协同办公系统信息安全分析及模型构建探析
协同办公系统信息安全分析及模型构建探析摘要:本文通过对协同办公系统信息安全及系统安全模型构建的深入探析,多方面对协同办公系统信息安全进行分析,给出协同办公系统的安全体系模型架构以及建立系统信息安全的措施,希望能为企事业单位协同办公系统的建设和实施提出较好的解决方案。
关键词:协同办公信息安全分析建模
随着企事业单位信息化的不断推进,协同办公系统在企事业单位的应用越来越普遍。就企事业单位而言,协同办公系统本身有其特有的重要性和特殊性,安全性问题就成为协同办公系统实施过程中需要重点考虑的问题之一。在信息化实施过程中,任何安全保护措施要保证绝对的安全都是不可能的,所以要实现真正的数据安全,需要构建一个多重保护系统,结合多种不同层面的计算机安全技术来实现。
1 协同办公系统信息的安全分析
协同办公系统是借助互联网,通过B/S结构来实现的,所以,客户只要保证能正常使用浏览器,便可以进行正常的工作。现从办公系统的使用环境、使用平台及后期监督等几个方面,对办公系统的安全性予以分析。
1.1 软硬件防护体系安全分析
协同办公系统软硬件防护体系,需要在多种软硬件安全设备结合
2017年中国信息安全行业发展现状及未来发展趋势分析
2017年中国信息安全行业发展现状及未来发展趋势分析 （一）行业主管部门、监管体制以及主要法律法规和政策 1、行业主管部门和行业监管体制 信息安全行业主要受信息产业及安全主管部门的监管，具体如下： 数据来源：公开资料整理 2、行业主要法律法规及政策 （1）行业主要法律法规 信息安全行业，受到信息安全行业相关法律法规的管理。行业的主要法律法规如下：
数据来源：公开资料整理（2）行业主要发展政策
行业主要发展政策如下： 数据来源：公开资料整理（二）信息安全行业概况及未来发展趋势 1、信息安全的定义
信息安全是指对信息系统的硬件、软件、系统中的数据及依托其开展的业务进行保护，使得它们不会由于偶然的或者恶意的原因而遭到未经授权的访问、泄露、破坏、修改、审阅、检查、记录或销毁，保证信息系统连续可靠地正常运行。信息安全具有真实性、机密性、完整性、不可否认性、可用性、可核查性和可控性七个主要属性： 数据来源：公开资料整理 2、信息安全行业的技术、产品和服务 （1）信息安全技术 为了实现信息安全的七个核心属性，需要从信息系统的物理安全、运行安全、数据安全、内容安全、信息内容对抗等五个方面进行安全建设与安全防范。因而，目前信息安全的主流技术包括信息系统自身的安全技术（物理安全和运行安全技术）、信息自身的安全技术（数据安全与内容安全技术）、信息利用的安全技术（信息对抗技术），具体如下：
数据来源：公开资料整理（2）信息安全产品 信息安全产品按照功能分类主要包括：防火墙产品、入侵检测与入侵防御产品、统一威胁管理产品、身份管理类产品、加密类产品、电子签名类产品、安全审计类产品以及终端安全管理产品等。主要产品的情况如下：
信息安全-深入分析比较八个信息安全模型
深入分析比较八个信息安全模型 信息安全体系结构的设计并没有严格统一的标准，不同领域不同时期，人们对信息安全的认识都不尽相同，对解决信息安全问题的侧重也有所差别。早期人们对信息安全体系的关注焦点，即以防护技术为主的静态的信息安全体系。随着人们对信息安全认识的深入，其动态性和过程性的发展要求愈显重要。 国际标准化组织（ISO）于1989年对OSI开放系统互联环境的安全性进行了深入研究，在此基础上提出了OSI安全体系结构：ISO 7498-2：1989，该标准被我国等同采用，即《信息处理系统－开放系统互连－基本参考模型－第二部分：安全体系结构GB/T 9387.2-1995》。ISO 7498-2 安全体系结构由5类安全服务（认证、访问控制、数据保密性、数据完整性和抗抵赖性）及用来支持安全服务的8种安全机制（加密机制、数字签名、访问控制机制、数据完整性机制、认证交换、业务流填充、路由控制和公证）构成。ISO 7498-2 安全体系结构针对的是基于OSI 参考模型的网络通信系统，它所定义的安全服务也只是解决网络通信安全性的技术措施，其他信息安全相关领域，包括系统安全、物理安全、人员安全等方面都没有涉及。此外，ISO 7498-2 体系关注的是静态的防护技术，它并没有考虑到信息安全动态性和生命周期性的发展特点，缺乏检测、响应和恢复这些重要的环节，因而无法满足更复杂更全面的信息保障的要求。 P2DR 模型源自美国国际互联网安全系统公司（ISS）提出的自适应网络安全模型ANSM（Adaptive NetworkSe cur ity Mode l）。P2DR 代表的分别是Polic y （策略）、Protection（防护）、Detection（检测）和Response（响应）的首字母。按照P2DR的观点，一个良好的完整的动态安全体系，不仅需要恰当的防护（比如操作系统访问控制、防火墙、加密等），而且需要动态的检测机制（比如入侵检测、漏洞扫描等），在发现问题时还需要及时做出响应，这样的一个体系需要在统一的安全策略指导下进行实施，由此形成一个完备的、闭环的动态自适应安全体系。P2DR模型是建立在基于时间的安全理论基础之上的。该理论的基本思想是：信息安全相关的所有活动，无论是攻击行为、防护行为、检测行为还是响应行为，都要消耗时间，因而可以用时间尺度来衡量一个体系的能力和安全性。 PDRR 模型，或者叫PPDRR（或者P2DR2），与P2DR非常相似，唯一的区别就在于把恢复环节提到了和防护、检测、响应等环节同等的高度。在PDRR
信息安全技术试题答案
信息安全技术教程习题及答案 信息安全试题（1/共3） 一、单项选择题（每小题2分，共20分） 1．信息安全的基本属性是＿＿＿。 A. 保密性 B.完整性 C. 可用性、可控性、可靠性 D. A，B，C都是 2．假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于＿＿＿。 A. 对称加密技术 B. 分组密码技术 C. 公钥加密技术 D. 单向函数密码技术 3．密码学的目的是＿＿＿。 A. 研究数据加密 B. 研究数据解密 C. 研究数据保密 D. 研究信息安全 4．A方有一对密钥（K A公开，K A秘密），B方有一对密钥（K B公开，K B秘密），A方向B方发送数字签名M，对信息M加密为：M’= K B 公开（K A秘密（M））。B方收到密文的解密方案是＿＿＿。 A. K B公开（K A秘密（M’）） B. K A公开（K A公开（M’）） C. K A公开（K B秘密（M’）） D. K B秘密（K A秘密（M’）） 5．数字签名要预先使用单向Hash函数进行处理的原因是＿＿＿。 A. 多一道加密工序使密文更难破译 B. 提高密文的计算速度 C. 缩小签名密文的长度，加快数字签名和验证签名的运算速度 D. 保证密文能正确还原成明文 6．身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是＿＿。 A. 身份鉴别是授权控制的基础 B. 身份鉴别一般不用提供双向的认证 C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制 7．防火墙用于将Internet和内部网络隔离＿＿＿。 A. 是防止Internet火灾的硬件设施 B. 是网络安全和信息安全的软件和硬件设施 C. 是保护线路不受破坏的软件和硬件设施 D. 是起抗电磁干扰作用的硬件设施 8．PKI支持的服务不包括＿＿＿。 A. 非对称密钥技术及证书管理 B. 目录服务 C. 对称密钥的产生和分发 D. 访问控制服务 9．设哈希函数H有128个可能的输出(即输出长度为128位)，如果H的k个随机输入中至少有两个产生相同输出的概率大于，则k约等于＿＿。 A．2128 B．264 C．232 D．2256
信息安全风险评估模型及其算法研究
信息安全风险评估模型及其算法研究 摘要：在信息科技日益发展，人类社会对信息的依赖性越来越强，信息资产的安全性受到空前的重视，而当前我国的信息安全水平普遍不高，与西方发达国家存在较大差距。在当前信息安全领域，主要的管理手段是奉行着“三分技术，七分管理”的原则。要想提高整体的信息安全水平，必须从一个组织整体的信息安全管理水平着手，而不仅是依赖于防火墙、入侵检测、漏洞扫描等传统信息安全技术手段，而目前信息安全管理的最起始的工作主要是信息安全风险评估，而信息安全风险评估的手段单一化、多元化、难以定量化。以往的信息安全风险评估多从AHP层析分析法、模糊综合评价及灰色理论入手，而较少采用V AR风险定量分析和概率论等数学方法去分析和评估信息安全的风险。以V AR风险定量分析每个风险源的损失额度，以概率论和数理统计的方法去评估每个风险源在整体信息安全的风险比例，从而便于组织合体调配资源，达到资源的最佳配置，降低组织的整体信息安全风险。 关键词：信息安全；风险评估；V AR分析；数理统计 1研究背景及现状 随着信息时代的迅速到来，众多的组织机构将重要信息存放在信息系统中，在业务上也越来越依赖信息系统的安全性、可用性、可恢复性。越来越多的组织机构意识到信息安全的重要性，例如金融、电力、通讯等相关涉及公共利益的组织机构投入巨资进行了信息安全能力的提升。而我国以公安部牵头的信息安全等级保护工作也在如火如荼的进行，对不同行业，不同机构进行分类保护，极大的从制度和法规方面促进了我国信息安全保护水平的提升，从国家宏观层面上积极推进了信息安全工作的开展。针对于国家公安部开展的信息安全等级保护工作，不同行业的信息安全等级易于测量，但对于某一行业具体金融机构的信息安全能力定级上难以定量化，不同金融机构所面对的信息安全风险大小不一，来源不同，极具差异化。小型银行在信息安全领域的花费将和大银行完全相同，将加大中小银行的商业负担，造成不必要的浪费，如何运用数量方法定量的而不是定性的去评估信息安全风险成为信息安全领域一个急需解决的学术问题。 ①国外的研究现状。目前在国外，最为流行的信息安全风险管理手段莫过于由信息系统审计与控制学会ISACA（InformationSystemsAuditandControl Association）在1996年公布的控制框架COBIT 目前已经更新至第四版，主要研究信息安全的风险管理。这个框架共有34个IT的流程，分成四个控制域：PO （Planning&Organization）、AI（Acquisition&Implementation）、DS （Delivery and Support）、ME（Monitor and Evaluate），共包含214个详细控制目标，提供了自我审计标准及最仕实践，能够指导组织有效利用信息资源。管理信息安全相关风险。文章总结了其中与信息安全管理相关的特点：更清晰的岗位责任划分。为了改善对IT流程模型的理解，COBIT4.0为每个IT流程进行了定义，对每个流程及基木输入/输出及与其他流程的关系进行了描述，确定它从哪个流程来，哪个
关于“信息安全”典型案件
涉及“信息安全”的典型案例 1、统计局CPI数据泄露事件5人被立案侦查 在北京市检察机关2011年“举报宣传周”活动新闻发布会上，市检反渎职侵权局局长张华伟披露，北京检方已介入CPI数据泄露一案。目前，包括国家统计局办公室一名秘书在内的5名相关人员，均已被立案侦查。 新闻发布会上，记者提问国家宏观经济数据（CPI数据)被泄露一案的最新进展，市检反渎职侵权局局长张华伟就此介绍称，对于媒体披露的国家统计数据泄露问题，目前泄露国家秘密的问题比较突出。对于这起案件，检察机关已会同国家保密部门进行调查，目前已经立案5件，涉及5人。 张华伟随后解释称，由于涉案的5人分别来自不同部门，因此立了5个案子。这其中，包括国家统计局新闻发言人盛来运此前披露的“国家统计局办公室一秘书涉嫌泄露国家秘密案”。 有媒体称，今年3、4月份，国家统计局办公室一名秘书与央行研究局宏观经济研究处一副研究员因涉嫌数据泄密被有关部门带走调查。而今年6月8日，路透社再次抢先发布我国经济数据，预测中国5月份CPI较上年同期上涨5.4%，将追平3月份创下的32个月高位；彭博社也发布经济学家对宏观数据的预测值称，5月份的中国CPI同比涨幅为5.5%，这与国家统计局官方发布的中国5月CPI相关数据一致。 据统计，2008年以来，路透社已累计7次精准地“蒙对”了我国的月度CPI数据。 提前泄露的数据信息，可能意味着可观的经济利益多位业界分析人士在接受媒体采访时都认为，对一些经济机构来说，提前掌握宏观经济数据，有利于提前采取行动规避风险或谋取利益，尤其是一些和CPI联系紧密的金融产品，受CPI数据影响极大，提前获知CPI数据尤为重要。另外，从宏观层面上来说，国家宏观经济数据屡屡提前泄露，还会影响国家的经济安全。 2、雷诺陷“电动车泄密门” 环球网2011年1月7日消息报道，雷诺日前因怀疑旗舰电动车型开发项目泄密，对包括一名管理委员会成员在内的三名高管展开了调查，这三名嫌疑人目前已经被停职处理。消息人士透露，内部调查还在继续，但公司在未来几天内就有可能做出决定。如果查证这三名高管泄漏电动车研发机密，将被很快辞退。 法国工业部长贝松（Eric Besson）表示，这是一起性质十分严重的泄密事件，代表了整个法国工业所面临的工业间谍以及经济情报的风险。 据内部人士透露，涉案人员中级别最高的是高级工程部门副总裁米歇尔.巴瑟扎德
(完整版)浅谈我国信息安全现状和保护
浅谈我国信息安全现状和保护 论文摘要：世界已进入了信息化时代，信息化和信息产业发展水平已成为衡量一个国家综合国力的重要标准。但由于信息资源不同于其他资源的特殊性质，如何保证信息的安全性成为我国信息化建设过程中需要解决的重要问题。 论文关键词：信息安全；保护信息安全包括以下内容：真实性，保证信息的来源真实可靠；机密性，信息即使被截获也无法理解其内容；完整性，信息的内容不会被篡改或破坏；可用性，能够按照用户需要提供可用信息；可控性，对信息的传播及内容具有控制能力；不可抵赖性，用户对其行为不能进行否认；可审查性，对出现的网络安全问题提供调查的依据和手段。与传统的安全问题相比，基于网络的信息安全有一些新的特点：信息安全威胁主要来源于自然灾害、意外事故；计算机犯罪；人为错误，比如使用不当，安全意识差等；“黑客”行为；内部泄密；外部泄密；信息丢失；电子谍报，比如信息流量分析、信息窃取等；信息战；网络协议自身缺陷，等等。 1我国信息安全的现状 近年来，随着国家宏观管理和支持力度的加强、信息安全技术产业化工作的继续进行、对国际信息安全事务的积极参与以及关于信息安全的法律建设环境日益完善等因素，我国在信息安全管理上的进展是迅速的。但是，由于我国的信息化建设起步较晚，相关体系不完善，法律法规不健全等诸多因素，我国的信息化仍然存在不安全问题。 ①网络安全的防护能力较弱。我国的信息化建设发展迅速，各个企业纷纷设立自己的网站，特别是“政府上网工程”全面启动后，各级政府已陆续设立了自己的网站，但是由于许多网站没有防火墙设备、安全审计系统、入侵监测系统等防护设备，整个系统存在着相当大的信息安全隐患。美国互联网安全公司赛门铁克公司2007年发表的报告称，在网络黑客攻击的国家中，中国是最大的受害国。 ②对引进的国外设备和软件缺乏有效的管理和技术改造。由于我国信息技术水平的限制，很多单位和部门直接引进国外的信息设备，并不对其进行必要的监测和改造，从而给他人入侵系统或监听信息等非法操作提供了可乘之机。 ③我国基础信息产业薄弱，核心技术严重依赖国外，缺乏自主创新产品，尤其是信息安全产品。我国信息网络所使用的网管设备和软件基本上来自国外，这使我国的网络安全性能大大减弱，被认为是易窥视和易打击的“玻璃网”。由于缺乏自主技术，我国的网络处于被窃听、干扰、监视和欺诈等多种信息安全威胁中，网络安全处于极脆弱的状态。 除此之外，我国目前信息技术领域的不安全局面，也与西方发达国家对我国的技术输出进行控制有关。 2我国信息安全保护的策略 针对我国信息安全存在的问题，要实现信息安全不但要靠先进的技术，还要有严格的法律法规和信息安全教育。 ①加强全民信息安全教育，提高警惕性。从小做起，从己做起，有效利用各种信息安全防护设备，保证个人的信息安全，提高整个系统的安全防护能力，从而促进整个系统的信息安全。 ②发展有自主知识产权的信息安全产业，加大信息产业投入。增强自主创新意识，加大核心技术的研发，尤其是信息安全产品，减小对国外产品的依赖程度。 ③创造良好的信息化安全支撑环境。完善我国信息安全的法规体系，制定相关的法律法规，例如信息安全法、数字签名法、电子信息犯罪法、电子信息出版法、电子信息知识产权保护法、电子信息个人隐私法、电子信息进出境法等，加大对网络犯罪和信息犯罪的打击力度，对其进行严厉的惩处。 3结语
信息系统安全自查分析报告
信息系统安全自查报告
————————————————————————————————作者：————————————————————————————————日期： 2
信息系统安全材料报告 一、什么是信息系统安全 信息系统安全：包括信息系统安全基本概念、信息系统安全体系、信息系统安全管理目标、信息系统安全需求、风险管理与控制、风险评估与分析、信息系统安全技术、信息安全标准与法律法规。 二、信息系统安全等级保护 信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上称为的一般指信息系统安全等级保护，是指对国家安全、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置的综合性工作。 工作内容 信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段，作为公安部授权的第三方测评机构，为企事业单位提供免费专业的信息安全等级测评咨询服务。 信息系统安全等级测评是验证信息系统是否满足相应安全保护
等级的评估过程。信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关。因此，信息系统安全等级测评在安全控制测评的基础上，还要包括系统整体测评。 政策标准 政策法规 中华人民共和国计算机信息系统安全保护条例（1994年国务院147号令）（“第九条计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”）计算机信息系统安全保护等级划分准则（GB 17859-1999）（“第一级：用户自主保护级； 第二级：系统审计保护级； 第三级：安全标记保护级； 第四级：结构化保护级；
酒店信息安全管理系统可行性分析报告
酒店信息安全管理系统可行性分析报告 专业：安全工程 班级： 13级 4 班 小组：六组 指导教师：郭胜召 机电学院 2016年3月
小组成员
1、引言 在信息高度发达的今天，酒店业务涉及的各个工作环节已不再仅仅是传统的住宿、结算业务，而是更广、更全面的服务性行业代表，而在2013年10月发生的“开房信息透露”事件就是酒店信息安全管理上最突出的事例，这一事件对酒店行业产生了较大的冲击。在日益发达的信息技术时代，顾客信息及商业数据遭泄密的风险性加大，如何保护酒店客人的隐私、防止信息泄露对酒店安全管理来说显得犹为迫切和重要，这就要求经营管理人员不但要掌握科学的管理思想和管理方法来综合的运用资源，而其还应该采用先进的计算机管理手段处理日益复杂的信息资源，正确、及时地对客源市场信息作出反应和正确的指定经营决策，保证企业的生存和发展。而酒店信息安全管理系统就能很好的解决这一问题。 2、系统概述 随着科学技术的不断提高，计算机科学日渐成熟，其强大的功能已为人们深刻认识，它已进入人类社会的各个领域并发挥着越来越重要的作用。作为计算机应用的一部分，使用计算机对入住酒店的客户信息进行管理，具有手工管理所无法比拟的优点。例如：检索迅速、查找方便、可靠性高、存储量大、保密性好、寿命长、成本低等。 酒店信息安全管理系统，具有操作简单、界面友善、灵活性好、系统安全性高、运行稳定等特点，它将酒店日常工作进行科学化、现代化的管理，为酒店的内部管理，提高服务质量，减少工作偏差提供可靠的技术，增强了酒店管理的稳定性和安全性。
3、功能设计 这个信息安全管理系统主要为中、小型酒店设计，根据酒店的管理要求，初步分析后要实现的功能有： 1)能够查看详细的客房类型、客房信息资料 2)能够按一定条件查询相关资料的信息 3)能够增加、修改和删除入住的相关资料 4)能够打印相关资料信息 5)有安全性较强的系统入口 功能模块如下：
几种信息安全评估模型
1基于安全相似域的风险评估模型 本文从评估实体安全属性的相似性出发,提出安全相似域的概念,并在此基础上建立起一种网络风险评估模型SSD-REM 风险评估模型主要分为评估操作模型和风险分析模型。评估操作模型着重为评估过程建立模型,以指导评估的操作规程,安全评估机构通常都有自己的操作模型以增强评估的可实施性和一致性。风险分析模型可概括为两大类:面向入侵的模型和面向对象的模型。 面向入侵的风险分析模型受技术和规模方面的影响较大,不易规范,但操作性强。面向对象的分析模型规范性强,有利于持续评估的执行,但文档管理工作较多,不便于中小企业的执行。针对上述问题,本文从主机安全特征的相似性及网络主体安全的相关性视角出发,提出基于安全相似域的网络风险评估模型SSD-REM(security-similar-domain based riskevaluation model)。该模型将粗粒度与细粒度评估相结合,既注重宏观上的把握,又不失对网络实体安全状况的个别考察,有助于安全管理员发现保护的重点,提高安全保护策略的针对性和有效性。 SSD-REM模型 SSD-REM模型将静态评估与动态评估相结合,考虑到影响系统安全的三个主要因素,较全面地考察了系统的安全。 定义1评估对象。从风险评估的视角出发, 评估对象是信息系统中信息载体的集合。根据抽象层次的不同,评估对象可分为评估实体、安全相似域和评估网络。 定义2独立风险值。独立风险值是在不考虑评估对象之间相互影响的情形下,对某对象进行评定所得出的风险,记为RS。 定义3综合风险值。综合风险值是在考虑同其发生关联的对象对其安全影响的情况下,对某对象进行评定所得出的风险,记为RI。 独立域风险是在不考虑各评估实体安全关联的情况下,所得相似域的风险。独立网络风险是在不考虑外界威胁及各相似域之间安全关联的情况下,所得的网络风险 评估实体是评估网络的基本组成元素,通常立的主机、服务器等。我们以下面的向量来描述{ID,Ai,RS,RI,P,μ} 式中ID是评估实体标识;Ai为安全相似识;RS为该实体的独立风险值;RI为该实体合风险值;P为该实体的信息保护等级,即信产的重要性度量;属性μ为该实体对其所属的域的隶属
大学生网络信息安全素养认知现状分析
大学生网络信息安全素养认知现状分析网络信息安全素养的定义来源于信息素养的概念，信息素养的本质是全球信息化需要人们具备的一种基本素质和能力，也是现代社会成员适应信息化条件下的各项工作的基本能力之一。而大学生的网络信息安全素养受多因素的影响，这种影响对不同因素和信息素养能力的各维度存在着差异。 首先，能否保护个人电脑安全是大学生掌握信息安全知识程度的一个重要体现，根据我们的问卷调查数据分析来看，多数大学生会为自己的电脑安装杀毒软件，定时清理上网痕迹。说明大学生能意识到木马病毒的威胁并作出行动，有基本的网络安全危机意识。在存放个人信息的选择上，选择U盘和个人电脑作为隐私信息的存放点的人占了大多数，而在移动端的网盘和手机也占了一部分。个人电脑和U盘作为硬盘，安全系数较高。而网盘则是较为便捷。这正与大多数大学生在网上购物时选择快捷支付的现象和心理相似，大学生们会有考虑信息安全的想法，但是相比较于方便，还是会选择后者。这说明大学生有基本的信息安全判别能力和防范意识，但是对个人信息安全的重视还不够。 其次，在个人信息的隐私保密方面的习惯，也能映射出大学生的信息安全素养。在问卷数据中我们发现，当大学生的账号信息被泄露时，绝大多数学生选择修改密码，更换个人信息等，这是他们面对信息被泄露的威胁时做出的较为有效的措施，
说明大学生有保护个人隐私的意识。对上网痕迹的清理也能证明大学生对个人隐私的重视程度较高，在面对陌生邮件时删除或阅后删除的做法也表明大学生对垃圾邮件的警惕也有所提高。 再次，当人们迎来这一信息爆炸时代信息数据的传输速度更快更便捷,信息数据传输量也与日俱增,传输过程便易出现安全隐患。保障人们在网络活动中对自己的信息和一些相关资料的保密的要求,保障网络的安全性和保密性就显得越来越急切了。由问卷中第8和第9题的统计回答来看，当今大学生会网络信息的传输方式方面的知识过于匮乏，他们不知道信息流通中的信息加密手段，就无法知道他们的信息是否安全，同时也让商业黑客有机可乘。尤其是在校园网，明文传输的加密方式几乎很少有大学生知道。由此可知，大学生缺乏对网络信息传输方式的了解，并较少在平时接触到这类知识，因此，在这方面的信息安全素养，还更需普及与提高。 最后，我们通过各方面的回答统计及分析得出大学生网络信息安全素养认知现状是：当代大学生普遍具有基本的网络安全防护意识并且重视个人信息的安全，并能在发现问题后采取一定措施，但是不少大学生处于被动保护个人信息的状态，对网络技术知识的缺乏也使他们在使用网络的过程中个人信息被泄露，隐私被窃取等非法行为时防不胜防。能在平时保持良好的信息管理习惯的人不多，大学生整体网络信息安全素养有一定的基础，但
网络信息安全需求分析
网络信息安全需求分析 随着医院信息化建设步伐的不断加快,信息网络技术在医疗行业的应用日趋广泛,这些先进的技术给医院的管理带来了前所未有的便利,也提升了医院的管理质量和服务水平,同时医疗业务对行业信息和数据的依赖程度也越来越高,也带来了不可忽视的网络系统安全问题,本文主要从网络系统的硬件、软件及对应用系统中数据的保护,不受破坏、更改、泄露,系统连续可靠、正常地运行,网络服务不中断等方面探讨医院网络信息安全的需求。 医疗业务对行业信息和数据的依赖程度越来越高,带来了不可忽视的网络系统安全问题,现分析如下: 一、网络安全建设内容 在医院信息网络建设中,网络安全体系是确保其安全可靠运行的重要支柱,能否有效地保护信息资源,保护信息化健康、有序、可持续地发展,是关系到医院计算机网络建设成败的关键。 ①保障网络信息安全,要防止来自外部的恶意攻击和内部的恶意破坏。 ②运用网络的安全策略,实行统一的身份认证和基于角色的访问控制。 ③医院计算机网络提供统一的证书管理、证书查询验证服务及网络环境的安全。 ④建立和完善统一的授权服务体系,实现灵活有效的授权管理,解决复杂的权限访问控制问题。 ⑤通过日志系统对用户的操作进行记录。 二、网络安全体系建设 网络安全体系建设应从多个层次完整地、全方位地对医院的信息网络及应用情况进行分析,所制定的安全机制基本包括了对各种安全隐患的考虑,从而保护关键业务系统的正常运行,控制内网用户接入,避免患者电子信息以及医院重要数据的泄密。如图1。 2.1 物理设备安全需求 即使应用了功能最强大的安全软件,如果没有注意物理安全,会大大地破坏系统安全的整体性,攻击者会通过物理接触系统来达到破坏的目的,因此,物理安全是安全策略中最为关键的一步。 ①设备和操作系统都提供了通过物理接触绕过现有密码的功能。 ②机房内各服务器和网络设备均放置在上锁的机柜中,钥匙专人负责保管,同时要在中心机房安装视频监视设备进行监控。 ③网络整体要部署防雷系统,机房要有防静电地板,配线间注意散热且定期进
网络与信息安全现状调研报告
网络与信息安全现状调研报告 电脑技术和网络信息技术的飞速发展，把人们带进了一个日新月异的网络时代。网络正以越来越快的速度进入校园、家庭，来到中小学生身边，日渐成为中小学生获取信息、学习知识、休闲娱乐的重要工具。但是，网络犹如一把双刃剑，在增强了学生与外界的交流与沟通，增长了知识的同时，也难免受一些负面影响。随着科学技术的飞速发展，校园网建设与应用的不断普及成熟，网络安全问题却日益突显。新技术普及，网民数量激增，网民低龄化，使得网络安全问题日益复杂化，据资料显示我国校园网络环境安全令人堪忧。 一、校园网络安全的现状 １．校园网络安全性问题不仅来自外部网络，更主要的威胁还是来自内部，学生通常是最活跃的网络用户，对网络新技术充满好奇，有些学生会尝试使用网上学到的、甚至自己研究的各种攻击技术，而不计后果，网络安全事件日益增多，网络安全保障的难度越来越大。 ２．计算机与网络安全意识淡薄。网络是新生事物，许多人一接触就忙着用于学习、工作和娱乐等，对网络信息的安全性无暇顾及，安全意识淡薄。 ３．网络安全投入有限，由于种种原因，软硬件投入有限，由此直接导致网络安全性降低。 ４．盗版软件泛滥成灾由于缺乏版权意识，盗版软件、影视资源在校园网中普遍使用，这些软件的传播一方面占用了大量的网络带宽，
另一方面也给网络安全带来了一定的隐患。比如，Ｍｉｃｒｏｓｏｆｔ公司对盗版的ＸＰ操作系统的更新作了限制，盗版安装的计算机系统出现大量的安全漏洞而无法升级补丁漏洞，没有正版操作系统和杀毒软件。一般来说网络中存在的漏洞数量决定了所受到的威胁程度和遭受的攻击类型。 二、我校教育信息化的总体目标是：进一步完善校园信息网络系统，全面提高师生的信息素养，构建高水平高效益的教育信息化体系，实现教育的跨越式发展。具体保障措施是： 1、经费保障 1）、信息技术的硬件和软件的投入占学校基础投资的比例高于15%。2）、学校从办公经费中挤出的资金保障信息化建设费用的20%。 通过以上经费的保障措施，加快设备的投入和更新，满足我校信息化建设的正常开展， 2、其他保障 1）、认识到位。要充分认识教育信息化是教育现代化的需要，充分认识教育信息化是教育改革的推进器和制高点，是新的历史条件下教育发展的必然要求。同时也要充分认识到这一工程投入大、难度大、涉及面广，必须引起高度重视。 2）、组织健全。成立以校长为组长的领导小组，加强对教育信息化工作的统筹，分层要求，积极推进。进一步加强信息中心的建设，充分发挥其对学校教育信息化工作的规划、组织、指导和协调作用。加强对信息技术教师和网络管理员的培训，提高其技术水平，增强责任
信息安全管理练习题
-2014 信息安全管理练习题判断题： 1. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×） 注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection和响应Reaction)、事后恢复（恢复Restoration）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。 2. 一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。（×） 注释：应在24小时内报案 3. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型（×） 注释：共3种计算机犯罪，但只有2种新的犯罪类型。 单选题： 1. 信息安全经历了三个发展阶段，以下( B )不属于这三个发展阶段。 A. 通信保密阶段 B. 加密机阶段 C. 信息安全阶段 D. 安全保障阶段 2. 信息安全阶段将研究领域扩展到三个基本属性，下列（ C ）不属于这三个基本属性。 A. 保密性 B. 完整性 C. 不可否认性 D. 可用性 3. 下面所列的（ A ）安全机制不属于信息安全保障体系中的事先保护环节。 A. 杀毒软件 B. 数字证书认证 C. 防火墙 D. 数据库加密 4. 《信息安全国家学说》是（ C ）的信息安全基本纲领性文件。 A. 法国 B. 美国 C. 俄罗斯 D. 英国 注：美国在2003年公布了《确保网络空间安全的国家战略》。 5. 信息安全领域内最关键和最薄弱的环节是（ D ）。 A. 技术 B. 策略 C. 管理制度 D. 人 6. 信息安全管理领域权威的标准是（ B ）。 A. ISO 15408 B. ISO 17799/ISO 27001(英） C. ISO 9001 D. ISO 14001 7. 《计算机信息系统安全保护条例》是由中华人民共和国（ A )第147号发布的。 A. 国务院令 B. 全国人民代表大会令 C. 公安部令 D. 国家安全部令 8. 在PDR安全模型中最核心的组件是（ A ）。 A. 策略 B. 保护措施 C. 检测措施 D. 响应措施 9. 在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的结果文档被称为（ A )。 A. 可接受使用策略AUP B. 安全方针 C. 适用性声明 D. 操作规范 应当具有至少10. 互联网服务提供者和联网使用单位落实的记录留存技术措施，
信息安全管理练习题
信息安全管理练习题-2014 判断题： 1. 信息安全保障阶段中，安全策略是核心，对事先保护、事发检测和响应、事后恢复起到了统一指导作用。（×） 注释：在统一安全策略的指导下，安全事件的事先预防（保护），事发处理（检测Detection和响应Reaction)、事后恢复（恢复Restoration）四个主要环节相互配合，构成一个完整的保障体系，在这里安全策略只是指导作用，而非核心。 2. 一旦发现计算机违法犯罪案件，信息系统所有者应当在2天内迅速向当地公安机关报案，并配合公安机关的取证和调查。（×） 注释：应在24小时内报案 3. 我国刑法中有关计算机犯罪的规定，定义了3种新的犯罪类型（×） 注释：共3种计算机犯罪，但只有2种新的犯罪类型。 单选题： 1. 信息安全经历了三个发展阶段，以下( B )不属于这三个发展阶段。 A. 通信保密阶段 B. 加密机阶段 C. 信息安全阶段 D. 安全保障阶段 2. 信息安全阶段将研究领域扩展到三个基本属性，下列（C）不属于这三个基本属性。 A. 保密性 B. 完整性 C. 不可否认性 D. 可用性 3. 下面所列的（A）安全机制不属于信息安全保障体系中的事先保护环节。 A. 杀毒软件 B. 数字证书认证 C. 防火墙 D. 数据库加密 4. 《信息安全国家学说》是（C）的信息安全基本纲领性文件。 A. 法国 B. 美国 C. 俄罗斯 D. 英国 注：美国在2003年公布了《确保网络空间安全的国家战略》。 5. 信息安全领域内最关键和最薄弱的环节是（D）。 A. 技术 B. 策略 C. 管理制度 D. 人 6. 信息安全管理领域权威的标准是（B）。 A. ISO 15408 B. ISO 17799/ISO 27001(英） C. ISO 9001 D. ISO 14001 7. 《计算机信息系统安全保护条例》是由中华人民共和国（A )第147号发布的。 A. 国务院令 B. 全国人民代表大会令 C. 公安部令 D. 国家安全部令 8. 在PDR安全模型中最核心的组件是（A）。 A. 策略 B. 保护措施 C. 检测措施 D. 响应措施 9. 在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的结果文档被称为（A)。 A. 可接受使用策略AUP B. 安全方针 C. 适用性声明 D. 操作规范
浅析构建信息安全运维体系
浅析构建信息安全运维体系 周晓梅－201071037 2013年5月30日 摘要：交通运输行业经过大规模信息化建设，信息系统数量成倍增加，业务依赖性增强，系统复杂度提高，系统安全问题变得更加突出、严重。建设系统信息安全运维管理体系，对保证交通运输行业信息系统的有效运行具有重要意义。 关键词：信息系统安全运维体系构建 安全不仅仅是一个技术问题，更是一个管理问题。实际上，在整个IT产品的生命周期中，运营阶段占了整个时间和成本的70% - 80% 左右，剩下的时间和成本才是花费在产品开发(或采购)上面。以往我们听说"三分技术、七分管理"是突出管理的重要性，而这个"管理"则是大部分的精力花费在"运营"方面。随着信息安全管理体系和技术体系在政府或企业领域的信息安全建设中不断推进，占信息系统生命周期70% - 80%的信息安全运维体系的建设已经越来越被广大用户重视。尤其是随着信息系统建设工作从大规模建设阶段逐步转型到“建设和运维”并举的发展阶段，政府或企业运维人员需要管理越来越庞大的IT系统这样的情况下，信息安全运维体系建设已经被提到了一个空前的高度上。 任何为了信息安全所采取的任何安全措施，不管是技术方面的还是管理方面的，都是为了保障整个信息资产的安全，安全运维体系就是以全面保障信息资产安全为目的，以信息资产的风险管理为核心，建立起全网统一的安全事件监视和响应体系，以及保障这一体系正确运作的管理体系。 一、面临的问题 “十一五”以来，我国交通运输行业和部级信息化建设工作发展迅猛，取得了长足的进步，而部级信息化建设和管理工作中存在的一些问题和矛盾也日益凸显。当前部级信息化项目来源较多、资金筹措渠道复杂、建设和运行维护单位众多，而信息化标准规范体系不完善，由于缺乏有效的技术管理规范，非基本建设项目的建设实施还存在管控盲区，现有标准规范贯彻执行不足，系统建设实施过程中存在安全和质量风险，并对系统运行维护形成障碍，整体运行安全存在隐
信息安全技术基础期末考点总结
4．信息安全就是只遭受病毒攻击，这种说法正确吗？ 不正确，信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。 信息安全本身包括的范围很大，病毒攻击只是威胁信息安全的一部分原因，即使没有病毒攻击，信息还存在偶然泄露等潜在威胁，所以上述说法不正确。 5.网络安全问题主要是由黑客攻击造成的，这种说法正确吗？ 不正确。谈到信息安全或者是网络安全，很多人自然而然地联想到黑客，实际上，黑客只是实施网络攻击或导致信息安全事件的一类主体，很多信息安全事件并非由黑客（包括内部人员或还称不上黑客的人）所为，同时也包括自然环境等因素带来的安全事件。 补充：信息安全事件分类 有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件 设备设施故障、灾害性事件、其它事件 3.信息系统的可靠性和可用性是一个概念吗？它们有什么区别？ 不是。 信息安全的可靠性：保证信息系统为合法用户提供稳定、正确的信息服务。 信息安全的可用性：保证信息与信息系统可被授权者在需要的时候能够访问和使用。 区别：可靠性强调提供服务的正确、稳定，可用性强调提供服务访问权、使用权。 5.一个信息系统的可靠性可以从哪些方面度量？ 可以从抗毁性、生存性和有效性三个方面度量,提供的服务是否稳定以及稳定的程度，提供的服务是否正确。 7.为什么说信息安全防御应该是动态和可适应的？ 信息安全防御包括（1）对系统风险进行人工和自动分析，给出全面细致的风险评估。（2）通过制订、评估、执行等步骤建立安全策略体系（3）在系统实施保护之后根据安全策略对信息系统实施监控和检测（4）对已知一个攻击（入侵）事件发生之后进行响应等操作保障信息安全必须能够适应安全需求、安全威胁以及安全环境的变化，没有一种技术可以完全消除信息系统及网络的安全隐患，系统的安全实际上是理想中的安全策略和实际执行之间的一个平衡。实现有效的信息安全保障，应该构建动态适应的、合理可行的主动防御，而且投资和技术上是可行的，而不应该是出现了问题再处理的被动应对。 4.什么是PKI？“PKI是一个软件系统”这种说法是否正确？ PKI是指使用公钥密码技术实施和提供安全服务的、具有普适性的安全基础设施，是信息安全领域核心技术之一。PKI通过权威第三方机构——授权中心CA(Certification Authority)以签发数字证书的形式发布有效实体的公钥。 正确。PKI是一个系统，包括技术、软硬件、人、政策法律、服务的逻辑组件，从实现和应用上看，PKI是支持基于数字证书应用的各个子系统的集合。 5.为什么PKI可以有效解决公钥密码的技术应用？ PKI具有可信任的认证机构（授权中心），在公钥密码技术的基础上实现证书的产生、管理、存档、发放、撤销等功能，并包括实现这些功能的硬件、软件、人力资源、相关政策和操作规范，以及为PKI体系中的各个成员提供全部的安全服务。简单地说，PKI是通过权威机构签发数字证书、管理数字证书，通信实体使用数字证书的方法、过程和系统。 实现了PKI基础服务实现与应用分离，有效解决公钥使用者获得所需的有效的、正确的公钥问题。
信息安全案例分析
在一个国家或地区拥有最高法律效力的法律，它的实际作用与宪法实际上相同。案例1：美国NASDAQ事故1994年8月1日，由于一只松鼠通过位于康涅狄格网络主计算机附近的一条电话线挖洞，造成电源紧急控制系统损坏，NASDAQ电子交易系统日均超过3亿股的股票市场暂停营业近34分钟。 由非技术因素：意外事故。 案例2、美国纽约银行EFT损失 1985年11月21日,由于计算机软件的错误,造成纽约银行与美联储电子结算系统收支失衡,发生了超额支付,而这个问题一直到晚上才被发现,纽约银行当日帐务轧差出现230亿短款。 由于技术因素：软件漏洞。 案例3、江苏扬州金融盗窃案 1998年9月，郝景龙、郝景文两兄弟通过在工行储蓄所安装遥控发射装置，侵入银行电脑系统，非法存入72万元，取走26万元。这是被我国法学界称为98年中国十大罪案之一的全国首例利用计算机网络盗窃银行巨款的案件。 由于技术因素： 登陆访问控制不严，不能保证信息与信息系统确实能够为授权者所用。 通过高技术手段，利用计算机系统存在的缺陷，对信息系统进行恶意的破坏或盗取资金，导致银行信息系统的瘫痪或资金的损失 非技术因素：犯罪者道德意识不正确 案例4：一学生非法入侵169网络系统 江西省一位高中学生马强出于好奇心理，在家中使用自己的电脑，利用电话拨号上了169网，使用某账号，又登录到169多媒体通讯网中的两台服务器，从两台服务器上非法下载用户密码口令文件，破译了部分用户口令，使自己获得了服务器中超级用户管理权限，进行非法操作，删除了部分系统命令，造成一主机硬盘中的用户数据丢失的后果。该生被南昌市西湖区人民法院判处有期徒刑一年，缓刑两年。 由于技术因素：信息泄露给未经授权的人案例5：熊猫烧香 熊猫烧香是一种经过多次变种的蠕虫病毒变种，2006年10月16日由25岁的中国湖北武汉新洲区人李俊编写，2007年1月初肆虐网络，它主要通过下载的档案传染。对计算机程序、系统破坏严重。 由于技术因素 这是一个感染型的蠕虫病毒,它能感染系统中exe,com,pif,src,html,asp等文件,它还能中止大量的反病毒软件进程 非技术因素： 编制者没有意识到病毒在网络上的传播性快、广。我们网民的网络安全意识不强，对网络安全的了解不多。可以得出信息系统安全威胁包括以下两大部分： 一、对系统实体的威胁： 物理硬件设备(案例1) 二、对系统信息的威胁 1、计算机软件设计存在缺陷(案例2) 2、计算机网络犯罪。 A、窃取银行资金(案例3) B、黑客非法破坏(案例4) C、病毒(案例5) 阅读下列说明,答问题1至问题3,将解答填入答题纸的对应栏内。 【说明】在Linux系统中,用户账号是用户的身份标志,它由用户名和用户口令组成。 【问题1】（4分）
公安系统网络信息安全问题分析及对策思考
公安系统网络信息安全问题分析及对策思考 摘要随着我国科学技术不断发展，信息技术得以广泛应用，为人们日常生活与工作提供便利。其中，公安系统为提升运营效率，加设网络信息系统，用以提高工作效率，本文通过对公安系统网络信息安全问题进行分析，以安全问题为先导，思考解决问题的有效对策，以期为保障公安系统网络信息安全，提供行之有效的理论参考依据。 关键词公安系统；网络信息安全；问题；对策 公安系统在日常工作过程中需接触、分析并管理许多信息，以往公安系统运营较为依靠人力，工作人员需承担极大工作压力，同时无法有效提升工作效率，伴随信息化社会的到来，系统运营迎来信息化发展新常态，以信息技术为依托的公安系统日益健全，在提升工作效率同时，人们对网络信息安全越发关注，然而网络作为一种公共交互平台，容易受黑客攻击、病毒侵扰，严重影响网络信息完全稳定性。基于此，为使公安系统网络信息更为安全，分析存在于当前公安系统网络信息内的安全问题，及问题解决对策显得尤为重要。 1 公安系统网络信息安全问题 信息系统作为可降低人们工作压力，提高工作效率，提升工作质量重要技术形式，在当今社会应用广泛，公安系统信息化建设是大势所趋，在建设过程中网络信息安全是困扰该体系良性运行重要因素，为使公安系统网络信息安全问题得以有效解决，公安系统需秉持自省精神，从实际出发，思考网络信息安全问题，为得出有效解决相关问题之对策奠定基础。 1.1 防火墙配置不佳 网络防火墙是保障网络运行体系安全，将病毒、异常侵扰、黑客攻击行为阻隔在外的重要配置，然而在当今公安系统网络安全信息管理体系内，却存在防火墙配置不佳问题，除防火墙防御能力低问题外，导致防火墙配置不佳主要内因在于，公安系统在发展过程中需不断扩展网络体系，网络系统扩容需频繁出入防火墙，使防火墙出现漏洞且无法修复，为不法分子窃取网络信息提供路径，影响公安系统网络信息安全稳定性。 1.2 网络拓扑结构设置不当 我国信息技术在改革开放后期得以飞速发展，然而整体水平相较于发达国家仍相对滞后，在滞后性信息技术加持下，公安系统网络拓扑结构存在遗留问题，网络拓扑而机构设置不当，网络运行维护系统、网络线路调整与规划系统、网络便捷控制等系统，均未添加到网络安全管理体系内，造成网络信息安全保障了力度不强，导致该体系存在网络信息安全隐患[1]。