龙源期刊网 https://www.doczj.com/doc/3515262135.html,
保障数字化档案信息安全的措施
作者：孙悦昕
来源：《文存阅刊》2018年第05期
摘要：档案管理工作随着科技的进步也逐渐走向了数字化、信息化、网络化的管理道路。但是信息化必然要面临着更多的档案信息安全问题，如何解决这些问题，让档案信息管理工作能够更好地开展下去，便是非常重要的问题。本文对数字化档案信息安全管理进行简要分析。
关键词：数字化；档案信息安全；措施
为了能够在提高档案信息管理效率的同时确保安全，必须要从技术手段上，从管理措施上，从法律层面上进行有效支持。只有这样，才能够对档案信息的安全做出有效保障，才能够对不法人员的行为进行阻止和震慑。
一、技术性保障
在数字化的档案管理工作中，若想要有效解决档案管理的相关技术性问题，提高档案管理工作效率，可以采用信息加密、防火墙、生物识别等等先进技术。我国的信息技术在硬件和信息安全相关领域与国外相比还有一定的差距，例如我国现在仍然无法大量生产具有自己自主知识产权的CPU芯片，若想使用，只能从国外进口，或者使用我国代加工的外国知识产权的CPU，这为我国的档案信息管理安全工作造成了很大的影响。在操作系统上，我国绝大多数档案信息管理部门所使用的也是微软公司的操作系统，我国自主知识产权的操作系统仍然还不完善，没有得到有效普及。因此，在绝大多数核心技术上，我国仍然受制于美国。在信息技术的整体研发工作上，我国还需要不断地努力，提高自身技术能力，以优秀的产品替代国外产品，从而加强档案管理工作的能力。档案管理工作的特殊性以及保密性要求，对自主资质产权的技术与核心硬件有极大的需求，只有提高技术能力，才能够从技术层面上解决安全问题。
二、管理保障
数字信息安全的有效保障不仅要依靠先进的技术做为有效依托，同时还需要科学合理的管理制度。必须要制定出一系列缜密且合理的管理措施，以标准和规范的操作要求，限制档案操作，从而达到有效保护数字信息安全、完整、可靠的目的。
（一）加强宏观管理
档案数字化是一项非常专业，具有较高技术要求且综合性非常强的工作。为了有效完成相关工作，必须要加强领导，统一相关部门的工作流程，以正确的思想做为指导，建立完善的组织结构。例如，建立专门负责数字化工作组织机构，从中进行协调，使得档案在数字化、网络化、信息化的过程中，能够有序高效的进行。要组织相关部门，共同进行档案信息网络的技术
服务与质量保障措施
一、网站运行安全保障措施 1、网站服务器和其他计算机之间设置防火墙（硬件防火墙正在采购中）,做好安全策略,拒绝外来的恶意攻击，保障网站正常运行。 2、在网站的服务器及工作站上均安装了相应的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息对网站系统的干扰和破坏。 3、做好访问日志的留存。网站具有保存六月以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，主页维护者、对应的IP地址情况等。 4、交互式栏目具备有IP地址、身份登记和识别确认功能，对非法贴子或留言能做到及时删除并进行重要信息向相关部门汇报。 5、网站信息服务系统建立多机备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，可以在最短的时间内替换主系统提供服务。 6、关闭网站系统中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞,定期查杀病毒。 7、服务器平时处于锁定状态,并保管好登录密码;后台管理界面设置超级用户名及密码,并绑定IP,以防他人登入。 8、网站提供集中式权限管理，针对不同的应用系统、终端、操作人员，由网站系统管理员设置共享数据库信息的访问权限，并设置相应的密码及口令。不同的操作人员设定不同的用户名，且定期更换，严禁操作人员泄漏自己的口令。对操作人员的权限严格按照岗位职责设定，并由网站系统管理员定期检查操作人员权限。 9、公司机房按照电信机房标准建设，内有必备的独立UPS不间断电源，能定期进行电力、防火、防潮、防磁和防鼠检查。 二、信息安全保密管理制度 1、我公司建立了健全的信息安全保密管理制度，实现信息安全保密责任制，切实负起确保网络与信息安全保密的责任。严格按照“谁主管、谁负责”、“谁主办、谁负责”的原则，落实责任制，明确责任人和职责，细化工作措施和流程，建立完善管理制度和实施办法，确保使用网络和提供信息服务的安全。 2、网站信息内容更新全部由网站工作人员完成或管理,工作人员素质高、专业水平好,有强烈的责任心和责任感。网站相关信息发布之前有一定的审核程序。工作人员采集信息将严格遵守国家的有关法律、法规和相关规定。严禁通过我公司
网络与信息安全保障措施 信息安全保密制度 1、我公司建立了健全的信息安全保密管理制度,实现信息安全保密责任制,切实负起确保网络与信息安全保密的责任。严格按照“谁主管、谁负责”、“谁主办、谁负责”的原则,落实责任制,明确责任人与职责,细化工作措施与流程,建立完善管理制度与实施办法,确保使用网络与提供信息服务的安全。 2、网站信息内容更新全部由网站工作人员完成,工作人员素质高、专业水平好,有强烈的责任心与责任感。网站所有信息发布之前都经分管领导审核批准。 工作人员采集信息将严格遵守国家的有关法律、法规与相关规定。严禁通过我公司网站及短信平台散布《互联网信息管理办法》等相关法律法规明令禁止的信息(即“九不准”),一经发现,立即删除。 3、遵守对网站服务信息监视,保存、清除与备份的制度。开展对网络有害信息的清理整治工作,对违法犯罪案件,报告并协助公安机关查处。 4、所有信息都及时做备份。按照国家有关规定,网站将保存60天内系统运行日志与用户使用日志记录,短信服务系统将保存 5个月以内的系统及用户收发短信记录。制定并遵守安全教
育与培训制度。加大宣传教育力度,增强用户网络安全意识,自觉遵守互联网管理有关法律、法规,不泄密、不制作与传播有害信息,不链接有害信息或网页。 安全技术保障措施 防病毒、防黑客攻击技术措施就是防止不法分子利用互联网络进行破坏活动,保护互联网络与电子公告服务的信息安全的需要。我公司特此制定以下防病毒、防黑客攻击的安全技术措施: 1、所有接入互联网的计算机应使用经公安机关检测合格的防病毒产品并定期下载病毒特征码对杀毒软 件升级,确保计算机不会受到已发现的病毒攻击。 2、确保物理网络安全,防范因为物理介质、信号辐射等造成的安全风险。 3、采用网络安全控制技术,联网单位已采用防火墙、IDS等设备对网络安全进行防护。 4、使用漏洞扫描软件扫描系统漏洞,关闭不必要的服务端口。 5、制订口令管理制度,防止系统口令泄露与被暴力破解。 6、制订系统补丁的管理制度,确定系统补丁的更新、安装、发布措施,及时堵住系统漏洞。 防黑客攻击主要包括: ①、安全漏洞检测与修补
填空题： 1、信息安全是指确保信息的保密性、完整性和________。 答案：可用性难度：1 评析：无知识点：信息安全-概述 2、计算机病毒主要特点有破坏性、________、隐蔽性和可触发性。 答案：传染性难度：1 评析：无知识点：信息安全-计算机病毒及其防治-计算机病毒基本知识 3、传统单机病毒主要包括引导型病毒、________型病毒、宏病毒和混合型病毒。 答案：文件难度：1 评析：无知识点：信息安全-计算机病毒及其防治-计算机病毒基本知识 4、现代网络病毒主要包括________病毒和木马病毒。 答案：蠕虫难度：1 评析：无知识点：信息安全-计算机病毒及其防治-计算机病毒基本知识 5、木马病毒一般是通过电子邮件、在线聊天工具和恶意网页等方式进行传播，多数是利用了操作系统中存在的________。 答案：漏洞难度：2 评析：无知识点：信息安全-计算机病毒及其防治-计算机病毒基本知识 6、木马病毒由两部分组成，客户端和服务器端，其中由黑客控制的是________端。 答案：客户难度：2 评析：无知识点：信息安全-计算机病毒及其防治-计算机病毒基本知识 7、木马病毒由两部分组成，客户端和服务器端，其中隐藏在感染了木马的用户计算机上的是________端。 答案：服务器难度：2 评析：无知识点：信息安全-计算机病毒及其防治-计算机病毒基本知识 8、提高计算机系统安全性的常用方法是定期更新操作系统，安装系统的________，也可以用一些杀毒软件进行系统的“漏洞扫描”，并进行相应的安全设置。 答案：补丁程序难度：1 评析：无知识点：信息安全-计算机病毒及其防治-计算机病毒的防治 9、黑客一般使用Telnet、FTP等软件向目标主机申请服务，如果目标主机有应答就说明它开放了这些端口的________。 答案：服务难度：2 评析：无知识点：信息安全-网络安全-黑客攻防 10、启动防火墙以后，通信数据就会根据防火墙设置的访问规则受到限制，只有被________的网络连接和
信息安全策略总纲 1.1.适用范围及依据 第一条XXXXXX信息系统包含非生产控制系统，非生产控制系统内包含生产管理系统、网站系统、管理信息系统三大类。本制度适用于XXXXXX所有信息系统。 第二条本制度根据《GB/T20269-2006 信息安全技术信息系统安全管理要求》、《GB/T20282-2006 信息安全技术信息系统安全工程管理要求》、《GB/T22239-2008 信息安全技术信息系统安全等级保护基本要求》等有关法律、标准、政策，管理规范而制定。 1.2.信息安全工作总体方针 第一条XXXXXX信息系统的安全保护管理工作总体方针是“保持适度安全；管理与技术并重；全方位实施，全员参与；分权制衡，最小特权；尽量采用成熟的技术” 。“预防为主”是信息安全保护管理工作的基本方针。 第二条《总纲》规定了XXXXXX信息系统安全管理的体系、策 略和具体制度，为信息化安全管理工作提供监督依据。 第三条XXXXXX信息系统安全管理体系是由信息安全策略总纲、安全管理制度、安全技术标准以及安全工作流程和操作规程组成的。 （一）《总纲》是信息安全各个方面所应遵守的原则方法和指导性策略文件。
（二）《总纲》是制定XXXXXX信息安全管理制度和规定的依据 （三）信息安全管理制度和规范规定了信息安全管理活动中各项管理内容。 （四）信息安全技术标准和规范是根据《总纲》中对信息安全方面相关的规定所引出的，其规定了信息安全中的各项技术要求。 （五）信息安全工作流程和操作规程详细规定了主要应用和事件处理的流程、步骤以及相关注意事项，并且作为具体工作时的具体依照。 1.3.系统总体安全策略 第一条XXXXXX信息系统总体安全保护策略是：系统基础资源和信息资源的价值大小、用户访问权限的大小、系统中各子系统重要程度的区别等就是级别的客观体现。信息安全保护必须符合客观存在和发展规律，其分级、分区域、分类和分阶段是做好信息安全保护的前提。 第二条XXXXXX信息系统的安全保护策略由XXXXXX信息技术科负责制定与更新。 第三条信息技术科根据信息系统的保护等级、安全保护需求和安全目标，结合XXXXXX自身的实际情况，依据国家、监管部门有关安全法规和标准，授权制定信息系统的安全保护实施细则和具体管理办法；并根据环境、系统和威胁变化情况，及时调整和制定新的实施细则和具体管理办法。
信息安全保障措施 网络与信息的安全不仅关系到公司正常业务的开展，还将影响到国家的安全、社会的稳定。我公司将认真开展网络与信息安全工作，通过检查进一步明确安全责任，建立健全的管理制度，落实技术防范措施，保证必要的经费和条件，对有毒有害的信息进行过滤、对用户信息进行保密，确保网络与信息安全。 一、短信平台运行安全保障措施 1、短信服务器和其他计算机之间设置经公安部认证的防火墙, 并与专业网络安全公司合作，做好安全策略,拒绝外来的恶意攻击，保障短信平台正常运行。 2、在短信服务器及工作站上均安装了正版的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息对短信平台的干扰和破坏。 3、做好生产日志的留存。短信平台具有保存60天以上的系统运行日志和用户使用日志记录功能。 5、短信服务系统建立双机热备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，保证备用系统能及时替换主系统提供服务。 6、关闭短信平台中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞,定期查杀病毒。
7、短信服务器平时处于锁定状态,并保管好登录密码;后台管理界面设置超级用户名及密码,并绑定IP,以防他人登入。 8、短信平台提供集中式权限管理，针对不同的应用系统、终端、操作人员，由短信系统管理员设置共享数据库信息的访问权限，并设置相应的密码及口令。不同的操作人员设定不同的用户名，且定期更换，严禁操作人员泄漏自己的口令。对操作人员的权限严格按照岗位职责设定，并由短信系统管理员定期检查操作人员权限。 9、公司机房按照电信机房标准建设，内有必备的独立UPS不间断电源、高灵敏度的烟雾探测系统和消防系统，定期进行电力、防火、防潮、防磁和防鼠检查。 二、信息安全保密管理制度 1、我公司建立了健全的信息安全保密管理制度，实现信息安全保密责任制，切实负起确保网络与信息安全保密的责任。严格按照“谁主管、谁负责”、“谁主办、谁负责”的原则，落实责任制，明确责任人和职责，细化工作措施和流程，建立完善管理制度和实施办法，确保使用网络和提供信息服务的安全。 2、短信内容更新全部由公司工作人员完成,工作人员素质高、专业水平好,有强烈的责任心和责任感。短信平台所有信息发布之前都经分管领导审核批准。 工作人员采集信息将严格遵守国家的有关法律、法规和相关规定。严禁通过我公司短信平台散布相关法律法规明令禁止的信息（即“九不
发文单位：中国银行 文号：中银科[2002]38号 发布日期：2002-11-29 执行日期：2002-11-29 1.前言 随着信息技术的不断发展，金融信息安全与我国经济建设、社会安定和国家安全紧密相连。中国银行各项业务已经由传统手工处理转向高科技信息系统处理模式，信息技术已成为银行赖以发展的基础。中国银行信息系统是技术密集、资金密集、大型复杂的网络化的人机系统，其安全问题日益突出。 金融信息安全的风险来于管理层、技术层和操作层。银行信息系统所面临的主要威胁是： （1）人为的失误：计算机技术人员及业务人员在信息系统的设计、开发、安装、使用过程中，都有机会产生人为的错误或失误。 （2）欺诈行为：来自于银行内部员工或银行外部人员，欺骗性地修改或产生信息系统的数据，盗窃银行资金，进行金融犯罪。 （3）内部人员破坏行为：由于对工作不满或其他原因，有意在程序中设置“后门”或程序炸弹，并对设备、数据、系统进行故意破坏的行为。 （4）物理资源服务丧失：设备故障或物理环境发生意外灾难（电源断电、通讯中断、水灾、火灾、地震等）而产生系统宕机事件。 （5）黑客攻击：黑客通过非法手段访问或破坏银行信息系统。 （6）商业信息泄密：部分员工利用权限之便而造成信息系统数据的外泄。 （7）病毒（恶意程序）侵袭：指编制或者在计算机程序中插入破坏计算机功能或者毁坏系统数据的计算机指令或者程序代码。 （8）程序系统自身的缺陷：程序设计开发时，对系统的安全性考虑不足，留下安全隐患，这是一种来自系统自身的威胁。 随着全行信息大中心的相继建成，数据形成了高度集中，风险也随之高度集中，因此信息安全问题所形成的现代金融风险，使传统的金融风险内涵发生了根本性变化。中国银行信息系统的安全不但涉及国家和金融业的利益，而且还涉及到广大客户的利益，任何不安全因素都可能造成信息的丢失、资金财产的损失和金融市场的混乱，甚至影响到社会的稳定。由于信息系统存在着自然或人为等诸多因素的脆弱性和潜在风险，中国银行在信息化建设过程
( 安全论文 ) 单位：_________________________ 姓名：_________________________ 日期：_________________________ 精品文档 / Word文档 / 文字可改 电子档案信息安全评价指标体 系研究(新编版) Safety is inseparable from production and efficiency. Only when safety is good can we ensure better production. Pay attention to safety at all times.
电子档案信息安全评价指标体系研究(新 编版) 一、建立电子档案信息安全评价指标体系的必要性 信息技术在档案管理中的广泛应用，一方面提高了档案工作的效率，扩大了档案的社会影响力；另一方面也对档案工作提出了新的要求，例如存储介质的不稳定、技术过时、黑客入侵、电脑病毒破坏等都使得电子档案信息的安全保护面临着前所未有的挑战。 在2002年国家档案局颁发的《全国档案信息化建设实施纲要》和近期各省市的“十一五档案信息化建设纲要”中都提出了“档案信息安全保障体系建设”，但仍缺乏深入、系统的探讨。电子档案信息的安全管理是一个过程，而不是一个产品，我们不能期望通过一个安全产品就能把所有的安全问题都解决。对各档案管理系统来说，解决电子档案信息安全的首要问题就是要识别自身信息系统所面临
的风险，包括这些风险可能带来的安全威胁与影响的程度，然后进行最充分的分析与评价。只有采用科学有效的模型和方法进行全面的安全评价，才能真正掌握内部信息系统的整体安全状况，分析各种存在的威胁，以便针对高风险的威胁采取有效的安全措施，提高整体安全水平，逐步建成坚固的电子档案信息安全管理体系。 二、电子档案信息安全评价指标体系的组成 电子档案信息系统是一个复杂的系统工程，既有硬件，又有软件，既有外部影响，又有内部因素，而且许多方面是相互制约的。因此，必须有一个规范的、统一的、客观的标准。根据国内外的电子档案信息安全评估标准，国家对电子档案信息和网络信息系统安全性的基本要求，结合电子档案管理和网络管理经验，综合考虑影响电子档案信息安全的各种因素，建立电子档案信息安全评价指标体系。该体系主要包括五个大项二十个小项的评价指标。 1、物理安全评价指标 物理安全是指存储档案信息的库房、计算机设备及管理人员工作场所内外的环境条件必须满足档案信息安全、计算机设备和管理
个人信息的保护和安全措施 一、广电公众平台将尽一切合理努力保护获得的用户个人信息，并由专门的数据安全部门对个人信息进行保护。为防止用户个人信息在意外的、未经授权的情况下被非法访问、复制、修改、传送、遗失、破坏、处理或使用，广电公众平台已经并将继续采取以下措施保护用户的个人信息： 通过采取加密技术对用户个人信息进行加密保存，并通过隔离技术进行隔离。在个人信息使用时，例如个人信息展示、个人信息关联计算，广电公众平台会采用包括内容替换、加密脱敏等多种数据脱敏技术增强个人信息在使用中安全性。设立严格的数据使用和访问制度，采用严格的数据访问权限控制和多重身份认证技术保护个人信息，避免数据被违规使用。 二、保护个人信息采取的其他安全措施 1、通过建立数据分类分级制度、数据安全管理规范、数据安全开发规范来管理规范个人信息的存储和使用。 2、建立数据安全专项部门，负责安全应急响应组织来推进和保障个人信息安全。 3、个人信息安全事件的通知 1）如发生个人信息引发的安全事件，广电公众平台将第一事件向相应主管机关报备，并即时进行问题排查，开展应急措施。 2）通过与全量用户发送通知提醒更改密码。还可能通过电话、短信等各种方式触达用户知晓，在公共运营平台运营宣传，制止数据
泄露。 尽管已经采取了上述合理有效措施，并已经遵守了相关法律规定要求的标准，但广电公众平台仍然无法保证用户的个人信息通过不安全途径进行交流时的安全性。因此，用户个人应采取积极措施保证个人信息的安全，如：定期修改账号密码，不将自己的账号密码等个人信息透露给他人。 网络环境中始终存在各种信息泄漏的风险，当出现意外事件、不可抗力等情形导致用户的信息出现泄漏时，广电公众平台将极力控制局面，及时告知用户事件起因、广电公众平台采取的安全措施、用户可以主动采取的安全措施等相关情况。
公司信息安全 如此重要的信息，可能在老板的大脑里、公司电脑里、一个打印稿的背面，甚至在一个垃圾筐里。随时都有泄漏的可能，泄漏的结果轻则使公司蒙受损失，重则毁灭公司。 你要怎么防备？ 信息安全？“不就是安装杀毒软件，在电脑上设设密码吗”？ 谁是那百分之五？ 当你读这篇文章的时候，全世界又有2个企业因为信息安全问题倒闭，有11个企业因为信息安全问题造成大概800多万的直接经济损失。中国财富通过对100个经理人的调查总结30个致命细节，让您5分钟快速成为信息安全专家。 1、打印机——10秒延迟带来信息漏洞即使是激光打印机，也有10秒以上的延迟，如果你不在第9秒守在打印机的旁边，第一个看到文件的人可能就不是你了。大部分的现代化公司都使用公用的打印机，并且将打印机、复印机等器材放在一个相对独立的空间里。于是，部门之间的机密文件就可以从设备室开始，在其他部门传播，当部门之间没有秘密，公司也就没有秘密了。 2、打印纸背面——好习惯换取的大损失节约用纸是很多公司的好习惯，员工往往会以使用背面打印纸为荣。其实，将拥有这种习惯公司的“废纸”收集在一起，你会发现打印、复印造成的废纸所包含公司机密竟然如此全面，连执行副总都会觉得汗颜，因为废纸记载了公司里比他的工作日记都全面的内容。 3、电脑易手——新员工真正的入职导师我们相信，所有的职业经理人都有过这样的经历：如果自己新到一家公司工作，在自己前任的电脑里漫游是了解新公司最好的渠道。在一种近似“窥探”的状态下，公司里曾经发生过的事情“尽收眼底”，从公司以往的客户记录、奖惩制度、甚至你还有幸阅读前任的辞呈。如果是其他部门的电脑，自然也是另有一番乐趣。 4、共享——做好文件再通知窃取者局域网中的共享是获得公司内部机密最后的通道。有的公司为了杜绝内部网络泄密，规定所有人在共享以后一定要马上取消。实际上越是这样，企业通过共享泄露机密的风险越大。因为当人们这样做的时候，会无所顾及地利用共享方式传播信息，人们习惯的方式是在开放式办公间的这边对着另一边的同事喊：“我放在共享里了，你来拿吧——”，没错，会有人去拿的，却往往不只是你期望的人。 5、指数对比——聪明反被聪明误在传统的生产型企业之间，经常要推测竞争对手的销售数量、生产数量。于是，人们为了隐藏自己的实际数量，而引入了统计学里的指数，通过对实际数量的加权，保护自己的机密信息。唯一让人遗憾的是，通常采取的简单基期加权，如果被对方了解到几年内任何一个月的真实数量，所有的真实数量就一览无余地出现在竞争对手的办公桌上了。 6、培训——信息保卫战从此被动新员工进入公司，大部分的企业会对新员工坦诚相见。从培训的第一天开始，新员工以“更快融入团队”的名义，接触公司除财务以外所有的作业部门，从公司战略到正在采取的战术方法，从公司的核心客户到关键技术。但事实上，总有超过五分之一的员工会在入职三个月以后离开公司。同时，他们中的大部份没有离开现在从事的行业，或许正在向你的竞争对手眉飞色舞地描述你公司的一草一木。 7、传真机——你总是在半小时后才拿到发给你的传真总有传真是“没有人领取”的，每周一定有人收不到重要的传真；人们总是“惊奇地”发现，自己传真纸的最后一页是别人的开头，而你的开头却怎么也找不到了。 8、公用设备——不等于公用信息在小型公司或者一个独立的部门里，人们经常公用U盘、软盘或手提电脑。如果有机会把U盘借给公司的新会计用，也就有可能在对方归还的时候轻易获得本月的公司损益表。 9、摄像头——挥手之间断送的竞标机会总部在上海的一家国内大型广告公司，在2004年3月出现的那一次信息泄露，导
一、信息安全管理 1、什么是信息安全管理，为什么需要信息安全管理？ 国际标准化组织对信息安全的定义是：“在技术上和管理上维数据处理系统建立的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。当今的信息系统日益复杂，其中必然存在系统设计、实现、内部控制等方面的弱点。如果不采取适当的措施应对系统运行环境中的安全威胁，信息资产就可能会遭受巨大的损失甚至威胁到国家安全。 2、系统列举常用的信息安全技术？ 密码技术、访问控制和鉴权；物理安全技术；网络安全技术；容灾与数据备份。 3、信息安全管理的主要内容有哪些？ 信息安全管理从信息系统的安全需求出发，结合组织的信息系统建设情况，引入适当的技术控制措施和管理体系，形成了综合的信息安全管理架构。 4、什么是信息安全保障体系，它包含哪些内容？ 5、信息安全法规对信息安全管理工作意义如何？ 它能为信息安全提供制度保障。信息安全法律法规的保障作用至少包含以下三方面： 1.为人们从事在信息安全方面从事各种活动提供规范性指导； 2.能够预防信息安全事件的发生； 3.保障信息安全活动参与各方的合法权益，为人们追求合法权益提供了依据和手段。 二、信息安全风险评估 1、什么是信息安全风险评估？它由哪些基本步骤组成？ 信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。风险评估可分为四个阶段，第一阶段为风险评估准备；第二阶段为风险识别，第三阶段为风险评价，第四阶段为风险处理。 2、信息资产可以分为哪几类？请分别举出一两个例子说明。 可以分为数据、软件、硬件、文档、人员、服务。例如：软件有系统软件、应用软件、源程序、数据库等。服务有办公服务、网络服务、信息服务等。 3、威胁源有哪些？其常见表现形式分别是什么？
信息安全策略
变更履历
*变化状态：C——创建，A——增加，M——修改，D——删除
目录 1. 目的和范围......................... 错误!未指定书签。 2. 术语和定义......................... 错误!未指定书签。 3. 引用文件........................... 错误!未指定书签。 4. 职责和权限......................... 错误!未指定书签。 5. 信息安全策略....................... 错误!未指定书签。 5.1. 信息系统安全组织............. 错误!未指定书签。 5.2. 资产管理..................... 错误!未指定书签。 5.3. 人员信息安全管理............. 错误!未指定书签。 5.4. 物理和环境安全............... 错误!未指定书签。 5.5. 通信和操作管理............... 错误!未指定书签。 5.6. 信息系统访问控制............. 错误!未指定书签。 5.7. 信息系统的获取、开发和维护安全错误!未指定书签。 5.8. 信息安全事故处理............. 错误!未指定书签。 5.9. 业务连续性管理............... 错误!未指定书签。 5.10. 符合性要求.................. 错误!未指定书签。1附件............................... 错误!未指定书签。
信息安全管理责任制 网络与信息的安全不仅关系到公司正常业务的开展，还将影响到国家的安全、社会的稳定。我司将认真开展网络与信息安全工作，通过检查进一步明确安全责任，建立健全的管理制度，落实技术防范措施，保证必要的经费和条件，对有毒有害的信息进行过滤、对用户信息进行保密，确保网络与信息安全。 一、网站运行安全保障措施 1、网站服务器和其他计算机之间设置经公安部认证的防火墙, 并与专业网络安全公司合作，做好安全策略，拒绝外来的恶意攻击，保障网站正常运行。 2、在网站的服务器及工作站上均安装了正版的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息对网站系统的干扰和破坏。 3、做好生产日志的留存网站具有保存60天以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，主页维护者、邮箱使用者和对应的 IP地址情况等。 4、交互式栏目具备有IP地址、身份登记和识别确认功能，对没有合法手续和不具备条件的电子公告服务立即关闭。 5、网站信息服务系统建立双机热备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，保证备用系统能及时替换主系统提供服务。 6、关闭网站系统中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞,定期查杀病毒。 7、服务器平时处于锁定状态,并保管好登录密码;后台管理界面设置超级用户名及密码,并绑定IP,以防他人登入。 8、网站提供集中式权限管理，针对不同的应用系统、终端、操作人员，由网站系统管理员设置共享数据库信息的访问权限，并设置相应的密码及口令。不同的操作人员设定不同的用户名，且定期更换，严禁操作人员泄漏自己的口令。对操作人员的权限严格按照岗位职责设定，并由网站系统管理员定期检查操作人员权限。 二、信息安全保密管理制度 1、我司建立了健全的信息安全保密管理制度，实现信息安全保密责任制，切实负起确保网络与信息安全保密的责任。严格按照“谁主管、谁负责”、“谁主办、谁负责”的原则，落实责任制，明确责任人和职责，细化工作措施和流程，建立完善管理制度和实施办法，确保使用网络和提供信息服务的安全。 2、网站信息内容更新全部由网站工作人员完成,工作人员素质高、专业水平好,有强烈的责任心和责任感。网站所有信息发布之前都经分管领导审核批准。工作人员采集信息将严格遵守国家的有关法律、法规和相关规定。严禁通过我司网站及短信平台散布《互联网信息管理办法》等相关法律法规明令禁止的信息（即“九不准”），一经发现，立即删除。 3、遵守对网站服务信息监视，保存、清除和备份的制度。开展对网络有害信息的清理整治工作，对违法犯罪案件，报告并协助公安机关查处。 4、所有信息都及时做备份。按照国家有关规定，网站将保存60天内系统运行日志和用户使
企业信息安全管理复习纲要 填空题（1*20） 1.信息安全基本目标——机密性C、完整性I、可用性A 2.信息安全的成败取决于两个因素——技术和管理 3.从什么方面考虑信息安全——法律法规与合同要求、组织原则目标和业务需要、风险评 估的结果 4.安全管理模型PDCA是指——计划Plan（根据风险评估结果、法律法规要求、组织业务 运作自身需要来确定控制目标与控制措施）、实施Do（实施所选的安全控制措施）、检查Check（依据策略、程序、标准和法律法规，对安全措施的实施情况进行符合性检查）、措施Action（针对检查结果采取应对措施，改进安状况） 5.软件安全问题加剧的三个趋势——互联性、可扩展性、复杂性 6.漏洞分类——软件编写存在bug、跨站脚本、SQL注入 7.数据库的特点——多用户、高可用性、频繁更新、大文件、安全性与可靠性问题复杂 8.数据备份的类型——完全备份、差量备份、增量备份 9.数据库的备份——分为物理备份和逻辑备份两种，其中物理备份包括冷备份和热备份。 10.计算机系统安全级别分类依据——身份认证、访问控制、审计、备份 11.密码学发展大致分为三个阶段——古典密码时期、近代密码时期、现代密码时期 12.一个密码系统（体制）至少由——明文、密文、加密算法和解密算法、密钥五部分组成。 13.密码体制分类——对称密码体制、非对称密码体制 14.密码体制的有条件安全性——计算上的安全、有条件的安全、可证明的安全 15.对称密码算法的分类——序列密码、分组密码 16.分组密码的算法要求——分组长度足够大、密钥量足够大、密码变换足够复杂 17.认证一般分两种情形——身份认证、消息认证 18.访问控制包含3个要素——主体、客体、控制策略。 19.解决网络安全的主要技术——身份认证技术、访问控制技术、密码技术、病毒防治技术、 防火墙技术 选择题（2*5） 1.信息安全管理的关键——技术和产品是基础，管理才是关键（信息安全是个管理过程， 而不是技术过程） 2.不同数据类型的对比 3.风险管理是指导和控制一个组织相关风险的协调活动。
保护个人信息安全的六大措施 现今，数据泄露渐成常态，在此种环境下，如何保护个人的信息安全，成为每个人都应该注意并为之采取措施的问题。 1.网上注册内容时不要填写个人私密信息 互联网时代用户数和用户信息量已然和企业的盈利关联了起来，企业希望尽可能多地获取用户信息。但是很多企业在数据保护上所做的工作存在缺陷，时常会有用户信息泄露事件发生，对于我们普通用户而言，无法干预到企业的采取数据安全保护措施，只能从己方着手，尽可能少地暴露自己的用户信息。 2.尽量远离社交平台涉及的互动类活动 现在很多社交平台，会有一些填写个人信息即可生成有趣内容并可以和朋友分享的活动，看似有趣的表面，实质上却以游戏的手段获取了大量的用户信息，遇到那些奔着个人隐私信息去的“趣味”活动，建议不要参与。 3.安装病毒防护软件 不管是计算机还是智能手机，都已经成为信息泄露的高发地带，往往由于不小心间点击一个链接、下载一个文件，就成功被不法分子攻破，安装防病毒软件进行病毒防护和病毒查杀成为设备使用时的必要手段。 4.不要连接未知WiFi 现在公共场所常常会有些免费WiFi，有些是为了人们提供便利而专门设置的，但是不能忽视的是不法分子也会在公共场所设置钓鱼WiFi，一旦连接到他们的钓鱼WiFi，我们的设备就会被他们反扫描，如果在使用过程中输入账号密码等信息，就会被对方获得。在公众场所尽量不要去连接免费WiFi。 5.警惕手机诈骗 科技在进步，骗子的手段也变得层出不穷，常见莫过于利用短信骗取手机用户的信息。更有可能进行财产诈骗，让受害者遭受重大损失。警惕手机短信里的手机账户异常、银行账户异常、银行系统升级等信息，有可能是骗子利用伪基站发送的诈骗信息。遇到这种短信不要管它，去联系官方工作人员，询问情况。 6.妥善处理好涉及到个人信息的单据 在快递单上会有我们的手机、地址等信息，一些消费小票上也包含部分姓名、银行卡号、消费记录等信息，翼火蛇提示对于已经废弃掉的单据，需要进行妥善处置。
档案安全检查自查报告（共4篇） 档案安全检查自查报告（共4篇） 第1篇档案安全检查自查报告档案信息安全检查自查报告近年来，局领导高度重视档案信息安全工作，采取有力措施，进一步规范了数字档案馆务平台建设，落实了工作制度，强化了工作流程管理，档案信息安全工作日趋规范化.标准化.科学化。按照局领导要求，我处室于9月下旬对全局档案信息安全工作情况进行了全面自查。现将自查情况报告如下。 一.自查情况 1.数字化外包情况。我局从年开展档案数字化工作，从年起每年保障30万数字化资金投入，通过政府向社会购买服务的方式，与江苏力鼎公司签订数字化项目合同。最近一期的数字化项目合同期为年-年，在组织实施上，通过竞争性谈判选择江苏省档案局推荐的数字化加工企业，并对数字化聘用人员进行严格的资格审查，确定无犯罪记录且非外籍人员，才与其签订岗位责任保密书，以明确相应责任；在数字化场所管理上，划定独立的扫描加工区域，并配备防盗.视频监控设施设备，场所基本符合防尘.防火.防有害生物等安全管理要求，场所管理规范；在数字化规范上，我局严格遵守江苏省档案局数字化的地方标准档案数字化转换操作规程DB32，移交的数据经验收有效.可读，无木马病毒，数据质量符合相应规范标准，档案实体出入库有齐全的交接手续，
操作流程规范达标；在数字化设备管理上，网络与外界物理隔离，并且严禁工作人员携带手机.照相机.摄像机等具备摄像.无线功能的设备和各类移动存储介质进入数字化加工场所，目前未发现数据丢失和泄密事故。 2.运行情况。盐城档案信息网建于年，采用租用虚拟主机的方式，由盐城市通联网络公司设计开发网页.负责服务器及相关软硬件的维护，我处室负责的内容维护和数据维护工作。对于的信息发布，我局严格遵守“上网信息不涉密，涉密信息不上网”的原则，按照“采.编.审.发”的信息发布流程，由办公室汇总编辑各业务处室和各县（市.区）档案局上报的信息，经房局长审批后，交由技术保护处发布在的相应栏目内，信息发布流程操作规范；对于网络咨询提问，各相关处室（一般涉及到业务指导处.管理处）按分工视具体问题认真及时给予答复，由技术保护处统一在网络上回复，回复网络咨询提问及时到位；对于数据备份，后台每天进行自动备份，我处室每月1号再通过手动备份的方式将数据实行异机备份，数据相对安全。 3.数字档案馆平台运行情况。盐城市数字档案馆平台自年9月上线以来，一直重视相应的安全体系建设，服务器和磁盘阵列采用了磁盘冗余技术，避免了因为单点物理损坏导致的数据丢失；服务器还安装了正版网络杀毒软件并配备了硬件防火墙，有效保障了平台的稳定运行。数据管理方面，对已形成的各种电子数据，目录数据库由批处理程序控制每天自动在线备份，全文数
个人信息的保护和安全 措施 Document number：PBGCG-0857-BTDO-0089-PTT1998
个人信息的保护和安全措施 一、广电公众平台将尽一切合理努力保护获得的用户个人信息，并由专门的数据安全部门对个人信息进行保护。为防止用户个人信息在意外的、未经授权的情况下被非法访问、复制、修改、传送、遗失、破坏、处理或使用，广电公众平台已经并将继续采取以下措施保护用户的个人信息： 通过采取加密技术对用户个人信息进行加密保存，并通过隔离技术进行隔离。在个人信息使用时，例如个人信息展示、个人信息关联计算，广电公众平台会采用包括内容替换、加密脱敏等多种数据脱敏技术增强个人信息在使用中安全性。设立严格的数据使用和访问制度，采用严格的数据访问权限控制和多重身份认证技术保护个人信息，避免数据被违规使用。 二、保护个人信息采取的其他安全措施 1、通过建立数据分类分级制度、数据安全管理规范、数据安全开发规范来管理规范个人信息的存储和使用。 2、建立数据安全专项部门，负责安全应急响应组织来推进和保障个人信息安全。 3、个人信息安全事件的通知 1）如发生个人信息引发的安全事件，广电公众平台将第一事件向相应主管机关报备，并即时进行问题排查，开展应急措施。
2）通过与全量用户发送通知提醒更改密码。还可能通过电话、短信等各种方式触达用户知晓，在公共运营平台运营宣传，制止数据泄露。 尽管已经采取了上述合理有效措施，并已经遵守了相关法律规定要求的标准，但广电公众平台仍然无法保证用户的个人信息通过不安全途径进行交流时的安全性。因此，用户个人应采取积极措施保证个人信息的安全，如：定期修改账号密码，不将自己的账号密码等个人信息透露给他人。 网络环境中始终存在各种信息泄漏的风险，当出现意外事件、不可抗力等情形导致用户的信息出现泄漏时，广电公众平台将极力控制局面，及时告知用户事件起因、广电公众平台采取的安全措施、用户可以主动采取的安全措施等相关情况。
（一）数据产生／采集环节的安全技术措施 从数据安全角度考虑，在数据产生／采集环节需要实现的技术能力主要是元 数据安全管理、数据类型和安全等级打标，相应功能需要内嵌入后台运维管理系统，或与其无缝对接，从而实现安全责任制、数据分级分类管理等管理制度在实际业务流程中的落地实施 1、元数据安全管理 以结构化数据为例，元数据安全管理需要实现的功能，包括数据表级的所属部门、开发人、安全责任人的设置和查询，表字段的资产等级、安全等级查询， 表与上下游表的血缘关系查询，表访问操作权限申请入口。完整的元数据安全管理功能应可以显示一个数据表基本情况，包括每个字段的类型、具体描述、数据类型、安全等级等，同时显示这个数据表的开发人、负责人、安全接口人、所属 部门等信息，并且可以通过这个界面申请对该表访问操作权限。 2、数据类型、安全等级打标 建议使用自动化的数据类型、安全等级打标工具帮助组织内部实现数据分级 分类管理，特别是在组织内部拥有大量数据的情况下，能够保证管理效率。打标工具根据数据分级分类管理制度中定义的数据类型、安全等级进行标识化，通过预设判定规则实现数据表字段级别的自动化识别和打标。下图是一个打标工具的功能示例，显示了一个数据表每个字段的数据类型和安全等级，在这个示例中，“C”表示该字段的数据类型，“C”后面的数字表示该字段的安全等级。
数据类型、安全等级标识示例 （二）数据传输存储环节的安全技术措施 数据传输和存储环节主要通过密码技术保障数据机密性、完整性。在数据传输环节，可以通过HTTPS、VPN 等技术建立不同安全域间的加密传输链路，也可 以直接对数据进行加密，以密文形式传输，保障数据传输过程安全。在数据存储环节，可以采取数据加密、硬盘加密等多种技术方式保障数据存储安全。 （三）数据使用环节的安全技术措施 数据使用环节安全防护的目标是保障数据在授权范围内被访问、处理，防止数据遭窃取、泄漏、损毁。为实现这一目标，除了防火墙、入侵检测、防病毒、 防DDoS、漏洞检测等网络安全防护技术措施外，数据使用环节还需实现的安全 技术能力包括： 1、账号权限管理 建立统一账号权限管理系统，对各类业务系统、数据库等账号实现统一管 理，是保障数据在授权范围内被使用的有效方式，也是落实账号权限管理及审批制度必需的技术支撑手段。账号权限管理系统具体实现功能与组织自身需求有 关，除基本的创建或删除账号、权限管理和审批功能外，建议实现的功能还包括：一是权限控制的颗粒度尽可能小，最好做到对数据表列级的访问和操作权限控
1：信息安全威胁的基本类型：信息泄露，信息伪造，完整性破坏，业务否决或拒 绝服务，未 经授权访问。 2：信息的安全属性主要包括：机密性，完整性，可用性，可控性，不可否认行。 3：信息安全威胁的主要表现形式：攻击原始资料（人员泄露，废弃的介质，窃取） 务流分析，重放） ，恶意伪造（业务欺骗，假冒，抵赖） 会工程学攻击。 4：面向应用的层次型技术体系结构：物理安全，运行安全，数据安全，内容安全， 管理安全。 5：面向目标的知识体系结构：机密性，完整性，可用性。 6：面向过程的信息安全保障体系：保护，检测，反应，恢复。 7：OSI 开放系统互联安全体系结构：安全服务（鉴别，访问控制，数据机密性，数 据完整性，抗抵赖性） ，安全机制（加密，数字签名，访问控制，数据完整性，鉴 别交换，业务流填充，路由控制，公证机制） 。 第三章 1: 设备安全防护 : 防盗，防火，防静电，防雷击。 2: 防信息泄露 : 电磁泄露 （ 屏蔽法，频域法，时域法 ） ，窃听。 3: 物理隔离 : 意为通过制造物理的豁口来达到物理隔离的目的。他是不安全就不联 网，绝对保证安全。 4: 逻辑隔离也是一种不同网络间的隔离部件，被隔离的两端仍然存在物理上数据通 道连线，但通过技术手段保证被隔离的两端没有数据通道，即逻辑上隔离。在保证 网络正常使用的情况下，尽可能安破坏基础设施（电力系统，通信网络，信息系统场所） ，攻击信息系统（物理侵入， 木马，恶意访问，服务干扰，旁路控制，计算机病毒） ，攻击信息传输（窃听，业 ，自身失误，内部攻击，社
全。 5: 物理安全: 指为了保证计算机系统安全、可靠地运行，确保系统在对信息进行采集、传输、存储、处理、显示、分发和利用的过程中不会受到人为或自然因素的危害而使信息丢失、泄漏和破坏，对计算机系统设备、通信与网络设备、存储媒体设备和人员所采取的安全技术措施。主要包括实体安全和环境安全，涉及到网络与信息系统的机密性，可用性，完整性等属性。 6: 电磁泄露: 就是说你用的电脑，显示器，手机等，都是能产生电子辐射的，而且都有固定的特征，通过技术手段可以分析你电脑的使用内容，或者还原画面，造成秘密泄露！ 7: 物理隔离与逻辑隔离的区别: 物理隔离部件的安全功能应保证被隔离的计算机资源不被访问，计算机数据不能被重用。逻辑隔离应保证被隔离的计算机资源不被访问，只能进行隔离器内，外的原始应用数据交换，保证在进行数据交换时的数据完整性，以及保证隔离措施的可控性。 第四章 1: 身份认证: 是证实用户的真实身份与其所声称的身份是否相符的过程。实现身份认证的技术主要包括基于口令的认证技术，基于密码学的认证技术和生物特征的认证技术。 2: 数字证书: 是一种权威性的电子文档。它提供了一种在Internet 上验证您身份的 方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构CA 证书授权(Certificate Authority) 中心发行的，人们可以在互联网交往 中用它来识别对方的身份。当然在数字证书认证的过程中，证书认证中心( CA作 为权威的、公正的、可信赖的第三方，其作用是至关重要的。数字证书也必须具 有唯一性和可靠性。它采用公钥体制 3: 重放攻击: 指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。它是一种攻击类型，这种攻击会不断恶意或欺诈性地重复一个有效的数据传输，重放攻击可以由发起者，也可以由拦截并重发该数据的敌方进行。攻击者利用网络监听或者其他方式盗取认证凭据，之后再把它重新发给认证服务器。
附件八：网络与信息安全保障措施，包括网站安全保障措施、信息安全保密管理制度、用户信息安全管理制度 根据《中华人民共和国计算机信息系统安全保护条例（国务院）》、《中华人民共和国计算机信息网络国际联网管理暂行规定（国务院）》、《计算机信息网络国际联网安全保护管理办法（公安部）》等规定，常武医院将认真开展网络与信息安全工作，明确安全责任，建立健全的管理制度，落实技术防范措施，保证必要的经费和条件，对一切不良、有毒、违法等信息进行过滤、对用户信息进行保密，确保网络信息和用户信息的安全。 一、网站安全保障措施 1、网站服务器和其他计算机之间设置防火墙，拒绝外来恶意程序的攻击，保障网站正常运行。 2、在网站的服务器及工作站上安装相应的防病毒软件，对计算机病毒、有害电子邮件有效防范，防止有害信息对网站系统的干扰和破坏。 3、做好访问日志的留存。网站具有保存三个月以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，主页维护者、对应的IP地址情况等。 4、交互式栏目具备有IP地址、身份登记和识别确认功能，对非法贴子或留言能做到及时删除并根据需要将重要信息向相关部门汇报。 5、网站信息服务系统建立多种备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，可以在最短的时间内替换主系统提供服务。 6、关闭网站系统中暂不使用的服务功能及相关端口，并及时修复系统漏洞，
定期查杀病毒。 7、服务器平时处于锁定状态，并保管好登录密码；后台管理界面设置超级用户名、密码和验证码并绑定IP，以防他人非法登陆。 8、网站提供集中管理、多级审核的管理模式，针对不同的应用系统、终端、操作人员，由网站系统管理员设置共享数据库信息的访问权限，并设置相应的密码及口令。 9、不同的操作人员设定不同的用户名和操作口令，且定期更换操作口令，严禁操作人员泄漏自己的口令；对操作人员的权限严格按照岗位职责设定，并由网站系统管理员定期检查操作人员的操作记录。 二、信息安全保密管理制度 1、充分发挥和有效利用常武医院医疗信息资源，保障常武医院门户网站的正常运行，对网络信息进行及时、有效、规范的管理。 2、在常武医院门户网站服务器上提供的信息，不得危害国家安全、泄露国家秘密；不得有害社会稳定、治安和有伤风化。 3、本院各部门及信息采集人员对所提供信息的真实性、合法性负责并承担发布信息引起的任何法律责任； 4、各部门指定专人担任信息管理员，负责本网站信息发布工作，不允许用户将其帐号、密码转让或借予他人使用；因密码泄密给本网站以及本院带来的不利影响由泄密人承担全部责任，并追究该部门负责人的管理责任； 5、不得将任何内部资料、机密资料、涉及他人隐私资料或侵犯任何人的专利、商标、著作权、商业秘密或其他专属权利之内容加以上载、张贴。 6、所有信息及时备份，并按规定将系统运行日志和用户使用日志记录保存