮寄地址、消费金额及偏好等敏感信息泄露。
这些事件直指一个核心问题：
70%的数据泄露始于基础安全防护缺失。
GB/T 25000.51-2016《系统与软件工程 系统与软件质量要求和评价（SquaRE） 第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》标准中信息安全性提出的保密性、完整性、抗抵赖性、可核查性、真实性及信息安全性的依从性共六大特性，恰为企业和单位构建纵深防御体系提供了优秀的系统性框架，能为企业和单位所开发或所使用的软件提供基础的数据安全防护。
↓ ↓ ↓
GB/T 25000.51-2016中
有关信息安全性的要点解读：
01. 保密性（Confidentiality）
标准要求：确保数据仅被授权访问，涵盖传输加密、存储加密和访问控制。
典型案例：某医疗系统因未启用TLS加密，导致患者数据在传输中被中间人窃取。某电商平台后台管理界面未设置IP白名单，遭攻击者暴力破解弱口令后泄露用户隐私。
关键点：验证是否使用TLS 1.2+协议（禁用SSLv3）；
检查敏感数据存储是否采用AES等强加密算法；
权限分配需遵循最小权限原则，避免垂直/水平越权。
02. 完整性（Integrity）
标准要求：防止数据未授权篡改，需具备校验机制与恢复能力。
典型案例：某银行系统因未校验交易数据签名，遭中间人篡改转账金额。某政务平台数据库约束缺失，攻击者通过SQL注入篡改审批结果。
关键点：数据传输需使用SHA-3等安全哈希或数字签名；
数据库需启用外键约束和事务回滚机制；
定期验证备份数据的可恢复性。
03. 抗抵赖性（Non-repudiation）
标准要求：操作不可否认，需记录审计日志并支持数字签名。
典型案例：某P2P平台因未记录资金操作日志，无法追溯异常提现责任人。某合同管理系统未对签署行为启用时间戳，导致法律纠纷。
关键点：关键操作（如支付、审批）需强制数字签名；
审计日志需包含操作用户、操作时间、操作类型、操作结果等字段，且防篡改和不可删除。
04. 可核查性（Accountability）
标准要求：行为可追溯至具体实体，需具备完备的审计跟踪。
典型案例：某云服务商因日志存储周期不足30天，无法配合警方调查数据泄露事件。某医院HIS系统未关联操作与实名账号，导致内部人员违规查询病历无法追责。
关键点：日志需集中存储且保留至少6个月；
审计日志需包含所有用户的所有关键操作。
05. 真实性（Authenticity）
标准要求：严格验证用户身份，避免仿冒或匿名访问。
典型案例：某社交APP因未强制实名认证，滋生大量虚假账号进行诈骗。某OA系统会话令牌未绑定设备指纹，遭劫持后冒用身份。
关键点：敏感操作需二次认证（如短信验证）；
禁用默认账号（如admin/test）且要求真实的实名制。
06. 依从性（Compliance）
标准要求：依据特定需求进行特定的相关文案参考确认或测试
典型内容：某医疗器械软件对于安全方面还需要能够防止常见高危安全漏洞（如SQL注入、越权、敏感信息泄露漏洞等）。
★★★总的来说，信息安全性的保密性、完整性、抗抵赖性、可核查性、真实性和依从性六大特性共同构成基础纵深防御体系：技术层面：
技术层面：
加密、签名、日志等技术实现；
管理层面：
权限、审计、合规等流程控制。
信息安全是软件质量的基石，更是企业数字化的护城河。武汉安域信息安全技术有限公司作为同时具备等保测评（网络安全等级保护）与密评（商用密码应用安全性评估）及CMA/CNAS软件测试资质的第三方检测机构，我们深知GB/T 25000.51-2016标准中信息安全性的六大子特性（保密性、完整性、抗抵赖性、可核查性、真实性及依从性）不仅是合规要求，更是企业规避数据泄露、保障用户信任的关键防线。
