1、信息安全意识培训信息安全意识培训集团IT中心/IT应用管理部 孙兴亚21234什么是信息安全？怎样搞好信息安全？信息产业发展现状主要内容信息安全基本概念3引言4什么是信息安全？不止有产品、技术才是信息安全不止有产品、技术才是信息安全5信息安全无处不在 一个软件公司的老总，等他所有的员工下班之一个软件公司的老总，等他所有的员工下班之后，他在那里想：我的企业到底值多少钱呢？后，他在那里想：我的企业到底值多少钱呢？假假如它的企业市值如它的企业市值1 1亿，那么此时此刻，他的企业就亿，那么此时此刻，他的企业就值值26002600万。万。因为据因为据DelphiDelphi公司统计，公司价值的公司统计，
2、公司价值的2626%体现体现在固定资产和一些文档上，而在固定资产和一些文档上，而高达高达4242%的价值是存的价值是存储在员工的脑子里，而这些信息的保护没有任何储在员工的脑子里，而这些信息的保护没有任何一款产品可以做得到一款产品可以做得到，所以需要我们建立信息安，所以需要我们建立信息安全管理体系，也就是常说的全管理体系，也就是常说的ISMSISMS！6怎样搞好信息安全？7信息在哪里？纸质文纸质文档档电子文档电子文档员工员工其他信息介质其他信息介质小问题：小问题：公司的信息都在哪里？8小测试：9答案解释：10这就是意识缺乏的两大这就是意识缺乏的两大不看重大公司，更看重小家庭。不看重大公司，更看重
3、小家庭。钞票更顺眼，信息无所谓。钞票更顺眼，信息无所谓。11思想上的转变（一）老板那里12WHY?信息安全搞好了信息安全搞好了信息安全搞砸了信息安全搞砸了公司赚钱了公司赚钱了领导笑了领导笑了领导怒了领导怒了公司赔钱了公司赔钱了你就你就“跌跌”了了你就你就“涨涨”了了13思想上的转变（二）信息比钞票更重要，信息比钞票更重要，更脆弱，我们更应该保护更脆弱，我们更应该保护它。它。14WHY?装有100万的 保险箱需要 3个悍匪、公司损失：100万装有客户信息的 电脑只要 1个商业间谍、1个U盘，就能偷走。1辆车，才能偷走。15典型案例16安全名言 公司的利益就是自己的利益，不保护公司公司的利益就是自
4、己的利益，不保护公司，就是不保护自己。，就是不保护自己。电脑不仅仅是工具，而是装有十分重要信电脑不仅仅是工具，而是装有十分重要信息的保险箱。息的保险箱。17绝对的安全是不存在的绝对的零风险是不存在的，要想实现零风险，也是不现实的；绝对的零风险是不存在的，要想实现零风险，也是不现实的；计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大，计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大，一般来说，需要在安全性和可用性，以及安全性和成本投入之间做一一般来说，需要在安全性和可用性，以及安全性和成本投入之间做一种平衡。种平衡。在计算机安全领域有一句格言：“真正真正安全的计算机是拔下
5、网线，断掉电源，放置安全的计算机是拔下网线，断掉电源，放置在地下掩体的保险柜中，并在掩体内充满毒在地下掩体的保险柜中，并在掩体内充满毒气，在掩体外安排士兵守卫。气，在掩体外安排士兵守卫。”显然，这样的计算机是无法使用的。18安全是一种平衡19安全是一种平衡安全控制的成本安全事件的损失最小化的总成本最小化的总成本低高高安全成本/损失所提供的安全水平关键是实现成本利益的平衡关键是实现成本利益的平衡信息的价值信息的价值=使用信息所获得的收益使用信息所获得的收益 获取信息所用成本获取信息所用成本信息具备了安全的保护特性信息具备了安全的保护特性20信息的价值广义上讲 领域领域 涉及到信息的保密性，完整性
6、，可用性，涉及到信息的保密性，完整性，可用性，真实性，可控性的相关技术和理论。真实性，可控性的相关技术和理论。本质上1.保护保护 系统的硬件，软件，数据系统的硬件，软件，数据2.防止防止 系统和数据遭受破坏，更改，泄露系统和数据遭受破坏，更改，泄露3.保证保证 系统连续可靠正常地运行，服务不中断系统连续可靠正常地运行，服务不中断两个层面1.技术层面技术层面 防止外部用户的非法入侵防止外部用户的非法入侵2.管理层面管理层面 内部员工的教育和管理内部员工的教育和管理21信息安全的定义22信息安全基本目标23信息生命周期24信息产业发展迅猛截至截至2008年年7月，我国固定电话已达到月，我国固定电话
7、已达到3.55亿户，移动电话用户数达到亿户，移动电话用户数达到6.08亿。亿。截至截至2008年年6月，月，我国网民数量达到了我国网民数量达到了2.53亿亿，成为世界上网民最多的，成为世界上网民最多的国家，与去年同期相比，中国网民人数增加了国家，与去年同期相比，中国网民人数增加了9100万人，同比增长达到万人，同比增长达到56.2%。手机上网成为用户上网的重要途径，网民中的手机上网成为用户上网的重要途径，网民中的28.9%在过去半年曾经使在过去半年曾经使用过手机上网，用过手机上网，手机网民规模达到手机网民规模达到7305万人万人。2007年电子商务交易总额已超过年电子商务交易总额已超过2万亿元
8、。万亿元。目前，目前，全国网站总数达全国网站总数达192万万，中文网页已达，中文网页已达84.7亿页，个人博客亿页，个人博客/个人个人空间的网民比例达到空间的网民比例达到42.3%。目前，县级以上目前，县级以上96%的政府机构都建立了网站的政府机构都建立了网站，电子政务正以改善公共，电子政务正以改善公共服务为重点，在教育、医疗、住房等方面，提供便捷的基本公共服务。服务为重点，在教育、医疗、住房等方面，提供便捷的基本公共服务。25信息安全令人担忧内地企业内地企业4444%信息安全事件是数据失窃信息安全事件是数据失窃 普华永道最新发布的2008年度全球信息安全调查报告显示，中国内地企业在信息安全管
9、理方面存在滞后，信息安全与隐私保障方面已被印度赶超。数据显示，内地企业内地企业4444%的信息安全事件与的信息安全事件与数据失窃有关，而全球的平均水平只有数据失窃有关，而全球的平均水平只有1616%。普华永道的调查显示，中国内地企业在改善信息安全机制上仍有待努力，从近年安全事件结果看，中国每年大约中国每年大约9898万美元的万美元的财务损失，而亚洲国家平均约为财务损失，而亚洲国家平均约为7575万美元，印度大约为万美元，印度大约为30.830.8万美万美元元。此外，42%的中国内地受访企业经历了应用软件、系统和网络的安全事件。26安全事件（1）27安全事件（2）28安全事件（3）29安全事件（
10、4）30安全事件（5）31安全事件（6）熊猫烧香病毒的制造者-李俊 32深度分析33这样的事情还有很多关键是做好预防控制关键是做好预防控制 3538392005年年9月月7日，上海乐购超市金山店负责人到市公安局金山分局报案称，该店在盘点货物时发现日，上海乐购超市金山店负责人到市公安局金山分局报案称，该店在盘点货物时发现销售的货物和收到的货款不符，有可能款物被非法侵吞。上海市公安局经侦总队和金山分局立即成销售的货物和收到的货款不符，有可能款物被非法侵吞。上海市公安局经侦总队和金山分局立即成立了专案组展开调查。立了专案组展开调查。专案组调查发现，乐购超市几家门店货物缺损率大大超过了业内千分之五的物
11、损比例，缺损的货物专案组调查发现，乐购超市几家门店货物缺损率大大超过了业内千分之五的物损比例，缺损的货物五花八门，油盐酱醋等日常用品的销售与实际收到的货款差别很大。根据以往的案例，超市内的盗五花八门，油盐酱醋等日常用品的销售与实际收到的货款差别很大。根据以往的案例，超市内的盗窃行为往往是针对体积小价值高的化妆品等物，盗窃者很少光顾油盐酱醋等生活用品。奇怪的是，窃行为往往是针对体积小价值高的化妆品等物，盗窃者很少光顾油盐酱醋等生活用品。奇怪的是，在超市的各个经营环节并没有发现明显漏洞。在超市的各个经营环节并没有发现明显漏洞。考虑到钱和物最终的流向收银员是出口，问题很可能出在收银环节。考虑到钱和物
12、最终的流向收银员是出口，问题很可能出在收银环节。警方在调查中发现，收银系统警方在调查中发现，收银系统软件的设计相对严密，除非是负责维护收银系统的资讯小组职员和收银员合谋，才有可能对营业款软件的设计相对严密，除非是负责维护收银系统的资讯小组职员和收银员合谋，才有可能对营业款项动手脚。项动手脚。经过深入调查，侦查人员发现超市原有的收银系统被装入了一个攻击性的补丁程序，只要收银员输经过深入调查，侦查人员发现超市原有的收银系统被装入了一个攻击性的补丁程序，只要收银员输入口令、密码，这个程序会自动运行，删除该营业员当日入口令、密码，这个程序会自动运行，删除该营业员当日20左右的销售记录后再将数据传送至会
13、左右的销售记录后再将数据传送至会计部门，造成会计部门只按实际营业额的计部门，造成会计部门只按实际营业额的80向收银员收取营业额。另向收银员收取营业额。另20营业额即可被侵吞。营业额即可被侵吞。能够在收银系统中装入程序的，负责管理、更新、维修超市收银系统的资讯组工作人员嫌疑最大。能够在收银系统中装入程序的，负责管理、更新、维修超市收银系统的资讯组工作人员嫌疑最大。警方顺藤摸瓜，挖出一个包括超市资讯员、收银员在内的近警方顺藤摸瓜，挖出一个包括超市资讯员、收银员在内的近40人的犯罪团伙。据调查，原乐购超市人的犯罪团伙。据调查，原乐购超市真北店资讯组组长方元在工作中发现收银系统漏洞，设计了攻击性程序，
14、犯罪嫌疑人于琪、朱永春真北店资讯组组长方元在工作中发现收银系统漏洞，设计了攻击性程序，犯罪嫌疑人于琪、朱永春、武侃佳等人利用担任乐购超市多家门店资讯工作的便利，将这一程序植入各门店收银系统；犯罪、武侃佳等人利用担任乐购超市多家门店资讯工作的便利，将这一程序植入各门店收银系统；犯罪嫌疑人陈炜嘉、陈琦、赵一青等人物色不法人员，经培训后通过应聘安插到各家门店做收银员，每嫌疑人陈炜嘉、陈琦、赵一青等人物色不法人员，经培训后通过应聘安插到各家门店做收银员，每日将侵吞赃款上缴到犯罪团伙主犯方元、陈炜嘉、陈琦等人手中，团伙成员按比例分赃。一年时间日将侵吞赃款上缴到犯罪团伙主犯方元、陈炜嘉、陈琦等人手中，团伙
15、成员按比例分赃。一年时间内，先后侵吞乐购超市真北店、金山店、七宝店内，先后侵吞乐购超市真北店、金山店、七宝店374万余元。犯罪团伙个人按比例分得赃款数千元至万余元。犯罪团伙个人按比例分得赃款数千元至50万元不等万元不等关于员工安全管理的建议关于员工安全管理的建议 根据不同岗位的需求，在职位描述书中加入安全方面根据不同岗位的需求，在职位描述书中加入安全方面的责任要求，特别是敏感岗位的责任要求，特别是敏感岗位 在招聘环节做好人员筛选和背景调查工作，并且签订在招聘环节做好人员筛选和背景调查工作，并且签订适当的保密协议适当的保密协议 在新员工培训中专门加入信息安全内容在新员工培训中专门加入信息安全内容
16、 工作期间，根据岗位需要，持续进行专项培训工作期间，根据岗位需要，持续进行专项培训 通过多种途径，全面提升员工信息安全意识通过多种途径，全面提升员工信息安全意识 落实检查监督和奖惩机制落实检查监督和奖惩机制 员工内部转岗应做好访问控制变更控制员工内部转岗应做好访问控制变更控制 员工离职，应做好交接和权限撤销员工离职，应做好交接和权限撤销42433131岁的软件工程师岁的软件工程师程稚瀚，在华为工作期间，曾为西藏移动做过技术程稚瀚，在华为工作期间，曾为西藏移动做过技术工作，案发时，在工作，案发时，在UT斯达康深圳分公司工作。斯达康深圳分公司工作。20052005年年3 3月开始，其月开始，其利用
17、为西藏移动做技术时使用的密码（此密码自程利用为西藏移动做技术时使用的密码（此密码自程稚瀚离开后一直没有更改），轻松进入了西藏移动的服务器。通过西稚瀚离开后一直没有更改），轻松进入了西藏移动的服务器。通过西藏移动的服务器，程稚瀚又跳转到了北京移动数据库，取得了数据从藏移动的服务器，程稚瀚又跳转到了北京移动数据库，取得了数据从2005年年3月至月至7月，程稚瀚先后月，程稚瀚先后4次侵入北京移动数据库，修改充值卡次侵入北京移动数据库，修改充值卡的时间和金额，将已充值的充值卡状态改为未充值，共修改复制出上的时间和金额，将已充值的充值卡状态改为未充值，共修改复制出上万个充值卡密码。他还将盗出的充值卡密码
18、通过淘宝网出售，共获利万个充值卡密码。他还将盗出的充值卡密码通过淘宝网出售，共获利370余万元。余万元。直到直到2005年年7月，由于一次月，由于一次“疏忽疏忽”，程稚瀚将一批充值卡售出时，忘，程稚瀚将一批充值卡售出时，忘了修改使用期限，使用期限仍为了修改使用期限，使用期限仍为90天。购买到这批充值卡的用户因无天。购买到这批充值卡的用户因无法使用便投诉到北京移动，北京移动才发现有法使用便投诉到北京移动，北京移动才发现有6600张充值卡被非法复张充值卡被非法复制，立即报警。制，立即报警。2005年年8月月24日，程稚瀚在深圳被抓获，所获赃款全部起获。日，程稚瀚在深圳被抓获，所获赃款全部起获。关于
19、第三方安全管理的建议关于第三方安全管理的建议 识别所有相关第三方：服务提供商，设备提供商，咨识别所有相关第三方：服务提供商，设备提供商，咨询顾问，审计机构，物业，保洁等询顾问，审计机构，物业，保洁等 识别所有与第三方相关的安全风险，无论是牵涉到物识别所有与第三方相关的安全风险，无论是牵涉到物理访问还是逻辑访问理访问还是逻辑访问 在没有采取必要控制措施，包括签署相关协议之前，在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定责任和必须遵守的规定 在与第三方签订协议时特别提出信息安全方面
20、的要求，在与第三方签订协议时特别提出信息安全方面的要求，特别是访问控制要求特别是访问控制要求 对第三方实施有效的监督，定期对第三方实施有效的监督，定期ReviewReview服务交付服务交付是一路电还是两路电？是一路电还是两路电？两路电是否一定是两个输电站？两路电是否一定是两个输电站？有没有有没有UPS？UPS能维持多久？能维持多久？有没有备用发电机组？有没有备用发电机组？备用发电机是否有充足的油料储备？备用发电机是否有充足的油料储备？另一个与物理安全相关的案例另一个与物理安全相关的案例情况是这样的情况是这样的 聪明的张三想出了妙计聪明的张三想出了妙计 问题出在哪里问题出在哪里 总结教训总结教
21、训 物理安全非常关键！物理安全非常关键！关于物理安全的建议关于物理安全的建议56关于口令的一些调查结果关于口令的一些调查结果什么样的口令是比较脆弱的？什么样的口令是比较脆弱的？口令安全建议口令安全建议从一点一滴做起！从一点一滴做起！从自身做起！从自身做起！61IT安全问题1、一般情况下，个人计算机在（）分钟的非活动状态里要求自动激活屏幕锁定 A、5分钟 B、10分钟C、15分钟 D、30分钟62IT安全问题2、下列说法错误的是()A、个人计算机操作系统必须设置口令。B、在每天工作结束时，将便携电脑妥善保 管，如锁入文件柜。C、离开自己的计算机时，必须激活具有密码保护的屏幕保护程序。D、为方便第
22、二天工作，下班后可以不用关闭计算机。63IT安全问题3、口令要求至少（）更换一次 A、3个月 B、6个月 C、1年 D、可以一直使用一个口令，不用修改。64IT安全问题4、下列关于个人计算机的访问密码设置要求，描述错误的是（）：A、密码要求至少设置8位字符长。B、为便于记忆，可将自己生日作为密码。C、禁止使用前两次的密码 D、如果需要访问不在公司控制下的计算机系统，禁止选择在公司内部系统使用的密码作为外部系统的密码。65IT安全问题5、下列关于外网使用说法错误的是（）：A、外网只能从分公司一点接入。B、地市公司或管理部门为方便外网使用，可自己向电信申请开通ADSL外网接入。C、外网接入须经过防
23、火墙以加强安全防护。D、只使用有授权访问的服务。不要尝试访问未经授权的互联网系统或服务器端口。66IT安全问题6、用upload账户通过分公司85服务器上传文件文件，描述错误的是（）A、需保密的文件上传前应该做加密处理。B、在对方下载后立即从FTP服务器上删除自己所传文件。C、不可将分公司FTP服务器当作自己重要数据文件的备份服务器。D、上传后的文件可以不用处理，一直放到分公司FTP服务器上。67IT安全问题7、关于个人计算机数据备份描述错误的是（）A、备份的目的是有效保证个人计算机内的重要信息在遭到损坏时能够及时恢复。B、个人计算机数据备份是信息技术部的事情，应由信息技术部负责完成。C、员工
24、应根据个人计算机上信息的重要程度和修改频率定期对信息进行备份。D、备份介质必须要注意防范偷窃或未经授权的访问。68IT安全问题8、关于电子邮件的使用，描述错误的是（）A、不得散发可能被认为不适当的，对他人不尊重或提倡违法行为的内容；B、可以自动转发公司内部邮件到互联网上；C、禁止使用非CPIC 的电子邮箱，如YAHOO，AOL，HOTMAIL 等交换CPIC公司信息；D、非CPIC 授权人员禁止使用即时通讯软件，如MSN 交换CPIC 公司信息。69IT安全问题9、下列关于病毒防护描述错误的是（）A、个人工作站必须安装统一部署的防病毒软件，未经信息技术部批准不得擅自安装非本公司指定的防病毒软件
25、。B、如果从公共资源得到程序（比如，网站，公告版），那么在使用之前需使用防病毒程序扫描。C、在处理外部介质之前应用防病毒软件扫描。D、个人计算机上安装了防病毒软件即可，不用定期进行病毒扫描。70IT安全问题10、位于高风险区域的移动计算机，例如，在没有物理访问控制的区域等应设屏幕锁定为（）分钟，以防止非授权人员的访问；A、5分钟 B、10分钟C、15分钟 D、30分钟71IT安全问题11、关于数据保存，说法错误的是（）A、将重要数据文件保存到C盘或者桌面。B、定期对重要数据文件用移动硬盘或光盘进行备份。C、将重要数据文件保存到C盘外的其它硬盘分区。72IT安全问题12、关于代码权限管理规定说法
26、错误的是（）A、非在编人员不能加代码，试用期员工可加代码。B、为方便工作，同事之间的代码可以相互借用。C、出单和理赔操作员经培训、考试合格才能申请权限。D、人员离职后，人员代码及相应权限应立即予以清理。73IT安全问题13、使用者必须向分公司信息技术部提出书面申请并得到书面确认后方可安装的软件属于以下哪一类（）A：I 类 B：II类 C：III类 D：IV类74IT安全问题14、下列关于笔记本使用规范描述错误的是（）A、笔记本应该设置硬盘保护密码以加强安全保护；B、在旅行中或在办公室之外的地方工作时 要尽可能将便携电脑置于个人的控制之下。C、如果便携电脑或公司的机密信息被偷，丢失，必须及时报告
27、给公司的安全部门和你的上级主管。D、单位笔记本可以带回家供娱乐使用，例如玩游戏等。问题一15、在旅行中或出差时等办公室之外的地方使用便携电脑，以下哪一种使用方式不符合公司的安全规定：A、乘飞机旅行时，将便携电脑放在托运的行李中；B、外出时将便携电脑锁在酒店保险柜里；C、如果便携电脑被偷或丢失，报告给公司当地的安全部门和你的上级主管；D、在候机室或者飞机上看影片。75问题二16、以下哪一种是正确的使用公司电脑的方式：A、公司上网需要申请，自己买张移动上网卡接入电脑上Internet；B、要给客户发保险产品信息，使用Hotmail发送过去；C、习惯使用Adobe Photoshop编辑软件，但公司的电脑没有安装，自己买张盗版光盘自行安装；D、定期把自己电脑的文档备份在移动硬盘上；76问题三17、以下哪一项不是太保信息安全等级的分类：A、公共信息；B、内部信息；C、敏感信息；D、秘密信息；77谢谢
