入职员工培训-体系管理-信息安全意识PPT文档格式.ppt

1、,问题,授之以鱼,不如授之以渔,产品,技术,更不如激之其欲,意识,信息安全无处不在,怎样搞好信息安全？,一个软件公司的老总，等他所有的员工下班之后，他在那里想：我的企业到底值多少钱呢？,假如它的企业市值1亿，那么此时此刻，他的企业就值2600万。因为据Delphi公司统计，公司价值的26%体现在固定资产和一些文档上，而高达42%的价值是存储在员工的脑子里，而这些信息的保护没有任何一款产品可以做得到，所以需要我们建立信息安全管理体系，也就是常说的ISMS！,小问题：公司的信息都在哪里？,纸质文档电子文档员工其他信息介质,企业应保护什么信息？,知识产权；技术秘密；合同；客户资料；软件产品的源代码；

2、财务数据；内部文件；,小测验,您离开家每次都关门吗？您离开公司每次都关门吗？您的保险箱设密码吗？您的电脑设密码吗？,意识,如果您记得关家里的门，而不记得关公司的门，说明您可能对公司的安全认知度不够。如果您记得给保险箱设密码，而不记得给电脑设密码，说明您可能对信息资产安全认识不够。,答案解释：,这就是意识缺乏的症结,意识,思想上的转变信息比钞票更重要，更脆弱，我们更应该保护它。,装有100万 保险箱,需要3个悍匪,公司损失：100万,装有客户信息 电脑,只要1个商业间谍,1个U盘，就能偷走。,公司损失：所有客户！,WHY?,信息安全的定义,信息生命周期,创建,传递,销毁,存 储,使用,更改,*,

3、信息安全令人担忧!内地企业44%信息安全事件是数据失窃,普华永道最新发布的2008年度全球信息安全调查报告显示，中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保障方面已被印度赶超。数据显示，内地企业44%的信息安全事件与数据失窃有关，而全球的平均水平只有16%。,*,关键是做好预防控制,1、要关注内部人员的安全管理,过渡页,TRANSITION PAGE,过渡页 TRANSITION PAGE,案例,2007年11月，集安支行代办员，周末晚上通过运营电脑，将230万转移到事先办理的15张卡上，并一夜间在各ATM上取走38万。周一被发现。夜间银行监控设备未开放，下班后运营电脑未上锁。事实

4、上，此前早有人提出过这个问题，只不过没有得到重视。,员工安全管理的要求,根据不同岗位的需求，在职位描述书中加入安全方面的责任要求，特别是敏感岗位 在招聘环节做好人员筛选和背景调查工作，并且签订 适当的保密协议 在新员工培训中专门加入信息安全内容 工作期间，根据岗位需要，持续进行专项培训 通过多种途径，全面提升员工信息安全意识 员工内部转岗应做好访问控制变更控制 员工离职，应做好交接和权限撤销,国内金融计算机犯罪的典型案例,一名普通的系统维护人员，轻松破解数道密码，进入邮政储蓄网络，盗走83.5万元。这起利用网络进行金融盗窃犯罪的案件不久前被甘肃省定西地区公安机关破获 人民日报，2003年12月

5、,时间：2003年11月地点：甘肃省定西地区临洮县太石镇邮政储蓄所人物：一个普通的系统管理员,怪事是这么发生的,2003年10月5日，定西临洮县太石镇邮政储蓄所的营业电脑突然死机 工作人员以为是一般的故障，对电脑进行了简单的修复和重装处理 17日，工作人员发现打印出的报表储蓄余额与实际不符，对账发现，13日发生了11笔交易，83.5万异地帐户是虚存（有交易记录但无实际现金）紧急与开户行联系，发现存款已从兰州、西安等地被取走大半 储蓄所向县公安局报案 公安局向定西公安处汇报 公安处成立专案组，同时向省公安厅上报,27,当然，最终结果不错,经过缜密的调查取证，我英勇机智的公安干警终于一举抓获这起案

6、件的罪魁祸首 会宁邮政局一个普通的系统维护人员张某,事情的经过原来是这样的,会宁的张某用假身份证在兰州开了8个活期帐户,29,到底哪里出了纰漏,张某29岁，毕业于邮电学院，资质平平，谈不上精通计算机和网络技术,邮政储蓄网络的防范可谓严密：与Internet物理隔离的专网；配备了防火墙；从前台分机到主机经过数重密码认证,可还是出事了，郁闷呀 问题究竟出在哪里？思考中哦，原来如此,看来，问题真的不少呀,张某私搭电缆，没人过问和阻止，使其轻易进入邮政储蓄专网 临洮县太石镇的邮政储蓄网点使用原始密码，没有定期更改，而且被员工周知，致使张某轻松突破数道密码关，直接进入了操作系统 问题出现时，工作人员以为

7、是网络系统故障，没有足够重视,总结教训,最直接的教训：漠视口令安全带来恶果！归根到底，是管理上存在漏洞，人员安全意识淡薄,安全意识的提高刻不容缓！,2、切不可忽视第三方安全,北京移动电话充值卡事件,31岁的软件工程师程稚瀚，在华为工作期间，曾为西藏移动做过技术工作，案发时，在UT斯达康深圳分公司工作。2005年3月开始，其利用为西藏移动做技术时使用的密码（此密码自程稚瀚离开后一直没有更改），轻松进入了西藏移动的服务器。通过西藏移动的服务器，程稚瀚又跳转到了北京移动数据库，取得了数据从2005年3月至7月，程稚瀚先后4次侵入北京移动数据库，修改充值卡的时间和金额，将已充值的充值卡状态改为未充值，

8、共修改复制出上万个充值卡密码。他还将盗出的充值卡密码通过淘宝网出售，共获利370余万元。直到2005年7月，由于一次“疏忽”，程稚瀚将一批充值卡售出时，忘了修改使用期限，使用期限仍为90天。购买到这批充值卡的用户因无法使用便投诉到北京移动，北京移动才发现有6600张充值卡被非法复制，立即报警。2005年8月24日，程稚瀚在深圳被抓获，所获赃款全部起获。,装修换钥匙,第三方安全管理的建议,识别所有相关第三方：服务提供商，设备提供商，咨询顾问，审计机构，物业，保洁等 识别所有与第三方相关的安全风险，无论是牵涉到物理访问还是逻辑访问 在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴

9、访问。应该让外部伙伴意识到其责任和必须遵守的规定 在与第三方签订协议时特别提出信息安全方面的要求，特别是访问控制要求 对第三方实施有效的监督，定期Review服务交付,3、物理环境中需要信息安全,时间：2002年某天夜里地点：A公司的数据中心大楼人物：一个普通的系统管理员,一个普通的系统管理员，利用看似简单的方法，就进入了需要门卡认证的数据中心 来自国外某论坛的激烈讨论,情况是这样的,A公司的数据中心是重地，设立了严格的门禁制度，要求必须插入门卡才能进入。不过，出来时很简单，数据中心一旁的动作探测器会检测到有人朝出口走去，门会自动打开 数据中心有个系统管理员张三君，这天晚上加班到很晚，中间离开

10、数据中心出去夜宵，可返回时发现自己被锁在了外面，门卡落在里面了，四周别无他人，一片静寂 张三急需今夜加班，可他又不想打扰他人，怎么办？,一点线索：昨天曾在接待区庆祝过某人生日，现场还未清理干净，遗留下很多杂物，哦，还有气球,聪明的张三想出了妙计,张三找到一个气球，放掉气,张三面朝大门入口趴下来，把气球塞进门里，只留下气球的嘴在门的这边,张三在门外吹气球，气球在门内膨胀，然后，他释放了气球,由于气球在门内弹跳，触发动作探测器，门终于开了,问题出在哪里,如果门和地板齐平且没有缝隙，就不会出这样的事,如果动作探测器的灵敏度调整到不对快速放气的气球作出反应，也不会出此事,当然，如果根本就不使用动作探测

11、器来从里面开门，这种事情同样不会发生,总结教训,虽然是偶然事件，也没有直接危害，但是潜在风险 既是物理安全的问题，更是管理问题 切记！有时候自以为是的安全，恰恰是最不安全！,物理安全非常关键！,物理安全的建议,将敏感设备和信息放置在受控的安全区域 所有到受控区域的入口都应该加锁、设置门卫，或者以某种方式进行监视，并做好进出登记 如果进出需要门禁卡，请随身带好，严禁无证进入 钥匙和门卡仅供本人使用，不要交给他人使用 严格控制带存储和摄像功能的手持设备的使用 使用公共区域的打印机、传真机、复印机时，一定不要遗留敏感文件 移动电脑是恶意者经常关注的目标，一定要注意保护 使用碎纸机，谨防敏感文件通过垃

12、圾篓而泄漏,日常工作需特别留意信息安全,一个有趣的调查发现，如果你用一条巧克力来作为交换，有70的人乐意告诉你他（她）的口令 有34的人，甚至不需要贿赂，就可奉献自己的口令 另据调查，有79的人，在被提问时，会无意间泄漏足以被用来窃取其身份的信息 姓名、宠物名、生日、球队名最常被用作口令 平均每人要记住四个口令，大多数人都习惯使用相同的口令（在很多需要口令的地方）33的人选择将口令写下来，然后放到抽屉或夹到文件里,关于口令的一些调查结果,应该设置强口令 口令应该经常更改，比如3个月 不同的系统或场所应使用不同的口令 一定要即刻更改系统的缺省或初始化口令 不要与任何人共享你的口令 不要把口令写在

13、纸上 不要把口令存储在计算机文件中 输入口令时严防有人偷看 如果发觉有人获知你的口令，立即改变它,口令安全建议,少于8个字符 单一的字符类型，例如只用小写字母，只用数字 用户名与口令相同 最常被人使用的弱口令：自己、家人、朋友、亲戚、宠物的名字 生日、结婚纪念日、电话号码等个人信息 工作中用到的专业术语，职业特征 字典中单词，或者只在单词后加简单的后缀 所有系统都使用相同的口令 口令一直不变,什么样的口令是比较脆弱的?,Chp3 服务内容,日常工作中常见的信息安全事件,1、打印机打印件滞留带来信息漏洞2、打印纸背面好习惯换取大损失3、共享文件局域网中获得公司内部机密的通道4、公用设备等于公用信

14、息5、产品痕迹靠“痕迹”了解你的未来6、光盘刻录资料在备份过程中流失7、邮箱信息窃取的中转站8、私人电脑大量窃取资料常用手段9、会议记录被忽视的公司机密10、客户你的机密只是盟友的谈资,问题一,如何保障信息系统安全,1.杀（防）毒软件不可少 首先要做的就是安装一套正版的杀毒软件。对待电脑病毒的关键应当以“防”为主。开启杀毒软件的实时监控程序，并定期升级杀毒软件,如何保障信息系统安全,2.分类设置密码并使密码尽可能复杂 计算机帐号、办公应用账户、网上银行、E-Mail等，应尽可能使用不同的密码，以免因一个密码泄露导致所有资料外泄。对于重要的密码（如网上银行的密码）一定要单独设置，并且不要与其他密

15、码相同。定期地修改自己的密码,如何保障信息系统安全,3.不下载来路不明的软件从网上下载软件，应选择信誉较好的下载网站，在使用前最好先查杀病毒。不要打开来历不明的电子邮件病毒邮件通常都会以诱人的标题来吸引你打开，如果一旦打开，计算机会受到感染；所以在打开邮件前仔细核实发件人信息。,如何保障信息系统安全,4.不要随意浏览非法网站 许多病毒、木马和间谍软件都来自于非法网站，如果你上了这些网站，而你的电脑恰巧又没有防范措施，那么你十有八九会中招。,如何保障信息系统安全,5.定期备份重要数据 如果计算机遭到致命的破坏，软件或者硬件是可以更换，但数据就再也找不会来了。所以，无论采取了多么严密的防范措施，也不要忘了随时备份的重要数据，做到有备无患！,感谢您的参与！,