信息系统及其安全课件.ppt

1、1第7章信息系统及其安全 2本章要点 信息系统包含那些内容？信息安全的重要性。怎样尽可能使计算机不受到病毒的攻击？使信息安全受到保障？与信息安全有关的主要法规有哪些?3目 录7.1 信息系统概述 7.1.1 信息系统的定义与结构 *7.1.2 系统模型及其建模 7.1.3 常见的信息系统 7.1.4 电子商务与电子政务7.2 信息安全与管理 7.2.1 计算机病毒 7.2.2 信息安全的范畴 7.2.3 信息安全的措施 7.2.4 计算机犯罪与黑客 *7.2.5 政策与法规47.1 信息系统概述信息系统概述7.1.1 信息系统的定义与结构信息系统的定义与结构 我国1994年发布的中华人民共和国

2、计算机信息系统安全保护条例指出 计算机信息系统是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。信息系统是以计算机为基础，运用了各种现代信息技术对信息进行处理。信息系统既能有序地组织大量信息资源，又以开发、利用信息资源为目的。57.1.1 信息系统的定义与结构信息系统的定义与结构 随着网络技术、人工智能技术、数据挖掘、数据仓库、专家系统等的发展与应用，使信息系统的网络化、智能化程度大大提高。信息系统的发展走过了从单项事务处理到综合集成模式的历程。信息系统按其不同的功能有不同的结构形式。从信息处理的过程和技术

3、上看，信息系统是一系列相互联系的要素的集合，如图。67.1.1 信息系统的定义与结构信息系统的定义与结构 信息收集 使用各种技术手段，获取大量电子系统工作所必需的信息。可以使用雷达网、遥感系统、传感器、数据采集装置，或人来完成信息收集，也可以通过计算机控制装置和计算机网络等收集信息 信息存储 存储信息的目的是要建立信息库，以便检索，并从中抽取有用的信息，而且可实现信息的共享。这些信息库可以是数据库系统、模型库系统和知识库系统。网络存储已成为存储技术发展的方向之一。77.1.1 信息系统的定义与结构信息系统的定义与结构 问题处理 问题处理是根据各类业务问题的需要，对信息进行查询、检索、分析、计算

4、、综合、提取、预测、评价等的工作 按一定的方式对信息进行加工和转换。可以在本地计算机或通过计算机网络协同处理。信息输出 输出人们要知道处理的结果 可以以文字、数字、符号、图形、图像、声音等方式进行输出，输出的信息又可以作为其它信息系统的输入87.1.1 信息系统的定义与结构信息系统的定义与结构 信息管理机构 是信息系统管理者的组织机构 负责制订和实施信息系统开发或使用中各项工作的规章制度、标准、规范等 对整个系统进行监督检查，对信息系统开发中的各个部门、人员等一切事务进行协调。人员 主要是指开发者、领导者、决策者、管理者或普通百姓。9*7.1.2 系统模型及其建模系统模型及其建模 模型是现实世

5、界中的某些事物的抽象表示，它抽取了事物的本质特性，忽略了次要因素。系统模型 信息系统可以看成是由一系列有序的模型构成的 根据系统的不同开发阶段和开发层次，这些模型通常是：功能模型 信息模型 数据模型 控制模型 决策模型10*7.1.2 系统模型及其建模系统模型及其建模 建模 建模时，最常见的描述方法是：形式化描述和图示化描述。建模思路 自顶向下、逐步求精 自底向上、综合集成 建模方法 面向过程的建模 面向数据（数据结构）的建模 面向信息的建模 面向决策的建模 面向对象的建模117.1.3 常见的信息系统 信息系统是一个很广的概念，它以提供信息服务为主要目的，至今没有明确的分类方法。信息系统的应

6、用已深入到社会各阶层、各领域 这里介绍的是常见的信息系统。127.1.3 常见的信息系统 事务处理系统（TPS）是用来记录完成某业务活动中的人员、过程、数据以及设备的人机系统 它一般在预先设计好的计算机程序的指挥下自动完成整个事务一系列的处理活动。办公自动化系统（OAS）是利用各种电子办公机器的办公室人机系统 主要面向从事各类文案工作的管理人员 通过网络，打破了时间和地域的界限，提高了办公的效率和质量。137.1.3 常见的信息系统 管理信息系统（MIS）以人为主导，利用计算机、网络通信设备和其他办公设备，对数据进行收集、传输、加工、存储、更新和维护，支持数据预测、控制和辅助决策的集成化的人机

7、系统。它依赖于管理科学，计算机科学和系统理论。各种管理信息系统应用十分广泛，如职工管理系统、水资源管理信息系统、医学信息系统等。决策支持系统（DSS）以计算机为工具，应用决策科学和有关学科的理论与方法，以人机交互方式辅助决策者做出判断的一种信息系统。如销售预测系统、交通规划决策支持系统等。147.1.3 常见的信息系统 地理信息系统（GIS）是一种用于采集、模拟、处理、检索、分析和表达地理空间数据的计算机信息系统。处理的数据都和地理信息有着直接或间接的关系 如土地信息系统、地学信息系统等。人工智能（AI）与专家系统（ES）人工智能是指机器能够像人类一样具有分析问题和解决问题能力。如运用于制造机

8、器人、疾病诊断等。专家系统可以看作是一类具有专门知识和经验的计算机智能软件系统。专家系统有四个要素：一是它应用于某个专门领域；二是它拥有专家级的知识；三是它能模拟专家的思维；四是它能达到专家级水平。157.1.4 电子商务与电子政务电子商务与电子政务 电子商务 电子商务包含着两方面的内容 一是电子方式，二是商贸活动，电子商务基本结构如图。167.1.4 电子商务与电子政务电子商务与电子政务 电子商务的历史 电子商务最早在20世纪60年代产生于美国 电子商务发展于90年代，随着Internet的发展和普及，商贸活动正式进入了互联网。电子商务在我国也得到了迅速发展，据不完全统计，2005年我国电子

9、商务交易额已达7400亿元177.1.4 电子商务与电子政务电子商务与电子政务 电子商务的特性 普遍性 活动对象广。如生产、流通企业、政府部门和消费者 方便性 由于网络的支持，使商贸活动中不再受地域、时间的限制 整体性 作为一种事务处理系统具有完整性 安全性 安全性是电子商务中的一个核心问题 它要求网络能够提供一种端到端的安全解决方案 如加密机制、签名机制、存取控制、防火墙、防病毒等。协调性 涉及到生产商、批发商、零售商及客户等的协调 涉及银行、配送中心、通讯部门、技术服务等的协调187.1.4 电子商务与电子政务电子商务与电子政务 电子政务 是政府机构利用现代信息技术和通信技术，集成了管理和

10、服务的职能，在互联网上实现政府组织结构和工作流程的优化重组。电子政务包含的主要内容：电子方式、政府的事务活动 电子政务基本框架结构 197.1.4 电子商务与电子政务电子商务与电子政务 电子政务的历史 电子化政府事务的历史比较短，新加坡是1981年至1985年开始实施公务员办公计算机化计划的；我国的电子政务起步于80年代末期，当时开始建立各种纵向和横向的内部信息办公网络。随着Internet网络的快速发展，电子政务的发展非常迅速。207.1.4 电子商务与电子政务电子商务与电子政务 联合国组织把电子政务水平由低到高分为五个等级：起步阶段 表现为政府仅发布法规、指南、等种种静态资讯 信息单向发布

11、阶段 政府提供某种服务，用户可以下载一些政府表格等，并可向政府提出建议或发出询问，但沟通不一定用电子方式。双向互动阶段 政府与用户可以在网上完成互动。例如，下载表格，填写后并网上提交，可进行网上沟通。在线交易阶段 通过技术手段将各政府机构串联起来，实现业务的在线实时处理，可以方便地找到所需要的服务。一站式服务阶段 指网上的“一站式”服务。一些业务按照流程做打包处理217.1.4 电子商务与电子政务电子商务与电子政务 电子政务的特性 与电子商务类似，具有方便性、安全性、协调性等 开放性 由于政府网络涉及面广，参与者多，要为公众服务，所以有很强的开放性。虚拟性 电子政务可以说是电子政府 是一个实在

12、与虚拟相结合的跨平台政府。其虚拟性，是指与传统的政务相比，电子政务工作在传统的实体政府的政务处理之外227.2 信息安全与管理信息安全与管理 无论电子商务、电子政务还是其他的信息系统等，都涉及到信息安全、网络安全、计算机安全等系统安全问题。通过对计算机安全的研究，计算机学科产生了一个重要分支计算机安全工程。安全工程的目标是要确保某些事情一定不能发生，这些事情包括了计算机犯罪、病毒攻击、黑客入侵、知识产权的侵犯等，当然也包含了一些由操作不当、自然灾害、电源安全等引起的系统不安全的因素。237.2.1 计算机病毒计算机病毒 中华人民共和国计算机信息系统安全保护条例第二十八条对计算机病毒作了定义：计

13、算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。247.2.1 计算机病毒计算机病毒 计算机病毒的分类病毒有多种分类方法，下面列举两种：（1）按照寄生方式分类 引导型病毒：隐藏在引导区中，主要感染磁盘引导区和硬盘的主引导区。当开机工作时病毒也开始运行，比系统文件先调入内存。文件型病毒 隐藏在文件里，主要感染可执行文件（.COM和.EXE）。执行被感染的文件时，病毒也开始工作，并又向其他未感染的可执行文件传染。混合型病毒 综合了引导型和文件型病毒的特性 比引导型和文件型病毒更为“凶残”257.2.1 计算机病毒计算机病

14、毒（2）按照传播媒介来分类：单机病毒：载体是磁盘 一般病毒从可移动盘传入本机硬盘，感染系统，然后再传染到其他可移动盘上，其他计算机系统使用了那些感染了病毒的存储介质，也就染上了病毒。网络型病毒 在网络上传播的病毒。网络病毒主要通过用户邮件和系统漏洞传播和攻击。网络型病毒往往在浏览网页、或下载文件、或以电子邮件作为载体，传染病毒。病毒传播的途径主要通过软盘、光盘、优（U）盘等移动存储器和网络来扩散267.2.1 计算机病毒计算机病毒 传染性 是指病毒的自我复制能力 一个文件可以被感染上一种或多种不同的病毒。隐蔽性 病毒程序往往编制得十分精练、短小，目的是为了隐蔽 潜伏性 感染病毒后，病毒不一定立

15、即爆发，但仍处于活动状态，还在继续向其他程序或计算机传播，即处于潜伏期 触发性 一般病毒在条件满足时才会开始造成破坏，即一触即发。破坏性 病毒运行时，往往造成程序或数据的破坏，可使系统瘫痪。不可预见性 病毒相对于杀毒软件永远是超前的病病毒毒的的特特征征277.2.1 计算机病毒计算机病毒 典型病毒危害 计算机病毒按其危害程度有两大类：破坏性病毒 在爆发时会带来严重的破坏性 如随机地篡改、删除文件、对磁盘进行格式化等 干扰性病毒 使系统的效率开始下降 如运行速度下降，一些硬件设备无法识别等287.2.1 计算机病毒计算机病毒 几种典型或流行病毒：“尼姆达”（Nimda）病毒“求职信”（Klez）

16、病毒 CIH病毒 网络天空(Worm.Netsky)冲击波（Worm.Blaster）病毒 震荡波（Worm.Sasser）病毒 宏病毒 木马病毒“熊猫烧香”病毒297.2.1 计算机病毒计算机病毒 杀毒 利用流行的查杀病毒工具可以有效地查杀已知的计算机病毒。常见的杀毒工具有：瑞星查杀毒软件 KV3000 金山毒霸 KILL Norton Scan kaspersky等 杀毒软件的成功研制遏制了病毒的泛滥 新的计算机病毒还在不断产生，反病毒软件就需要不断更新、升级。307.2.1 计算机病毒计算机病毒 瑞星杀毒软件 是北京瑞星科技股份有限公司研制的。具有查杀病毒、实现实时监控等功能。317.2

17、.1 计算机病毒计算机病毒 Norton（诺顿）杀毒软件 是Symantec公司研制的 327.2.1 计算机病毒计算机病毒 木马的查杀 木马的查杀，除了使用常用的杀毒软件外，还可使用专门的木马查杀工具，如：木马杀客 木马终结者 木马克星 木马清除专家 木马防线等。也可以采用一些手工查杀的方法。337.2.1 计算机病毒计算机病毒 思想防护：重视病毒的危害程度，提高警惕，以便及时发现病毒感染痕迹。管理防护：尊重知识产权；及时升级杀毒软件，打开监控；定期检查敏感文件；加强教育和宣传工作，明确编制病毒程序是犯罪行为；建立各种制度，对病毒制造者依法制裁等。使用防护：对移动外存、软件等资源，使用前先杀

18、毒；尽量不玩游戏、不用来路不明的软件；上网开启防火墙，不要登录不明网站、打开不明的邮件；慎重对待邮件附件，附件可采用“另存为”后再杀毒；及时升级邮件程序和操作系统，修补所有已知的安全漏洞；注意使用软盘、优盘等的写保护；做好系统和重要数据的备份等。病病毒毒的的防防护护347.2.2 信息安全的范畴信息安全的范畴 计算机信息安全的范畴主要包括：实体安全 计算机及其相关的设备和设施（含网络）等实体免遭破坏的措施或过程。运行安全 运行安全是指信息处理过程中的安全。信息安全 防止信息财产被故意地和偶然地非法授权、泄漏、更改、破坏或使信息被非法系统识别、控制。人员安全 主要指计算机工作人员的安全意识、法律

19、意识和安全技能等。357.2.2 信息安全的范畴信息安全的范畴 网络安全体系结构一般采用：网络层安全性：网络是否有能力阻止有危险行为的用户入网？系统安全性：病毒对于网络的威胁；黑客对于网络的破坏和侵入。用户安全性：是否只有真正被授权的用户才能够使用系统中的资源和数据？要有强有力的身份认证，确保用户的密码不会被他人所破译。应用程序安全性：是否只有合法的用户才能够通过程序对特定的数据进行操作。数据安全性：机密数据是否还处于机密状态？367.2.2 信息安全的范畴信息安全的范畴 安全等级 美国国防部制订了可信赖计算机评估准则将信息处理的等级和采取的应对策略划分多个安全等级。依照各类、级的安全从低到高

20、，依次是：D级、C1级、C2级、B1级、B2级、B3级和A1级（超A1级）。子类的数字越大，它所承担的安全责任就越高。这些等级既可用于设计、评判计算机系统安全，也可作为用户选择安全产品的标准。377.2.3 信息安全的措施信息安全的措施 授权与权限 授权是指在网络环境中对用户操作、访问网络的一种正式认可。授权的作用是让系统判断该用户是否有权访问他申请的资源或数据。权限是指用户在网络中对客体资源行使的职能权利范围。387.2.3 信息安全的措施信息安全的措施 常见的权限项目有：访问、存储、处理、传输、删除、修改、增加和执行等。以实现FTP功能的Serv-U软件为例，有：针对文件操作的权限 读取：

21、赋予用户有下载文件的权限。写入：赋予用户有上传文件的权限。删除：赋予用户有删除文件的权限。追加：赋予用户有追加文件的权限，允许在文件中添加内容。执行：赋予用户有执行文件的权限。针对目录操作的权限 列表：赋予用户有浏览文件列表的权限。创建：赋予用户可以创建目录（文件夹）的权限。删除：赋予用户具有删除目录（文件夹）的权限。针对子目录的权限 继承：赋予用户可以按照本级目录的权限访问下一级目录。397.2.3 信息安全的措施信息安全的措施 身份认证 是确定用户身份的技术，它是络安全的第一道防线，也是最重要的防线之一。认证技术要验证的身份信息一般有：对方的身份和授权界限。认证技术可以根据消息源认证，也可

22、以双方相互认证。最简单的认证方法是用户名和口令验证 其他认证方法可以是消息码验证、数字签名、依靠个人识别代码（PIN）和认证机构认证等。407.2.3 信息安全的措施信息安全的措施认证机构（CA）是具有权威性和公正性的第三方服务机构认证机构主要的功能是：接收证书申请：接收持卡消费者、商户、收单行支付网关等最终用户的数字证书申请。证书审批：确定是否接受最终用户关于数字证书的申请。证书签发：向申请者颁发或拒绝颁发数字证书。证书更新：接收、处理最终用户的数字证书的更新请求。证书查询：接收最终用户的数字证书的查询。证书撤消：接收最终用户提出的数字证书撤消请求，并撤消证书。证书管理：产生和发布证书撤消列

23、表、证书的备份等。密钥管理：密钥的生成、分发、更新、备份和恢复等。归档：数字证书、密钥和历史数据的归档。通过认证中心认证，保证双方交流、交易等的安全性和公正性。417.2.3 信息安全的措施信息安全的措施 数字加密 加密可以进一步保证信息安全，万一数据失窃，偷盗者也不能明白内容的原有含义 加密技术是对信息直接加密的技术，两个方面：加密 通过某种变换算法将信息（明文P）转化成别人看不懂的符号（密文C）解密 通过反变换将密文转换成明文 简单地如：对A改成B、B改成C，可将HELLO变为IFMMP 算法越复杂，一般来说破解就越困难。427.2.3 信息安全的措施信息安全的措施 加密技术主要包括：密钥

24、：是指控制加密算法和解密算法中实现的关键信息。算法：是指明文和密文之间的变换法则，应该是惟一、可逆 密码技术在网络上有极其重要的应用价值和意义。主流的密码学方法有两大类：保密密钥法（对称密钥法）加密和解密时使用同一把密钥，这个密钥只有发信人和收信人知道。公开密钥法（不对称加密）需要用到两个密钥：一个私人密钥和一个公开密钥。公开密钥可以让任何人知道，而私人密钥则必须小心收藏 传输数据时，发信人先用收信人的公开密钥对数据进行加密；再把加密后的数据发送给收信人；收信人在收到信件后要用自己的私人密钥对它进行解密。437.2.3 信息安全的措施信息安全的措施 数字签名（digital signature

25、，简称DS）目的是保证信息的完整性和真实性。即保证：（1）文件内容没有被修改；（2）文件出自签名人之手或经过签名人批准。“数字签名”是通过某种加密算法，在一条地址消息的尾部添加一个字符串，收件人可根据该字符串验明发件人身份的技术。数字签名能惟一地确定签名人的身份，同时还能在签名后对数据内容是否又发生了变化进行验证。数字签名的基本工作过程分为：发送方完成的工作：（1）通过特殊的软件得到该发送信息的一个信息标记。（2）用自己从某个颁证机构申请到的私人密钥加密这个标记。接收方完成的工作：（1）对接收到的内容求出信息标记。（2）用自己的公开密钥解密该内容的信息标记。如果两个标记相同，则认定自己收到的信

26、息准确无误。447.2.3 信息安全的措施信息安全的措施 防火墙技术 安装防火墙是对付木马、黑客和黑客程序的有效方法之一 防火墙是指建立在内外网络边界上的过滤封锁机制。在联网的机器中使用信息过滤设备，可以防止恶意、未经许可的访问。防火墙技术一般可以分为：过滤型防火墙 主要由过滤路由器担任 应用级网关（代理型防火墙）实现主要是基于软的，负责内部网络和外部网络之间的通信 状态监测型 采用动态过滤技术 目前越来越多的防火墙混合使用这些技术。457.2.3 信息安全的措施信息安全的措施 个人防火墙 一般安装在连接Internet网的个人计算机上 使用它可以防止病毒的感染和防止非法入侵。常用的防火墙：有

27、天网个人防火墙 瑞星个人防火墙 诺顿个人防火墙 467.2.3 信息安全的措施信息安全的措施 备份 备份操作是保障信息安全的重要措施之一 一旦信息遭受破坏，可以使用恢复措施恢复信息 备份可以通过操作系统的备份命令来实现，也可以通过以下几种主要技术进行：自制冗余度 磁盘镜像（热备份技术）磁盘双工477.2.4 计算机犯罪与黑客计算机犯罪与黑客 计算机犯罪是指各种利用计算机程序及其处理装置进行犯罪或者将计算机信息作为直接侵害目标的犯罪的总称。计算机犯罪一般为窃取、篡改、破坏、销毁计算机系统内部的程序、数据和信息。计算机违法犯罪具有行为隐蔽、技术性强、可以远距离作案且作案迅速，以及具有社会化、国际化

28、的特点。487.2.4 计算机犯罪与黑客计算机犯罪与黑客 计算机犯罪的类型，常见的有：非法入侵计算机信息系统。利用窃取口令等手段，渗入计算机系统，干扰、篡改、破坏系统的正常运行，或窃取系统的保密信息。利用计算机实施贪污、盗窃、诈骗和金融犯罪等活动。利用计算机传播反动和色情等有害信息，或制造并传播恐怖信息。知识产权的侵权：主要是针对电子出版物和计算机软件。网上经济诈骗。网上诽谤，个人隐私和权益遭受侵权。利用网络进行暴力犯罪。利用网络制造并传播大量垃圾信息。破坏计算机系统，如病毒危害等。497.2.4 计算机犯罪与黑客计算机犯罪与黑客 计算机犯罪的手段，通常有：数据欺骗：数据欺骗：非法篡改计算机输

29、入、处理和输出中的数据或输入假数据。特洛伊木马术特洛伊木马术：将特洛伊木马战术用在计算机犯罪手段上，采用非法装入秘密指令或程序，由计算机实施犯罪活动。香肠术香肠术：采用他人不易觉察的手段，从金融信息系统中一点一点地窃取存款 逻辑炸弹逻辑炸弹：有意设置或插入犯罪指令，以便在特定的时间或条件下激活，以抹除数据文件或破坏系统的功能，使系统处于瘫痪状态。507.2.4 计算机犯罪与黑客计算机犯罪与黑客 计算机犯罪的手段，通常有：陷阱术陷阱术：利用计算机硬、软件的某些断点或接口插入犯罪指令或装置。寄生术寄生术：用某种方式紧跟享有特权的用户打入系统或在系统中装入“寄生虫”超级冲杀超级冲杀：用共享程序突破系

30、统防护，进行非法存取或破坏数据及系统功能 异步攻击异步攻击：将犯罪指令掺杂在正常作业程序中，以获取数据文件。废品利用废品利用：从废弃资料、磁盘、磁带、优盘中提取有用信息或进一步分析系统密码等。伪造证件伪造证件：伪造信用卡、磁卡、存折等。517.2.4 计算机犯罪与黑客计算机犯罪与黑客 计算机犯罪的刑事责任 1997年修订并实施的中华人民共和国刑法将计算机犯罪纳入到刑事立法体系中。刑法中针对的计算机犯罪的形式主要有二类：一类是以计算机作为工具，利用计算机技术和知识进行犯罪（刑法287条）；另一类是将计算机信息作为犯罪对象，针对信息进行犯罪（刑法285条和286条）。527.2.4 计算机犯罪与黑

31、客计算机犯罪与黑客 刑法第285条为：“违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役”。刑法第286条为：“违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。”刑法第287条为：“利用计算机实施金融诈骗

32、、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚”。537.2.4 计算机犯罪与黑客计算机犯罪与黑客 黑客 黑客（Hacker）原来是指能熟练地使用电脑或进行电脑编程的人，随着计算机软件的发展，黑客已指利用非法手段，通过网络未经授权侵入他人系统，截获或篡改计算机信息和数据的电脑操作者。黑客编制一些入侵网站的程序，为黑客程序。功能较强的黑客程序一般分为服务器程序和客户机程序 黑客程序轻者给对方带来麻烦，严重的造成国家机密的泄漏，造成金融机构经济的极大损失。现在几乎每天都有遭受黑客攻击的记录547.2.4 计算机犯罪与黑客计算机犯罪与黑客 黑客对网络的攻击方式是多种多样

33、的 黑客一般总是利用系统配置的缺陷、操作系统的安全漏洞或网络通信协议的安全漏洞来攻击的。黑客攻击主要划分为以下几类：拒绝服务攻击 非授权访问尝试 预探测攻击 可疑活动 协议解码 系统代理攻击55*7.2.5 政策与法规政策与法规 计算机信息系统中的信息资源保护有：防护来自未经授权者的恶意破坏和篡改计算机信息 防止环境因素造成的信息资源的破坏 针对计算机知识产权的保护 信息安全体系就是要将有非法侵入信息倾向的人与信息隔离。计算机信息安全体系如图。56*7.2.5 政策与法规政策与法规 信息安全的政策与法规 各国针对计算机信息安全、网络安全都制订了政策和法规。我国也不例外。1994年公安部颁布了中

34、华人民共和国计算机信息系统安全保护条例。1997年的中华人民共和国刑法及2002年通过的中华人民共和国刑法修正案，将计算机犯罪纳入到刑事立法体系中。1996年国务院颁布并施行中华人民共和国计算机信息网络国际联网管理暂行规定，并在1997年5月颁布了该规定的修订本。1997年公安部颁布并施行计算机信息网络国际联网安全保护管理办法 1997年国务院信息化工作领导小组审定了中华人民共和国计算机信息网络国际联网管理暂行规定实施办法 2000年有互联网信息服务管理办法 2005年信息产业部审议通过非经营性互联网信息服务备案管理办法 57*7.2.5 政策与法规政策与法规 道德规范 道德是法律行为规范的补

35、充，但它是非强制性的，属自律范畴。中国互联网协会发起，于2002年制订了中国互联网行业自律公约 对我国互联网行业自律的目的、原则、互联网信息服务、运行服务、运用服务、上网服务、网络产品的开发、生产以及其他与互联网有关的科研、教育、服务等领域从业者的自律事项等作了规定。58*7.2.5 政策与法规政策与法规 计算机职业道德是指：在计算机行业及其应用领域所形成的社会意识形态和伦理关系下，调整以下关系的行为规范总和：人与人之间 人与知识产权之间 人与计算机之间 以及人和社会之间的59*7.2.5 政策与法规政策与法规 计算机职业道德教育的重要性 有利于计算机信息系统的安全。有利于整个社会中的个体利益

36、的保护。对抑制计算机犯罪和违背计算机职业道德现象，道德教育活动更能体现出教育的效果。计算机职业道德规范中一个重要的方面是网络道德。60*7.2.5 政策与法规政策与法规 计算机职业道德规范 美国计算机伦理协会总结、归纳了以下计算机职业道德规范，称为“计算机伦理十戒”，可供参考：（1）不应该用计算机去伤害他人。（2）不应该影响他人的计算机工作。（3）不应该到他人的计算机里去窥探。（4）不应该用计算机去偷窃。（5）不应该用计算机去做假证明。（6）不应该复制或利用没有购买的软件。（7）不应该未经他人许可的情况下使用他人的计算机资源。（8）不应该剽窃他人的精神作品。（9）应该注意你正在编写的程序和你正

37、在设计的系统的社会效应。（10）应该始终注意，你使用计算机是在进一步加强你对同胞的理解和尊敬。61*7.2.5 政策与法规政策与法规 知识产权的保护 针对计算机知识产权的保护，可以防止他人非法占用计算机信息。软件版权 软件版权被认为软件是属于作者的，作者惟一享有复制、发布、出售、修改等权利。62*7.2.5 政策与法规政策与法规 与软件版权有关的概念：自由软件（源代码开放软件）使用者可以自由地运用、拷贝、分发、学习、改变或改善该软件。（如Linux）商业软件 是指那些需要付费才能使用的软件，它一般除了具有版权保护外，往往还享有许可证保护。共享软件（试用软件）介于商业软件和自由软件之间的一种形式

38、。可以任意免费复制，但安装后免费使用有时间限制，试用期满后若要继续使用，需要支付一定的许可费用。共享软件的试用目的在于鼓励用户使用，既可帮助用户作出购买选择，又可以通过用户的反馈信息改进软件，最终可使新版本软件成为商业软件。63*7.2.5 政策与法规政策与法规 中华人民共和国著作权法第一章第三条第八项明确指出，计算机软件属于作品，第一章第二条指明：“作品，不论是否发表，依照本法享有著作权”即：软件产品享有著作权，软件著作权和专利权一样，同属知识产权保护的范畴。64*7.2.5 政策与法规政策与法规 软件知识产权保护的相关法规 1999年，经国务院批准，国务院办公厅转发了国家版权局的关于不得使

39、用非法复制的计算机软件的通知 1990年第七届全国人大常委会第十五次会议通过了中华人民共和国著作权法，并于1991年6月1日施行。2001年第九届全国人大常委会第二十四次会议公布关于修改中华人民共和国著作权法的决定。1991年国务院发布了计算机软件保护条例。2001年又公布了新的计算机软件保护条例，自2002年1月1日起施行。65*7.2.5 政策与法规政策与法规 计算机软件保护条例 对计算机软件、计算机程序、文档、软件开发者、软件著作权人等作了明确的说明。对著作权作了描述，并指出了软件著作权人享有的权利：发表权、署名权、修改权、复制权、发行权、出租权、信息网络传播权、翻译权等。明确了软件保护

40、期限。对违法责任作了描述66*7.2.5 政策与法规政策与法规 其他部分知识产权的法律、法规有：计算机软件著作权登记办法 实施国际著作权条约的规定 全国人民代表大会常务委员会关于惩治侵犯著作权的犯罪的决定 有效保护及实施知识产权的行动计划 详细知识产权的法律法规请参考http:/等有关网站。67*7.2.5 政策与法规政策与法规 建立自主的软件产业 为了中国软件业的发展，保障信息安全和国家主权安全，必须制定合理的软件法规，严厉打击软件盗版，建立自主的软件产业基地 目前，国家已在北京、上海、杭州等地建立了国家软件产业基地。增强软件知识产权的保护意识 软件产品完成后，要及时根据计算机软件著作权登记办法进行登记，以免出现软件知识产权认定上的纠纷。在软件开发过程中签订的协议、合同及相关证明文件要保存好，必要时对保护自身的软件知识产权有很大的帮助。能申请专利，应尽量申请专利，通过专利来保护相关内容。软件开发、维护过程中应尽量避免核心资料泄露，加强内部员工的安全意识和职业道德教育。