银行信息安全意识培训PPT课件
合集下载
信息安全意识培训(经典版)课件
信息安全意识培训(经典版)课件•信息安全概述•密码安全意识培养•网络通信安全意识提升•数据存储与传输安全意识强化•身份鉴别与访问控制策略部署•恶意软件防范与处置能力提高•总结回顾与展望未来发展趋势目录CHAPTER信息安全概述信息安全定义与重要性信息安全的定义信息安全的重要性信息安全对于个人、组织、企业乃至国家都具有重要意义，它涉及到个人隐私保护、企业资产安全、社会稳定和国家安全等方面。
信息安全威胁与风险信息安全威胁信息安全风险信息安全法律法规及合规性要求信息安全法律法规合规性要求CHAPTER密码安全意识培养不使用弱密码定期更换密码不使用相同密码030201密码安全基本原则常见密码攻击手段及防范方法字典攻击攻击者使用预先准备好的密码字典进行尝试，因此要避免使用常见单词或短语作为密码。
暴力破解攻击者尝试所有可能的字符组合，直到找到正确的密码。
防范方法是设置足够长的密码和启用账户锁定功能。
钓鱼攻击攻击者通过伪造官方邮件、网站等手段诱导用户输入账号密码。
要保持警惕，不轻易点击可疑链接或下载未知来源的附件。
密码管理工具使用指南选择可靠的密码管理工具设置主密码导入和整理密码定期备份CHAPTER网络通信安全意识提升网络通信原理简介网络通信基本概念网络通信是指通过计算机网络进行信息传输和交换的过程。
网络通信协议网络通信协议是计算机之间进行通信的规则和标准，如TCP/IP协议。
网络通信设备和技术包括路由器、交换机、防火墙等网络设备，以及VPN、WLAN等网络技术。
常见网络通信攻击手段及防范策略拒绝服务攻击（DoS/DDoS）通过大量无用的请求拥塞目标服务器，使其无法提供正常服务。
防范策略包括限制访问速率、部署防火墙等。
中间人攻击（Man-in-the-Middle At…攻击者截获通信双方的数据并进行篡改。
防范策略包括使用加密技术、验证通信双方身份等。
钓鱼攻击（Phishing Attack）通过伪造信任网站或邮件，诱骗用户输入敏感信息。
银行业安全防范常识ppt课件
1 2 3
定期开展安全意识教育活动
通过讲座、案例分析、安全知识竞赛等形式，提 高银行员工对安全防范的认识和重视程度。
培训内容要全面
涵盖银行安全防范的各个方面，包括防抢劫、防 诈骗、防恐怖袭击等，以及各类突发事件的应急 处理。
培训效果评估与反馈
建立培训效果评估机制，及时收集员工反馈，针 对不足之处进行改进，确保培训质量。
安全操作规程与演练
制定完善的安全操作规程
根据银行业务特点和安全风险点，制定详细的安全操作规程，明 确各项业务的安全操作要求。
定期进行安全演练
组织银行员工进行安全演练，模拟各类突发事件，提高员工应对突 发事件的能力和协作水平。
演练效果评估与改进
对演练过程进行全面评估，总结经验教训，针对不足之处进行改进， 不断提高安全防范水平。
总结词
1. 严格管理员工
2. 规范操作流程
3. 加强内部审计
内部人员违规操作是指银行内 部员工利用职务之便，违反银 行规定进行非法操作的行为。
银行应建立健全的员工管理制 度，对员工进行严格的背景调 查和日常监控，防止有不良记 录或不良行为的人员进入银行 系统。
银行应制定详细的业务操作流 程和风险控制措施，确保员工 在办理业务时遵循规定，防止 违规操作的发生。
2. 保护个人信息
不要在任何情况下透露个人敏感信息，如账号、密码、身 份证号等，银行通常不会通过电子邮件或电话要求客户提 供此类信息。
3. 使用安全软件
安装防病毒软件和防火墙，定期更新病毒库和操作系统补 丁，以防范恶意软件入侵。
案例二：伪卡欺诈防范
总结词
1. 注意卡片保管
伪卡欺诈是指犯罪分子通过非法手段获取 他人信用卡信息，制作伪卡进行盗刷的行 为。
银行新员工入行培训：员工信息安全培训(“使用”文档)共97张
个人计算机安全（1）
病毒 计算机病毒是一个程序，一段可执行码。像生物病毒一样，计算机
病毒有其独特的复制能力，可以很快地蔓延，又常常难以根除，它们能把 自身附着在各种类型的文件上，当文件被复制或从一个用户传送到另一个 用户时，它们就随同文件一起蔓延开来。现在，随着计算机网络的发展， 计算机病毒和计算机网络技术相结合，蔓延的速度更加迅速。
1.1 什么是信息安全
信息安全是指信息系统的硬件、软件及其 系统中的数据受到保护，不受偶然的或者恶意 的原因而遭到破坏、更改、泄露，系统连续可 靠正常地运行，信息服务不中断。
1.2 信息安全的重要性 （1）
破坏银行计算机信息安全的任何事件都将直接影响到银行的正常经营， 其后果是无法想象的，甚至是灾难性的。此类事件往往具有不可预见性、隐 蔽性、作案时间短而发作突然、以及破坏巨大等特点，我们必须就此类潜在 的计算机信息安全风险做到严防严控。
– 针对信息和网络系统的攻击手段和工具越来越高超，计算机病毒和黑客攻击针对金融 信息系统的目的性越来越强，危害性也越来越大。
培训内容
1.什么是信息安全
2.常见的信息安全威胁
3.建行信息安全技术保障体系 4.建行的信息安全制度和员工行为要求
8
2.常见的信息安全威胁
个人资产安全
来自外部的威胁
个人计算机安全
2007年
ARP蠕虫病毒
网速变慢、打开所有网页都会弹出恶意广告、重 定向程序下载地址为病毒下载地址等，会造成整 个局域网全部瘫痪。
个人计算机安全（3）
僵尸网络
僵尸程序
僵尸程序
僵尸程序
通过命令控制
攻击者
跳板主机
僵尸程序
僵尸程序
僵尸程序
个人计算机安全（4）
信息安全意识培训教材(共74张PPT)
通过网络、打印机、传真机等方式进行传播
公安局向定西公安处汇报损失达数万法郎。
数据中心有个系统管理员张三君，这天晚上加班到很晚，中间离开数据中心出去夜宵，可返回时发现自己被锁在了外面，门卡落在里面了，四周别无他人，一片
静寂
5万异地帐户是虚存（有交易记该录但男无实子际现后金）来被南非警方逮捕。
8
间谍软件 —— eBlaster
我们需要去做的就是 ……线客户，向这些客户发送携带有间谍软件（spyware）
网络蠕虫：一种自动扩散的恶意代码，就像一个不受控的黑客
Information
的邮件，并成功获得众多客户的账号信息，从而通过
前因后果是这样的 ……
ISO27001 标准包含两个I部n分ternet进行非法转帐，先后致使10个Absa的在线客户
信息安全意识培训
什么是安全意识？
安全意识（Security awareness），就是能够认 知可能存在的安全问题，明白安全事故对组织的 危害，恪守正确的行为方式，并且清楚在安全事 故发生时所应采取的措施。
2
我们的目标
❖ 建立对信息安全的敏感意识和正确认识 ❖ 掌握信息安全的基本概念、原则和惯例 ❖ 了解信息安全管理体系（ISMS）概况 ❖ 清楚可能面临的威胁和风险 ❖ 遵守IDC各项安全策略和制度 ❖ 在日常工作中养成良好的安全习惯 ❖ 最终提升IDC整体的信息安全水平
永登
临洮
⑤ 向这些帐户虚存83.5万，退 出系统前删掉了打印操作系统
① 会宁的张某用假身份证 在兰州开了8个活期帐户
⑥ 最后，张某在兰州 和西安等地提取现金
14
到底哪里出了纰漏 ……
张某29岁，毕业于邮电学院，资质平平，谈不上精 通计算机和网络技术
银行保险行业信息安全培训课件
路电？ 两路电是否一定是两个输电站？ 有没有UPS？ UPS能维持多久？ 有没有备用发电机组？
备用发电机是否有充足的油料储备？
另一个与物理安全相关的案例
25
安全事件（1）
26
安全事件（2）
27
安全事件（3）
28
安全事件（4）
29
安全事件（5）
30
安全事件（6）
用户电脑中毒后可能会出现蓝屏、频繁重 启以及系统硬盘中数据文件被破坏等现象。同 时，该病毒可以通过局域网进行传播，进而感 染局域网内所有计算机系统，最终导致企业局 域网瘫痪，无法正常使用，它能感染系统中 exe，com，pif，src，html，asp等文件，它 还能中止大量的反病毒软件进程并且会删除扩 展名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件 丢失。被感染的用户系统中所有.exe可执行文 件全部被改成熊猫举着三根香的模样。
物理环境中需要 信息安全
ATM诈骗三部曲
在自助银行入口刷卡器下方粘上一个黑 色小方块，叫“读卡器”，罩上一个加 长的“壳”，把银行的刷卡器和读卡器 一起藏在里面，一般人很难发现。取款 人在刷卡进门时，银行卡上的全部信息 就一下被刷进了犯罪分子的读卡器上。
在取款机窗口内侧顶部，粘上一个贴 着“ATM”字样的“发光灯”。这个 “发光灯”是经过特殊改造的，里面 用一块手机电池做电源，连接两个灯 泡，核心部分则是一个MP4。取款人 取款时的全过程被犯罪分子装的“针 孔摄像机”进行了“实况录像”。
24
信息安全令人担忧
内地企业44%信息安全事件是数据失窃
普华永道最新发布的2008年度全球信息安全调查报告显示， 中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保 障方面已被印度赶超。数据显示，内地企业44%的信息安全事件与 数据失窃有关，而全球的平均水平只有16%。 普华永道的调查显示，中国内地企业在改善信息安全机制上 仍有待努力，从近年安全事件结果看，中国每年大约98万美元的 财务损失，而亚洲国家平均约为75万美元，印度大约为30.8万美 元。此外，42%的中国内地受访企业经历了应用软件、系统和网 络的安全事件。
备用发电机是否有充足的油料储备？
另一个与物理安全相关的案例
25
安全事件（1）
26
安全事件（2）
27
安全事件（3）
28
安全事件（4）
29
安全事件（5）
30
安全事件（6）
用户电脑中毒后可能会出现蓝屏、频繁重 启以及系统硬盘中数据文件被破坏等现象。同 时，该病毒可以通过局域网进行传播，进而感 染局域网内所有计算机系统，最终导致企业局 域网瘫痪，无法正常使用，它能感染系统中 exe，com，pif，src，html，asp等文件，它 还能中止大量的反病毒软件进程并且会删除扩 展名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件 丢失。被感染的用户系统中所有.exe可执行文 件全部被改成熊猫举着三根香的模样。
物理环境中需要 信息安全
ATM诈骗三部曲
在自助银行入口刷卡器下方粘上一个黑 色小方块，叫“读卡器”，罩上一个加 长的“壳”，把银行的刷卡器和读卡器 一起藏在里面，一般人很难发现。取款 人在刷卡进门时，银行卡上的全部信息 就一下被刷进了犯罪分子的读卡器上。
在取款机窗口内侧顶部，粘上一个贴 着“ATM”字样的“发光灯”。这个 “发光灯”是经过特殊改造的，里面 用一块手机电池做电源，连接两个灯 泡，核心部分则是一个MP4。取款人 取款时的全过程被犯罪分子装的“针 孔摄像机”进行了“实况录像”。
24
信息安全令人担忧
内地企业44%信息安全事件是数据失窃
普华永道最新发布的2008年度全球信息安全调查报告显示， 中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保 障方面已被印度赶超。数据显示，内地企业44%的信息安全事件与 数据失窃有关，而全球的平均水平只有16%。 普华永道的调查显示，中国内地企业在改善信息安全机制上 仍有待努力，从近年安全事件结果看，中国每年大约98万美元的 财务损失，而亚洲国家平均约为75万美元，印度大约为30.8万美 元。此外，42%的中国内地受访企业经历了应用软件、系统和网 络的安全事件。
【建设银行 内部培训】信息技术与信息安全培训课件
黑客攻击
计算机病毒 网络钓鱼
木马
社会工程学
拒绝服务 攻击
企业信息系统/数据
机密性 完整性 可用性
信息安全事件分析
信息安全事件-外部攻击案例分析
案例分析： 2011年1月，中国银行遭受短信+网络钓鱼攻击，多达5万客户网 银账号、密码、动态口令等关键信息被钓，导致许多客户资金被转走，总计损 失达几千万。
目录
1
1 2
2
1 2 3
信息技术
分行部实门施简协介调组
总行
负责全行信息技术规划编制、政策标准制定、计划审核、基础设施建
设和管理、应用开发、信息系统运行管理、信息安全管理的职能部门。信
息技术管理部负责管理总行6个开发中心（北京、上海、厦门、广州、成
都、深圳）、两地三中心（北京、武汉）及香港支持中心等10个中心。
二识差：意识+常识
目录
1
1 2
2
1 2 3
信息安全事件分析
信息安全事件分类
外部攻击事件
– 信息泄露：利用系统漏洞获取信息、冒充合法机构骗取信息； – 信息篡改：利用账号非法篡改信息、利用系统漏洞篡改信息、利用木马
篡改信息、攻击Web网站篡改网页信息； – 破坏系统可用性：拒绝服务攻击、病毒蠕虫攻击等；
真网址： boc
假网址： boczha
信息安全事件分析
信息安全事件-外部攻击案例分析 案例分析：假冒我行网银的网络钓鱼攻击
黑客群发短信诱骗 客户登录钓鱼网站： “尊敬的建行客户， 我行网银盾全面升 级，请及时登陆 ccbkb 进行升级”。
只要客户访问，网站 即弹出提示“我行个 人网银系统即日起至 26日升级，系统将自 动下载网银盾升级安 全组件，请双击运行 按提示完成升级”。
关于银行信息安全培训ppt
媒体废弃
废弃电脑硬盘中往往存储着使用者的很多 隐私内 容，比如：个人资料、银行账户、公司文件等。 一般电脑用户在处理废弃电脑时十分随便，以为 只要将电脑硬盘内的数据格式化就可以了，其实 格式化后的数据只是不再显示，数据还原封不动 地保留在硬盘内，稍懂数据恢复技术的人就可以 轻易恢复这些数据
信息安全的威胁表现
病毒、木马、黑客 恶意软件 人为不慎，比如使用不当，安全意思差 自然灾害、意外事故 媒体废弃：信息被从废弃的存储介质或打印的
文件中获得
常见病毒、木马
网游木马
大量正对网络游戏的木马，它会盗取用户账号、游戏 装备等
网银木马
采用记录键盘和系统动作的方法盗取网银账号和密码， 并发送到指定的邮箱，直接导致用户的经济损失
业务流分析：
通过对系统进行长期监听，利用统计分析方法对诸如 通信频度、通信的信息流向、通信总量的变化等参数 进行研究，从中发现有价值的信息和规律。
信息安全的主要威胁
假冒：
通过欺骗通信系统（或用户）达到非法用户冒充成为 合法用户，或者特权小的用户冒充成为特权大的用户 的目的。我们平常所说的黑客大多采用的就是假冒攻 击。
恶意软件在不知情的情况下秘密收集用户的个人信息、 行为记录、屏幕内容乃至银行账号和密码等
破坏计算机系统
在电脑中不断弹出一些窗口，导致计算机工作速度慢， 出现蓝屏、死机、重启、文件被删除等危险
干扰其他软件
恶意软件会不择手段的保护自己，经常会产生某些冲 突导致其他正常程序无 硬盘数据没有定期备份 不安步骤强行关机 运行或删除电脑上的文件或程序 安装或使用不明来源的软件 随意开启来历不明的邮件 向他人披露个人密码 不注意保护单位或个人文件 计算机旁边放置危险物品
即时通讯病毒
信息安全(培训课件)
恶意软件的威胁
恶意软件定义：指故意在用户电脑 上安装后门、收集用户信息的软件
威胁行为：窃取用户个人信息、破 坏系统安全、干扰用户操作等
常见类型：木马、蠕虫、间谍软件 等
防范措施：安装杀毒软件、定期更 新系统补丁、不随意下载未知来源 的文件等
钓鱼攻击的危害
攻击者通过伪造电子邮件、网站等手段，诱骗用户点击链接或下载恶意附件，进而窃取个人信息 或安装恶意软件
定期进行安全审计与风险评估
强化员工安全意识教育与培训
制定应急预案以应对信息安全事件
确定应急预案的 目标和原则
分析潜在的安全 风险和威胁
制定应急响应流 程和措施
定期进行演练和 评估
THANK YOU
汇报人：
最佳实践：定期 审查和更新访问 控制策略，确保 其与组织的业务 需求和安全要求 保持一致；实施 多层次的安全控 制，降低安全风 险。
备份数据的必要性
数据备份是防止 数据丢失和保障 信息安全的重要 措施。
定期备份数据可 以确保数据的完 整性和可恢复性， 避免因意外情况 导致数据丢失或 损坏。
数据备份可以帮 助用户快速恢复 数据，减少因数 据丢失造成的损 失和影响。
美国国家标准与技术研究院（NIST） 发布的关键基础设施网络安全框架 （CNCF）
欧洲联盟（EU）发布的一般数据保 护条例（GDPR）
国际电信联盟（ITU）发布的信息 安全管理体系（ISMS）
信息安全合规性的实施与监管
信息安全法规的 制定与实施
企业信息安全合 规性要求
监管机构对信息 安全的监管职责
定期进行信息安全培训与演练
培训内容：包括网 络安全、数据保护、 密码学等
培训对象：全体员 工，特别是管理层 和技术人员
《信息安全培训》PPT课件
总结词
该案例突出了APT攻击的隐蔽性和长期性，提醒企业加 强网络监控和入侵检测能力。
个人信息安全案例
案例一
01 某明星个人信息被非法出售
总结词
02 该案例揭示了个人隐私泄露的
危害，强调了提高个人信息安 全防护意识的必要性。
案例二
某大学生遭受网络诈骗
03
总结词
04 该案例提醒个人要提高警惕，
不轻信陌生人，注意保护个人 信息。
《信息安全培训》ppt课件
目录
• 信息安全概述 • 信息安全基本原则 • 信息安全防护技术 • 信息安全管理体系 • 信息安全意识教育与培训 • 信息安全案例分析
01
信息安全概述
信息安全定义
信息安全是指保护信息系统、网络和数据不受未经授权的访问、泄露、破坏、篡改 和滥用的措施。
信息安全旨在确保信息的机密性、完整性和可用性，以及保护组织的声誉和利益。
03
信息安全防护技术
防火墙技术
01
02
03
防火墙定义
防火墙是用于阻止未经授 权的网络通信通过的网络 安全系统，通常部署在内 部网络和外部网络之间。
防火墙类型
包括硬件防火墙和软件防 火墙，按功能可分为包过 滤防火墙和应用层网关防 火墙。
防火墙部署
一般采用路由模式、桥接 模式和混合模式进行部署， 需根据实际需求选择合适 的部署方式。
总结词
培养员工对信息安全的认识和重视程度，提高安全防范意 识。
总结词
增强员工对信息安全的认识，提高安全防范意识。
详细描述
通过开展信息安全意识教育，向员工普及信息安全基本概 念、常见威胁和风险，以及个人和组织在信息安全方面的 责任和义务。
详细描述
该案例突出了APT攻击的隐蔽性和长期性，提醒企业加 强网络监控和入侵检测能力。
个人信息安全案例
案例一
01 某明星个人信息被非法出售
总结词
02 该案例揭示了个人隐私泄露的
危害，强调了提高个人信息安 全防护意识的必要性。
案例二
某大学生遭受网络诈骗
03
总结词
04 该案例提醒个人要提高警惕，
不轻信陌生人，注意保护个人 信息。
《信息安全培训》ppt课件
目录
• 信息安全概述 • 信息安全基本原则 • 信息安全防护技术 • 信息安全管理体系 • 信息安全意识教育与培训 • 信息安全案例分析
01
信息安全概述
信息安全定义
信息安全是指保护信息系统、网络和数据不受未经授权的访问、泄露、破坏、篡改 和滥用的措施。
信息安全旨在确保信息的机密性、完整性和可用性，以及保护组织的声誉和利益。
03
信息安全防护技术
防火墙技术
01
02
03
防火墙定义
防火墙是用于阻止未经授 权的网络通信通过的网络 安全系统，通常部署在内 部网络和外部网络之间。
防火墙类型
包括硬件防火墙和软件防 火墙，按功能可分为包过 滤防火墙和应用层网关防 火墙。
防火墙部署
一般采用路由模式、桥接 模式和混合模式进行部署， 需根据实际需求选择合适 的部署方式。
总结词
培养员工对信息安全的认识和重视程度，提高安全防范意 识。
总结词
增强员工对信息安全的认识，提高安全防范意识。
详细描述
通过开展信息安全意识教育，向员工普及信息安全基本概 念、常见威胁和风险，以及个人和组织在信息安全方面的 责任和义务。
详细描述
信息安全意识培训课件(PPT 48页)
案例说明 1、全球每隔53秒钟就会有一台笔记本电脑失窃——
Software Insurance； 2、97%的失窃笔记本电脑都没有希望找回——FBI 3、你的笔记本电脑失窃的几率为10%，这意味着每十个 人中就有一个人会丢失笔记本电脑——Gartner Group 4、…… 惠普公司提供服务的富达投资公司的几名员工在公司以外 场所使用时被盗的。 这台笔记本电脑中储存了惠普公司 的19.6 万现有员工和以前员工的相关资料。具体资料包 括员工姓名、地址、社会保险号、生日和其他一些与员 工有关的资料。
9
信息安全管理措施
1. 物理安全
2. 密码安全
信息
4. 上网行为安全 安全
3. 传输安全
10
物理安全
安全目标 防止物理设备在未授权的情况下被访问、或损坏 ，确保硬件的绝对安全，尽量做到点对点，减少 中间的流转环节。尽量对移动存储器中的内容进 行加密设置，防止未授权人员对其进行访问。
11
物理安全
38
上网行为安全
网络服务包括以下等内容： 网站浏览； 即时通信（如QQ、MSN、ICQ等）； 文件下载； 视频点播； 如果电脑没有及时打补丁，没有安装防病毒软件，或没
有及时更新病毒库，则很容易在上网时感染病毒或木马 。
39
上网行为安全
控制措施 最简单但有效的措施： 不去访问不可靠的、可疑的网站； 不随意下载安装来历不明的软件； 禁止在网吧访问公司系统； 禁止使用QQ等即时通讯软件传输文
苹果iPad 2的3D设计图档为商业秘密，被害公司因商业秘密泄 露造成的直接经济损失达人民币206万元。2011年3月23日，深圳 市宝安区检察院以涉嫌侵犯商业秘密罪对犯罪嫌疑人肖某、林某、 侯某提起公诉。
43
Software Insurance； 2、97%的失窃笔记本电脑都没有希望找回——FBI 3、你的笔记本电脑失窃的几率为10%，这意味着每十个 人中就有一个人会丢失笔记本电脑——Gartner Group 4、…… 惠普公司提供服务的富达投资公司的几名员工在公司以外 场所使用时被盗的。 这台笔记本电脑中储存了惠普公司 的19.6 万现有员工和以前员工的相关资料。具体资料包 括员工姓名、地址、社会保险号、生日和其他一些与员 工有关的资料。
9
信息安全管理措施
1. 物理安全
2. 密码安全
信息
4. 上网行为安全 安全
3. 传输安全
10
物理安全
安全目标 防止物理设备在未授权的情况下被访问、或损坏 ，确保硬件的绝对安全，尽量做到点对点，减少 中间的流转环节。尽量对移动存储器中的内容进 行加密设置，防止未授权人员对其进行访问。
11
物理安全
38
上网行为安全
网络服务包括以下等内容： 网站浏览； 即时通信（如QQ、MSN、ICQ等）； 文件下载； 视频点播； 如果电脑没有及时打补丁，没有安装防病毒软件，或没
有及时更新病毒库，则很容易在上网时感染病毒或木马 。
39
上网行为安全
控制措施 最简单但有效的措施： 不去访问不可靠的、可疑的网站； 不随意下载安装来历不明的软件； 禁止在网吧访问公司系统； 禁止使用QQ等即时通讯软件传输文
苹果iPad 2的3D设计图档为商业秘密，被害公司因商业秘密泄 露造成的直接经济损失达人民币206万元。2011年3月23日，深圳 市宝安区检察院以涉嫌侵犯商业秘密罪对犯罪嫌疑人肖某、林某、 侯某提起公诉。
43
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
12 12
基本概念
理解和铺垫
13 13
什么是信息
u 消息、信号
• 存储在计算机、磁带、纸张等介质中 • 记忆在人的大脑里 • 通过网络、打印机、传真机等方式进行传播
u 信息借助媒体而存在，对现代企业来说具有价值，就成为信息资产：
4 4
威胁无处不在
黑客渗透 内部人员威胁
木马后门
病毒和蠕虫 流氓软件
系统漏洞
信息资产
拒绝服务 社会工程
硬件故障
网络通信故障 供电中断
失火
雷雨
地震
5 5
外部威胁
6 6
黑客攻击基本手法
踩点
扫描
破坏攻击 渗透攻击
获得控制权 清除痕迹 获得访问权
安装后门
远程控制 转移目标 窃密破坏
7 7
内部威胁
u 病从口入 u 天时 地利 人和
据丢失； 7、美联合航空电脑故障，全国服务大乱； 8、腾讯网大面积访问异常； 9、新浪微博病毒大范围传播； 10、Comodo等多家证书机构遭到攻击，攻击者得以伪造
google等多家知名网站证书，使互联网安全遭遇严重威胁；
3
Windows XP/7…
如果我是黑客…… 1、绝大多数笔记本电脑都内置麦克风且处 于开启状态； 2、开启录音功能； 3、录制所需内容并将其放置于某Web页面 之上： 4.开启所有笔记本的摄像头，并把录像放 置于某Web页面之上：
三分技术，七分管理！
22 22
如何正确认识信息安全
安全不是产品的简单堆积， 也不是一次性的静态过程， 它是人员、技术、操作三者 紧密结合的系统工程，是不 断演进、循环发展的动态过 程
漏，导致美国多家军工企业信息系统受到严重威胁； 3、LulzSec成功袭击了中央情报局，美国参议院，任天堂，索
尼等多家机构，引起国际社会广泛关注； 4、花旗银行网站遭遇黑客 20万信用卡用户信息被盗； 5、由于南海领土纠纷引起中越黑客相互攻击对方重要网站； 6、韩国农协银行遭遇攻击导致系统长时间瘫痪及大量交易数
u 物理安全：环境安全、设备安全、媒体安全 u 系统安全：操作系统及数据库系统的安全性 u 网络安全：网络隔离、访问控制、VPN、入侵检测、扫描评估 u 应用安全：Email安全、Web访问安全、内容过滤、应用系统安全 u 数据加密：硬件和软件加密，实现身份认证和数据信息的CIA特性 u 认证授权：口令认证、SSO认证（例如Kerberos）、证书认证等 u 访问控制：防火墙、访问控制列表等 u 审计跟踪：入侵检测、日志审计、辨析取证 u 防杀病毒：单机防病毒技术逐渐发展成整体防病毒体系 u 灾备恢复：业务连续性，前提就是对数据的备份
• 计算机和网络中的数据 • 硬件、软件、文档资料 • 关键人员 • 组织提供的服务
u 具有价值的信息资产面临诸多威胁，需要妥善保护
14 14
什么是信息安全
采取措施保护信息资产，使 之不因偶然或者恶意侵犯而遭受 破坏、更改及泄露，保证信息系 统能够连续、可靠、正常地运行， 使安全事件对业务造成的影响减 到最小，确保组织业务运行的连 续性。
绝对的安全是不存在的！
21 21
关键点：信息安全管理
u 技术是信息安全的构筑材料，管理是真正的粘合剂和催化剂 u 信息安全管理构成了信息安全具有能动性的部分，是指导和控制组 织的关于信息安全风险的相互协调的活动 u 现实世界里大多数安全事件的发生和安全隐患的存在，与其说是技 术上的原因，不如说是管理不善造成的 u 理解并重视管理对于信息安全的关键作用，对于真正实现信息安全 目标尤其重要 u 唯有信息安全管理工作活动持续而周期性的推动作用方能真正将信 息安全意识贯彻落实
员工误操作
蓄意破坏
职责权限混淆
8 8
自身弱点
技术弱点 系统、 程序、设备中存在的漏洞或缺陷
操作弱点
配置、操作和使用中的缺陷，包括人员的不良习 惯、审计或备份过程的不当等
管理弱点
策略、程序、规章制度、人员意识、组织结构等 方面的不足
9 9
最常犯的一些错误
u 将口令写在便签上，贴在电脑监视器旁 u 开着电脑离开，就像离开家却忘记关灯那样 u 轻易相信来自陌生人的邮件，好奇打开邮件附件 u 使用容易猜测的口令，或者根本不设口令 u 丢失笔记本电脑 u 不能保守秘密，口无遮拦，上当受骗，泄漏敏感信息 u 随便拨号上网，或者随意将无关设备连入公司网络 u 事不关己，高高挂起，不报告安全事件 u 在系统更新和安装补丁上总是行动迟缓 u 只关注外来的威胁，忽视企业内部人员的问题 u 会后不擦黑板，会议资料随意放置在会场
10 10
保持清醒认识
u 信息资产对我们很重要，是要保护的对象 u 威胁就像苍蝇一样，挥之不去，无所不在 u 资产自身又有各种弱点，给威胁带来可乘之机 u 面临各种风险，一旦发生就成为安全事件、事故
11 11
我们应该……
严防威胁 消减弱点 应急响应 保护资产
熟悉潜在的安全问题 知道怎样防止其发生 明确发生后如何应对
19 19
安全 vs. 可用——平衡之道
u 在可用性（Usability）和安全性（Security）之间是一种
相反的关系 u 提高了安全性，相应地就降低了易用性 u 而要提高安全性，又势必增大成本 u 管理者应在二者之间达成一种可接受的平衡
20 20
计算机安全领域一句格言： “真正安全的计算机是拔下网 线，断掉电源，放在地下掩体的 保险柜中，并在掩体内充满毒气， 在掩体外安排士兵守卫。”
信息安全意识培训（下）
信息科技部
1
我们的目标
建立对信息安全的敏感意识和正确认识 掌握信息安全的基本概念、原则和惯例 清楚可能面临的威胁和风险 遵守各项安全策略和制度 在日常工作中养成良好的安全习惯 最终提升整体的信息安全水平
2 2
1、国内多家银行网银用户遭到大规模钓鱼攻击，损失巨大； 2、RSA遭黑客攻击，主流身份认证产品SecureID的重要信息泄
15 15
信息安全基本目标
C Onfidentiality（机密性） I Ntegrity（完整性）
CIA
A Vailability（可用 性）
16 16
管理者的最终目标
Confidentiality
Availability
Information
Integrity
17 17
因果关系
18 18
技术手段