公司信息安全意识培训
信息安全意识培训PPT
评估员工在处理安全事件时的协调、 沟通和解决问题的能力，以及是否能 够及时采取有效的应对措施。
安全意识提升程度评估
安全意识调查
通过问卷调查或访谈的方式，了解员 工在接受信息安全意识培训后的安全 意识提升程度。
安全行为观察
观察员工在日常工作中的安全行为表 现，如是否遵循信息安全规定、是否 主动采取安全措施等，评估安全意识 的提升效果。
除了理论知识的传授，应加强实践操作技能的培 训，提高员工应对安全事件的能力。
培训方式的创新与发展
线上培训与线下培训相结合
01
利用在线学习平台和线下实体课程相结合的方式，提供灵活的
学习方式，满足不同员工的需求。
引入模拟演练和角色扮演
02
通过模拟真实的安全事件和攻击场景，让员工进行实战演练，
提高应对能力。
培训应强调企业文化的建设，使员工深刻理解企业的核心价值观和使命感，从而 更加珍惜企业的核心资产。此外，企业应制定严格的信息安全政策和规定，对违 反规定的员工进行严肃处理，以维护企业信息资产的安全和完整。
03 信息安全意识培训内容
密码安全
密Hale Waihona Puke 设置原则密码应包含大小写字母、数字、 特殊字符，长度至少8位，避免使
约束力强
线下培训可以提供一定的约束力，使学员更好地 完成培训任务。
模拟演练
提高应对能力
模拟演练可以模拟真实的安全事件，提高学员应对安全事件的能 力。
增强实战经验
模拟演练可以让学员在模拟的环境中积累实战经验，提高安全防范 意识。
评估安全意识
模拟演练可以对学员的安全意识进行评估，了解学员的薄弱环节， 为后续培训提供依据。
防范网络钓鱼
信息安全意识培训方法
信息安全意识培训方法信息安全已经成为当今社会中一个重要的议题。
在网络和数字化时代，保护个人隐私和敏感信息的安全至关重要。
为了提高员工对信息安全的意识和防范能力，信息安全意识培训成为了企业必不可少的一项工作。
本文将探讨一些有效的信息安全意识培训方法，帮助企业提高员工的信息安全意识，保护企业的信息资产。
一、内部培训课程内部培训课程是企业最常见的信息安全意识培训方法之一。
通过内部培训课程，企业可以向员工传授基本的信息安全知识，如密码管理、网络攻击防范、社会工程学等。
课程内容应该简单易懂，涵盖员工日常工作中常见的安全问题和解决方法。
并且，培训内容应该根据不同部门和岗位的需求进行定制，以确保培训的针对性和有效性。
二、模拟演练模拟演练是一种实践性强的信息安全意识培训方法。
通过模拟各种信息安全事件的发生和应对情况，让员工在实践中学习和掌握应对策略和技巧。
这种培训方法可以有效地提高员工的应急响应能力，以及对安全事件的识别和处理能力。
模拟演练可以根据企业的实际情况选择不同的形式，如桌面演练、网络攻击模拟等。
三、案例教学案例教学是一种生动形象的信息安全意识培训方法。
通过分享实际的安全事件案例，让员工深入了解信息安全问题的严重性和危害性。
案例教学可以让员工从他人的经历中获得教训，并学习如何避免类似事件的发生。
同时，案例教学还可以引发员工对信息安全的思考，增强他们的自我保护意识。
四、定期测试定期测试是一种有效的信息安全意识培训方法。
通过定期组织员工进行安全测试，可以检验他们对信息安全知识的掌握程度，并及时发现问题所在。
测试内容可以包括选择题、判断题、案例分析等，以检验员工在实际情况下的应对能力。
通过测试的结果，企业可以识别薄弱环节，并对员工进行针对性的强化培训和指导。
五、外部专家培训外部专家培训是一种高效的信息安全意识培训方法。
企业可以邀请信息安全领域的专家为员工提供培训，讲解最新的安全威胁和攻击方式。
外部专家通常具有丰富的经验和专业知识，可以为员工带来新的视角和认识。
企业信息安全培训内容
企业信息安全培训内容企业信息安全是当前社会中的一个重要议题，尤其是在数字化时代的大环境下，信息安全问题日益突出。
为了保护企业的核心数据和敏感信息，企业信息安全培训逐渐成为一个必要的举措。
本文将针对企业信息安全培训内容展开详细分析说明。
1. 员工意识培训：企业信息安全的第一层防线是员工的意识。
培训内容可以包括如何识别和防范各种网络攻击、如何管理和保护个人账号密码、如何使用安全的通信工具等。
通过提高员工的信息安全意识，可以有效减少人为疏忽而导致的信息泄露风险。
2. 强密码设置和管理：强密码是保护企业信息安全的基本要求。
培训内容可以包括密码设置原则、如何制定强密码策略、如何定期更改密码、如何使用密码管理工具等。
员工应该意识到，强密码的合理设置和管理对于防范黑客攻击至关重要。
3. 社交工程防范：社交工程是一种常见的网络攻击手段，通过钓鱼邮件、假冒身份等手段诱使员工泄露敏感信息。
培训内容可以包括如何警惕诈骗邮件、如何辨别合法与非法请求、如何避免在社交媒体中泄露个人信息等。
通过提高员工的警惕性和辨别能力，可以有效遏制社交工程的风险。
4. 网络攻击类型与防范：员工需要对各种常见的网络攻击类型有所了解，并学会相应的防范措施。
培训内容可以包括恶意软件防范、网络钓鱼防范、中间人攻击防范等。
学习这些攻击类型和相应的防范方法有助于员工及时发现并应对潜在的网络威胁。
5. 数据备份与恢复：数据备份和恢复是应对信息安全事件的重要手段。
培训内容可以包括如何进行定期的数据备份、如何选择存储介质、如何建立高效的数据恢复机制等。
员工需要了解备份的重要性，并学会正确操作和管理企业数据，以确保信息安全和业务连续性。
6. 移动设备安全：随着移动设备的普及，企业信息安全风险也大幅增加。
培训内容可以包括如何设置移动设备密码、如何安装可信任的应用程序、如何防范移动恶意软件等。
员工应该了解移动设备的安全风险，并采取适当的措施保护企业敏感信息。
综上所述，企业信息安全培训内容涵盖了员工意识培训、密码管理、社交工程防范、网络攻击类型与防范、数据备份与恢复以及移动设备安全等方面。
信息安全意识教育与培训方案
信息安全意识教育与培训方案在当今数字化时代，信息安全已成为企业和个人不可忽视的重要问题。
随着网络技术的飞速发展，信息泄露、网络攻击等安全事件频发，给企业和个人带来了巨大的损失。
因此，加强信息安全意识教育与培训，提高员工和公众的信息安全防范能力，显得尤为重要。
一、培训目标本次信息安全意识教育与培训的主要目标是：1、增强员工对信息安全重要性的认识，使其明白信息安全与个人和企业的利益息息相关。
2、提高员工识别和防范常见信息安全威胁的能力，如网络钓鱼、恶意软件、社交工程等。
3、培养员工良好的信息安全习惯，如设置强密码、定期备份数据、谨慎使用公共网络等。
4、使员工了解企业的信息安全政策和流程，并能够自觉遵守。
二、培训对象本次培训的对象包括企业全体员工、合作伙伴以及可能接触到企业敏感信息的外部人员。
三、培训内容介绍信息安全的概念、重要性和面临的主要威胁。
讲解信息安全的法律法规和企业的信息安全政策。
2、常见信息安全威胁及防范网络钓鱼：识别钓鱼邮件和网站的特征，如可疑的链接、要求提供敏感信息等，并学会如何避免上当受骗。
恶意软件：了解病毒、木马、间谍软件等恶意软件的传播方式和危害，掌握防范恶意软件的方法，如安装杀毒软件、不随意下载不明来源的软件等。
社交工程：认识社交工程攻击的手段，如伪装成熟人获取信息、利用人性弱点进行诱导等，学会如何应对社交工程攻击。
3、信息安全意识与习惯培养密码安全：强调设置强密码的重要性，介绍密码设置的原则和方法，如使用多种字符组合、定期更换密码等。
数据备份：讲解数据备份的重要性和方法，如定期备份重要数据到外部存储设备或云端。
移动设备安全：针对手机、平板电脑等移动设备，介绍如何设置密码、避免使用公共无线网络进行敏感操作等安全措施。
社交媒体安全：提醒员工在社交媒体上注意保护个人隐私，不随意透露敏感信息。
介绍企业的信息安全组织架构和职责分工。
讲解员工在信息安全管理中的角色和责任，如遵守信息安全政策、及时报告安全事件等。
公司信息安全意识培训
您的供电系统真的万无一失？
是一路电还是两路电？ 两路电是否一定是两个输电站？ 有没有UPS？ UPS能维持多久？ 有没有备用发电机组？ 备用发电机是否有充足的油料储备？
另一个与物理安全相关的案例
一个普通的系统管理员，利用看似简单的方法，就进 入了需要门卡认证的数据中心……
———— 来自国外某论坛的激烈讨论
• 能够在收银系统中装入程序的，负责管理、更新、维修超市收银系统的资讯组工作人员嫌疑最大。 • 警方顺藤摸瓜，挖出一个包括超市资讯员、收银员在内的近40人的犯罪团伙。据调查，原乐购超市真
北店资讯组组长方元在工作中发现收银系统漏洞，设计了攻击性程序，犯罪嫌疑人于琪、朱永春、武 侃佳等人利用担任乐购超市多家门店资讯工作的便利，将这一程序植入各门店收银系统；犯罪嫌疑人 陈炜嘉、陈琦、赵一青等人物色不法人员，经培训后通过应聘安插到各家门店做收银员，每日将侵吞 赃款上缴到犯罪团伙主犯方元、陈炜嘉、陈琦等人手中，团伙成员按比例分赃。一年时间内，先后侵 吞乐购超市真北店、金山店、七宝店374万余元。犯罪团伙个人按比例分得赃款数千元至50万元不等
6
信息在哪里？
小问题：公司的信息都在哪里？
纸质文档 电子文档 员工 其他信息介质
7
小测试：
➢ 您离开家每次都关门吗？ ➢ 您离开公司每次都关门吗？ ➢ 您的保险箱设密码吗？ ➢ 您的电脑设密码吗？ 8
答案解释：
如果您记得关家里的门，而不记得关公司的门， 说明您可能对公司的安全认知度不够。
如果您记得给保险箱设密码，而不记得给电脑设密码， 说明您可能对信息资产安全认识不够。
42
北京移动电话充值卡事件
• 31岁的软件工程师程稚瀚，在华为工作期间，曾为西藏移动做过技术工作，案 发时，在UT斯达康深圳分公司工作。
信息安全教育培训方案
信息安全教育培训方案一、培训目的随着信息技术的不断发展，信息安全已经成为企业发展中的重要组成部分。
信息安全培训旨在帮助员工了解信息安全的重要性，并掌握一定的防范技能，提高企业信息安全意识，减少信息泄露和数据损失风险。
二、培训内容1. 信息安全意识教育：介绍信息安全的基本概念，宣传信息安全政策和制度，通过案例分析告诉员工信息安全的重要性和影响。
2. 员工行为规范培训：教育员工遵守信息安全规定，不私自安装软件、不随意外接U盘、不泄露公司机密信息等。
3. 网络安全培训：介绍网络安全基本知识，教育员工识别并防范网络攻击、病毒、勒索软件等安全威胁。
4. 数据安全培训：介绍数据安全的重要性，教育员工妥善管理公司数据，防止数据丢失、泄露等问题。
5. 移动设备安全培训：教育员工正确使用手机、平板等移动设备，保护企业信息安全。
6. 应急响应培训：介绍信息安全事件的应急响应流程，提高员工事件应对的能力。
三、培训方式1. 线上培训：通过网络视频、在线课程等形式进行信息安全教育，方便员工在工作之余进行学习。
2. 线下培训：举办信息安全专题讲座、培训班，邀请专业人士为员工进行信息安全知识普及和技能培训。
3. 自主学习：提供信息安全学习资料、知识问答等形式，鼓励员工自主学习信息安全知识。
四、培训周期1. 初次入职培训：新员工入职后，立即进行信息安全培训，让员工尽快掌握信息安全基本知识。
2. 定期培训：定期组织全员进行信息安全培训，对员工进行信息安全知识的巩固和更新。
3. 临时培训：对于新的信息安全事件和威胁，及时组织培训，提高员工的应急响应能力。
五、培训评估1. 考试评估：培训结束后，开展信息安全考试，考核员工的信息安全知识水平。
2. 实操评估：对员工的信息安全实际操作能力进行评估，如对电脑安全设置、文件加密、应急响应等。
六、培训效果1. 提高信息安全意识：通过培训，员工的信息安全意识得到提升，能够主动遵守公司的安全规定。
企业信息安全培训的重点内容有哪些
企业信息安全培训的重点内容有哪些在当今数字化时代，企业面临着日益严峻的信息安全挑战。
信息泄露、网络攻击、数据篡改等安全事件屡见不鲜，给企业带来了巨大的经济损失和声誉损害。
为了提高员工的信息安全意识和防范能力，企业信息安全培训变得至关重要。
那么，企业信息安全培训的重点内容有哪些呢？一、信息安全基础知识首先，员工需要了解信息安全的基本概念和重要性。
这包括信息的保密性、完整性和可用性，以及信息安全对企业业务运营和发展的影响。
通过讲解实际案例，让员工明白信息安全事故可能导致的严重后果，从而引起他们对信息安全的重视。
其次，要介绍常见的信息安全威胁和风险，如病毒、恶意软件、网络钓鱼、社交工程等。
员工需要知道这些威胁的特点和传播方式，以便能够及时识别和防范。
二、密码安全密码是保护企业信息系统的第一道防线，因此密码安全是信息安全培训的重要内容。
员工应该了解如何设置强密码，包括使用足够的长度、包含多种字符类型（如大写字母、小写字母、数字和特殊字符），避免使用常见的密码（如生日、电话号码等）。
同时，要强调定期更改密码的重要性，并告知员工不要在多个系统中使用相同的密码。
此外，还应该教育员工如何妥善保管密码，不要将密码告诉他人，不要在不安全的环境（如公共网络）中输入密码，以及避免在纸上或电子设备中明文记录密码。
三、网络安全随着企业数字化程度的提高，网络成为了信息传输和共享的主要渠道，因此网络安全也是培训的重点。
员工需要了解如何安全地使用企业网络，包括遵守网络访问政策，不随意连接未知的无线网络，不访问可疑的网站。
同时，要教育员工如何识别和防范网络钓鱼攻击，不要轻易点击来自陌生人的邮件链接或下载附件。
对于远程办公的员工，还需要强调使用虚拟专用网络（VPN）的重要性，以确保数据在传输过程中的安全性。
四、移动设备安全如今，移动设备在企业办公中得到了广泛应用，因此移动设备安全也不容忽视。
员工应该了解如何设置设备密码、启用指纹识别或面部识别等生物识别技术，以及定期更新设备的操作系统和应用程序。
企业信息安全意识培训
企业信息安全意识培训随着信息技术的快速发展，企业的信息安全问题日益凸显。
许多企业面临着信息泄露、网络攻击、数据丢失等风险，这不仅损害了企业的声誉和利益，还对经济安全和社会稳定造成了威胁。
因此，企业信息安全意识培训的重要性愈发凸显出来。
本文将探讨企业信息安全意识培训的必要性、培训内容和方法。
一、企业信息安全意识培训的必要性1.保护企业核心资产企业的核心资产主要包括商业机密、客户信息、业务数据等。
这些资产的泄露将对企业造成巨大的经济损失和声誉损害。
通过信息安全意识培训，员工能够认识到信息资产的重要性，并掌握保护这些资产的基本知识和技能，从而防止信息泄露和滥用。
2.维护企业的声誉企业的声誉是其在市场中的竞争力之一。
一旦信息泄露或数据被篡改，企业的信誉将受到严重破坏，客户和合作伙伴可能会失去信心。
信息安全意识培训能够教育员工如何正确处理和保护客户信息，严守保密义务，提高企业的信誉度。
3.应对日益增加的网络威胁随着网络攻击技术的发展，企业面临的网络威胁也显著增加。
员工在日常工作中可能接触到各种病毒、木马、钓鱼网站等网络攻击手段。
通过信息安全意识培训，员工能够识别并避免这些威胁，提高企业的网络安全防护能力。
二、信息安全意识培训的内容1.信息安全基础知识培训员工掌握信息安全的基本概念和知识，了解信息安全法律法规，并明确各自的责任与义务。
2.密码安全讲解密码的选择规范，教育员工如何设置强密码，以及密码的定期更换和保密方法。
3.电子邮件和通信安全个人电子邮件和企业内部通信可能会遭受黑客的攻击和窃听。
培训员工如何使用加密技术、注意恶意邮件和社交工程等，以保障电子邮件和通信的安全。
4.网络安全介绍员工如何识别和防范网络攻击，包括病毒、钓鱼网站、网络钓鱼等，提高员工对网络安全的警惕性。
5.移动设备安全移动设备的广泛使用给企业信息安全带来了新的挑战。
员工需要了解如何保护移动设备上的敏感信息，并学会使用远程锁定、擦除等功能。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安全 组织
资产 管理
事件 管理
信息安全
人员 安全
开发 安全
网络 安全 访问 控制
物理 安全
5
怎样搞好信息安全？
一个软件公司的老总，等他所有的员工下班之 后，他在那里想：我的企业到底值多少钱呢？假 如它的企业市值1亿，那么此时此刻，他的企业就 值2600万。 因为据Delphi公司统计，公司价值的26%体现 在固定资产和一些文档上，而高达42%的价值是存 储在员工的脑子里，而这些信息的保护没有任何 一款产品可以做得到，所以需要我们建立信息安 全管理体系，也就是常说的ISMS！
42
北京移动电话充值卡事件
• 31 岁的软件工程师程稚瀚，在华为工作期间，曾为西藏移动做过技术 工作，案发时，在UT斯达康深圳分公司工作。 • 2005 年3 月开始，其利用为西藏移动做技术时使用的密码（此密码自程 稚瀚离开后一直没有更改），轻松进入了西藏移动的服务器。通过西 藏移动的服务器，程稚瀚又跳转到了北京移动数据库，取得了数据从 2005年3月至7月，程稚瀚先后4次侵入北京移动数据库，修改充值卡 的时间和金额，将已充值的充值卡状态改为未充值，共修改复制出上 万个充值卡密码。他还将盗出的充值卡密码通过淘宝网出售，共获利 370余万元。 • 直到2005年7月，由于一次“疏忽”，程稚瀚将一批充值卡售出时，忘 了修改使用期限，使用期限仍为90天。购买到这批充值卡的用户因无 法使用便投诉到北京移动，北京移动才发现有6600张充值卡被非法复 制，立即报警。 • 2005年8月24日，程稚瀚在深圳被抓获，所获赃款全部起获。
您的供电系统真的万无一失？
是一路电还是两路电？ 两路电是否一定是两个输电站？ 有没有UPS？ UPS能维持多久？ 有没有备用发电机组？
备用发电机是否有充足的油料储备？
另一个与物理安全相关的案例
物理环境中需要 信息安全
ATM诈骗三部曲
在自助银行入口刷卡器下方粘上一个黑 色小方块，叫“读卡器”，罩上一个加 长的“壳”，把银行的刷卡器和读卡器 一起藏在里面，一般人很难发现。取款 人在刷卡进门时，银行卡上的全部信息 就一下被刷进了犯罪分子的读卡器上。
在取款机窗口内侧顶部，粘上一个贴 着“ATM”字样的“发光灯”。这个 “发光灯”是经过特殊改造的，里面 用一块手机电池做电源，连接两个灯 泡，核心部分则是一个MP4。取款人 取款时的全过程被犯罪分子装的“针 孔摄像机”进行了“实况录像”。
•
•
• •
关于员工安全管理的建议
根据不同岗位的需求，在职位描述书中加入安全方面 的责任要求，特别是敏感岗位 在招聘环节做好人员筛选和背景调查工作，并且签订 适当的保密协议 在新员工培训中专门加入信息安全内容 工作期间，根据岗位需要，持续进行专项培训 通过多种途径，全面提升员工信息安全意识 落实检查监督和奖惩机制 员工内部转岗应做好访问控制变更控制 员工离职，应做好交接和权限撤销
信息比钞票更重要， 更脆弱，我们更应该保护 它。
13
WHY???
装有100万的 保险箱
需要 3个悍匪、
1辆车，才能偷走。
公司损失： 100万
装有客户信息的 电脑
只要 1个商业间谍、 1个U盘，就能偷走。 公司损失： 所有客户！
14
典型案例
15
安全名言
☞ 公司的利益就是自己的利益，不保护公司
，就是不保护自己。
25
安全事件（1）
26
安全事件（2）
27
安全事件（3）
28
安全事件（4）
29
安全事件（5）
30
安全事件（6）
用户电脑中毒后可能会出现蓝屏、频繁重 启以及系统硬盘中数据文件被破坏等现象。同 时，该病毒可以通过局域网进行传播，进而感 染局域网内所有计算机系统，最终导致企业局 域网瘫痪，无法正常使用，它能感染系统中 exe，com，pif，src，html，asp等文件，它还 能中止大量的反病毒软件进程并且会删除扩展 名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件 丢失。被感染的用户系统中所有.exe可执行文 件全部被改成熊猫举着三根香的模样。
CIA
22
信息生命周期
创建
使用
存储
传递
更改
销毁
23
信息产业发展迅猛
截至2008年7月，我国固定电话已达到3.55亿户，移动电话用户数达到 6.08亿。 截至20多的 国家，与去年同期相比，中国网民人数增加了9100万人，同比增长达到 56.2%。 手机上网成为用户上网的重要途径，网民中的28.9%在过去半年曾经使 用过手机上网，手机网民规模达到7305万人。 2007年电子商务交易总额已超过2万亿元。 目前，全国网站总数达192万，中文网页已达84.7亿页，个人博客/个人 空间的网民比例达到42.3%。 目前，县级以上96%的政府机构都建立了网站，电子政务正以改善公共 服务为重点，在教育、医疗、住房等方面，提供便捷的基本公共服务。
6
信息在哪里？
小问题：公司的信息都在哪里？
纸质文档
电子文档
员工
其他信息介质
7
小测试：
您离开家每次都关门吗？ 您离开公司每次都关门吗？ 您的保险箱设密码吗？ 您的电脑设密码吗？
8
答案解释：
如果您记得关家里的门，而不记得关公司的门， 说明您可能对公司的安全认知度不够。
如果您记得给保险箱设密码，而不记得给电脑设密码， 说明您可能对信息资产安全认识不够。
熊猫烧香病毒的制造者-李俊
31
深度分析
32
这样的事情还有很多……
信 息 安 全 迫 在 眉 睫！！！
33
关键是做好预防控制
隐患险于明火！ 预防重于救灾！
小故事，大启发 —— 信息安全点滴
35
首先要关注内部人 员的安全管理
2007年11月，集安 支行代办员，周末晚上 通过运营电脑，将230万 转移到事先办理的15张 卡上，并一夜间在各 ATM上取走38万。周一 被发现。
本质上
1. 保护—— 系统的硬件，软件，数据 2. 防止—— 系统和数据遭受破坏，更改，泄露 3. 保证—— 系统连续可靠正常地运行，服务不中断 两个层面 1. 技术层面—— 防止外部用户的非法入侵 2. 管理层面—— 内部员工的教育和管理
21
信息安全基本目标
保密性， 完整性， 可用性
C onfidentiality I ntegrity A vailability
切不可忽视 第三方安全
2003年，上海某家为银行提供ATM服务的公司，软件工 程师苏强。利用自助网点安装调试的机会，绕过加密程序Bug， 编写并植入一个监视软件，记录用户卡号、磁条信息和密码， 一个月内，记录下7000条。然后拷贝到自己电脑上，删掉植入 的程序。 后来苏强去读研究生，买了白卡和读卡器，伪造银行卡， 两年内共提取6万元。只是因为偶然原因被发现，公安机关通 过检查网上查询客户信息的IP地址追查到苏强，破坏案件。
取款人一走，犯罪分子立即收 “家伙”进车，先把MP4连上笔 记本电脑，回放录像记下取钱人 按下的密码，接着再连上读卡器， 同时再在电脑上连上一个叫“写 卡器”的长条形东西。这时，他 们随便拿出一张卡，不管是澡堂 充值卡，还是超市礼品卡，只要 是带磁条的，只要在写卡器里过 一下，此卡就被成功“克隆”成 一张“有实无名”的银行卡了。
公司信息安全意识培训
主要内容
1 2 3
4
什么是信息安全？ 怎样搞好信息安全？ 信息安全基本概念 信息产业发展现状
2
引言
授之以鱼 ——产品 不如授之以渔 ——技术
更不如激之其欲 ——意识
谈笑间，风险灰飞烟灭。
3
什么是信息安全？
• 不止有产品、技术才是信息安全
4
信息安全无处不在
法律 合规 业务 连续 安全 策略
17
安全是一种平衡
18
安全是一种平衡
高
安全事件的损失
安 全 成 本
安全控制的成本
/
损 失
最小化的总成本
所提供的安全水平 高
低
关键是实现成本利益的平衡
19
信息的价值
信息的价值 = 使用信息所获得的收益 ─ 获取信息所用成 本
信息具备了安全的保护特性
20
信息安全的定义
广义上讲 领域—— 涉及到信息的保密性，完整性，可用性，真 实性，可控性的相关技术和理论。
43
关于第三方安全管理的建议
识别所有相关第三方：服务提供商，设备提供商，咨 询顾问，审计机构，物业，保洁等 识别所有与第三方相关的安全风险，无论是牵涉到物 理访问还是逻辑访问 在没有采取必要控制措施，包括签署相关协议之前， 不应该授权给外部伙伴访问。应该让外部伙伴意识到其 责任和必须遵守的规定 在与第三方签订协议时特别提出信息安全方面的要求， 特别是访问控制要求 对第三方实施有效的监督，定期Review服务交付
☞ 电脑不仅仅是工具，而是装有十分重要信 息的保险箱。
16
绝对的安全是不存在的
• 绝对的零风险是不存在的，要想实现零风险，也是不现实的；
• 计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大， 一般来说，需要在安全性和可用性，以及安全性和成本投入之间做一 种平衡。
在计算机安全领域有一句格言：“真正 安全的计算机是拔下网线，断掉电源，放置 在地下掩体的保险柜中，并在掩体内充满毒 气，在掩体外安排士兵守卫。” 显然，这样的计算机是无法使用的。
24
信息安全令人担忧
内地企业44%信息安全事件是数据失窃
普华永道最新发布的2008年度全球信息安全调查报告显示， 中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保 障方面已被印度赶超。数据显示，内地企业44%的信息安全事件与 数据失窃有关，而全球的平均水平只有16%。 普华永道的调查显示，中国内地企业在改善信息安全机制上 仍有待努力，从近年安全事件结果看，中国每年大约98万美元的 财务损失，而亚洲国家平均约为75万美元，印度大约为30.8万美 元。此外，42%的中国内地受访企业经历了应用软件、系统和网 络的安全事件。