信息安全意识培训-全体员工

LOGO,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,*,Click to edit Master title style,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,Page,*,Click to edit Master title style,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Click to edit Master title style,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Click to edit Master title style,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,1,资本本部,21,楼、,23,楼哪里存在,信,信息安全隐,患,患？,信息安全,人员安全,物理安全,事件管理,安全策略,法律合规,开发安全,安全组织,资产管理,业务连续,网络安全,访问控制,ISO/IEC17799:2005,版,11,个方面、,39,个控制目标,和,和,133,项控制措施,列,列表,1),安全方针,7),访问控制,2),信息安全组,织,织,8),信息系统获,取,取、开发和,维,维护,3),资产管理,9),信息安全事,故,故管理,4),人力资源安,全,全,10),业务连续性,管,管理,5),物理和环境,安,安全,11),符合性,6),通信和操作,管,管理,ISMS(,信息安全管,理,理系统,),ISO/IEC27001:2005,版通篇就在,讲,讲一件事，,ISMS(,信息安全管,理,理系统,),。,本标准用,于,于为建立,、,、实施、,运,运行、监,视,视、评审,、,、保持和,改,改进信息,安,安全管理,体,体系（,InformationSecurityManagement System,，简称,ISMS,）提供模,型,型。采用,ISMS,应当是一,个,个组织的,一,一项战略,性,性决策。,一,一个组织,的,的,ISMS,的设计和,实,实施受其,需,需要和目,标,标、安全,要,要求、所,采,采用的过,程,程以及组,织,织的规模,和,和结构的,影,影响，上,述,述因素及,其,其支持系,统,统会不断,发,发生变化,。,。按照组,织,织的需要,实,实施,ISMS,，是本标,准,准所期望,的,的，例如,，,，简单的,情,情况可采,用,用简单的,ISMS,解决方案,。,。,本标准可,被,被内部和,外,外部相关,方,方用于一,致,致性评估,。,。,（,引用自,ISO/IEC27001:2005,中 “,0.,1,总则”）,Page5,PDCA,（戴明环,）,）,PDCA,（,（Plan、Do,、,、Check 和Act）,是,是管理学,惯,惯用的一,个,个过程模,型,型，最早,是,是由休哈,特,特（WalterShewhart,）,）于19,世,世纪30 年代,构,构想的，,后,后来被戴,明,明（Edwards Deming,）,）采纳、,宣,宣传并运,用,用于持续,改,改善产品,质,质量的过,程,程当中。,1、P（Plan,）,）-计,划,划，确定,方,方针和目,标,标，确定,活,活动计划,；,；,2、D（Do）-执行，,实,实地去做,，,，实现计,划,划中的内,容,容；,3、C（Check）-,检,检查，总,结,结执行计,划,划的结果,，,，注意效,果，找出,问,问题；,4、A（Action）-行动，,对,对总结检,查,查的结果,进,进行处理,，,，,成功的经,验,验加以肯,定,定并适当,推,推广、标,准,准化；失,败,败的教,训加以总,结,结，以免,重,重现，未,解,解决的问,题,题放到下,一,一个,PDCA,循,循环。,Page6,PDCA,特点,大环套小,环,环，小环,保,保大环，,推,推动大循,环,环,PDCA,循,循环作为,质,质量管理,的,的基本方,法,法，不仅,适,适用于整,个,个工程项,目,目，也适,应,应于整个,企,企业和企,业,业内的科,室,室、工段,、,、班组以,至,至个人。,各,各级部门,根,根据企业,的,的方针目,标,标，都有,自,自己的PDCA循,环,环，层层,循,循环，形,成,成大环套,小,小环，小,环,环里面又,套,套更小的,环,环。大环,是,是小环的,母,母体和依,据,据，小环,是,是大环的,分,分解和保,证,证。各级,部,部门的小,环,环都围绕,着,着企业的,总,总目标朝,着,着同一方,向,向转动。,通,通过循环,把,把企业上,下,下或工程,项,项目的各,项,项工作有,机,机地联系,起,起来，彼,此,此协同，,互,互相促进,。,。以上特,点,点。,Page7,PDCA,特点,(,续,),不断前进,、,、不断提,高,高,PDCA,循环就像,爬,爬楼梯一,样,样，一个,循,循环运转,结,结束，生,产,产的质量,就,就会提高,一,一步，然,后,后再制定,下,下一个循,环,环，再运,转,转、再提,高,高，不断,前,前进，不,断,断提高，,是,是一个螺,旋,旋式上升,的,的过程。,P,D,C,A,质量水平,螺旋上升,的,的,PDCA,Page8,PDCA,和,ISMS,的结合,Page9,认证审核,现场审,核,核,桌面审核,（,（文件审,核,核）的结,果,果作为现,场,场审核输,入,入。,现场审核,的,的内容包,括,括会议、,现,现场调查,、,、形成审,核,核发现、,举,举行末次,会,会议和报,告,告审核结,果,果等。,审核内容,验证第一,阶,阶段的审,核,核发现是,否,否获得纠,正,正。,证实受审,核,核组织是,否,否按照其,方,方针、目,标,标和程序,，,，执行工,作,作。,证实受审,核,核组织的,ISMS,是否符合,ISO/IEC27001:2005,第,4-8,章的所有,要,要求,Page10,认,证,证,审,审,核,核,获,获,得,得,证,证,书,书,所,有,有,审,审,核,核,工,工,作,作,结,结,束,束,并,并,达,达,到,到,要,要,求,求,后,后,，,，,用,用,户,户,会,会,得,得,到,到,证,证,书,书,。,。,半,年,年,或,或,者,者,一,一,年,年,，,，,用,用,户,户,需,需,要,要,进,进,行,行,复,复,审,审,三,年,年,时,时,，,，,证,证,书,书,期,期,满,满,，,，,需,需,要,要,重,重,新,新,审,审,核,核,。,。,Page11,举,例,例,为,了,了,方,方,便,便,大,大,家,家,理,理,解,解,，,，,举,举,个,个,例,例,子,子,来,来,进,进,行,行,说,说,明,明,：,：,华,赛,赛,公,公,司,司,要,要,参,参,加,加,上,上,地,地,地,地,区,区,的,的,一,一,个,个,卫,卫,生,生,评,评,比,比,，,，,评,评,比,比,通,通,过,过,发,发,放,放,上,地,地,地,地,区,区,高,高,科,科,技,技,企,企,业,业,卫,卫,生,生,红,红,旗,旗,。,该,次,次,评,评,比,比,有,有,个,个,评,评,比,比,要,要,求,求,上,地,地,地,地,区,区,高,高,科,科,技,技,企,企,业,业,卫,卫,生,生,评,评,比,比,要,要,求,求,，,要,要,求,求,内,内,容,容,包,包,括,括,，,，,建,建,立,立,长,长,效,效,的,的,卫,卫,生,生,机,机,制,制,，,，,如,如,划,划,定,定,公,公,司,司,卫,卫,生,生,范,范,围,围,，,，,购,购,买,买,各,各,种,种,卫,卫,生,生,用,用,具,具,，,，,专,专,门,门,领,领,导,导,负,负,责,责,，,，,成,成,立,立,专,专,门,门,团,团,队,队,，,，,聘,聘,请,请,专,专,业,业,保,保,洁,洁,公,公,司,司,，,，,组,组,织,织,内,内,部,部,检,检,查,查,，,，,内,内,部,部,互,互,查,查,等,等,等,等,。,。,信,息,息,安,安,全,全,意,意,识,识,培,培,训,训,13,1,2,3,4,什么是,信,信息安,全,全？,怎样搞,好,好信息,安,安全？,信息产,业,业发展,现,现状,主要内,容,容,信息安,全,全基本,概,概念,14,授之以,鱼,鱼,不如授,之,之以渔,产品,技术,更不如,激,激之其,欲,欲,意识,谈笑间，风险灰飞烟灭。,引言,15,什么是,信,信息安,全,全？,不止有,产,产品、,技,技术才,是,是信息,安,安全,16,信息安,全,全无处,不,不在,信息安全,人员安全,物理安全,事件管理,安全策略,法律合规,开发安全,安全组织,资产管理,业务连续,网络安全,访问控制,一个软,件,件公司,的,的老总,，,，等他,所,所有的,员,员工下,班,班之后,，,，他在,那,那里想,：,：我的,企,企业到,底,底值多,少,少钱呢,？,？假如它,的,的企业,市,市值,1,亿，那,么,么此时,此,此刻，,他,他的企,业,业就值,2600,万。,因为据,Delphi,公司统,计,计，公,司,司价值,的,的,26,%,体现在,固,固定资,产,产和一,些,些文档,上,上，而高达,42,%,的价值,是,是存储,在,在员工,的,的脑子,里,里，而,这,这些信,息,息的保,护,护没有,任,任何一,款,款产品,可,可以做,得,得到，所以,需,需要我,们,们建立,信,信息安,全,全管理,体,体系，,也,也就是,常,常说的,ISMS,！,17,怎样搞,好,好信息,安,安全？,18,信息在,哪,哪里？,纸质文,档,电子文,档,档,员工,其他信,息,息介质,小问题,：,：,公司的,信,信息都,在,在哪里,？,？,19,小测试,：,：,您离开,家,家每次,都,都关门,吗,吗？,您离开,公,公司每,次,次都关,门,门吗？,您的保,险,险箱设,密,密码吗,？,？,您的电,脑,脑设密,码,码吗？,20,答案解,释,释：,如果您,记,记得关,家,家里的,门,门，而,不,不记得,关,关公司,的,的门，,说明您,可,可能对,公,公司的,安,安全认,知,知度不,够,够。,如果您,记,记得给,保,保险箱,设,设密码,，,，而不,记,记得给,电,电脑设,密,密码，,说明您,可,可能对,信,信息资,产,产安全,认,认识不,够,够。,21,这就是,意,意识缺,乏,乏的两,大,大,结症！,不看重大公司，更看重小家庭。,1,家,公司,2,钞票更顺眼，信息无所谓。,22,思想上,的,的转变,（,（一）,公司的,钱,钱，就,是,是我的,钱,钱，,只是先,放,放在,老板那里,23,WHY?,信息安,全,全搞好,了,了,信息安,全,全搞砸,了,了,公司赚钱了,领导笑了,领导怒了,公司赔钱了,你就“跌” 了,你就“涨” 了,24,思想上,的,的转变,（,（二）,信息比,钞,钞票更,重,重要，,更,更脆弱,，,，我们,更,更应该,保,保护它,。,。,25,WHY?,装有,100,万的,保险箱,需要,3,个悍匪、,公司损失：,100,万,装有客户信息的,电脑,只要,1,个商业间谍、,1,个,U,盘，就能偷走。,公司损失：,所有客户！,1,辆车，才能偷走。,26,典型案,例,例,27,安全名,言,言,公司的,利,利益就,是,是自己,的,的利益,，,，不保,护,护公司,，,，就是,不,不保护,自,自己。,电脑不,仅,仅仅是,工,工具，,而,而是装,有,有十分,重,重要信,息,息的保,险,险箱。,28,绝对的,安,安全是,不,不存在,的,的,绝对的,零,零风险,是,是不存,在,在的，,要,要想实,现,现零风,险,险，也,是,是不现,实,实的；,计算机,系,系统的,安,安全性,越,越高，,其,其可用,性,性越低,，,，需要,付,付出的,成,成本也,就,就越大,，,，一般,来,来说，,需,需要在,安,安全性,和,和可用,性,性，以,及,及安全,性,性和成,本,本投入,之,之间做,一,一种平,衡,衡。,在计算,机,机安全,领,领域有,一,一句格,言,言：,“,真正安,全,全的计,算,算机是,拔,拔下网,线,线，断,掉,掉电源,，,，放置,在,在地下,掩,掩体的,保,保险柜,中,中，并,在,在掩体,内,内充满,毒,毒气，,在,在掩体,外,外安排,士,士兵守,卫,卫。,”,显然，,这,这样的,计,计算机,是,是无法,使,使用的,。,。,29,安全,是,是一,种,种平,衡,衡,30,安全,是,是一,种,种平,衡,衡,安全,控,控制,的,的成,本,本,安全,事,事件,的,的损,失,失,最小,化,化的,总,总成,本,本,低,高,高,安全,成,成本,/,损失,所提,供,供的,安,安全,水,水平,关键,是,是实,现,现成,本,本利,益,益的,平,平衡,信息,的,的价,值,值,=,使用,信,信息,所,所获,得,得的,收,收益,获,获,取,取信,息,息所,用,用成,本,本,信息,具,具备,了,了安,全,全的,保,保护,特,特性,31,信息,的,的价,值,值,广义,上,上讲,领域,涉及,到,到信,息,息的,保,保密,性,性，,完,完整,性,性，,可,可用,性,性，,真,真实,性,性，,可,可控,性,性的,相,相关,技,技术,和,和理,论,论。,本质,上,上,保护,系统,的,的硬,件,件，,软,软件,，,，数,据,据,防止,系统,和,和数,据,据遭,受,受破,坏,坏，,更,更改,，,，泄,露,露,保证,系统,连,连续,可,可靠,正,正常,地,地运,行,行，,服,服务,不,不中,断,断,两个,层,层面,技术,层,层面,防止,外,外部,用,用户,的,的非,法,法入,侵,侵,管理,层,层面,内部,员,员工,的,的教,育,育和,管,管理,32,信息,安,安全,的,的定,义,义,33,信息,安,安全,基,基本,目,目标,保密,性,性，,完,完整,性,性，,可,可用,性,性,C,I,A,onfidentiality,ntegrity,vailability,CIA,34,信息,生,生命,周,周期,创建,传递,销毁,存 储,使用,更改,35,信息,产,产业,发,发展,迅,迅猛,截至,2008,年,7,月，,我,我国,固,固定,电,电话,已,已达,到,到,3.55,亿户,，,，移,动,动电,话,话用,户,户数,达,达到,6.08,亿。,截至,2008,年,6,月，我国,网,网民,数,数量,达,达到,了,了,2.53,亿，成,为,为世,界,界上,网,网民,最,最多,的,的国,家,家，,与,与去,年,年同,期,期相,比,比，,中,中国,网,网民,人,人数,增,增加,了,了,9100,万人,，,，同,比,比增,长,长达,到,到,56.2%,。,手机,上,上网,成,成为,用,用户,上,上网,的,的重,要,要途,径,径，,网,网民,中,中的,28.9%,在过,去,去半,年,年曾,经,经使,用,用过,手,手机,上,上网,，,，手机,网,网民,规,规模,达,达到,7305,万人。,2007,年电,子,子商,务,务交,易,易总,额,额已,超,超过,2,万亿,元,元。,目前,，,，全国,网,网站,总,总数,达,达,192,万，中,文,文网,页,页已,达,达,84.7,亿页,，,，个,人,人博,客,客,/,个人,空,空间,的,的网,民,民比,例,例达,到,到,42.3%,。,目前,，,，县,级,级以,上,上,96%,的政,府,府机,构,构都,建,建立,了,了网,站,站，电,子,子政,务,务正,以,以改,善,善公,共,共服,务,务为,重,重点,，,，在,教,教育,、,、医,疗,疗、,住,住房,等,等方,面,面，,提,提供,便,便捷,的,的基,本,本公,共,共服,务,务。,36,信息,安,安全,令,令人,担,担忧,内地,企,企业,44,%,信息,安,安全,事,事件,是,是数,据,据失,窃,窃,普华,永,永道,最,最新,发,发布,的,的,2008,年度,全,全球,信,信息,安,安全,调,调查,报,报告,显,显示,，,，中,国,国内,地,地企,业,业在,信,信息,安,安全,管,管理,方,方面,存,存在,滞,滞后,，,，信,息,息安,全,全与,隐,隐私,保,保障,方,方面,已,已被,印,印度,赶,赶超,。,。数,据,据显,示,示，,内地,企,企业,44,%,的信,息,息安,全,全事,件,件与,数,数据,失,失窃,有,有关,，,，而,全,全球,的,的平,均,均水,平,平只,有,有,16,%,。,普华,永,永道,的,的调,查,查显,示,示，,中,中国,内,内地,企,企业,在,在改,善,善信,息,息安,全,全机,制,制上,仍,仍有,待,待努,力,力，,从,从近,年,年安,全,全事,件,件结,果,果看,，,，,中国,每,每年,大,大约,98,万美,元,元的,财,财务,损,损失,，,，而,亚,亚洲,国,国家,平,平均,约,约为,75,万美,元,元，,印,印度,大,大约,为,为,30.8,万美,元,元,。此,外,外，,42%,的中,国,国内,地,地受,访,访企,业,业经,历,历了,应,应用,软,软件,、,、系,统,统和,网,网络,的,的安,全,全事,件,件。,37,安全,事,事件,（,（,1,）,38,安全,事,事件,（,（,2,）,39,安全,事,事件,（,（,3,）,40,安全,事,事件,（,（,4,）,41,安全,事,事件,（,（,5,）,42,安全,事,事件,（,（,6,）,熊猫,烧,烧香,病,病毒,的,的制,造,造者,-,李俊,用户,电,电脑,中,中毒,后,后可,能,能会,出,出现,蓝,蓝屏,、,、频,繁,繁重,启,启以,及,及系,统,统硬,盘,盘中,数,数据,文,文件,被,被破,坏,坏等,现,现象,。,。同,时,时，,该,该病,毒,毒可,以,以通,过,过局,域,域网,进,进行,传,传播,，,，进,而,而感,染,染局,域,域网,内,内所,有,有计,算,算机,系,系统,，,，最,终,终导,致,致企,业,业局,域,域网,瘫,瘫痪,，,，无,法,法正,常,常使,用,用，,它,它能,感,感染,系,系统,中,中,exe,，,com,，,pif,，,src,，,html,，,asp,等文,件,件，,它,它还,能,能中,止,止大,量,量的,反,反病,毒,毒软,件,件进,程,程并,且,且会,删,删除,扩,扩展,名,名为,gho,的文,件,件，,该,该文,件,件是,一,一系,统,统备,份,份工,具,具,GHOST,的备,份,份文,件,件，,使,使用,户,户的,系,系统,备,备份,文,文件,丢,丢失,。,。被,感,感染,的,的用,户,户系,统,统中,所,所有,.exe,可执,行,行文,件,件全,部,部被,改,改成,熊,熊猫,举,举着,三,三根,香,香的,模,模样,。,。,43,深度,分,分析,44,这样,的,的事,情,情还,有,有很,多,多,信,息,息,安,安,全,全,迫,在,在,眉,眉,睫,睫！,！,！,关键,是,是做,好,好预,防,防控,制,制,隐患险于明火！,预防重于救灾！,46,小故,事,事，,大,大启,发,发,信息,安,安全,点,点滴,首先,要,要关,注,注内,部,部人,员,员的,安,安全,管,管理,49,2007,年,11,月，,集,集安,支,支行,代,代办,员,员，,周,周末,晚,晚上,通,通过,运,运营,电,电脑,，,，将,230,万转,移,移到,事,事先,办,办理,的,的,15,张卡,上,上，,并,并一,夜,夜间,在,在各,ATM,上取,走,走,38,万。,周,周一,被,被发,现,现。,夜间,银,银行,监,监控,设,设备,未,未开,放,放，,下,下班,后,后运,营,营电,脑,脑未,上,上锁,。,。,事实,上,上，,此,此前,早,早有,人,人提,出,出过,这,这个,问,问题,，,，只,不,不过,没,没有,得,得到,重,重视,。,。,50,典型,案,案例,：,：乐,购,购事,件,件,2005,年,9,月,7,日，,上,上海,乐,乐购,超,超市,金,金山,店,店负,责,责人,到,到市,公,公安,局,局金,山,山分,局,局报,案,案称,，,，该,店,店在,盘,盘点,货,货物,时,时发,现,现销,售,售的,货,货物,和,和收,到,到的,货,货款,不,不符,，,，有,可,可能,款,款物,被,被非,法,法侵,吞,吞。,上,上海,市,市公,安,安局,经,经侦,总,总队,和,和金,山,山分,局,局立,即,即成,立,立了,专,专案,组,组展,开,开调,查,查。,专案,组,组调,查,查发,现,现，,乐,乐购,超,超市,几,几家,门,门店,货,货物,缺,缺损,率,率大,大,大超,过,过了,业,业内,千,千分,之,之五,的,的物,损,损比,例,例，,缺,缺损,的,的货,物,物五,花,花八,门,门，,油,油盐,酱,酱醋,等,等日,常,常用,品,品的,销,销售,与,与实,际,际收,到,到的,货,货款,差,差别,很,很大,。,。根,据,据以,往,往的,案,案例,，,，超,市,市内,的,的盗,窃,窃行,为,为往,往,往是,针,针对,体,体积,小,小价,值,值高,的,的化,妆,妆品,等,等物,，,，盗,窃,窃者,很,很少,光,光顾,油,油盐,酱,酱醋,等,等生,活,活用,品,品。,奇,奇怪,的,的是,，,，在,超,超市,的,的各,个,个经,营,营环,节,节并,没,没有,发,发现,明,明显,漏,漏洞,。,。,考虑到钱,和,和物最终,的,的流向收,银,银员是出,口,口，问题,很,很可能出,在,在收银环,节,节。,警方在调,查,查中发现,，,，收银系,统,统软件的,设,设计相对,严,严密，除,非,非是负责,维,维护收银,系,系统的资,讯,讯小组职,员,员和收银,员,员合谋，,才,才有可能,对,对营业款,项,项动手脚,。,。,经过深入,调,调查，侦,查,查人员发,现,现超市原,有,有的收银,系,系统被装,入,入了一个,攻,攻击性的,补,补丁程序,，,，只要收,银,银员输入,口,口令、密,码,码，这个,程,程序会自,动,动运行，,删,删除该营,业,业员当日,20,左右的,销,销售记录,后,后再将数,据,据传送至,会,会计部门,，,，造成会,计,计部门只,按,按实际营,业,业额的,80,向收银,员,员收取营,业,业额。另,20,营业额,即,即可被侵,吞,吞。,能够在收,银,银系统中,装,装入程序,的,的，负责,管,管理、更,新,新、维修,超,超市收银,系,系统的资,讯,讯组工作,人,人员嫌疑,最,最大。,警方顺藤,摸,摸瓜，挖,出,出一个包,括,括超市资,讯,讯员、收,银,银员在内,的,的近,40,人的犯罪,团,团伙。据,调,调查，原,乐,乐购超市,真,真北店资,讯,讯组组长,方,方元在工,作,作中发现,收,收银系统,漏,漏洞，设,计,计了攻击,性,性程序，,犯,犯罪嫌疑,人,人于琪、,朱,朱永春、,武,武侃佳等,人,人利用担,任,任乐购超,市,市多家门,店,店资讯工,作,作的便利,，,，将这一,程,程序植入,各,各门店收,银,银系统；,犯,犯罪嫌疑,人,人陈炜嘉,、,、陈琦、,赵,赵一青等,人,人物色不,法,法人员，,经,经培训后,通,通过应聘,安,安插到各,家,家门店做,收,收银员，,每,每日将侵,吞,吞赃款上,缴,缴到犯罪,团,团伙主犯,方,方元、陈,炜,炜嘉、陈,琦,琦等人手,中,中，团伙,成,成员按比,例,例分赃。,一,一年时间,内,内，先后,侵,侵吞乐购,超,超市真北,店,店、金山,店,店、七宝,店,店,374,万余元。,犯,犯罪团伙,个,个人按比,例,例分得赃,款,款数千元,至,至,50,万元不等,关于员工,安,安全管理,的,的建议,根据不同,岗,岗位的需,求,求，在职,位,位描述书,中,中加入安,全,全方面的,责,责任要求,，,，特别是,敏,敏感岗位,在招聘环,节,节做好人,员,员筛选和,背,背景调查,工,工作，并,且,且签订适,当,当的保密,协,协议,在新员工,培,培训中专,门,门加入信,息,息安全内,容,容,工作期间,，,，根据岗,位,位需要，,持,持续进行,专,专项培训,通过多种,途,途径，全,面,面提升员,工,工信息安,全,全意识,落实检查,监,监督和奖,惩,惩机制,员工内部,转,转岗应做,好,好访问控,制,制变更控,制,制,员工离职,，,，应做好,交,交接和权,限,限撤销,切不可忽,视,视第三方,安,安全,53,2003,年，上海,某,某家为银,行,行提供,ATM,服务的公,司,司，软件,工,工程师苏,强,强。利用,自,自助网点,安,安装调试,的,的机会，,绕,绕过加密,程,程序,Bug,，编写并,植,植入一个,监,监视软件,，,，记录用,户,户卡号、,磁,磁条信息,和,和密码，,一,一个月内,，,，记录下,7000,条。然后,拷,拷贝到自,己,己电脑上,，,，删掉植,入,入的程序,。,。,后来苏强,去,去读研究,生,生，买了,白,白卡和读,卡,卡器，伪,造,造银行卡,，,，两年内,共,共提取,6,万元。只,是,是因为偶,然,然原因被,发,发现，公,安,安机关通,过,过检查网,上,上查询客,户,户信息的,IP,地址追查,到,到苏强，,破,破坏案件,。,。,54,北京移动,电,电话充值,卡,卡事件,31,岁的软件,工,工程师,程稚瀚，,在,在华为工,作,作期间，,曾,曾为西藏,移,移动做过,技,技术工作,，,，案发时,，,，在,UT,斯达康深,圳,圳分公司,工,工作。,2005,年,3,月开始，,其,其,利用为西,藏,藏移动做,技,技术时使,用,用的密码,（,（此密码,自,自程稚瀚,离,离开后一,直,直没有更,改,改），轻,松,松进入了,西,西藏移动,的,的服务器,。,。通过西,藏,藏移动的,服,服务器，,程,程稚瀚又,跳,跳转到了,北,北京移动,数,数据库，,取,取得了数,据,据从,2005,年,3,月至,7,月，程稚,瀚,瀚先后,4,次侵入北,京,京移动数,据,据库，修,改,改充值卡,的,的时间和,金,金额，将,已,已充值的,充,充值卡状,态,态改为未,充,充值，共,修,修改复制,出,出上万个,充,充值卡密,码,码。他还,将,将盗出的,充,充值卡密,码,码通过淘,宝,宝网出售,，,，共获利,370,余万元。,直到,2005,年,7,月，由于,一,一次“疏,忽,忽”，程,稚,稚瀚将一,批,批充值卡,售,售出时，,忘,忘了修改,使,使用期限,，,，使用期,限,限仍为,90,天。购买,到,到这批充,值,值卡的用,户,户因无法,使,使用便投,诉,诉到北京,移,移动，北,京,京移动才,发,发现有,6600,张充值卡,被,被非法复,制,制，立即,报,报警。,2005,年,8,月,24,日,，,，,程,程,稚,稚,瀚,瀚,在,在,深,深,圳,圳,被,被,抓,抓,获,获,，,，,所,所,获,获,赃,赃,款,款,全,全,部,部,起,起,获,获,。,。,关,于,于,第,第,三,三,方,方,安,安,全,全,管,管,理,理,的,的,建,建,议,议,识,别,别,所,所,有,有,相,相,关,关,第,第,三,三,方,方,：,：,服,服,务,务,提,提,供,供,商,商,，,，,设,设,备,备,提,提,供,供,商,商,，,，,咨,咨,询,询,顾,顾,问,问,，,，,审,审,计,计,机,机,构,构,，,，,物,物,业,业,，,，,保,保,洁,洁,等,等,识,别,别,所,所,有,有,与,与,第,第,三,三,方,方,相,相,关,关,的,的,安,安,全,全,风,风,险,险,，,，,无,无,论,论,是,是,牵,牵,涉,涉,到,到,物,物,理,理,访,访,问,问,还,还,是,是,逻,逻,辑,辑,访,访,问,问,在,没,没,有,有,采,采,取,取,必,必,要,要,控,控,制,制,措,措,施,施,，,，,包,包,括,括,签,签,署,署,相,相,关,关,协,协,议,议,之,之,前,前,，,，,不,不,应,应,该,该,授,授,权,权,给,给,外,外,部,部,伙,伙,伴,伴,访,访,问,问,。,。,应,应,该,该,让,让,外,外,部,部,伙,伙,伴,伴,意,意,识,识,到,到,其,其,责,责,任,任,和,和,必,必,须,须,遵,遵,守,守,的,的,规,规,定,定,在,与,与,第,第,三,三,方,方,签,签,订,订,协,协,议,议,时,时,特,特,别,别,提,提,出,出,信,信,息,息,安,安,全,全,方,方,面,面,的,的,要,要,求,求,，,，,特,特,别,别,是,是,访,访,问,问,控,控,制,制,要,要,求,求,对,第,第,三,三,方,方,实,实,施,施,有,有,效,效,的,的,监,监,督,督,，,，,定,定,期,期,Review,服,务,务,交,交,付,付,物,理,理,环,环,境,境,中,中,需,需,要,要,信,信,息,息,安,安,全,全,在自助银行入口刷卡器下方粘上一个黑色小方块，叫“读卡器”，罩上一个加长的“壳”，把银行的刷卡器和读卡器一起藏在里面，一般人很难发现。取款人在刷卡进门时，银行卡上的全部信息就一下被刷进了犯罪分子的读卡器上。,在,取,取,款,款,机,机,窗,窗,口,口,内,内,侧,侧,顶,顶,部,部,，,，,粘,粘,上,上,一,一,个,个,贴,贴,着,着,“,“,ATM,”,”,字,样,样,的,的,“,“,发,发,光,光,灯,灯,”,”,。,。,这,这,个,个,“,“,发,发,光,光,灯,灯,”,”,是,是,经,经,过,过,特,特,殊,殊,改,改,造,造,的,的,，,，,里,里,面,面,用,用,一,一,块,块,手,手,机,机,电,电,池,池,做,做,电,电,源,源,，,，,连,连,接,接,两,两,个,个,灯,灯,泡,泡,，,，,核,核,心,心,部,部,分,分,则,则,是,是,一,一,个,个,MP4,。,取,取,款,款,人,人,取,取,款,款,时,时,的,的,全,全,过,过,程,程,被,被,犯,犯,罪,罪,分,分,子,子,装,装,的,的,“,“,针,针,孔,孔,摄,摄,像,像,机,机,”,”,进,进,行,行,了,了,“,“,实,实,况,况,录,录,像,像,”,”,。,。,ATM,诈,骗,骗,三,三,部,部,曲,曲,取,款,款,人,人,一,一,走,走,，,，,犯,犯,罪,罪,分,分,子,子,立,立,即,即,收,收,“,“,家,家,伙,伙,”,”,进,进,车,车,，,，,先,先,把,把,MP4,连,上,上,笔,笔,记,记,本,本,电,电,脑,脑,，,，,回,回,放,放,录,录,像,像,记,记,下,下,取,取,钱,钱,人,人,按,按,下,下,的,的,密,密,码,码,，,，,接,接,着,着,再,再,连,连,上,上,读,读,卡,卡,器,器,，,，,同,同,时,时,再,再,在,在,电,电,脑,脑,上,上,连,连,上,上,一,一,个,个,叫,叫,“,“,写,写,卡,卡,器,器,”,”,的,的,长,长,条,条,形,形,东,东,西,西,。,。,这,这,时,时,，,，,他,他,们,们,随,随,便,便,拿,拿,出,出,一,一,张,张,卡,卡,，,，,不,不,管,管,是,是,澡,澡,堂,堂,充,充,值,值,卡,卡,，,，,还,还,是,是,超,超,市,市,礼,礼,品,品,卡,卡,，,，,只,只,要,要,是,是,带,带,磁,磁,条,条,的,的,，,，,只,只,要,要,在,在,写,写,卡,卡,器,器,里,里,过,过,一,一,下,下,，,，,此,此,卡,卡,就,就,被,被,成,成,功,功,“,“,克,克,隆,隆,”,”,成,成,一,一,张,张,“,“,有,有,实,实,无,无,名,名,”,”,的,的,银,银,行,行,卡,卡,了,了,。,。,您的供电系,统,统真的万无,一,一失？,是一路电还,是,是两路电？,两路电是否,一,一定是两个,输,输电站？,有没有,UPS,？,UPS,能维持多久,？,？,有没有备用,发,发电机组？,备用发电机,是,是否有充足,的,的油料储备,？,？,另一个与物,理,理安全相关,的,的案例,时间：,2002,年某天夜里,地点：,A,公司的数据,中,中心大楼,人物：一个,普,普通的系统,管,管理员,一个普通的,系,系统管理员,，,，利用看似,简,简单的方法,，,，就进入了,需,需要门卡认,证,证的数据中,心,心,来自国外某,论,论坛的激烈,讨,讨论,情况是这样,的,的,A,公司的数据,中,中心是重地,，,，设立了严,格,格的门禁制,度,度，要求必,须,须插入门卡,才,才能进入。,不,不过，出来,时,时很简单，,数据中心一,旁,旁的动作探,测,测器会检测,到,到有人朝出,口,口走去，门,会,会自动打开,数据中心有,个,个系统管理,员,员张三君，,这,这天晚上加,班,班到很晚，,中,中间离开数,据,据中心出去,夜,夜宵，可返,回,回时发现自,己,己被锁在了,外,外面，门卡,落,落在里面了,，,，四周别无,他,他人，一片,静,静寂,张三急需今,夜,夜加班，可,他,他又不想打,扰,扰他人，,怎么办？,一点线索：,昨天曾在接,待,待区庆祝过,某,某人生日，,现,现场还未清,理,理干净，遗,留,留下很多杂,物,物，哦，还,有,有气球,聪明的张三,想,想出了妙计,张三找到一个气球，放掉气,张三,面朝大门入,口,口趴下来，,把,把气球塞进,门,门里，只留,下,下气球的嘴,在,在门的这边,张三在门外吹气球，气球在门内膨胀，然后，他释放了气球,由于气球在门内弹跳，触发动作探测器，门终于开了,问题出在哪,里,里,如果门和地,板,板齐平且没,有,有缝隙，就,不,不会出这样,的,的事,如果动作探,测,测器的灵敏,度,度调整到不,对,对,快速放气的,气,气球作出反,应,应，也不会,出,出此事,当然，如果,根,根本就不使,用,用动作探测,器,器来从里面,开,开门，这种,事,事情同样不,会,会发生,总结教训,虽然是偶然,事,事件，也没,有,有直接危害,，,，但是潜在,风,风险,既是物理安,全,全的问题，,更,更是管理问,题,题,切记！有时,候,候自以为是,的,的安全，恰,恰,恰是最不安,全,全！,物理安全非,常,常关键！,关于物理安,全,全的建议,将敏感设备,和,和信息放置,在,在受控的安,全,全区域,所有到受控,区,区域的入口,都,都应该加锁,、,、设置门卫,，,，或者以某,种,种方式进行,监,监视，并做,好,好进出登记,如果进出需,要,要,ID,徽章，请随,身,身带好，严,禁,禁无证进入,钥匙和门卡,仅,仅供本人使,用,用，不要交,给,给他人使用,严格控制带,存,存储和摄像,功,功能的手持,设,设备的使用,使用公共区,域,域的打印机,、,、传真机、,复,复印机时，,一,一定不要遗,留,留敏感文件,移动电脑是,恶,恶意者经常,关,关注的目标,，,，一定要注,意,意保护,使用碎纸机,，,，谨防敏感,文,文件通过垃,圾,圾篓而泄漏,如果发现可,疑,疑情况，请,立,立即报告,日常工作需,特,特别留意信,息,息安全,67,移动介质管,控,控的要求与,落,落实脱节,“摆渡攻击,”,”,涉密网络中,的,的泄密现象,关于口令的,一,一些调查结,果,果,一个有趣的,调,调查发现，,如,如果你用一,条,条巧克力来,作,作为交换，,有,有,70,的人乐意,告,告诉你他（,她,她）的口令,有,34,的人，甚,至,至不需要贿,赂,赂，就可奉,献,献自己的口,令,令,另据调查，,有,有,79,的人，在,被,被提问时，,会,会无意间泄,漏,漏足以被用,来,来窃取其身,份,份的信息,姓名、宠物,名,名、生日、,球,球队名最常,被,被用作口令,平均每人要,记,记住四个口,令,令，大多数,人,人都习惯使,用,用相同的口,令,令（在很多,需,需要口令的,地,地方）,33,的人选择,将,将口令写下,来,来，然后放,到,到抽屉或夹,到,到文件里,什么样的口,令,令是比较脆,弱,弱的？,少于,8,个字符,单一的字符,类,类型，例如,只,只用小写字,母,母，或只用,数,数字,用户名与口,令,令相同,最常被人使,用,用的弱口令,：,：,自己、家人,、,、朋友、亲,戚,戚、宠物的,名,名字,生日、结婚,纪,纪念日、电,话,话号码等个,人,人信息,工作,中,中用,到,到的,专,专业,术,术语,，,，职,业,业特,征,征,字典,中,中包,含,含的,单,单词,，,，或,者,者只,在,在单,词,词后,加,加简,单,单的,后,后缀,所,有,有,系,系,统,统,都,都,使,使,用,用,相,相,同,同,的,的,口,口,令,令,口,令,令,一,一,直,直,不,不,变,变,口,令,令,安,安,全,全,建,建,议,议,应,该,该,设,设,置,置,强,强,口,口,令,令,口,令,令,应,应,该,该,经,经,常,常,更,更,改,改,，,，,比,比,如,如,3,个,月,月,不,同,同,的,的,系,系,统,统,或,或,场,场,所,所,应,应,使,使,用,用,不,不,同,同,的,的,口,口,令,令,一,定,定,要,要,即,即,刻,刻,更,更,改,改,系,系,统,统,的,的,缺,缺,省,省,或,或,初,初,始,始,化,化,口,口,令,令,不,要,要,与,与,任,任,何,何,人,人,共,共,享,享,你,你,的,的,口,口,令,令,不,要,要,把,把,口,口,令,令,写,写,在,在,纸,纸,上,上,不,要,要,把,把,口,口,令,令,存,存,储,储,在,在,计,计,算,算,机,机,文,文,件,件,中,中,输,入,入,口,口,令,令,时,时,严,严,防,防,有,有,人,人,偷,偷,看,看,如,果,果,有,有,人,人,在,在,电,电,话,话,中,中,向,向,你,你,索,索,取,取,口,口,令,令,，,，,拒,拒,绝,绝,后,后,立,立,即,即,报,报,告,告,如,果,果,发,发,觉,觉,有,有,人,人,获,获,知,知,你,你,的,的,口,口,令,令,，,，,立,立,即,即,改,改,变,变,它,它,从,一,一,点,点,一,一,滴,滴,做,做,起,起,！,！,从,自,自,身,身,做,做,起,起,！,！,72,IT,安,安,全,全,问,问,题,题,1,、,一,一,般,般,情,情,况,况,下,下,，,，,个,个,人,人,计,计,算,算,机,机,在,在,（,（,）,）分,钟,钟,的,的,非,非,活,活,动,动,状,状,态,态,里,里,要,要,求,求,自,自,动,动,激,激,活,活,屏,屏,幕,幕,锁,锁,定,定,A,、,5,分,钟,钟,B,、,10,分,钟,钟,C,、,15,分,钟,钟,D,、,30,分,钟,钟,73,IT,安,安,全,全,问,问,题,题,2,、,下,下,列,列,说,说,法,法,错,错,误,误,的,的,是,是,(),A,、,个,个,人,人,计,计,算,算,机,机,操,操,作,作,系,系,统,统,必,必,须,须,设,设,置,置,口,口,令,令,。,。,B,、,在,在,每,每,天,天,工,工,作,作,结,结,束,束,时,时,，,，,将,将,便,便,携,携,电,电,脑,脑,妥,妥,善,善,保,保,管,管,，,，,如,如,锁,锁,入,入,文,文,件,件,柜,柜,。,。,C,、,离,离,开,开,自,自,己,己,的,的,计,计,算,算,机,机,时,时,，,，,必,必,须,须,激,激,活,活,具,具,有,有,密,密,码,码,保,保,护,护,的,的,屏,屏,幕,幕,保,保,护,护,程,程,序,序,。,。,D,、,为,为,方,方,便,便,第,第,二,二,天,天,工,工,作,作,，,，,下,下,班,班,后,后,可,可,以,以,不,不,用,用,关,关,闭,闭,计,计,算,算,机,机,。,74,IT,安,安,全,全,问,问,题,题,3,、,口,口,令,令,要,要,求,求,至,至,少,少,（,（,）,）,更,更,换,换,一,一,次,次,A,、,3,个,月,月,B,、,6,个,月,月,C,、,1,年,D,、,可,可,以,以,一,一,直,直,使,使,用,用,一,一,个,个,口,口,令,令,，,，,不,不,用,用,修,修,改,改,。,。,75,IT,安,安,全,全,问,问,题,题,4,、,下,下,列,列,关,关,于,于,个,个,人,人,计,计,算,算,机,机,的,的,访,访,问,问,密,密,码,码,设,设,置,置,要,要,求,求,，,，,描,描,述,述,错,错,误,误,的,的,是,是,（,（,）,）,：,：,A,、,密,密,码,码,要,要,求,求,至,至,少,少,设,设,置,置,8,位,字,字,符,符,长,长,。,。,B,、,为,为,便,便,于,于,记,记,忆,忆,，,，,可,可,将,将,自,自,己,己,生,生,日,日,作,作,为,为,密,密,码,码,。,。,C,、,禁,禁,止,止,使,使,用,用,前,前,两,两,次,次,的,的,密,密,码,码,D,、,如,如,果,果,需,需,要,要,访,访,问,问,不,不,在,在,公,公,司,司,控,控,制,制,下,下,的,的,计,计,算,算,机,机,系,系,统,统,，,，,禁,禁,止,止,选,选,择,择,在,在,公,公,司,司,内,内,部,部,系,系,统,统,使,使,用,用,的,的,密,密,码,码,作,作,为,为,外,外,部,部,系,系,统,统,的,的,密,密,码,码,。,。,76,IT,安,安,全,全,问,问,题,题,5,、,下,下,列,列,关,关,于,于,外,外,网,网,使,使,用,用,说,说,法,法,错,错,误,误,的,的,是,是,（,（,）,）,：,：,A,、,外,外,网,网,只,只,能,能,从,从,分,分,公,公,司,司,一,一,点,点,接,接,入,入,。,。,B,、,地,地,市,市,公,公,司,司,或,或,管,管,理,理,部,部,门,门,为,为,方,方,便,便,外,外,网,网,使,使,用,用,，,，,可,可,自,自,己,己,向,向,电,电,信,信,申,申,请,请,开,开,通,通,ADSL,外,网,网,接,接,入,入,。,。,C,、,外,外,网,网,接,接,入,入,须,须,经,经,过,过,防,防,火,火,墙,墙,以,以,加,加,强,强,安,安,全,全,防,防,护,护,。,。,D,、,只,只,使,使,用,用,有,有,授,授,权,权,访,访,问,问,的,的,服,服,务,务,。,。,不,不,要,要,尝,尝,试,试,访,访,问,问,未,未,经,经,授,授,权,权,的,的,互,互,联,联,网,网,系,系,统,统,或,或,服,服,务,务,器,器,端,端,口,口,。,。,77,IT,安,安,全,全,问,问,题,题,6,、,用,用,upload,账,户,户,通,通,过,过,分,分,公,公,司,司,85,服,务,务,器,器,上,上,传,传,文,文,件,件,文,文,件,件,，,，,描,描,述,述,错,错,误,误,的,的,是,是,（,（,）,）,A,、,需,需,保,保,密,密,的,的,文,文,件,件,上,上,传,传,前,前,应,应,该,该,做,做,加,加,密,密,处,处,理,理,。,。,B,、,在,在,对,对,方,方,下,下,载,载,后,后,立,立,即,即,从,从,FTP,服,务,务,器,器,上,上,删,删,除,除,自,自,己,己,所,所,传,传,文,文,件,件,。,。,C,、,不,不,可,可,将,将,分,分,公,公,司,司,FTP,服,务,务,器,器,当,当,作,作,自,自,己,己,重,重,要,要,数,数,据,据,文,文,件,件,的,的,备,备,份,份,服,服,务,务,器,器,。,。,D,、,上,上,传,传,后,后,的,的,文,文,件,件,可,可,以,以,不,不,用,用,处,处,理,理,，,，,一,一,直,直,放,放,到,到,分,分,公,公,司,司,FTP,服务器,上,上。,78,IT安,全,全问题,7,、关于,个,个人计,算,算机数,据,据备份,描,描述错,误,误的是,（,（）,A,、备份,的,的目的,是,是有效,保,保证个,人,人计算,机,机内的,重,重要信,息,息在遭,到,到损坏,时,时能够,及,及时恢,复,复。,B,、个人,计,计算机,数,数据备,份,份是信,息,息技术,部,部的事,情,情，应,由,由信息,技,技术部,负,负责完,成,成。,C,、员工,应,应根据,个,个人计,算,算机上,信,信息的,重,重要程,度,度和修,改,改频率,定,定期对,信,信息进,行,行备份,。,。,D,、备份,介,介质必,须,须要注,意,意防范,偷,偷窃或,未,未经授,权,权的访,问,问。,79,IT安,全,全问题,8,、关于,电,电子邮,件,件的使,用,用，描,述,述错误,的,的是（,）,）,A,、不得,散,散发可,能,能被认,为,为不适,当,当的，,对,对他人,不,不尊重,或,或提倡,违,违法行,为,为的内,容,容；,B,、可以,自,自动转,发,发公司,内,内部邮,件,件到互,联,联网上,；,；,C,、禁止,使,使用非,CPIC,的电子,邮,邮箱，,如,如,YAHOO,，,AOL,，,HOTMAIL,等交换,CPIC,公司信,息,息；,D,、非,CPIC,授权人,员,员禁止,使,使用即,时,时通讯,软,软件，,如,如,MSN,交换,CPIC,公司信,息,息。,80,IT安,全,全问题,9,、下列,关,关于病,毒,毒防护,描,描述错,误,误的是,（,（ ）,A,、个人,工,工作站,必,必须安,装,装统一,部,部署的,防,防病毒,软,软件，,未,未经信,息,息技术,部,部批准,不,不得擅,自,自安装,非,非本公,司,司指定,的,的防病,毒,毒软件,。,。,B,、如果从,公,公共资源,得,得到程序,（,（比如，,网,网站，公,告,告版），,那,那么在使,用,用之前需,使,使用防病,毒,毒程序扫,描,描。,C,、在处理,外,外部介质,之,之前应用,防,防病毒软,件,件扫描。,D,、个人计,算,算机上安,装,装了防病,毒,毒软件即,可,可，不用,定,定期进行,病,病毒扫描,。,。,81,IT安全,问,问题,10,、位于高,风,风险区域,的,的移动计,算,算机，例,如,如，在没,有,有物理访,问,问控制的,区,区域等应,设,设屏幕锁,定,定为（,）,）分钟，,以,以防止非,授,授权人员,的,的访问；,A,、,5,分钟,B,、,10,分钟,C,、,15,分钟,D,、,30,分钟,82,IT安全,问,问题,11,、关于数,据,据保存，,说,说法错误,的,的是（,）,）,A,、将重要,数,数据文件,保,保存到,C,盘或者桌,面,面。,B,、定期对,重,重要数据,文,文件用移,动,动硬盘或,光,光盘进行,备,备份。,C,、将重要,数,数据文件,保,保存到,C,盘外的其,它,它硬盘分,区,区。,83,IT安全,问,问题,12,、关于代,码,码权限管,理,理规定说,法,法错误的,是,是（）,A,、非在编,人,人员不能,加,加代码，,试,试用期员,工,工可加代,码,码。,B,、为方便,工,工作，同,事,事之间的,代,代码可以,相,相互借用,。,。,C,、出单和,理,理赔操作,员,员经培训,、,、考试合,格,格才能申,请,请权限,。,。,D,、人员离,职,职后，人,员,员代码及,相,相应权限,应,应立即予,以,以清理。,84,IT安全,问,问题,13,、使用者,必,必须向分,公,公司信息,技,技术部提,出,出书面申,请并得到,书,书面确认,后,后方可安,装,装的软件,属,属于以下,哪,哪,一类（）,A,：,I,类,B,：,II,类,C,：,III,类,D,：,IV,类,85,IT安全,问,问题,14,、下列关,于,于笔记本,使,使用规范,描,描述错误,的,的是（）,A,、笔记本,应,应该设置,硬,硬盘保护,密,密码以加,强,强安全保,护,护；,B,、在旅行,中,中或在办,公,公室之外,的,