银行信息安全意识培训课件
合集下载
信息安全意识培训(经典版)课件
信息安全意识培训(经典版)课件•信息安全概述•密码安全意识培养•网络通信安全意识提升•数据存储与传输安全意识强化•身份鉴别与访问控制策略部署•恶意软件防范与处置能力提高•总结回顾与展望未来发展趋势目录CHAPTER信息安全概述信息安全定义与重要性信息安全的定义信息安全的重要性信息安全对于个人、组织、企业乃至国家都具有重要意义，它涉及到个人隐私保护、企业资产安全、社会稳定和国家安全等方面。
信息安全威胁与风险信息安全威胁信息安全风险信息安全法律法规及合规性要求信息安全法律法规合规性要求CHAPTER密码安全意识培养不使用弱密码定期更换密码不使用相同密码030201密码安全基本原则常见密码攻击手段及防范方法字典攻击攻击者使用预先准备好的密码字典进行尝试，因此要避免使用常见单词或短语作为密码。
暴力破解攻击者尝试所有可能的字符组合，直到找到正确的密码。
防范方法是设置足够长的密码和启用账户锁定功能。
钓鱼攻击攻击者通过伪造官方邮件、网站等手段诱导用户输入账号密码。
要保持警惕，不轻易点击可疑链接或下载未知来源的附件。
密码管理工具使用指南选择可靠的密码管理工具设置主密码导入和整理密码定期备份CHAPTER网络通信安全意识提升网络通信原理简介网络通信基本概念网络通信是指通过计算机网络进行信息传输和交换的过程。
网络通信协议网络通信协议是计算机之间进行通信的规则和标准，如TCP/IP协议。
网络通信设备和技术包括路由器、交换机、防火墙等网络设备，以及VPN、WLAN等网络技术。
常见网络通信攻击手段及防范策略拒绝服务攻击（DoS/DDoS）通过大量无用的请求拥塞目标服务器，使其无法提供正常服务。
防范策略包括限制访问速率、部署防火墙等。
中间人攻击（Man-in-the-Middle At…攻击者截获通信双方的数据并进行篡改。
防范策略包括使用加密技术、验证通信双方身份等。
钓鱼攻击（Phishing Attack）通过伪造信任网站或邮件，诱骗用户输入敏感信息。
银行信息安全意识培训课件(1)
银行信息安全意识培训课 件(1)
在数字时代，银行信息安全意识至关重要。本课程将讨论信息安全的重要性、 银行信息安全的威胁、常见的信息安全攻击方式以及保护银行信息安全的措 施。
信息安全的重要性
了解信息安全的重要性对保护银行和客户的财务安全至关重要。数据泄露和黑客攻击可能导致资金损失和声誉 风险。
银行信息安全的威胁
银行面临各种信息安全威胁，包括网络钓鱼、恶意软件、数据泄露和内部威 胁。了解这些威胁可以提高我们对潜在风险的认知。
常见的信息安全攻击方式
黑客使用各种攻击方式来入侵银行系统，如网络钓鱼、恶意软件、网络攻击 和社交工程等。学会识别这些攻击方式是至关重要的。
保护银行信息安全的措施
保护银行信息安全的措施包括强密码的使用、定期更新软件、安全的网络连接、数据备份以及培训员工保护信 息安全等。
信息安全责任与义务
每个银行员工都有责任和义务保护客户的信息安全。了解信息安全的责任和 义务对于减少风险和保护银行声誉至关重要。
ቤተ መጻሕፍቲ ባይዱ
信息安全培训与教育
通过信息安全培训和教育，可以提高员工对信息安全的认识和技能，减少内 部安全漏洞，并建立一个安全的工作环境。
信息安全意识培训课件总结
通过本课件，我们了解了信息安全的重要性、银行信息安全的威胁、常见的 信息安全攻击方式以及保护银行信息安全的措施。
在数字时代，银行信息安全意识至关重要。本课程将讨论信息安全的重要性、 银行信息安全的威胁、常见的信息安全攻击方式以及保护银行信息安全的措 施。
信息安全的重要性
了解信息安全的重要性对保护银行和客户的财务安全至关重要。数据泄露和黑客攻击可能导致资金损失和声誉 风险。
银行信息安全的威胁
银行面临各种信息安全威胁，包括网络钓鱼、恶意软件、数据泄露和内部威 胁。了解这些威胁可以提高我们对潜在风险的认知。
常见的信息安全攻击方式
黑客使用各种攻击方式来入侵银行系统，如网络钓鱼、恶意软件、网络攻击 和社交工程等。学会识别这些攻击方式是至关重要的。
保护银行信息安全的措施
保护银行信息安全的措施包括强密码的使用、定期更新软件、安全的网络连接、数据备份以及培训员工保护信 息安全等。
信息安全责任与义务
每个银行员工都有责任和义务保护客户的信息安全。了解信息安全的责任和 义务对于减少风险和保护银行声誉至关重要。
ቤተ መጻሕፍቲ ባይዱ
信息安全培训与教育
通过信息安全培训和教育，可以提高员工对信息安全的认识和技能，减少内 部安全漏洞，并建立一个安全的工作环境。
信息安全意识培训课件总结
通过本课件，我们了解了信息安全的重要性、银行信息安全的威胁、常见的 信息安全攻击方式以及保护银行信息安全的措施。
银行新员工入行培训：员工信息安全培训(“使用”文档)共97张
个人计算机安全（1）
病毒 计算机病毒是一个程序，一段可执行码。像生物病毒一样，计算机
病毒有其独特的复制能力，可以很快地蔓延，又常常难以根除，它们能把 自身附着在各种类型的文件上，当文件被复制或从一个用户传送到另一个 用户时，它们就随同文件一起蔓延开来。现在，随着计算机网络的发展， 计算机病毒和计算机网络技术相结合，蔓延的速度更加迅速。
1.1 什么是信息安全
信息安全是指信息系统的硬件、软件及其 系统中的数据受到保护，不受偶然的或者恶意 的原因而遭到破坏、更改、泄露，系统连续可 靠正常地运行，信息服务不中断。
1.2 信息安全的重要性 （1）
破坏银行计算机信息安全的任何事件都将直接影响到银行的正常经营， 其后果是无法想象的，甚至是灾难性的。此类事件往往具有不可预见性、隐 蔽性、作案时间短而发作突然、以及破坏巨大等特点，我们必须就此类潜在 的计算机信息安全风险做到严防严控。
– 针对信息和网络系统的攻击手段和工具越来越高超，计算机病毒和黑客攻击针对金融 信息系统的目的性越来越强，危害性也越来越大。
培训内容
1.什么是信息安全
2.常见的信息安全威胁
3.建行信息安全技术保障体系 4.建行的信息安全制度和员工行为要求
8
2.常见的信息安全威胁
个人资产安全
来自外部的威胁
个人计算机安全
2007年
ARP蠕虫病毒
网速变慢、打开所有网页都会弹出恶意广告、重 定向程序下载地址为病毒下载地址等，会造成整 个局域网全部瘫痪。
个人计算机安全（3）
僵尸网络
僵尸程序
僵尸程序
僵尸程序
通过命令控制
攻击者
跳板主机
僵尸程序
僵尸程序
僵尸程序
个人计算机安全（4）
金融机构的网络安全与数据保护培训课件
数据泄露途径
包括内部泄露、供应链风险、恶意攻击等。
危害分析
数据泄露可能导致客户隐私泄露、企业声誉受损、业务中断等严重后果。
数据泄露监测与报警系统建设
监测技术
运用大数据、人工智能等技术手段，实时监测网络流量、用 户行为等，发现异常数据流动。
报警系统
建立多层次报警机制，对不同程度的数据泄露事件进行及时 报警，确保相关人员第一时间知晓并处置。
网络安全是指通过技术、管理和 法律手段，保护计算机网络系统 及其中的数据不受未经授权的访 问、攻击、破坏或篡改的能力。
重要性
随着金融机构业务对信息技术的 依赖程度不断加深，网络安全已 成为保障金融机构稳健运行和客 户资金安全的重要组成部分。
金融机构面临的主要网络威胁
恶意软件攻击
网络钓鱼攻击
包括病毒、蠕虫、木马等，通过感染用户 计算机以窃取信息或破坏系统。
02
数据分类与敏感性识别
数据分类
根据数据的性质、特点和业务需求， 将数据划分为不同的类别，如个人数 据、交易数据、客户数据等。
敏感性识别
识别数据中的敏感信息，如个人隐私 、商业秘密、国家安全等，以便采取 相应的保护措施。
数据加密原理及应用场景
数据加密原理
通过加密算法将明文转换为密文，确保数据在传输和存储过程中的机密性和完 整性。
来发展趋势
本次培训课件内容总结回顾
金融机构网络安全和数据保护的重要性
课件强调了金融机构网络安全和数据保护对于保障客户资金安全、维护金融稳定的重要性 ，提醒员工时刻保持高度警惕。
网络安全和数据保护基础知识
课件介绍了网络安全和数据保护的基本概念、原理和技术，帮助员工了解相关领域的专业 知识。
金融机构面临的网络威胁和风险
包括内部泄露、供应链风险、恶意攻击等。
危害分析
数据泄露可能导致客户隐私泄露、企业声誉受损、业务中断等严重后果。
数据泄露监测与报警系统建设
监测技术
运用大数据、人工智能等技术手段，实时监测网络流量、用 户行为等，发现异常数据流动。
报警系统
建立多层次报警机制，对不同程度的数据泄露事件进行及时 报警，确保相关人员第一时间知晓并处置。
网络安全是指通过技术、管理和 法律手段，保护计算机网络系统 及其中的数据不受未经授权的访 问、攻击、破坏或篡改的能力。
重要性
随着金融机构业务对信息技术的 依赖程度不断加深，网络安全已 成为保障金融机构稳健运行和客 户资金安全的重要组成部分。
金融机构面临的主要网络威胁
恶意软件攻击
网络钓鱼攻击
包括病毒、蠕虫、木马等，通过感染用户 计算机以窃取信息或破坏系统。
02
数据分类与敏感性识别
数据分类
根据数据的性质、特点和业务需求， 将数据划分为不同的类别，如个人数 据、交易数据、客户数据等。
敏感性识别
识别数据中的敏感信息，如个人隐私 、商业秘密、国家安全等，以便采取 相应的保护措施。
数据加密原理及应用场景
数据加密原理
通过加密算法将明文转换为密文，确保数据在传输和存储过程中的机密性和完 整性。
来发展趋势
本次培训课件内容总结回顾
金融机构网络安全和数据保护的重要性
课件强调了金融机构网络安全和数据保护对于保障客户资金安全、维护金融稳定的重要性 ，提醒员工时刻保持高度警惕。
网络安全和数据保护基础知识
课件介绍了网络安全和数据保护的基本概念、原理和技术，帮助员工了解相关领域的专业 知识。
金融机构面临的网络威胁和风险
银行保险行业信息安全培训课件
路电？ 两路电是否一定是两个输电站？ 有没有UPS？ UPS能维持多久？ 有没有备用发电机组？
备用发电机是否有充足的油料储备？
另一个与物理安全相关的案例
25
安全事件（1）
26
安全事件（2）
27
安全事件（3）
28
安全事件（4）
29
安全事件（5）
30
安全事件（6）
用户电脑中毒后可能会出现蓝屏、频繁重 启以及系统硬盘中数据文件被破坏等现象。同 时，该病毒可以通过局域网进行传播，进而感 染局域网内所有计算机系统，最终导致企业局 域网瘫痪，无法正常使用，它能感染系统中 exe，com，pif，src，html，asp等文件，它 还能中止大量的反病毒软件进程并且会删除扩 展名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件 丢失。被感染的用户系统中所有.exe可执行文 件全部被改成熊猫举着三根香的模样。
物理环境中需要 信息安全
ATM诈骗三部曲
在自助银行入口刷卡器下方粘上一个黑 色小方块，叫“读卡器”，罩上一个加 长的“壳”，把银行的刷卡器和读卡器 一起藏在里面，一般人很难发现。取款 人在刷卡进门时，银行卡上的全部信息 就一下被刷进了犯罪分子的读卡器上。
在取款机窗口内侧顶部，粘上一个贴 着“ATM”字样的“发光灯”。这个 “发光灯”是经过特殊改造的，里面 用一块手机电池做电源，连接两个灯 泡，核心部分则是一个MP4。取款人 取款时的全过程被犯罪分子装的“针 孔摄像机”进行了“实况录像”。
24
信息安全令人担忧
内地企业44%信息安全事件是数据失窃
普华永道最新发布的2008年度全球信息安全调查报告显示， 中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保 障方面已被印度赶超。数据显示，内地企业44%的信息安全事件与 数据失窃有关，而全球的平均水平只有16%。 普华永道的调查显示，中国内地企业在改善信息安全机制上 仍有待努力，从近年安全事件结果看，中国每年大约98万美元的 财务损失，而亚洲国家平均约为75万美元，印度大约为30.8万美 元。此外，42%的中国内地受访企业经历了应用软件、系统和网 络的安全事件。
备用发电机是否有充足的油料储备？
另一个与物理安全相关的案例
25
安全事件（1）
26
安全事件（2）
27
安全事件（3）
28
安全事件（4）
29
安全事件（5）
30
安全事件（6）
用户电脑中毒后可能会出现蓝屏、频繁重 启以及系统硬盘中数据文件被破坏等现象。同 时，该病毒可以通过局域网进行传播，进而感 染局域网内所有计算机系统，最终导致企业局 域网瘫痪，无法正常使用，它能感染系统中 exe，com，pif，src，html，asp等文件，它 还能中止大量的反病毒软件进程并且会删除扩 展名为gho的文件，该文件是一系统备份工具 GHOST的备份文件，使用户的系统备份文件 丢失。被感染的用户系统中所有.exe可执行文 件全部被改成熊猫举着三根香的模样。
物理环境中需要 信息安全
ATM诈骗三部曲
在自助银行入口刷卡器下方粘上一个黑 色小方块，叫“读卡器”，罩上一个加 长的“壳”，把银行的刷卡器和读卡器 一起藏在里面，一般人很难发现。取款 人在刷卡进门时，银行卡上的全部信息 就一下被刷进了犯罪分子的读卡器上。
在取款机窗口内侧顶部，粘上一个贴 着“ATM”字样的“发光灯”。这个 “发光灯”是经过特殊改造的，里面 用一块手机电池做电源，连接两个灯 泡，核心部分则是一个MP4。取款人 取款时的全过程被犯罪分子装的“针 孔摄像机”进行了“实况录像”。
24
信息安全令人担忧
内地企业44%信息安全事件是数据失窃
普华永道最新发布的2008年度全球信息安全调查报告显示， 中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保 障方面已被印度赶超。数据显示，内地企业44%的信息安全事件与 数据失窃有关，而全球的平均水平只有16%。 普华永道的调查显示，中国内地企业在改善信息安全机制上 仍有待努力，从近年安全事件结果看，中国每年大约98万美元的 财务损失，而亚洲国家平均约为75万美元，印度大约为30.8万美 元。此外，42%的中国内地受访企业经历了应用软件、系统和网 络的安全事件。
【建设银行 内部培训】信息技术与信息安全培训课件
黑客攻击
计算机病毒 网络钓鱼
木马
社会工程学
拒绝服务 攻击
企业信息系统/数据
机密性 完整性 可用性
信息安全事件分析
信息安全事件-外部攻击案例分析
案例分析： 2011年1月，中国银行遭受短信+网络钓鱼攻击，多达5万客户网 银账号、密码、动态口令等关键信息被钓，导致许多客户资金被转走，总计损 失达几千万。
目录
1
1 2
2
1 2 3
信息技术
分行部实门施简协介调组
总行
负责全行信息技术规划编制、政策标准制定、计划审核、基础设施建
设和管理、应用开发、信息系统运行管理、信息安全管理的职能部门。信
息技术管理部负责管理总行6个开发中心（北京、上海、厦门、广州、成
都、深圳）、两地三中心（北京、武汉）及香港支持中心等10个中心。
二识差：意识+常识
目录
1
1 2
2
1 2 3
信息安全事件分析
信息安全事件分类
外部攻击事件
– 信息泄露：利用系统漏洞获取信息、冒充合法机构骗取信息； – 信息篡改：利用账号非法篡改信息、利用系统漏洞篡改信息、利用木马
篡改信息、攻击Web网站篡改网页信息； – 破坏系统可用性：拒绝服务攻击、病毒蠕虫攻击等；
真网址： boc
假网址： boczha
信息安全事件分析
信息安全事件-外部攻击案例分析 案例分析：假冒我行网银的网络钓鱼攻击
黑客群发短信诱骗 客户登录钓鱼网站： “尊敬的建行客户， 我行网银盾全面升 级，请及时登陆 ccbkb 进行升级”。
只要客户访问，网站 即弹出提示“我行个 人网银系统即日起至 26日升级，系统将自 动下载网银盾升级安 全组件，请双击运行 按提示完成升级”。
关于银行信息安全培训ppt
媒体废弃
废弃电脑硬盘中往往存储着使用者的很多 隐私内 容，比如：个人资料、银行账户、公司文件等。 一般电脑用户在处理废弃电脑时十分随便，以为 只要将电脑硬盘内的数据格式化就可以了，其实 格式化后的数据只是不再显示，数据还原封不动 地保留在硬盘内，稍懂数据恢复技术的人就可以 轻易恢复这些数据
信息安全的威胁表现
病毒、木马、黑客 恶意软件 人为不慎，比如使用不当，安全意思差 自然灾害、意外事故 媒体废弃：信息被从废弃的存储介质或打印的
文件中获得
常见病毒、木马
网游木马
大量正对网络游戏的木马，它会盗取用户账号、游戏 装备等
网银木马
采用记录键盘和系统动作的方法盗取网银账号和密码， 并发送到指定的邮箱，直接导致用户的经济损失
业务流分析：
通过对系统进行长期监听，利用统计分析方法对诸如 通信频度、通信的信息流向、通信总量的变化等参数 进行研究，从中发现有价值的信息和规律。
信息安全的主要威胁
假冒：
通过欺骗通信系统（或用户）达到非法用户冒充成为 合法用户，或者特权小的用户冒充成为特权大的用户 的目的。我们平常所说的黑客大多采用的就是假冒攻 击。
恶意软件在不知情的情况下秘密收集用户的个人信息、 行为记录、屏幕内容乃至银行账号和密码等
破坏计算机系统
在电脑中不断弹出一些窗口，导致计算机工作速度慢， 出现蓝屏、死机、重启、文件被删除等危险
干扰其他软件
恶意软件会不择手段的保护自己，经常会产生某些冲 突导致其他正常程序无 硬盘数据没有定期备份 不安步骤强行关机 运行或删除电脑上的文件或程序 安装或使用不明来源的软件 随意开启来历不明的邮件 向他人披露个人密码 不注意保护单位或个人文件 计算机旁边放置危险物品
即时通讯病毒
银行新员工信息安全培训
• 2014年3月26日,携程“安全门”事件敲响网络消费安全警 钟 • 携程网被指出安全支付日志存在漏洞,导致大量用户银行 卡信息泄露。携程第一时间进行技术排查和修复。并表 示,如用户因此产生损失,携程将赔偿。在获利的同时,电 商如何对用户信息进行保护引发人们思考。
14
山寨网银及山寨微信大量窃Leabharlann 网银信息新员工信息安全培训
课程简介
• 本次培训的目的是使大家了解信息安全的重要性，并 通过一些场景的介绍，让大家了解我行信息安全方面 的要求
–通过本次培训, 员工应了解: –信息安全，人人有责 –在信息安全方面应该做到什么 –遇到信息安全相关问题，如何寻求帮助
2
2013-2014近期信息安全事件-棱镜门
23
硬件使用
制度
员工必须遵循以下计算机管理要求： （1）桌面PC设备必须由科技部门相关人员进行初始化软硬件 配臵安装，严禁用户随意打开机箱或者私自装拆零部件； （2）未经允许，不得改变计算机系统配臵，包括安装未授权 的软件及修改参数； （3）非光大银行员工所有的移动存储介质，在接入光大银行计 算机系统前，需征得计算机使用者的同意，计算机使用者对因 接入外来不明移动存储介质导致的安全问题负全部责任； （4）移动存储介质使用完毕，应及时删除保存的数据 ；
A是厂商员工和B是光大银行员工，下面是他们在办公室的对话:
A: B先生，麻烦借用你的U盘，我把产品资料拷贝给您。
B正确的做法：
风险提示： 在使用移动存储介质时应当 留意介质上保存的信息，使 用不当可能会造成： 1.信息泄漏 2.病毒传播 移动介质是造成目前行内病 毒传播的途径之一
A. 好的，直接拷过来吧。 B. 请稍等，我先检查一下U盘（在确认 U盘上没有敏感信息后交给A） C. 不可以。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
4
威胁无处不在
黑客渗透 内部人员威胁
木马后门
病毒和蠕虫 流氓软件
系统漏洞
信息资产
拒绝服务 社会工程
硬件故障
网络通信故障 供电中断
失火
雷雨
地震
5
外部威胁
6
黑客攻击基本手法
踩点
扫描
破坏攻击 渗透攻击
获得控制权 清除痕迹 获得访问权
安装后门
远程控制 转移地利 人和
10
保持清醒认识
信息资产对我们很重要，是要保护的对象 威胁就像苍蝇一样，挥之不去，无所不在 资产自身又有各种弱点，给威胁带来可乘之机 面临各种风险，一旦发生就成为安全事件、事故
11
我们应该……
严防威胁 消减弱点 应急响应 保护资产
熟悉潜在的安全问题 知道怎样防止其发生 明确发生后如何应对
重 要 信 息 的 保 密
绝对的安全是不存在的！
21
关键点：信息安全管理
技术是信息安全的构筑材料，管理是真正的粘合剂和催化剂 信息安全管理构成了信息安全具有能动性的部分，是指导和控制 组织的关于信息安全风险的相互协调的活动 现实世界里大多数安全事件的发生和安全隐患的存在，与其说是 技术上的原因，不如说是管理不善造成的 理解并重视管理对于信息安全的关键作用，对于真正实现信息安 全目标尤其重要 唯有信息安全管理工作活动持续而周期性的推动作用方能真正将 信息安全意识贯彻落实
具有价值的信息资产面临诸多威胁，需要妥善保护
14
什么是信息安全
采取措施保护信息资产，使 之不因偶然或者恶意侵犯而遭受 破坏、更改及泄露，保证信息系 统能够连续、可靠、正常地运行， 使安全事件对业务造成的影响减 到最小，确保组织业务运行的连 续性。
15
管理者的最终目标
Confidentiality
Availability
Information
Integrity
17
因果关系
18
技术手段
物理安全：环境安全、设备安全、媒体安全 系统安全：操作系统及数据库系统的安全性 网络安全：网络隔离、访问控制、VPN、入侵检测、扫描评估 应用安全：Email安全、Web访问安全、内容过滤、应用系统安全 数据加密：硬件和软件加密，实现身份认证和数据信息的CIA特性 认证授权：口令认证、SSO认证（例如Kerberos）、证书认证等 访问控制：防火墙、访问控制列表等 审计跟踪：入侵检测、日志审计、辨析取证 防杀病毒：单机防病毒技术逐渐发展成整体防病毒体系 灾备恢复：业务连续性，前提就是对数据的备份
漏，导致美国多家军工企业信息系统受到严重威胁；
3、LulzSec成功袭击了中央情报局，美国参议院，任天堂，索 尼等多家机构，引起国际社会广泛关注；
4、花旗银行网站遭遇黑客 20万信用卡用户信息被盗； 5、由于南海领土纠纷引起中越黑客相互攻击对方重要网站； 6、韩国农协银行遭遇攻击导致系统长时间瘫痪及大量交易数
信息安全意识培训（下）
信息科技部
我们的目标
建立对信息安全的敏感意识和正确认识 掌握信息安全的基本概念、原则和惯例 清楚可能面临的威胁和风险 遵守各项安全策略和制度 在日常工作中养成良好的安全习惯 最终提升整体的信息安全水平
2
1、国内多家银行网银用户遭到大规模钓鱼攻击，损失巨大； 2、RSA遭黑客攻击，主流身份认证产品SecureID的重要信息泄
据丢失；
7、美联合航空电脑故障，全国服务大乱； 8、腾讯网大面积访问异常； 9、新浪微博病毒大范围传播； 10、Comodo等多家证书机构遭到攻击，攻击者得以伪造
google等多家知名网站证书，使互联网安全遭遇严重威胁；
Windows XP/7…
如果我是黑客…… 1、绝大多数笔记本电脑都内置麦克风且处 于开启状态； 2、开启录音功能； 3、录制所需内容并将其放置于某Web页面 之上： 4.开启所有笔记本的摄像头，并把录像放 置于某Web页面之上：
12
基本概念
理解和铺垫
13
什么是信息
消息、信号、数据、情报和知识 信息本身是无形的，借助于信息媒体以多种形式存在或传播：
• 存储在计算机、磁带、纸张等介质中 • 记忆在人的大脑里 • 通过网络、打印机、传真机等方式进行传播
信息借助媒体而存在，对现代企业来说具有价值，就成为信息资产：
• 计算机和网络中的数据 • 硬件、软件、文档资料 • 关键人员 • 组织提供的服务
三分技术，七分管理！
22
如何正确认识信息安全
安全不是产品的简单堆积， 也不是一次性的静态过程， 它是人员、技术、操作三者 紧密结合的系统工程，是不 断演进、循环发展的动态过 程
23
重要信息的保密 信息交换及备份 软件应用安全 计算机及网络访问安全 人员及第三方安全管理 终端设备使用安全 工作环境及物理安全要求 防范病毒和恶意代码 口令安全 电子邮件安全 介质安全管理 警惕社会工程学 应急响应和业务连续性计划 法律法规
员工误操作
蓄意破坏
职责权限混淆
8
自身弱点
技术弱点 系统、 程序、设备中存在的漏洞或缺陷
操作弱点
配置、操作和使用中的缺陷，包括人员的不良习 惯、审计或备份过程的不当等
管理弱点
策略、程序、规章制度、人员意识、组织结构等 方面的不足
9
最常犯的一些错误
将口令写在便签上，贴在电脑监视器旁 开着电脑离开，就像离开家却忘记关灯那样 轻易相信来自陌生人的邮件，好奇打开邮件附件 使用容易猜测的口令，或者根本不设口令 丢失笔记本电脑 不能保守秘密，口无遮拦，上当受骗，泄漏敏感信息 随便拨号上网，或者随意将无关设备连入公司网络 事不关己，高高挂起，不报告安全事件 在系统更新和安装补丁上总是行动迟缓 只关注外来的威胁，忽视企业内部人员的问题 会后不擦黑板，会议资料随意放置在会场
19
安全 vs. 可用——平衡之道
在可用性（Usability）和安全性（Security）之间是一种
相反的关系 提高了安全性，相应地就降低了易用性 而要提高安全性，又势必增大成本 管理者应在二者之间达成一种可接受的平衡
20
计算机安全领域一句格言： “真正安全的计算机是拔下网 线，断掉电源，放在地下掩体的 保险柜中，并在掩体内充满毒气， 在掩体外安排士兵守卫。”
威胁无处不在
黑客渗透 内部人员威胁
木马后门
病毒和蠕虫 流氓软件
系统漏洞
信息资产
拒绝服务 社会工程
硬件故障
网络通信故障 供电中断
失火
雷雨
地震
5
外部威胁
6
黑客攻击基本手法
踩点
扫描
破坏攻击 渗透攻击
获得控制权 清除痕迹 获得访问权
安装后门
远程控制 转移地利 人和
10
保持清醒认识
信息资产对我们很重要，是要保护的对象 威胁就像苍蝇一样，挥之不去，无所不在 资产自身又有各种弱点，给威胁带来可乘之机 面临各种风险，一旦发生就成为安全事件、事故
11
我们应该……
严防威胁 消减弱点 应急响应 保护资产
熟悉潜在的安全问题 知道怎样防止其发生 明确发生后如何应对
重 要 信 息 的 保 密
绝对的安全是不存在的！
21
关键点：信息安全管理
技术是信息安全的构筑材料，管理是真正的粘合剂和催化剂 信息安全管理构成了信息安全具有能动性的部分，是指导和控制 组织的关于信息安全风险的相互协调的活动 现实世界里大多数安全事件的发生和安全隐患的存在，与其说是 技术上的原因，不如说是管理不善造成的 理解并重视管理对于信息安全的关键作用，对于真正实现信息安 全目标尤其重要 唯有信息安全管理工作活动持续而周期性的推动作用方能真正将 信息安全意识贯彻落实
具有价值的信息资产面临诸多威胁，需要妥善保护
14
什么是信息安全
采取措施保护信息资产，使 之不因偶然或者恶意侵犯而遭受 破坏、更改及泄露，保证信息系 统能够连续、可靠、正常地运行， 使安全事件对业务造成的影响减 到最小，确保组织业务运行的连 续性。
15
管理者的最终目标
Confidentiality
Availability
Information
Integrity
17
因果关系
18
技术手段
物理安全：环境安全、设备安全、媒体安全 系统安全：操作系统及数据库系统的安全性 网络安全：网络隔离、访问控制、VPN、入侵检测、扫描评估 应用安全：Email安全、Web访问安全、内容过滤、应用系统安全 数据加密：硬件和软件加密，实现身份认证和数据信息的CIA特性 认证授权：口令认证、SSO认证（例如Kerberos）、证书认证等 访问控制：防火墙、访问控制列表等 审计跟踪：入侵检测、日志审计、辨析取证 防杀病毒：单机防病毒技术逐渐发展成整体防病毒体系 灾备恢复：业务连续性，前提就是对数据的备份
漏，导致美国多家军工企业信息系统受到严重威胁；
3、LulzSec成功袭击了中央情报局，美国参议院，任天堂，索 尼等多家机构，引起国际社会广泛关注；
4、花旗银行网站遭遇黑客 20万信用卡用户信息被盗； 5、由于南海领土纠纷引起中越黑客相互攻击对方重要网站； 6、韩国农协银行遭遇攻击导致系统长时间瘫痪及大量交易数
信息安全意识培训（下）
信息科技部
我们的目标
建立对信息安全的敏感意识和正确认识 掌握信息安全的基本概念、原则和惯例 清楚可能面临的威胁和风险 遵守各项安全策略和制度 在日常工作中养成良好的安全习惯 最终提升整体的信息安全水平
2
1、国内多家银行网银用户遭到大规模钓鱼攻击，损失巨大； 2、RSA遭黑客攻击，主流身份认证产品SecureID的重要信息泄
据丢失；
7、美联合航空电脑故障，全国服务大乱； 8、腾讯网大面积访问异常； 9、新浪微博病毒大范围传播； 10、Comodo等多家证书机构遭到攻击，攻击者得以伪造
google等多家知名网站证书，使互联网安全遭遇严重威胁；
Windows XP/7…
如果我是黑客…… 1、绝大多数笔记本电脑都内置麦克风且处 于开启状态； 2、开启录音功能； 3、录制所需内容并将其放置于某Web页面 之上： 4.开启所有笔记本的摄像头，并把录像放 置于某Web页面之上：
12
基本概念
理解和铺垫
13
什么是信息
消息、信号、数据、情报和知识 信息本身是无形的，借助于信息媒体以多种形式存在或传播：
• 存储在计算机、磁带、纸张等介质中 • 记忆在人的大脑里 • 通过网络、打印机、传真机等方式进行传播
信息借助媒体而存在，对现代企业来说具有价值，就成为信息资产：
• 计算机和网络中的数据 • 硬件、软件、文档资料 • 关键人员 • 组织提供的服务
三分技术，七分管理！
22
如何正确认识信息安全
安全不是产品的简单堆积， 也不是一次性的静态过程， 它是人员、技术、操作三者 紧密结合的系统工程，是不 断演进、循环发展的动态过 程
23
重要信息的保密 信息交换及备份 软件应用安全 计算机及网络访问安全 人员及第三方安全管理 终端设备使用安全 工作环境及物理安全要求 防范病毒和恶意代码 口令安全 电子邮件安全 介质安全管理 警惕社会工程学 应急响应和业务连续性计划 法律法规
员工误操作
蓄意破坏
职责权限混淆
8
自身弱点
技术弱点 系统、 程序、设备中存在的漏洞或缺陷
操作弱点
配置、操作和使用中的缺陷，包括人员的不良习 惯、审计或备份过程的不当等
管理弱点
策略、程序、规章制度、人员意识、组织结构等 方面的不足
9
最常犯的一些错误
将口令写在便签上，贴在电脑监视器旁 开着电脑离开，就像离开家却忘记关灯那样 轻易相信来自陌生人的邮件，好奇打开邮件附件 使用容易猜测的口令，或者根本不设口令 丢失笔记本电脑 不能保守秘密，口无遮拦，上当受骗，泄漏敏感信息 随便拨号上网，或者随意将无关设备连入公司网络 事不关己，高高挂起，不报告安全事件 在系统更新和安装补丁上总是行动迟缓 只关注外来的威胁，忽视企业内部人员的问题 会后不擦黑板，会议资料随意放置在会场
19
安全 vs. 可用——平衡之道
在可用性（Usability）和安全性（Security）之间是一种
相反的关系 提高了安全性，相应地就降低了易用性 而要提高安全性，又势必增大成本 管理者应在二者之间达成一种可接受的平衡
20
计算机安全领域一句格言： “真正安全的计算机是拔下网 线，断掉电源，放在地下掩体的 保险柜中，并在掩体内充满毒气， 在掩体外安排士兵守卫。”