信息安全意识培训ppt课件

29
你碰到过类似的事吗？
30
IDC曾经发生的安全事件
(请添加ＩＤＣ自己的内容)
31
CERT关于安全事件的统计
120,000 100,000 80,000 60,000 40,000 20,000 0
2340 2412 2573 2134 3734 21756 9859 1994年 1995年 1996年 1997年 1998年 1999年 2000年 2001年 2002年 2003年 52658 82094 114855
又是口令安全的问题！ 又是人的安全意识问题！
再次强调安全意识的重要性！
22
一个与物理安全相关的典型案例
一个普通的系统管理员，利用看似简单的方法，就 进入了需要门卡认证的数据中心……
———— 来自国外某论坛的激烈讨论，2002年
时间：2002年某天夜里 地点：A公司的数据中心大楼 人物：一个普通的系统管理员
供IDC内部学习使用，旨在贯彻IDC信息安全策略
和各项管理制度，全面提升员工信息安全意识。
4
目录
• • • • •
现实教训 追踪问题的根源 掌握基本概念 了解信息安全管理体系 建立良好的安全习惯
– – – – – – – – – – – – – – 重要信息的保密 信息交换及备份 软件使用安全 计算机及网络访问安全 人员及第三方安全管理 移动计算与远程办公 工作环境及物理安全要求 防范病毒和恶意代码 口令安全 电子邮件安全 介质安全管理 警惕社会工程学 应急响应和业务连续性计划 法律法规
•
寻求帮助
5
第1部分
惨痛的教训！
严峻的现实！
6
一起国外的金融计算机犯罪案例
在线银行——一颗定时炸弹。
最近，南非的Absa银行遇到了 麻烦，它的互联网银行服务发生一 系列安全事件，导致其客户成百万 美元的损失。Absa银行声称自己的 系统是绝对安全的，而把责任归结 为客户所犯的安全错误上。Absa银 行的这种处理方式遭致广泛批评。 那么，究竟是怎么回事呢？
11
怪事是这么发生的……
2003年10月5日，定西临洮县太石镇邮政储蓄所的营业电脑突然死机 工作人员以为是一般的故障，对电脑进行了简单的修复和重装处理
17日，工作人员发现打印出的报表储蓄余额与实际不符，对账发现，13 日发生了11笔交易，83.5万异地帐户是虚存（有交易记录但无实际现金）
提高人员安全意识和素质势在必行！
37
黑客攻击，是我们 听说最多的威胁！
38
NT remains hackers' favorite
— VNUnet, Jan 10,2001
39
世界头号黑客 —— Kevin Mitnick
出生于1964年 15岁入侵北美空军防务指挥系统，窃取核弹机密
10
国内金融计算机犯罪的典型案例
一名普通的系统维护人员，轻松破解数道密码，进 入邮政储蓄网络，盗走83.5万元。这起利用网络进行金 融盗窃犯罪的案件不久前被甘肃省定西地区公安机关破 获 ……
———— 人民日报，2003年12月 时间：2003年11月 地点：甘肃省定西地区临洮县太石 镇邮政储蓄所 人物：一个普通的系统管理员
过去6个月的统计。Source: Riptech Internet Security Threat Report. January 2002
33
CSI/FBI对安全事件损失的统计
主动塔线窃听 电信窃听 系统渗透 因不满而蓄意破坏 拒绝服务 内部人员滥用网络 掌上电脑失窃 病毒 私秘信息失窃 电信欺诈 金融欺诈 内部人员非法访问
13
事情的经过原来是这样的 ……
③ 登录到 永登邮政局 ④ 破解口令，登录到 临洮一个邮政储蓄所
② 张某借 工作之便， 利用笔记本 电脑连接电 缆到邮政储 蓄专网
会宁
永登
临洮
⑤ 向这些帐户虚存83.5万，退 出系统前删掉了打印操作系统
① 会宁的张某用假身份证 在兰州开了8个活期帐户
⑥ 最后，张某在兰州 和西安等地提取现金
14
到底哪里出了纰漏 ……
张某29岁，毕业于邮电学院，资质平平，谈不上精 通计算机和网络技术
邮政储蓄网络的防范可谓严密： 与Internet物理隔离的专网；配备了防火 墙；从前台分机到主机经过数重密码认证
15
可还是出事了，郁闷呀 问题究竟出在哪里？ 思考中…… 哦，原来如此 ——
16
看来，问题真的不少呀 ……
—— 摘自CSI/FBI的统计报告 2003年12月
34
第2部分
问题的根源
威胁和弱点
35
我们时刻都面临来自外部的威胁
木马后门 黑客渗透 内部人员威胁 病毒和蠕虫 逻辑炸弹
拒绝服务 系统Bug
信息资产
社会工程
硬件故障 地震 网络通信故障 供电中断 雷雨 失火 36
人是最关键的因素
判断威胁来源，综合了人为因素和系统自身逻辑与物 理上诸多因素在一起，归根结底，还是人起着决定性的 作用 正是因为人在有意（攻击破坏）或无意（误操作、误 配置）间的活动，才给信息系统安全带来了隐患和威胁
8
间谍软件 —— eBlaster
这是一个商业软件（/），该软件本意是 帮助父母或老板监视孩子或雇员的上网活动
该软件可记录包括电子邮件、网上聊天、即使消息、Web访问、 键盘操作等活动，并将记录信息悄悄发到指定邮箱
商业杀毒软件一般都忽略了这个商业软件
张某私搭电缆，没人过问和阻止，使其轻易进入邮政 储蓄专网 临洮县太石镇的邮政储蓄网点使用原始密码，没有定 期更改，而且被员工周知，致使张某轻松突破数道密码 关，直接进入了操作系统
问题出现时，工作人员以为是网络系统故障，没有足 够重视
……
17
总结教训 ……
最直接的教训：漠视口令安全带来恶果！ 归根到底，是管理上存在漏洞，人员安全意识淡薄
④ 由于气球在门内弹跳， 触发动作探测器，门终于 开了
26
问题出在哪里 ……
如果门和地板齐平且没有缝隙，就不会出这样的事
如果动作探测器的灵敏度调整到不对快速放气的气 球作出反应，也不会出此事
当然，如果根本就不使用动作探测器来从里面开门， 这种事情同样不会发生
27
总结教训 ……
虽然是偶然事件，也没有直接危害，但是潜在风险 既是物理安全的问题，更是管理问题 切记！有时候自以为是的安全，恰恰是最不安全！
24
一点线索：
昨天曾在接待区庆祝过 某人生日，现场还未清理干 净，遗留下很多杂物，哦， 还有气球……
25
聪明的张三想出了妙计 ……
① 张三找 到一个气球， 放掉气
② 张三面朝大门入口趴下 来，把气球塞进门里，只留 下气球的嘴在门的这边
③ 张三在门外吹气球， 气球在门内膨胀，然后， 他释放了气球„„
• 掌握信息安全的基本概念、原则和惯例 • 了解信息安全管理体系（ISMS）概况 • 清楚可能面临的威胁和风险 • 遵守IDC各项安全策略和制度 • 在日常工作中养成良好的安全习惯 • 最终提升IDC整体的信息安全水平
3
制作说明
本培训材料由IDC信息安全管理体系实施组织
安全执行委员会编写，并经安全管理委员会批准，
20
问题出在哪里 ……
严某不算聪明，但他深知炒股的多是中老年人，密 码设置肯定不会复杂。首先，作为股民，安全意识薄弱
证券公司，在进行账户管理时也存在不足：初始密 码设置太简单，没提醒客户及时修改等
作为设备提供商，“股神通”软件设计里的安全机制 太简单脆弱，易被人利用
21
总结教训 ……
IDC信息安全意识培训
从小事做起，从自身做起 遵守IDC各项安全策略和制度规范
什么是安全意识？
安全意识（Security awareness），就是能
够认知可能存在的安全问题，明白安全事故对组
织的危害，恪守正确的行为方式，并且清楚在安
全事故发生时所应采取的措施。
2
我们的目标
• 建立对信息安全的敏感意识和正确认识
2003年3月，严父在家中安装开通“股神通”业务，进行即时股票交易。 2003年6月的一天，严某偶得其父一张股票交易单，上有9位数字的账号， 遂动了“瞎猫碰死老鼠”的念头：该证券公司客户账号前6位数字是相同的， 只需猜后3位；而6位密码，严某锁定为“123456”。 严某”埋头苦干“，第一天连续输入了3000个数字组合，一无所获。 第二天继续，很快”奇迹“出现，严某顺利进入一个股票账户。利用相 同的方法，严某又先后侵入了10余个股票账户。 严某利用别人的账户，十几天里共买进卖出1000多万元股票，损失超过 14万元，直到6月10日案发。 严某被以破坏计算机信息系统罪依法逮捕。
物理安全非常关键！
28
类似的事件不胜枚举
苏州某中学计算机教师罗某，只因嫌准备考试太麻烦，产生反 感情绪，竟向江苏省教育厅会考办的考试服务器发动攻击，他以黑 客身份两次闯入该考试服务器，共删除全省中小学信息技术等级考 试文件达100多个，直接经济损失达20多万元，后被警方抓获。 某高校招生办一台服务器，因设置网络共享不加密码，导致共 享目录中保存的有关高考招生的重要信息泄漏，造成了恶劣的社会 影响。 屡屡出现的关于银行ATM取款机的问题。 ……
紧急与开户行联系，发现存款已从兰州、西安等地被取走大半 储蓄所向县公安局报案 公安局向定西公安处汇报 公安处成立专案组，同时向省公安厅上报 ……
12
当然，最终结果不错 ……
经过缜密的调查取证， 我英勇机智的公安干警终于 一举抓获这起案件的罪魁祸 首 —— 会宁邮政局一个普 通的系统维护人员张某
$0
$705,000 $76,000 $2,754,400 $5,148,500 $65,643,300 $11,767,200 $6,830,500 $27,382,340 $70,195,900 $701,500 $10,186,400 $406,300