当前位置：文档之家 › 【最新】银行信息安全意识培训课件20110730

【最新】银行信息安全意识培训课件20110730

  • 格式：ppt
  • 大小：3.24 MB
  • 文档页数：91

下载文档原格式

  / 91

合集下载

信息安全意识培训信息安全常识PPT课件

信息安全意识培训信息安全常识PPT课件
信息安全意识 培训信息安全 常识
目录
一、信息安全常识
二、信息安全形势
三、信息安全防护
一、信息安全常识
我们身边有哪些安全问题？
火灾
水灾
交通事故
街头抢劫
我们需要保护人身安全与财产安全！
我国信息化迅猛发展
信息技术已经广泛渗透到各行各业
– 事业单位：政府、医疗卫生、教育、科研 – 金融：银行、证券、保险 – 能源：煤炭、石油、电力 – 电信运营商：移动、联通、电信
为什么需要保护信息？
“恶意软件”危害严重
序号
类别\特点
危害性
窃密性
1 2
3 4 5 6
计算机病毒 蠕虫
木马 间谍软件 网络钓鱼 僵尸网络
电脑崩溃、破坏文件 消耗CPU与网络资源
完全控制远程电脑 窃取密码、个人信息 窃取网银账户信息与密码 网络军队：完全控制远程电脑 窃取密码、垃圾邮件、DDoS攻击
数据 文档
为什么需要保护信息？
人是复杂的，“威胁”时刻存在
为什么需要保护信息？
人是复杂的，“威胁”到处存在
为什么需要保护信息？
信息与信息系统是“重要资产”，能够提高效率、 降低成本、增强核心竞争力，创造利润。
分类 硬件 软件 服务费 信息资产成本 500,000 200,000 300,000 1,000,000 金额 (单位：元)
为什么培训安全意识？
社会工程学攻击工作模式示例
只有“安全意识培训”能够防范社会工程学攻击！
为什么培训安全意识？
信息资产防护投入与组织盈利能力关系
为什么培训安全意识？
外因是条件，内因是关键； 外因是危险的网络环境，病毒、木马，钓鱼，欺诈等； 内因是自己对信息安全的意识和重视。

银行保险行业信息安全培训课件

银行保险行业信息安全培训课件
路电？ 两路电是否一定是两个输电站？ 有没有UPS？ UPS能维持多久？ 有没有备用发电机组？
备用发电机是否有充足的油料储备？
另一个与物理安全相关的案例
25
安全事件（1）
26
安全事件（2）
27
安全事件（3）
28
安全事件（4）
29
安全事件（5）
30
安全事件（6）
用户电脑中毒后可能会出现蓝屏、频繁重 启以及系统硬盘中数据文件被破坏等现象。同 时，该病毒可以通过局域网进行传播，进而感 染局域网内所有计算机系统，最终导致企业局 域网瘫痪，无法正常使用，它能感染系统中 exe，com，pif，src，html，asp等文件，它 还能中止大量的反病毒软件进程并且会删除扩 展名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件 丢失。被感染的用户系统中所有.exe可执行文 件全部被改成熊猫举着三根香的模样。
物理环境中需要 信息安全
ATM诈骗三部曲
在自助银行入口刷卡器下方粘上一个黑 色小方块，叫“读卡器”，罩上一个加 长的“壳”，把银行的刷卡器和读卡器 一起藏在里面，一般人很难发现。取款 人在刷卡进门时，银行卡上的全部信息 就一下被刷进了犯罪分子的读卡器上。
在取款机窗口内侧顶部，粘上一个贴 着“ATM”字样的“发光灯”。这个 “发光灯”是经过特殊改造的，里面 用一块手机电池做电源，连接两个灯 泡，核心部分则是一个MP4。取款人 取款时的全过程被犯罪分子装的“针 孔摄像机”进行了“实况录像”。
24
信息安全令人担忧
内地企业44%信息安全事件是数据失窃
普华永道最新发布的2008年度全球信息安全调查报告显示， 中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保 障方面已被印度赶超。数据显示，内地企业44%的信息安全事件与 数据失窃有关，而全球的平均水平只有16%。 普华永道的调查显示，中国内地企业在改善信息安全机制上 仍有待努力，从近年安全事件结果看，中国每年大约98万美元的 财务损失，而亚洲国家平均约为75万美元，印度大约为30.8万美 元。此外，42%的中国内地受访企业经历了应用软件、系统和网 络的安全事件。

信息安全意识培训PPT

信息安全意识培训PPT
严格遵守公司的系统安全政策和流程，如密码策略、数据 备份和恢复流程等，以确保系统的安全性和稳定性。
04
信息安全技术防范措 施
防火墙与入侵检测技术
防火墙技术
配置网络防火墙，监控网络流量，阻止未经授权的访问和数据泄露。
入侵检测系统/入侵防御系统（IDS/IPS）
部署入侵检测系统，实时监控网络异常行为，及时发现并处置网络攻击。
信息安全风险是指因信息安全威 胁而导致的潜在损失或不利影响 ，组织需要评估并制定相应的风 险管理策略来降低风险。
信息安全法律法规与标准
法律法规
国家和地方政府颁布了一系列信息安全相关的法律法规，如《网络安全法》、 《数据安全法》等，对信息安全的监管和违法行为的处罚做出了明确规定。
标准规范
信息安全领域还有一系列国际和国内标准规范，如ISO 27001、等级保护制度 等，这些标准规范为组织提供了信息安全管理和技术实施的参考依据。
信息安全重要性
信息安全对于个人、组织、企业乃至 国家都具有重要意义，它涉及到数据 的保密性、完整性和可用性，是保障 业务连续性和社会稳定的关键因素。
信息安全威胁与风险
常见信息安全威胁
包括恶意软件、网络攻击、钓鱼 诈骗、数据泄露等，这些威胁可 能导致系统瘫痪、数据丢失或泄 露、财务损失等严重后果。
信息安全风险
培养良好的安全浏览习惯 ，不随意下载未知来源的 软件和文件，避免恶意软 件的感染和传播。
05
信息安全事件应急处 理流程
信息安全事件分类与分级
分类
根据信息安全事件的性质和影响，可以将其分为有害程序事件、网络攻击事件、 信息破坏事件、信息内容安全事件、设备设施故障和灾害性事件等。
分级
根据信息安全事件的严重程度和影响范围，可以将其分为特别重大、重大、较大 和一般四个级别。

信息安全意识培训课件

信息安全意识培训课件

信息安全意识培训 总结与展望
培训目标达 成情况
信息安全意 识提升效果
学员参与度 与反馈
培训内容与 形式创新点
未来信息安全形势分析 信息安全意识培训发展趋势 提升信息安全意识的有效途径 建立完善的信息安全意识培训体系
感谢您的观看
汇报人：
数据恢复技术：通过备份数 据还原丢失的数据
数据备份与恢复技术的实际 应用案例
数据备份的重要性：确保数 据安全，防止数据丢失
注意事项：选择可靠的数据备 份和恢复技术，确保数据安全
信息安全案例分析
案例一：：个 人信息泄露
案例四：社 交媒体风险
案例背景：介绍案 例发生的背景和原 因
提高员工对信息安全的重视程度 增强员工对信息安全的防范意识 帮助员工了解信息安全的基本概念和重要性 促进企业信息安全文化的建设
信息安全意识培养
什么是个人信息保护意识 个人信息保护意识的重要性 如何提高个人信息保护意识 个人信息保护意识在实际工作中的应用
网络安全概念及重要性 常见网络攻击手段及防范方法 个人信息保护意识培养 网络安全法律法规及合规意识
密码安全的重要性
密码泄露的危害及应对方法
添加标题
添加标题
密码设置技巧与保护措施
添加标题
添加标题
密码安全意识培养的重要性
学会安装和更新防病毒软件 了解病毒类型和传播途径
定期备份重要数据
避免打开未知来源的邮件和 链接
信息安全制度与规 范
信息安全政策与策略 信息安全管理制度与流程 信息安全培训与意识提升 信息安全事件应急响应与处置
常见的加密算法：如对称加密、 非对称加密、哈希算法等
加密技术的优缺点：如安全性、 效率、成本等

信息安全意识培训ppt课件

信息安全意识培训ppt课件

5
惨痛的教训！ 严峻的现实！
第1部分 6
一起国外的金融计算机犯罪案例
在线银行——一颗定时炸弹。 最近，南非的Absa银行遇到了麻烦，它的互联网银行服 务发生一系列安全事件，导致其客户成百万美元的损失。 Absa银行声称自己的系统是绝对安全的，而把责任归结为 客户所犯的安全错误上。Absa银行的这种处理方式遭致广 泛批评。那么，究竟是怎么回事呢？
12
当然，最终结果不错 …… 经过缜密的调查取证，我英勇机智的公安干
警终于一举抓获这起案件的罪魁祸首 —— 会宁 邮政局一个普通的系统维护人员张某
13
事情的经过原来是这样的 ……
② 张某借工
作之便，利 用笔记本电 脑连接电缆 到邮政储蓄 专网
会宁
③ 登录到永 登邮政局
永登
④ 破解口令，登录到 临洮一个邮政储蓄所
3
制作说明 本培训材料由IDC信息安全管理体系实施组织安全执行委员会编写，并经安全管理委员会批准，供 IDC内部学习使用，旨在贯彻IDC信息安全策略和各项管理制度，全面提升员工信息安全意识。
4
目录
• 现实教训 • 追踪问题的根源 • 掌握基本概念 • 了解信息安全管理体系 • 建立良好的安全习惯
11
怪事是这么发生的…… 2003年10月5日，定西临洮县太石镇邮政储蓄所的营业电脑突然死机 工作人员以为是一般的故障，对电脑进行了简单的修复和重装处理 17日，工作人员发现打印出的报表储蓄余额与实际不符，对账发现，13日发生了11笔交易， 83.5万异地帐户是虚存（有交易记录但无实际现金） 紧急与开户行联系，发现存款已从兰州、西安等地被取走大半 储蓄所向县公安局报案 公安局向定西公安处汇报 公安处成立专案组，同时向省公安厅上报 ……

《信息安全培训》PPT课件

《信息安全培训》PPT课件

定义：确保信息的完整性和未经授 权不能篡改
防止非法篡改：加强系统安全性， 使用防火墙、入侵检测系统等
添加标题
添加标题
添加标题
添加标题
防护措施：加密技术、数字签名等
完整性检查：对数据进行完整性检 查，确保数据未被篡改
确保信息在需要时是可用 的
防止未经授权的访问和篡 改
保护信息的安全性和完整 性
确保信息在正确的时间和 地点可用
成本效益分析：对培 训的成本和效益进行 比较分析，评估培训 的投入产出比。
培训后进行知识测试，确保学 员掌握所学内容
定期对学员进行回访，了解他 们在工作中应用所学的情况
根据测试和回访结果，对培训 课程进行改进和优化
鼓励学员提出建议和意见，以 改进培训课程
培训课程：定期组织信息安全培训 课程，提高员工的安全意识和技能。
备份数据：定期备份数据， 防止数据丢失
加密数据：对重要数据进行加 密，防止数据被窃取或篡改
访问控制：设置访问控制， 限制用户对系统的访问权限
信息安全培训的内 容
什么是计算机安全 计算机安全使用的重要性 常见的计算机安全威胁 如何保护计算机安全
网络安全法：了解网络安全法相关法律法规，提高员工法律意识。 网络安全意识：培养员工对网络安全的重视程度，提高防范意识。 网络安全技术：教授员工如何使用网络安全技术，保护企业信息安全。 网络安全管理：介绍网络安全管理体系，确保企业信息安全。
挑战：网络攻击不断升级，威胁企业信息安全 应对策略：加强员工安全意识培训，提高安全防范能力 挑战：信息安全培训成本高昂，部分企业难以承受 应对策略：采用低成本、高效率的培训方式，如在线培训、模
拟演练等 挑战：信息安全培训内容更新缓慢，难以跟上技术发展步伐

《银行信息安全培训》课件


总结和建议
1 定期评估
不断评估和改进公司的信息安全策略和措施。
2 紧急响应计划
建立完善的安全事件响应计划，以迅速应对突发事件。
3 保持更新
关注最新的安全威胁和防御技术，保持安全意识。
1 网络防火墙
过滤恶意流量和保护内部网络，阻止未经授权的访问。
2 安全更新
定期更新操作系统和软件，修复已知的安全漏洞。
3 培训员工
教育员工如何识别和应对网络攻击和欺诈行为。
员工培训和意识提升
定期培训
为员工提供信息安全培训，增强其识别和应对威胁 的能力。
钓鱼攻击意识
提高员工对钓鱼攻击的认知，减少泄露敏感信息的 风险。
止数据泄露。
3
严格访问控制
采用身份验证和权限管理，限制对敏感 信息的访问。
实时监测
部署安全监控系统，及时发现并应对安 全事件。
密码和身份验证
密码强度
创建强密码并定期更换，以防止破解和盗用。
双重身份验证
使用双重认证用指纹或面部识别等生物特征进行身份验证。
网络安全和防御
银行信息安全培训
保护银行和客户的信息安全是至关重要的。了解信息安全的重要性、常见的 威胁，以及保护措施，将有助于我们避免风险和降低损失。
信息安全的重要性
1 保护客户数据
确保客户的个人和财务信息得到妥善保护，增强客户的信任和忠诚度。
2 防止金钱损失
避免遭受欺诈、侵入和黑客攻击等威胁，从而减少金钱损失。
3 维护声誉
信息泄露或安全漏洞可能导致糟糕的公共形象和声誉损失。
常见的信息安全威胁
网络钓鱼
骗取客户的个人信息和登录凭证，以获取非法利益。
恶意软件
病毒、间谍软件和勒索软件等威胁，可能导致数据丢失和系统瘫痪。

信息安全意识培训信息安全常识课件

定期更新病毒库，对计算机进 行全面扫描，以检测和清除病
毒。
使用强密码
避免使用简单密码，定期更换 密码，以防止密码被破解。
备份数据
定期备份重要数据，以防止数 据丢失或损坏。
防范网络攻击
使用防火墙、入侵检测系统等 安全设备，以防止网络攻击。
信息安全法律法规
《中华人民共和国网络安全法》
01
规定了网络运营者、网络产品和服务提供者等应当履行的安全
通过考试测评参与者的信息安全知识、技能掌握 情况，以及他们在培训后的意识和行为变化。
3
访谈交流
与参与者进行访谈交流，深入了解他们在工作中 对信息安全实践的看法和做法，以及对培训的实 用性评价。
培训效果评估结果分析
数据分析
对收集到的问卷调查、考试测评和访谈交流数据进行统计分析， 提炼出参与者的总体表现和个体差异。
保护义务，以及违反义务所应承担的法律责任。
《中华人民共和国个人信息保护法》
02
规定了个人信息的收集、使用、加工、传输等应当遵循的原则
，以及违反规定所应承担的法律责任。
《中华人民共和国数据安全法》
03
规定了数据处理者应当履行的数据安全保护义务，以及违反义
务所应承担的法律责任。
04
信息安全实践操作指 导
信息安全意识培训
汇报人：可编辑 2023-12-22
目录
• 信息安全基本概念 • 信息安全意识培养 • 信息安全常识普及 • 信息安全实践操作指导 • 信息安全意识培训效果评估
01
信息安全基本概念
信息安全的定义与重要性
信息安全的定义
信息安全是指保护信息系统免受未经授权的访问、使用、泄 露、破坏、修改，或销毁的能力。它涵盖了保护信息的机密 性、完整性和可用性。

信息安全意识培训信息安全常识PPT课件


为什么需要保护信息？
“恶意软件”危害严重
序号
类别\特点
危害性
窃密性
1 2
3 4 5 6
计算机病毒 蠕虫
木马 间谍软件 网络钓鱼 僵尸网络
电脑崩溃、破坏文 消耗CPU与网络资源
完全控制远程电脑 窃取密码、个人信息 窃取网银账户信息与密码 网络军队：完全控制远程电脑 窃取密码、垃圾邮件、DDoS攻击
为什么培训安全意识？
社会工程学攻击工作模式示例
只有“安全意识培训”能够防范社会工程学攻击！
为什么培训安全意识？
信息资产防护投入与组织盈利能力关系
为什么培训安全意识？
外因是条件，内因是关键； 外因是危险的网络环境，病毒、木马，钓鱼，欺诈等； 内因是自己对信息安全的意识和重视。
网络应用越来越全面融入社会
– QQ -> 社区网站 – 网页浏览 -> 网络多媒体 – 网络办公 -> 网络生活
我国正在步入信息化时代 !
几个信息安全小问题 访问网页会中毒吗？
播放从网上下载的电影会中毒吗？
在与朋友视频聊天结束之后，是否拔掉摄像头?
如果你的电脑被入侵，你觉得可能对你造成的最大
信息安全意识 培训信息安全 常识
目录
一、信息安全常识
二、信息安全形势
三、信息安全防护
一、信息安全常识
我们身边有哪些安全问题？
火灾
水灾
交通事故
街头抢劫
我们需要保护人身安全与财产安全！
我国信息化迅猛发展
信息技术已经广泛渗透到各行各业
– 事业单位：政府、医疗卫生、教育、科研 – 金融：银行、证券、保险 – 能源：煤炭、石油、电力 – 电信运营商：移动、联通、电信

银行信息安全培训》PPT课件

• 侵犯用户的隐私
– 恶意软件在不知情的情况下秘密收集用户的个人信息、 行为记录、屏幕内容乃至银行账号和密码等
• 破坏计算机系统
– 在电脑中不断弹出一些窗口，导致计算机工作速度慢， 出现蓝屏、死机、重启、文件被删除等危险
• 干扰其他软件
– 恶意软件会不择手段的保护自己，经常会产生某些冲 突导致其他正常程序无法使用
个人观点供参考，欢迎讨论！
• 自然灾害包括水灾、火灾、风暴、地震、雷击等， 这些自然灾害对计算机的影响非常大，往往会使 计算机遭受毁灭性的损害
• 雷击
– 夏季注意防雷，打雷时尽量不要使用电脑、手机等， 使用完毕要关闭电脑并拔掉电源线。
• 电源故障
– 由于各种意外的原因，计算机供电电源电压的过高过 低波动或突然中断，可能或造成计算机停止工作，如 果计算机正在进行数据操作，这些数据就可能出错或 丢失，也有可能使计算机硬件或外部设备造成损坏
• 业务流分析：
– 通过对系统进行长期监听，利用统计分析方法对诸如 通信频度、通信的信息流向、通信总量的变化等参数 进行研究，从中发现有价值的信息和规律。
5
信息安全的主要威胁
• 假冒：
– 通过欺骗通信系统（或用户）达到非法用户冒充成为 合法用户，或者特权小的用户冒充成为特权大的用户 的目的。我们平常所说的黑客大多采用的就是假冒攻 击。
18
媒体废弃
废弃电脑硬盘中往往存储着使用者的很多 隐私内 容，比如：个人资料、银行账户、公司文件等。 一般电脑用户在处理废弃电脑时十分随便，以为 只要将电脑硬盘内的数据格式化就可以了，其实 格式化后的数据只是不再显示，数据还原封不动 地保留在硬盘内，稍懂数据恢复技术的人就可以 轻易恢复这些数据
19
• 即时通讯病毒
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
17 2021/2/2
信息安全基本目标
C Onfidentiality（机密性） I Ntegrity（完整性）
CIA
A Vailability（可用 性）
18 2021/2/2
管理者的最终目标
Confidentiality
Availability
Information
Integrity
19 2021/2/2
功能规范
设计规范 测试和验证 编写新代码
准备安全 响应计划
安全推动
活动
最终
安全
渗透
审核
测试
安全维护 和 响应执行
故障修复
代码签发 + Checkpoint Press 签发
产品支持 RTM 服务包/
QFE 安全更新
需求
设计
实施
验证
发行
支持和维护
37 2021/2/2
软件应用安全（举例）
开发相关软件，业务和技术部门做需求评估，IT相关软件由IT部门 负责 评估结果提交专家委员会审核，确定是否采购、外包或自行开发 IT资产管理部门负责对新软件登记注册并标注 软件安装之前应确保其处于安全状态（如：无流氓插件、病毒、 License合法等） 软件License管理应由专人负责 软件若需更新，应提出申请，经评估确认后才能实施，并进行记录 软件使用到期，应卸载软件
重要信息的保密 信息交换及备份 软件应用安全 计算机及网络访问安全 人员及第三方安全管理 移动计算与远程办公 工作环境及物理安全要求 防范病毒和恶意代码 口令安全 电子邮件安全 介质安全管理 警惕社会工程学 应急响应和业务连续性计划 法律法规
重 要 信 息 的 保 密
27 2021/2/2
资产责任划分
33 2021/2/2
信息交换安全（举例：续）
通过传真发送机密信息时，应提前通知接收者并确保号 码正确
不允许在公共区域用移动电话谈论机密信息 不允许在公共区域与人谈论机密信息 不允许通过电子邮件或IM工具交换账号和口令信息 不允许借助公司资源做非工作相关的信息交换 不允许通过IM工具传输文件
信 息 交 换 与 备 份
32 2021/2/2
信息交换安全（举例）
信息交换原则：
明确要交换信息的敏感级别，除了显著标注外，根据其敏感级别采取合适的保护措施 信息发送者和接收者有责任遵守信息交换要求
物理介质传输：
与快递公司签署不扩散协议，识别丢失风险，采取必要的控制措施
电子邮件和互联网信息交换
据丢失；
7、美联合航空电脑故障，全国服务大乱； 8、腾讯网大面积访问异常； 9、新浪微博病毒大范围传播； 10、Comodo等多家证书机构遭到攻击，攻击者得以伪造
google等多家知名网站证书，使互联网安全遭遇严重威胁；
2021/2/2
3
4 2021/2/2
高枕无忧
惨痛教训
补丁管理
应用安全
三分技术，七分管理！
24 2021/2/2
管理层：信息安全意识要点
务必重视信息安全管理 加强信息安全建设工作
25 2021/2/2
如何正确认识信息安全
安全不是产品的简单堆积， 也不是一次性的静态过程， 它是人员、技术、操作三者 紧密结合的系统工程，是不 断演进、循环发展的动态过 程
26 2021/2/2
9 2021/2/2
内部威胁
病从口入 天时 地利 人和
员工误操作
蓄意破坏
职责权限混淆
10 2021/2/2
自身弱点
技术弱点 系统、 程序、设备中存在的漏洞或缺陷
操作弱点
配置、操作和使用中的缺陷，包括人员的不良习 惯、审计或备份过程的不当等
管理弱点
策略、程序、规章制度、人员意识、组织结构等 方面的不足
数据加密
隐私防范
拒绝服务攻击
集中管理
…
移动存储
钓鱼劫持
恶意代码
无线攻击
5
2021/2/2
Windows XP/7…
如果我是黑客…… 1、绝大多数笔记本电脑都内置麦克风且处 于开启状态； 2、开启录音功能； 3、录制所需内容并将其放置于某Web页面 之上： 4.开启所有笔记本的摄像头，并把录像放 置于某Web页面之上：
28 2021/2/2
信息保密级别划分
Secret机密、绝密
2021/2/2
Confidencial 秘密
缺省
Internal Use内 部公开
Public公 开
29
数据保护安全（举例）
根据需要，在合同或个人协议中明确安全方面的承诺和要求； 明确与客户进行数据交接的人员责任，控制客户数据使用及分 发； 明确非业务部门在授权使用客户数据时的保护责任； 基于业务需要，主管决定是否对重要数据进行加密保护； 禁止将客户数据或客户标识用于非项目相关的场合如培训材料； 客户现场的工作人员，严格遵守客户Policy，妥善保护客户数 据； 打印件应设置标识，及时取回，并妥善保存或处理。
14 2021/2/2
基本概念
理解和铺垫
15 2021/2/2
什么是信息
消息、信号、数据、情报和知识 信息本身是无形的，借助于信息媒体以多种形式存在或传播：
• 存储在计算机、磁带、纸张等介质中 • 记忆在人的大脑里 • 通过网络、打印机、传真机等方式进行传播
信息借助媒体而存在，对现代企业来说具有价值，就成为信息资产：
数据的属主（OM/PM） 决定所属数据的敏感级别 确定必要的保护措施 最终批准并Review用户访问权 限
Custodian
Owner
受Owner委托管理数据 通常是IT人员或部门系统（数据）管理员 向Owner提交访问申请并按Owner授意为用户授权 执行数据保护措施，实施日常维护和管理
User
公司或第三方职员 因工作需要而请求访问数据 遵守安全规定和控制 报告安全事件和隐患
34 2021/2/2
信息备份安全（举例）
重要信息系统应支持全备份、差量备份和增量备份 IT部门提供备份所需的技术支持和必要的培训 属主应该确保备份成功并定期检查日志，根据需要，实
施测试以验证备份效率和效力
35 2021/2/2
重要信息的保密 信息交换及备份 软件应用安全 计算机及网络访问安全 人员及第三方安全管理 移动计算与远程办公 工作环境及物理安全要求 防范病毒和恶意代码 口令安全 电子邮件安全 介质安全管理 警惕社会工程学 应急响应和业务连续性计划 法律法规
软 件 应 用 安 全
36 2021/2/2
软件应用安全（方法论）
安全培训
安全计划启动 并 统一注册
安全设计 最佳做法
安全体系结构 和攻击面审核
威胁建模
使用安全开发 工具以及 安全开发和 测试最佳做法
创建产品 安全文档 和工具
传统软件开发生命周期的任务和流程
功能列表 质量指导原则 体系结构文档 日程表
明确不可涉及敏感数据，如客户信息、订单合同等信息 如必须交换此类信息，需申请主管批准并采取加密传输措施或其它保护机制
文件共享：
包括Confidential（机密性）在内的高级别的信息不能被发布于公共区域 所有共享文件应按照规则放置在相应的文件服务器目录中，任何人不得在其个人电脑中
开设共享。 共享文件夹应该设置恰当的访问控制，禁止向所有用户赋予完全访问权限 临时共享的文件事后应予以删除
21 2021/2/2
安全 vs. 可用——平衡之道
在可用性（Usability）和安全性（rity）之间是一种
相反的关系 提高了安全性，相应地就降低了易用性 而要提高安全性，又势必增大成本 管理者应在二者之间达成一种可接受的平衡
22 2021/2/2
计算机安全领域一句格言： “真正安全的计算机是拔下网 线，断掉电源，放在地下掩体的 保险柜中，并在掩体内充满毒气， 在掩体外安排士兵守卫。”
绝对的安全是不存在的！
23 2021/2/2
关键点：信息安全管理
技术是信息安全的构筑材料，管理是真正的粘合剂和催化剂 信息安全管理构成了信息安全具有能动性的部分，是指导和控制 组织的关于信息安全风险的相互协调的活动 现实世界里大多数安全事件的发生和安全隐患的存在，与其说是 技术上的原因，不如说是管理不善造成的 理解并重视管理对于信息安全的关键作用，对于真正实现信息安 全目标尤其重要 唯有信息安全管理工作活动持续而周期性的推动作用方能真正将 信息安全意识贯彻落实
11 2021/2/2
最常犯的一些错误
将口令写在便签上，贴在电脑监视器旁 开着电脑离开，就像离开家却忘记关灯那样 轻易相信来自陌生人的邮件，好奇打开邮件附件 使用容易猜测的口令，或者根本不设口令 丢失笔记本电脑 不能保守秘密，口无遮拦，上当受骗，泄漏敏感信息 随便拨号上网，或者随意将无关设备连入公司网络 事不关己，高高挂起，不报告安全事件 在系统更新和安装补丁上总是行动迟缓 只关注外来的威胁，忽视企业内部人员的问题 会后不擦黑板，会议资料随意放置在会场
因果关系
20 2021/2/2
技术手段
物理安全：环境安全、设备安全、媒体安全 系统安全：操作系统及数据库系统的安全性 网络安全：网络隔离、访问控制、VPN、入侵检测、扫描评估 应用安全：Email安全、Web访问安全、内容过滤、应用系统安全 数据加密：硬件和软件加密，实现身份认证和数据信息的CIA特性 认证授权：口令认证、SSO认证（例如Kerberos）、证书认证等 访问控制：防火墙、访问控制列表等 审计跟踪：入侵检测、日志审计、辨析取证 防杀病毒：单机防病毒技术逐渐发展成整体防病毒体系 灾备恢复：业务连续性，前提就是对数据的备份
漏，导致美国多家军工企业信息系统受到严重威胁；
3、LulzSec成功袭击了中央情报局，美国参议院，任天堂，索 尼等多家机构，引起国际社会广泛关注；