员工信息安全意识培训.ppt

2018信息安全提升系列信息安全提升系列（一）（一）信息技术部 2018-02-12普通员工信息普通员工信息安全意识培训安全意识培训信息安全意识，就是能够认知可能存在的信息 安全问题，预估信息安全事故对组织的危害，恪守 正确的行为方式，并且执行在信息安全事故发生时 所应采取的措施。什么是信息安全意识？什么是信息安全意识？信息安全基础知识信息安全基础知识当前的信息安全形势当前的信息安全形势个人应具备的安全防护意识个人应具备的安全防护意识目录目录什么是信息？什么是信息？知识知识信息信息数据数据信息的属性：基本元素是数据，每个数据代表某个意义；以各种形式存在：纸、电子、影片、交谈等；数据具有一定的逻辑关系；具有一定的时效性；对组织具有价值，是一种资产；需要适当的保护。指导 意义抽象程度什么是安全？安安全全 Security：事物保持不受损害事物保持不受损害保证信保证信息息只只能能够够由由得得到授到授权的人权的人访访问问。举例：公司产品代码不 被恶意泄漏；商务合同、报价、客户信息不被 披露保证信保证信息的正确性及不被非授权篡改和删除。息的正确性及不被非授权篡改和删除。举例：计费纪录被恶意修改；交易信息被删除；公司主页被 篡改；日志文件被删除保保证证经经授授权权的的用用户户当当需需 要要访访问问信信息息的的时时候候就就能能 够访够访问到。问到。举例：如果公司的业务被 拒绝服务造成网络中断，用户无法使用我们的业务。完整性完整性保密性保密性可用性可用性信息安全信息安全什么是信什么是信息息安全？安全？采取合适的信息安全措施，使安全事件对业务造成的影响降低最小，保障组织内业务运行的连续性。广义上讲涉及到信息的保密性，完整性，可用性，真实性，可控性的相关技术和理论。本质上1.保护 系统的硬件，软件，数据2.防止 系统和数据遭受破坏，更改，泄露保证 系统连续可靠正常地运行，服务不中断两个层面1.技术层面 防止外部用户的非法入侵2.管理层面 内部员工的教育和管理9信息安全的定义信息安全的定义为什么会有信息安全问题？为什么会有信息安全问题？因为有病毒吗？因为有黑客吗？因为有漏洞吗？这些都是原因，这些都是原因，但没有说到根源但没有说到根源安全问题的根源安全问题的根源外因外因2来自自然的破坏来自自然的破坏1来自外部的威胁来自外部的威胁国 家 安 全 威胁信息战士减小国家决策空间、战略优势，制造混 乱，进行目标破坏 情报机构搜集政治、军事，经济信息 共同威胁恐怖分子破坏公共秩序，制造混乱，发动政变 商业间谍掠夺竞争优势，恐吓 犯罪团伙施行报复，实现经济目的，破坏制度 局部威胁社会型黑客攫取金钱，恐吓，挑战，获取声望 娱乐型黑客以吓人为乐，喜欢挑战 安全问题的根源安全问题的根源内因内因系统越来越复杂系统越来越复杂12人也是复杂的人也是复杂的需要加强信息安全保障需要加强信息安全保障组织机构的使命/业务目标实现越来越依赖于信息系统信息系统成为组织机构生存和发展的关键因素信息系统的安全风险也成为组 织风险的一部分为了保障组织机构完成其使命，必须加强信息安全保障，抵抗 这些风险。信息 系统使命风险保障安全保障的目标是支持业务信息安全保障是为了信息安全保障是为了 支撑业务高效稳定运行支撑业务高效稳定运行信息安全保障需要持续进行信息安全保障需要信息安全保障需要 时时刻刻不放松时时刻刻不放松如何保障信息安全？如何保障信息安全？信息是依赖与承载它的信息技术系统存在的信息是依赖与承载它的信息技术系统存在的 需要在技术层面部署完善的控制措施需要在技术层面部署完善的控制措施信息系统是由人来建设使用和维护的信息系统是由人来建设使用和维护的需要通过有效的管理手段约束人需要通过有效的管理手段约束人今天系统安全了明天未必安全今天系统安全了明天未必安全需要贯穿系统生命周期的工程过程需要贯穿系统生命周期的工程过程信息安全的对抗，归根结底是人员知识、技能和素质的信息安全的对抗，归根结底是人员知识、技能和素质的对抗对抗需要建设高素质的人才队伍需要建设高素质的人才队伍我国信息化迅猛发展我国信息化迅猛发展我国信息化建设起步于20世纪80年代20世纪90年代取得长足进步现在信息技术已经广泛应用现在信息技术已经广泛应用于促进于促进国民经济发展国民经济发展政府管理和服务水平提高政府管理和服务水平提高企业竞争力增强企业竞争力增强人民生活水平该改善人民生活水平该改善我国正在步入信息化时代我国正在步入信息化时代信息化建设的意义信息化建设的意义信息化作为全球化的重要方面，直接推动了国际 关系的演变和全球经济体系的形成电子政务、电子商务和整个社会的信息化发展，标志着我国进入信息化社会整个社会越来越依赖于网络和信息系统，网络和 信息系统正成为社会运行和发展的重要支撑要素然而，没有信息安全就没有真正有效的信息化然而，没有信息安全就没有真正有效的信息化信息安全趋势信息安全趋势隐蔽性：信息安全的一个最大特点就是看不见摸 不着。在不知不觉中就已经中了招，在不知不觉 中就已经遭受了重大损失。信息安全趋势信息安全趋势趋利性：为了炫耀能力的黑客少了，为了非法取 得政治、经济利益的人越来越多新应用导致新的安全问题新应用导致新的安全问题数据大集中风险也更集中了；系统复杂了安全问题解决难度加大；云计算安全已经不再是自己可以控制的4G、物联网、三网合一IP网络中安全问题引 入到了电话、手机、广播电视中web2.0、微博、微信等网络安全与日常生活 越来越贴近2018/2/6安全安全风险无处不在风险无处不在新闻新闻2010年初，美国硅谷的迈克菲公司发布最新报告，约109.5万台 中国计算机被病毒感染（美国105.7万），排第一位。2010年1月2日，公安部物证鉴定中心被黑，登陆该网站，有些嘲 弄语言，还贴一张“我们睡，你们讲”的图片，图片是公安某单 位一次会议上，台下参会人员大睡的场面。2010年1月11日，著名网络百度被黑(域名劫持)，黑客团体叫“Iranian Cyber Army”。服务器中断5小时。2008年1月，美国总统布什签发总统54号令，其中有国家网络 安全综合纲领（CNCI），包含12个行动纲领。2009年6月，美国国防部长罗伯特盖茨下令组建网络司令部，统 一协调美军网络安全，开展网络战争等与计算机相关的军事行动。案案例例12009年6月9日，双色球2009066期开奖，全国共 中出一等奖4注，但是，开奖系统却显示一等奖 中奖数为9注，其中深圳地区中奖为5注。深圳市 福彩中心在开奖程序结束后发现系统出现异常，经多次数据检验，工作人员判断，福彩中心销售 系统疑被非法入侵，中奖彩票数据记录疑被人为 篡改。经调查发现，这是一起企图利经调查发现，这是一起企图利用用计算计算机机网网络络信息信息系系统技统技术术诈诈骗骗彩彩 票奖金的案件，并票奖金的案件，并于于6月月12日将日将犯犯罪嫌罪嫌疑疑人程人程某某抓抓获获，程，程某某为深为深圳圳 市某技术公司软件开发工程师市某技术公司软件开发工程师，利用利用公公司司在在深圳深圳福福彩中彩中心心实实施施技技 术合作项目的机会，通过木马术合作项目的机会，通过木马攻攻击程击程序序，恶恶意篡意篡改改彩票彩票数数据据，伪伪 造了造了5注一等奖欲牟取非法利益。注一等奖欲牟取非法利益。UNIVERSITY违规操作泄密违规操作泄密敌对势力窃密敌对势力窃密互联网互联网部队失密案部队失密案：20XX年初，军队某参谋违反规定，使用涉密年初，军队某参谋违反规定，使用涉密 计算机上因特网，被台湾情报机关跟踪锁定，一次窃计算机上因特网，被台湾情报机关跟踪锁定，一次窃走走1000多份多份 文档资料，影响和损失极为严重。文档资料，影响和损失极为严重。案例案例2扫描网络扫描网络发现漏洞发现漏洞控制系统控制系统窃取文件窃取文件案案例例3：网络故障：网络故障造造成航班成航班延延误和旅客滞留误和旅客滞留2006年年10月月10日日13时时32分，中航信运营的离港系统发生主机系统分，中航信运营的离港系统发生主机系统 文件损坏，导致使用离港系统的航空公司和机场的正常运行产生不文件损坏，导致使用离港系统的航空公司和机场的正常运行产生不 同程度影响。经过排查后故障系统同程度影响。经过排查后故障系统于于14时时16分恢复正常。此次故障分恢复正常。此次故障 造成首都机场、广州机场、深圳机场等机场部分航班延误。造成首都机场、广州机场、深圳机场等机场部分航班延误。28信息安全事件在增信息安全事件在增多多信 息 安 全 迫 在 眉 睫！信息资产信息资产拒绝服务拒绝服务流氓软件流氓软件黑客渗透黑客渗透内部人内部人员员威胁威胁木马后门木马后门病毒和病毒和蠕蠕虫虫社会工程社会工程系统漏洞系统漏洞硬件故障硬件故障网络通网络通信信故障故障供电中断供电中断失火失火雷雨雷雨地震地震威胁无处不在威胁无处不在我我们们应该怎么应该怎么做做培养意识知道如何去识别一个潜在的问题利用正确的判断力掌握和实行良好的安全习惯在日常工作中养成良好的习惯鼓励其他人也这样做报告任何异常事件如果发现了某件安全事件，通知适当的联系人将口令写在便签上，贴在电脑监视器旁开着电脑离开，就像离开家却忘记关灯那样轻易相信来自陌生人的邮件，好奇打开邮件附件使用容易猜测的口令，或者根本不设口令丢失笔记本电脑不能保守秘密，口无遮拦，上当受骗，泄漏敏感信息随便上网和下载软件，或随意将无关设备连入公司网络事不关己，高高挂起，不报告安全事件在系统更新和安装补丁上总是行动迟缓只关注外来的威胁，忽视企业内部人员的问题我我们最们最常常犯犯的一的一些些错误错误一个一个巴巴掌拍不掌拍不响响！外因是条件外因是条件内内因才因才是根本是根本！人之初性本非善恶吾自三省吾身提高人员信息安提高人员信息安全全意识和素质势在必行！意识和素质势在必行！人人是最关是最关键键的因的因素素信息安全防信息安全防护护10条条信息安全防信息安全防护护10条条工作常识工作常识账账号号口口令令安安全全 个个人人电电脑脑安安全全 良良好好工工作作习习惯惯 软件使用规范软件使用规范物理安全物理安全文件资料安全文件资料安全 物理环境安全物理环境安全员工管理员工管理工作岗位安全规范工作岗位安全规范 员工岗位调整管理员工岗位调整管理网络与邮件系统安全网络与邮件系统安全员工邮件使用安全员工邮件使用安全网络与邮件网络与邮件信息安全防护信息安全防护安全防安全防护护之之工工作常作常识识4条条设置复杂口令，至少8位，包含字母数字定期更改口令，最长3个月更改一次即刻更改缺省的或初始化口令输入时严防偷看，若发觉有人获知，应立即改变口令有人在电话中向你索取口令，应拒绝后立即报告不与任何人共享，临时共享，事后第一时间更改口令不要把口令写在纸上不要把口令存储在计算机文件中安全防护安全防护之之（一）（一）账户与口令的安账户与口令的安全全使用使用个人电脑须安装防病毒软件，并及时升级软件开启防病毒软件所有功能，定期进行全盘扫描防病毒管控产生的记录必须被至少保留90天若使用下载工具，需进行防病毒设置与流量控制浏览网站需小心，不要随意安装控件IE浏览器需进行相应的安全设置、配置邮件安全需对垃圾邮件进行防护设置系统补丁需进行更新策略的设置安全防护安全防护之之（二）（二）个人电脑安全防护个人电脑安全防护文件存放位置不要放在默认的“我的文档”或桌面不随意安装软件，尤其是网络浏览时要求安装的控件员工要有安全保管工作相关资料的意识使用公司提供的文件服务器等储存资源备份重要资料存储设备损坏后应慎重选择第三方修复商，勿随意丢 弃、应先进行安全处理离开电脑时记得锁屏安全防护之（三）安全防护之（三）工作习惯提醒工作习惯提醒用户们不可安装属于个人的软件在任何公司设备上不违反版权或其它知识产权使用软件或其它类型产品免费与开源软件须经过管理和法务部门批准，并符合 公司信息安全标准和其它规范要求才可使用安全防护之（四）安全防护之（四）软件使用软件使用安全防安全防护护之之物物理环理环境境2条条公司的信息资料，不可转移或存储在任何非公司核准 或认证的设备或个人设备上敏感信息不随意地放置,打印或复印的敏感资料要及时 取走凡被定为机密或绝密的信息，如需发送到公司外部或带出公司，须经过审批，并采取适当的安全措施因工作需要临时使用敏感资料后，应执行安全删除、彻底粉碎等措施不在公司外部讨论敏感信息安全防护之（五）安全防护之（五）文件资料的安全文件资料的安全防防护护受控区域应设置一定的安全措施，比如视频监控等，并做好进出登记如果进出需要门卡，请随身带好，严禁无证进入钥匙和门卡仅供本人使用，不要交给他人使用敏感物品应放置在受控的安全区域安全防护之（六）安全防护之（六）物理环境安全防护物理环境安全防护安全防安全防护护之之员员工管工管理理2条条根据不同岗位的需求，尤其是敏感岗位，应在职位描 述中加入安全方面的责任要求若岗位需要，应签订适当的保密协议依岗位需要和公司要求，应不定期的对员工进行专项 的和通用的信息安全意识培训安全防护之（七）安全防护之（七）工作岗位安全要求工作岗位安全要求当下级更换工作岗位或离职时，团队负责人必须立即 通知人力资源中心及信息中心，并按安全管控流程进 行账号权限等工作事项的变更调整安全防护之（八）安全防护之（八）员工岗位调整员工岗位调整安全防安全防护护之之网网络与邮络与邮件件2条条邮件与网络系统都属于公司资产，公司有权监视公司 内部电子邮件与网络行为，使用网络管理系统或工具 进行管控，对各种网络应用进行管控和记录实时记录局域网内电脑所有对外收发的邮件、浏览的 网页以及上传下载的文件，监视和管理网内用户的聊 天行为，限制、阻断网内用户访问指定网络资源或网 络协议等安全防护之（九）安全防护之（九）网络与邮件系统网络与邮件系统的的安全安全防防护护谢谢观赏！谢谢观赏！Thanks!