《信息安全意识》由会员分享，可在线阅读，更多相关《信息安全意识（66页珍藏版）》请在金锄头文库上搜索。
1、1 1 信息安全意识培训 2 1 2 3 什么是信息安全？ 信息安全基本概念 主要内容 如何保护好信息安全 3 装有100万的 保险箱 需要 3个悍匪 、 公司损失 ： 100万 装有客户信息的 电脑 只要 1个商业间谍、 1个U盘，就能偷走。 公司损失：公司损失： 所有客户！所有客户！ 1辆车，才能偷走 。 4 什么是信息安全？ 不止有产品、技术才是信息安全 5 信息安全无处不在 信息安全信息安全 人员人员 安全安全 物理物理 安全安全 事件事件 管理管理 安全安全 策略策略法律 法律 合规合规 开发开发 安全安全 安全安全 组织组织 资产资产 管理管理 业务业务 连续连续 网络网络 安全安
2、全 访问访问 控制控制 广义上讲 领领域 涉及到信息的保密性，完整性，可用性，真 实实性，可控性的相关技术术和理论论。 本质上 1. 保护护 系统统的硬件，软软件，数据 2. 防止 系统统和数据遭受破坏，更改，泄露 3. 保证证 系统连续统连续 可靠正常地运行，服务务不中断 两个层面 1. 技术层术层 面 防止外部用户户的非法入侵 2. 管理层层面 内部员员工的教育和管理 6 信息安全的定义 7 信息安全基本目标 保密性，保密性， 完整性，完整性， 可用性可用性 C C I I A A onfidentiality onfidentiality ntegrityntegrity vailabi
3、lityvailability CIACIA 一个软件公司的老总，等他所有的员工下班之 后，他在那里想：我的企业到底值多少钱呢？假如 它的企业市值1亿，那么此时此刻，他的企业就值 2600万。 因为据Delphi公司统计，公司价值的26%体现 在固定资产和一些文档上，而高达42%的价值是存 储在员工的脑子里，而这些信息的保护没有任何一 款产品可以做得到，所以需要我们建立信息安全管 理体系，也就是常说的ISMS（information security management system）！ 8 怎样搞好信息安全？ 9 绝对的安全是不存在的 绝对的零风险是不存在的，要想实现零风险，也是不现实的；
4、 计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大 ，一般来说，需要在安全性和可用性，以及安全性和成本投入之间做 一种平衡。 在计算机安全领域有一句格言：“真正安 全的计算机是拔下网线，断掉电源，放置在 地下掩体的保险柜中，并在掩体内充满毒气 ，在掩体外安排士兵守卫。” 显然，这样的计算机是无法使用的。 信息安全事件 泄密事件 点评 1 “棱镜门”事件 斯诺登充分暴露NSA的信息窃密手段，对世界信息安全 及信息化格局产生深远影响。 2 英国离岸金融业200多万份 邮件等文件泄密 范围涉及170个国家13万富豪，是具有重大影响的金融 安全事件。 3 支付宝转账信息被谷歌抓 取 作为国
5、内使用最广泛的支付平台，影响面大，是互联网 金融安全的典型案例。 4 如家等快捷酒店开房记录 泄露 涉及个人深度隐私，影响部分人家庭团结和社会稳定。 5 中国人寿80万份保单信息 泄密 保单信息包含详尽的个人隐私信息，对个人声誉及生活 影响大。 6 搜狗手机输入法漏洞导致 大量用户信息泄露 移动应用漏洞利用导致泄密情况值得警惕，微信漏洞泄 密个人关系图谱也证明该问题。 7 Adobe 300万账户隐私信息 泄露 云计算方式会将软件单个漏洞影响扩大化。 8 雅虎日本再遭入侵 2200万 用户信息被窃取 二次泄密，国际巨头对用户隐私也持漠视态度。 9 圆通百万客户信息遭泄露 快递行业信息泄密愈演愈
6、烈。 1 0 东航等航空公司疑泄露乘 客信息 泄露用户行程，不少用户反映受诈骗和影响行程安排， 影响出行安全。 网友总结的2013年十大信息安全事件 支付宝转账信息被谷歌抓取，直接搜索“site: ” 就能搜到转账信息，数量超过2000条。 13 这样的事情还有很多 信信 息息 安安 全全 迫迫 在在 眉眉 睫！睫！ 从从身边身边做起做起 良好良好的安全的安全习惯习惯 15 重要信息的保密重要信息的保密 重要信息的保密重要信息的保密 工作环境及物理安全要求工作环境及物理安全要求 防范病毒和恶意代码防范病毒和恶意代码 口令安全口令安全 电子邮件安全电子邮件安全 介质安全管理介质安全管理 软件应用
7、安全软件应用安全 计算机及网络访问安全计算机及网络访问安全 移动计算与远程办公移动计算与远程办公 警惕社会工程学警惕社会工程学 16 PublicPublic公公 开开 Internal UseInternal Use内内 部公开部公开 ConfidencialConfidencial 秘密秘密 SecretSecret机密、绝密机密、绝密 信息信息保密级别保密级别划分划分 17 u u 各类信息，无论电子还是纸质，在标注、授权、访问、各类信息，无论电子还是纸质，在标注、授权、访问、 存储、拷贝、传真、内部和外部分发（包括第三方转交存储、拷贝、传真、内部和外部分发（包括第三方转交 ）、传输、处
8、理等各个环节，都应该遵守既定策略）、传输、处理等各个环节，都应该遵守既定策略 u u 信息分类管理程序只约定要求和原则，具体控制和实现信息分类管理程序只约定要求和原则，具体控制和实现 方式，由信息属主或相关部门确定，以遵守最佳实践和方式，由信息属主或相关部门确定，以遵守最佳实践和 法律法规为参照法律法规为参照 u u 凡违反程序规定的行为，酌情予以纪律处分凡违反程序规定的行为，酌情予以纪律处分 案例视频案例视频 信息信息处理处理与与保护保护 18 工作环境及物理安全工作环境及物理安全 重要信息的保密重要信息的保密 工作环境及物理安全要求工作环境及物理安全要求 防范病毒和恶意代码防范病毒和恶意代
9、码 口令安全口令安全 电子邮件安全电子邮件安全 介质安全管理介质安全管理 软件应用安全软件应用安全 计算机及网络访问安全计算机及网络访问安全 移动计算与远程办公移动计算与远程办公 警惕社会工程学警惕社会工程学 19 u u 禁止随意放置或丢弃含有敏感信息的纸质文件，废弃文件需用碎纸禁止随意放置或丢弃含有敏感信息的纸质文件，废弃文件需用碎纸 机粉碎机粉碎 u u 废弃或待修磁介质转交他人时应经废弃或待修磁介质转交他人时应经ITIT专业管理部门消磁处理专业管理部门消磁处理 u u在复印机复印完成后，带走全部的复印材料在复印机复印完成后，带走全部的复印材料 u u等等等等 工作环境工作环境安全安全
10、20 注意你的身边！ 注意最细微的地方！ 21 您肯定用过银行的您肯定用过银行的ATMATM机，您机，您 插入银行卡，然后输入密码，插入银行卡，然后输入密码， 然后取钱，然后拔卡，然后离然后取钱，然后拔卡，然后离 开，您也许注意到您的旁边没开，您也许注意到您的旁边没 有别人，您很小心，可是，您有别人，您很小心，可是，您 真的足够小心吗？真的足够小心吗？ 我们来看一个我们来看一个案例案例 22 23 24 25 26 WIFI安全 WiFi是一种短程无线传输 技术，能够在数百英尺范围内支持互联网 接入的无线电 信号。随着技术的发展，以及IEEE802.11a、802.11b 、802.11g以及
11、802.11n等标准的出现，现在IEEE802.11这个标准 已被统称作WiFi。 第二次世界大战后，无线通讯因在军事上应用的成功而受到重 视，但缺乏广泛的通讯标 准。于是，IEEE（美国电气和电子工程师 协会）在1997年为无线局域网制定了第一个标准IEEE802.11。 IEEE 802.11标准最初主要用于解决办公室局域网和校园网中用户的 无线接入，其业务 主要限于数据存取，速率最高只能达到2Mbps。 在WiFi技术的发展过程中，除了传输 速率不断提升之外，安全加 密技术的不断增强也是其技术标 准频繁更新的重要原因。而最早进 入WiFi标准的加密技术名为WEP（Wired Equiva
12、lent Privacy，有线 等效保密），但由于该技术的加密功能过于脆弱，很快就被2003年 和2004年推出的WPA（WiFi Protected Access，WiFi网络安全存取 ）和WPA2技术所取代。 WIFI安全 但即使是较新的WPA2加密技术，仍然在无线开放环境下存 在安全性较弱、无法满足电信级高可靠性要求等问题 ，为此， 我国依据“商用密码管理条例”制定了针对 WiFi既有安全加密技术 漏洞自主安全标准WAPI（Wireless LAN Authentication and Privacy Infrastructure，无线网络鉴别 保密基础结 构）。 2009年6月，工信部
13、发布新政，宣布加装WAPI功能的手机可 入网检测 并获进 网许可。当月，包括美国代表在内的参会成员 一致同意，将WAPI作为无线局域网络接入安全机制独立标准形 式推进为 国际标 准。 WIFI安全视频 29 病毒与恶意代码病毒与恶意代码 重要信息的保密重要信息的保密 工作环境及物理安全要求工作环境及物理安全要求 防范病毒和恶意代码防范病毒和恶意代码 口令安全口令安全 电子邮件安全电子邮件安全 介质安全管理介质安全管理 软件应用安全软件应用安全 计算机及网络访问安全计算机及网络访问安全 移动计算与远程办公移动计算与远程办公 警惕社会工程学警惕社会工程学 30 中华人民共和国计算机信息系统安全保护
14、条例中华人民共和国计算机信息系统安全保护条例 “ “计算机病毒计算机病毒，是指编制或者在计算机，是指编制或者在计算机 程序中插入的破坏计算机功能或者毁坏数程序中插入的破坏计算机功能或者毁坏数 据，影响计算机使用，并能自我复制的一据，影响计算机使用，并能自我复制的一 组计算机指令或者程序代码。组计算机指令或者程序代码。” ” 什么是什么是计算机病毒计算机病毒 31 病毒病毒 VirusVirus 蠕虫蠕虫 WormWorm 木马木马 TrojanTrojan 传统的计算机病毒，具有自我繁殖能力，传统的计算机病毒，具有自我繁殖能力， 寄生于其他可执行程序中的，通过磁盘拷寄生于其他可执行程序中的，通
15、过磁盘拷 贝、文件共享、电子邮件等多种途径进行贝、文件共享、电子邮件等多种途径进行 扩散和感染扩散和感染 网络蠕虫不需借助其他可执行程序就能独立网络蠕虫不需借助其他可执行程序就能独立 存在并运行，通常利用网络中某些主机存在存在并运行，通常利用网络中某些主机存在 的漏洞来感染和扩散的漏洞来感染和扩散 特洛伊木马是一种传统的后门程序，它可特洛伊木马是一种传统的后门程序，它可 以冒充正常程序，截取敏感信息，或进行以冒充正常程序，截取敏感信息，或进行 其他非法的操作其他非法的操作 病毒病毒 蠕虫蠕虫 木马木马 32 u u 所有计算机必须部署指定的防病毒软件所有计算机必须部署指定的防病毒软件 u u
16、防病毒软件必须持续更新防病毒软件必须持续更新 u u 感染病毒的计算机必须从网络中隔离直至清除病毒感染病毒的计算机必须从网络中隔离直至清除病毒 u u 任何意图在内部网络创建或分发恶意代码的行为都被视为违反管理制任何意图在内部网络创建或分发恶意代码的行为都被视为违反管理制 度度 u u 发生任何病毒传播事件，相关人员应及时向发生任何病毒传播事件，相关人员应及时向ITIT管理部门汇报管理部门汇报 u u u u仅此就够了么仅此就够了么 恶意代码防范策略恶意代码防范策略 33 u u 除了蠕虫、病毒、木马等恶意代码除了蠕虫、病毒、木马等恶意代码，其他恶意代码还，其他恶意代码还 包括逻辑炸弹、远程控制后门等包括逻辑炸弹、远程控制后门等 u u 现在，传统的计算机病毒日益与网络蠕虫结合，发展现在，传统的计算机病毒日益与网络蠕虫结合，发展 成威力更为强大的混合型蠕虫病毒，传播途径更加多样成威力更为强大的混合型蠕虫病毒，传播途径更加多样 化（网络、邮件、网页、局域网等）化（网络、邮件、网页、局域
