信息安全意识培训65张.pptx

11信息安全意识培训信息安全意识培训2123什么是信息安全？什么是信息安全？信息安全基本概念信息安全基本概念主要内容主要内容如何保护好信息安全如何保护好信息安全3装有装有100万的万的 保险箱保险箱需要需要 3个悍匪、个悍匪、公司损失：公司损失：100万万装有客户信息的装有客户信息的 电脑电脑只要只要 1个商业间谍、个商业间谍、1个个U盘，就能偷走。盘，就能偷走。公司损失：公司损失：公司损失：公司损失：所有客户！所有客户！所有客户！所有客户！1辆车，才能偷走。辆车，才能偷走。4什么是信息安全？什么是信息安全？不止有产品、技术才是信息安全不止有产品、技术才是信息安全5信息安全无处不在信息安全无处不在信息安全信息安全信息安全信息安全 人员人员人员人员安全安全安全安全物理物理物理物理安全安全安全安全事件事件事件事件管理管理管理管理安全安全安全安全策略策略策略策略法律法律法律法律合规合规合规合规开发开发开发开发安全安全安全安全安全安全安全安全组织组织组织组织资产资产资产资产管理管理管理管理业务业务业务业务连续连续连续连续网络网络网络网络安全安全安全安全访问访问访问访问控制控制控制控制广义上讲领域域 涉及到信息的保密性，完整性，可用性，涉及到信息的保密性，完整性，可用性，真真实性，可控性的相关技性，可控性的相关技术和理和理论。本质上1.1.保保护 系系统的硬件，的硬件，软件，数据件，数据2.2.防止防止 系系统和数据遭受破坏，更改，泄露和数据遭受破坏，更改，泄露3.3.保保证 系系统连续可靠正常地运行，服可靠正常地运行，服务不中断不中断两个层面1.1.技技术层面面 防止外部用防止外部用户的非法入侵的非法入侵2.2.管理管理层面面 内部内部员工的教育和管理工的教育和管理6信息安全的定义信息安全的定义7信息安全基本目标信息安全基本目标保密性，保密性，完整性，完整性，可用性可用性CIAonfidentiality ntegrityvailabilityCIACIA 一个软件公司的老总，等他所有的员工下班之一个软件公司的老总，等他所有的员工下班之后，他在那里想：我的企业到底值多少钱呢？后，他在那里想：我的企业到底值多少钱呢？假如假如它的企业市值它的企业市值1 1亿，那么此时此刻，他的企业就值亿，那么此时此刻，他的企业就值26002600万。万。因为据因为据DelphiDelphi公司统计，公司价值的公司统计，公司价值的2626%体现体现在固定资产和一些文档上，而在固定资产和一些文档上，而高达高达4242%的价值是存的价值是存储在员工的脑子里，而这些信息的保护没有任何一储在员工的脑子里，而这些信息的保护没有任何一款产品可以做得到款产品可以做得到，所以需要我们建立信息安全管，所以需要我们建立信息安全管理体系，也就是常说的理体系，也就是常说的ISMSISMS（information information security management systemsecurity management system）！）！8怎样搞好信息安全？怎样搞好信息安全？9绝对的安全是不存在的绝对的安全是不存在的绝对的零风险是不存在的，要想实现零风险，也是不现实的；绝对的零风险是不存在的，要想实现零风险，也是不现实的；计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大，计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大，一般来说，需要在安全性和可用性，以及安全性和成本投入之间做一一般来说，需要在安全性和可用性，以及安全性和成本投入之间做一种平衡。种平衡。在在计算机安全算机安全领域有一句格言：域有一句格言：“真正安真正安全的全的计算机是拔下网算机是拔下网线，断掉，断掉电源，放置在源，放置在地下掩体的保地下掩体的保险柜中，并在掩体内充柜中，并在掩体内充满毒气，毒气，在掩体外安排士兵守在掩体外安排士兵守卫。”显然，然，这样的的计算机是无法使用的。算机是无法使用的。信息安全事件 泄密事件泄密事件 点评点评 1 “棱镜门”事件 斯诺登充分暴露NSA的信息窃密手段，对世界信息安全及信息化格局产生深远影响。2 英国离岸金融业200多万份邮件等文件泄密 范围涉及170个国家13万富豪，是具有重大影响的金融安全事件。3 支付宝转账信息被谷歌抓取 作为国内使用最广泛的支付平台，影响面大，是互联网金融安全的典型案例。4 如家等快捷酒店开房记录泄露 涉及个人深度隐私，影响部分人家庭团结和社会稳定。5 中国人寿80万份保单信息泄密 保单信息包含详尽的个人隐私信息，对个人声誉及生活影响大。6 搜狗手机输入法漏洞导致大量用户信息泄露 移动应用漏洞利用导致泄密情况值得警惕，微信漏洞泄密个人关系图谱也证明该问题。7 Adobe 300万账户隐私信息泄露 云计算方式会将软件单个漏洞影响扩大化。8 雅虎日本再遭入侵 2200万用户信息被窃取 二次泄密，国际巨头对用户隐私也持漠视态度。9 圆通百万客户信息遭泄露 快递行业信息泄密愈演愈烈。10 东航等航空公司疑泄露乘客信息 泄露用户行程，不少用户反映受诈骗和影响行程安排，影响出行安全。网友总结的网友总结的2013年十大信息安全事件年十大信息安全事件支付宝转账信息被谷歌抓取，直接搜索支付宝转账信息被谷歌抓取，直接搜索“site:”就能搜到转账信息，数量超过就能搜到转账信息，数量超过2000条。条。13 这样的事情还有很多这样的事情还有很多信信信信 息息息息 安安安安 全全全全迫迫迫迫 在在在在 眉眉眉眉 睫！睫！睫！睫！从从身边身边做起做起良好良好的安全的安全习惯习惯15重要信息的保密重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学16PublicPublic公公开开Internal UseInternal Use内内部公开部公开ConfidencialConfidencial秘密秘密SecretSecret机密、绝密机密、绝密信息信息保密级别保密级别划分划分17u u 各各各各类类信息，无信息，无信息，无信息，无论电论电子子子子还还是是是是纸质纸质，在，在，在，在标标注、授注、授注、授注、授权权、访问访问、存存存存储储、拷、拷、拷、拷贝贝、传传真、内部和外部分真、内部和外部分真、内部和外部分真、内部和外部分发发（包括第三方（包括第三方（包括第三方（包括第三方转转交）交）交）交）、传输传输、处处理等各个理等各个理等各个理等各个环节环节，都，都，都，都应该应该遵守既定策略遵守既定策略遵守既定策略遵守既定策略u u 信息分信息分信息分信息分类类管理程序只管理程序只管理程序只管理程序只约约定要求和原定要求和原定要求和原定要求和原则则，具体控制和，具体控制和，具体控制和，具体控制和实实现现方式，由信息属主或相关部方式，由信息属主或相关部方式，由信息属主或相关部方式，由信息属主或相关部门门确定，以遵守最佳确定，以遵守最佳确定，以遵守最佳确定，以遵守最佳实实践践践践和法律法和法律法和法律法和法律法规为规为参照参照参照参照u u 凡凡凡凡违违反程序反程序反程序反程序规规定的行定的行定的行定的行为为，酌情予以，酌情予以，酌情予以，酌情予以纪纪律律律律处处分分分分案例案例案例案例视频视频信息信息处理处理与与保护保护18工作环境及物理安全重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学19u u 禁止随意放置或禁止随意放置或丢丢弃含有敏感信息的弃含有敏感信息的纸质纸质文件，文件，废废弃文件需用碎弃文件需用碎纸纸机粉碎机粉碎u u 废废弃或待修磁介弃或待修磁介质转质转交他人交他人时应经时应经ITIT专业专业管理部管理部门门消磁消磁处处理理u u在复印机复印完成后，在复印机复印完成后，带带走全部的复印材料走全部的复印材料u u等等等等 工作环境工作环境安全安全20注意你的身边！注意你的身边！注意最细微的地方！注意最细微的地方！21 您肯定用过银行的您肯定用过银行的ATMATM机，您机，您插入银行卡，然后输入密码，插入银行卡，然后输入密码，然后取钱，然后拔卡，然后离然后取钱，然后拔卡，然后离开，您也许注意到您的旁边没开，您也许注意到您的旁边没有别人，您很小心，可是，您有别人，您很小心，可是，您真的足够小心吗？真的足够小心吗？我们来看一个我们来看一个案例案例2223242526WIFI安全WiFi是一种短程无线传输技术，能够在数百英尺范围内支持互联网接入的无线电信号。随着技术的发展，以及IEEE802.11a、802.11b、802.11g以及802.11n等标准的出现，现在IEEE802.11这个标准已被统称作WiFi。第二次世界大战后，无线通讯因在军事上应用的成功而受到重视，但缺乏广泛的通讯标准。于是，IEEE（美国电气和电子工程师协会）在1997年为无线局域网制定了第一个标准IEEE802.11。IEEE802.11标准最初主要用于解决办公室局域网和校园网中用户的无线接入，其业务主要限于数据存取，速率最高只能达到2Mbps。在WiFi技术的发展过程中，除了传输速率不断提升之外，安全加密技术的不断增强也是其技术标准频繁更新的重要原因。而最早进入WiFi标准的加密技术名为WEP（WiredEquivalentPrivacy，有线等效保密），但由于该技术的加密功能过于脆弱，很快就被2003年和2004年推出的WPA（WiFiProtectedAccess，WiFi网络安全存取）和WPA2技术所取代。WIFI安全但即使是较新的WPA2加密技术，仍然在无线开放环境下存在安全性较弱、无法满足电信级高可靠性要求等问题，为此，我国依据“商用密码管理条例”制定了针对WiFi既有安全加密技术漏洞自主安全标准WAPI（WirelessLANAuthenticationandPrivacyInfrastructure，无线网络鉴别保密基础结构）。2009年6月，工信部发布新政，宣布加装WAPI功能的手机可入网检测并获进网许可。当月，包括美国代表在内的参会成员一致同意，将WAPI作为无线局域网络接入安全机制独立标准形式推进为国际标准。WIFI安全视频29病毒与恶意代码重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学30中中华华人民共和国人民共和国计计算机信息系算机信息系统统安全保安全保护护条例条例 “计算机病毒计算机病毒，是指编制或者在计算机，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。组计算机指令或者程序代码。”什么是什么是计算机病毒计算机病毒31病毒 VirusVirus蠕虫 WormWorm木马 TrojanTrojan传统传统的的的的计计算机病毒，具有自我繁殖能力，算机病毒，具有自我繁殖能力，算机病毒，具有自我繁殖能力，算机病毒，具有自我繁殖能力，寄生于其他可寄生于其他可寄生于其他可寄生于其他可执执行程序中的，通行程序中的，通行程序中的，通行程序中的，通过过磁磁磁磁盘盘拷拷拷拷贝贝、文件共享、文件共享、文件共享、文件共享、电电子子子子邮邮件等多种途径件等多种途径件等多种途径件等多种途径进进行行行行扩扩散和感染散和感染散和感染散和感染网网网网络络蠕虫不需借助其他可蠕虫不需借助其他可蠕虫不需借助其他可蠕虫不需借助其他可执执行程序就能独立行程序就能独立行程序就能独立行程序就能独立存在并运行，通常利用网存在并运行，通常利用网存在并运行，通常利用网存在并运行，通常利用网络络中某些主机存在中某些主机存在中某些主机存在中某些主机存在的漏洞来感染和的漏洞来感染和的漏洞来感染和的漏洞来感染和扩扩散散散散特洛伊木特洛伊木特洛伊木特洛伊木马马是一种是一种是一种是一种传统传统的后的后的后的后门门程序，它可程序，它可程序，它可程序，它可以冒充正常程序，截取敏感信息，或以冒充正常程序，截取敏感信息，或以冒充正常程序，截取敏感信息，或以冒充正常程序，截取敏感信息，或进进行行行行其他非法的操作其他非法的操作其他非法的操作其他非法的操作病毒病毒 蠕虫蠕虫 木马木马32u u 所有所有所有所有计计算机必算机必算机必算机必须须部署指定的防病毒部署指定的防病毒部署指定的防病毒部署指定的防病毒软软件件件件u u 防病毒防病毒防病毒防病毒软软件必件必件必件必须须持持持持续续更新更新更新更新u u 感染病毒的感染病毒的感染病毒的感染病毒的计计算机必算机必算机必算机必须须从网从网从网从网络络中隔离直至清除病毒中隔离直至清除病毒中隔离直至清除病毒中隔离直至清除病毒u u 任何意任何意任何意任何意图图在内部网在内部网在内部网在内部网络创络创建或分建或分建或分建或分发恶发恶意代意代意代意代码码的行的行的行的行为为都被都被都被都被视为违视为违反管理制反管理制反管理制反管理制度度度度u u 发发生任何病毒生任何病毒生任何病毒生任何病毒传传播事件，相关人播事件，相关人播事件，相关人播事件，相关人员应员应及及及及时时向向向向ITIT管理部管理部管理部管理部门汇报门汇报u u u u仅仅此就此就此就此就够够了么了么了么了么恶意代码防范策略恶意代码防范策略33u u 除了蠕虫、病毒、木除了蠕虫、病毒、木马马等等恶恶意代意代码码，其他，其他恶恶意代意代码还码还包括包括逻辑逻辑炸炸弹弹、远远程控制后程控制后门门等等u u 现现在，在，传统传统的的计计算机病毒日益与网算机病毒日益与网络络蠕虫蠕虫结结合，合，发发展展成威力更成威力更为强为强大的混合型蠕虫病毒，大的混合型蠕虫病毒，传传播途径更加多播途径更加多样样化（网化（网络络、邮邮件、网件、网页页、局域网等）、局域网等）u u 通常的商通常的商业杀业杀毒毒软软件都能件都能查杀查杀基本的病毒、蠕虫和木基本的病毒、蠕虫和木马马程序，但并不能防止未知病毒，需要程序，但并不能防止未知病毒，需要经经常更新常更新让我们继续让我们继续下载文件注意防范“李鬼”37口令安全重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学38u u 用用户户名名+口令是最口令是最简单简单也最常用的身份也最常用的身份认证认证方式方式u u 口令是抵御攻口令是抵御攻击击的第一道防的第一道防线线，防止冒名，防止冒名顶顶替替u u 口令也是抵御网口令也是抵御网络络攻攻击击的最后一道防的最后一道防线线u u 针对针对口令的攻口令的攻击简击简便易行，口令破解快速有效便易行，口令破解快速有效u u 由于使用不当，往往使口令成由于使用不当，往往使口令成为为最薄弱的安全最薄弱的安全环节环节u u 口令与个人口令与个人隐隐私息息相关，必私息息相关，必须须慎重保慎重保护护为什么为什么口令口令很重要很重要39u u 如果你以如果你以请请一一顿顿工作餐来作工作餐来作为为交交换换，有，有7070的人的人乐乐意告意告诉诉你他你他（她）的机器口令（她）的机器口令u u 有有3434的人，甚至不需要的人，甚至不需要贿赂贿赂，就可奉献自己的口令，就可奉献自己的口令u u 另据另据调查调查，有，有7979的人，在被提的人，在被提问时问时，会无意，会无意间间泄漏足以被用来泄漏足以被用来窃取其身份的信息窃取其身份的信息u u 平均每人要平均每人要记记住四个口令，住四个口令，9595都都习惯习惯使用相同的口令（在很多使用相同的口令（在很多需要口令的地方）需要口令的地方）u u 3333的人的人选择选择将口令写下来，然后放到抽将口令写下来，然后放到抽屉屉或或夹夹到文件里到文件里一些一些数字数字40u u 少于少于8 8个字符个字符u u 单单一的字符一的字符类类型，例如只用小写字母，或只用数字型，例如只用小写字母，或只用数字u u 用用户户名与口令相同名与口令相同u u 最常被人使用的弱口令：最常被人使用的弱口令：u u自己、家人、朋友、自己、家人、朋友、亲亲戚、戚、宠宠物的名字物的名字u u生日、生日、结结婚婚纪纪念日、念日、电话电话号号码码等个人信息等个人信息u u工作中用到的工作中用到的专业术语专业术语，职业职业特征特征u u字典中包含的字典中包含的单词单词，或者只在，或者只在单词单词后加后加简单简单的后的后缀缀u u 所有系所有系统统都使用相同的口令都使用相同的口令案例案例视频视频u u 口令一直不口令一直不变变脆弱脆弱的口令的口令41u u 口令是越口令是越长长越好越好u u 但但“选选用用2020个随机字符作个随机字符作为为口令口令”的建的建议议也不可取也不可取u u 人人们总习惯选择们总习惯选择容易容易记忆记忆的口令的口令u u 如果口令如果口令难记难记，可能会被写下来，可能会被写下来，这样这样反倒更不安全反倒更不安全值得注意的值得注意的42u u 口令至少口令至少应该应该由由8 8个字符个字符组组成成u u 口令口令应该应该是大小写字母、数字、特殊字符的混合体是大小写字母、数字、特殊字符的混合体u u 不要使用名字、生日等个人信息和字典不要使用名字、生日等个人信息和字典单词单词u u 选择选择易易记强记强口令的几个口令的几个窍门窍门：u u 口令短口令短语语u u 字符替字符替换换u u 单词误单词误拼拼u u 键盘键盘模式模式建议建议43 找到一个生僻但易找到一个生僻但易记记的短的短语语或句子（可以摘自歌曲、或句子（可以摘自歌曲、书书本或本或电电影），然后影），然后创创建它的建它的缩缩写形式，其中包括大写字写形式，其中包括大写字母和母和标标点符号等。点符号等。I like this like this PiaoLiangMeiMei!PiaoLiangMeiMei!iLtPPMM!My son Tom was born at 8:05MsTwb8:05口令设置口令设置44u u 试试着使用数字和特殊字符的着使用数字和特殊字符的组组合合u u 避免避免“qwerty”qwerty”这样这样的直的直线线，而使用，而使用Z Z字型或者多条短字型或者多条短线线u u 这这种方法很容易被人看出来种方法很容易被人看出来u u 键盘输键盘输入入时时不要不要让让人看人看见见口令设置口令设置键盘模式键盘模式45u u 员员工有工有责责任任记记住自己的口令住自己的口令u u 账账号在独立号在独立审计审计的前提下的前提下进进行口令行口令锁锁定、解定、解锁锁和重置操和重置操作作u u 初始口令初始口令设设置不得置不得为为空空u u 口令口令设设置不得少于置不得少于8 8个字符个字符u u 口令口令应该应该包含特殊字符、数字和大小写字母包含特殊字符、数字和大小写字母u u 口令口令应该经应该经常更改，常更改，设设定口令最定口令最长长有效期有效期为为不超出不超出3 3个个月月u u 口令口令输输入入错误错误限定限定5 5次次口令管理口令管理46电子邮件安全重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学47u u据据统计统计，有超，有超过过8787的病毒是借助的病毒是借助EmailEmail进进入企入企业业的的u u对对于下列于下列标题标题的的邮邮件，件，选择选择打开打开阅览阅览的人数百分比：的人数百分比：u uI LOVE YOUI LOVE YOU：3737的人会打开的人会打开邮邮件件u uGreat jokeGreat joke：5454的人会打开的人会打开邮邮件件u uMessageMessage：4646的人会打开的人会打开邮邮件件u uSpecial offerSpecial offer：3939的人会打开的人会打开邮邮件件u uEmailEmail数字数字48u u不当使用不当使用EmailEmail可能可能导导致法律致法律风险风险u u禁止禁止发发送或送或转发转发反反动动或非法的或非法的邮邮件内容件内容u u未未经发经发送人送人许许可，不得可，不得转发转发接收到的接收到的邮邮件件u u不得不得伪伪造虚假造虚假邮邮件，不得使用他人件，不得使用他人账账号号发发送送邮邮件件u u未未经许经许可，不得将属于他人可，不得将属于他人邮邮件的消息内容拷件的消息内容拷贝转发贝转发u u与与业务业务相关的相关的EmailEmail应应在文件服在文件服务务器上做妥善器上做妥善备备份，份，专专人人负责检查负责检查u u包含客包含客户户信息的信息的EmailEmail应转发应转发主管做主管做备备份份u u个人用途的个人用途的EmailEmail不不应应干干扰扰工作，并且遵守本策略工作，并且遵守本策略u u避免通避免通过过EmailEmail发发送机密信息，如果需要，送机密信息，如果需要，应应采取必要的加密保采取必要的加密保护护措施措施EmailEmail安全安全49u u如果同如果同如果同如果同样样的内容可以用普通文本正文，就不要用附件的内容可以用普通文本正文，就不要用附件的内容可以用普通文本正文，就不要用附件的内容可以用普通文本正文，就不要用附件u u尽量不要尽量不要尽量不要尽量不要发发送送送送.doc,.xls.doc,.xls等可能等可能等可能等可能带带有宏病毒的文件有宏病毒的文件有宏病毒的文件有宏病毒的文件u u发发送不安全的文件之前，先送不安全的文件之前，先送不安全的文件之前，先送不安全的文件之前，先进进行病毒行病毒行病毒行病毒扫扫描描描描u u不要参与所不要参与所不要参与所不要参与所谓谓的的的的邮邮件接件接件接件接龙龙u u尽早安装系尽早安装系尽早安装系尽早安装系统补统补丁，防止自己的系丁，防止自己的系丁，防止自己的系丁，防止自己的系统统成成成成为恶为恶意者的跳板意者的跳板意者的跳板意者的跳板发送发送邮件注意邮件注意50u u不安全的文件不安全的文件类类型型：绝对绝对不要打开任何以下文件不要打开任何以下文件不要打开任何以下文件不要打开任何以下文件类类型的型的型的型的邮邮件附件附件附件附件：件：件：件：.bat,.com,.exe,.vbs.bat,.com,.exe,.vbsu u未知的文件未知的文件类类型型：绝对绝对不要打开任何未知文件不要打开任何未知文件不要打开任何未知文件不要打开任何未知文件类类型的型的型的型的邮邮件附件，件附件，件附件，件附件，包括包括包括包括邮邮件内容中到未知文件件内容中到未知文件件内容中到未知文件件内容中到未知文件类类型的型的型的型的链链接接接接u u微微软软文件文件类类型型：如果要打开微如果要打开微如果要打开微如果要打开微软软文件文件文件文件类类型（例如型（例如型（例如型（例如 .doc,.xls,.doc,.xls,.ppt.ppt等）的等）的等）的等）的邮邮件附件或者内部件附件或者内部件附件或者内部件附件或者内部链链接，接，接，接，务务必先必先必先必先进进行病毒行病毒行病毒行病毒扫扫描描描描u u要求要求发发送普通的文本送普通的文本：尽量要求尽量要求尽量要求尽量要求对对方方方方发发送普通的文本内容送普通的文本内容送普通的文本内容送普通的文本内容邮邮件，而不要件，而不要件，而不要件，而不要发发送送送送HTMLHTML格式格式格式格式邮邮件，不要携件，不要携件，不要携件，不要携带带不安全不安全不安全不安全类类型的附件型的附件型的附件型的附件u u禁止禁止邮邮件件执执行行HtmlHtml代代码码：禁止禁止禁止禁止执执行行行行HTMLHTML内容中的代内容中的代内容中的代内容中的代码码u u防止垃圾防止垃圾邮邮件：件：通通通通过设过设置置置置邮邮件服件服件服件服务务器的器的器的器的过滤过滤，防止接受垃圾，防止接受垃圾，防止接受垃圾，防止接受垃圾邮邮件件件件u u尽早安装系尽早安装系统补统补丁丁：杜杜杜杜绝恶绝恶意代意代意代意代码码利用系利用系利用系利用系统统漏洞而漏洞而漏洞而漏洞而实实施攻施攻施攻施攻击击接收接收邮件注意邮件注意51介质安全管理重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学52介质安全介质安全管理管理创创建建传递传递销毁销毁存存 储储使用使用更改更改介质销毁视频介质销毁视频信息科技相关文件第一百五条涉密移动存储介质保密管理第一百五条涉密移动存储介质保密管理（一）涉密移动存储介质，是指用于存放秘密级、工作秘密级信息的（一）涉密移动存储介质，是指用于存放秘密级、工作秘密级信息的U盘、移动硬盘、软盘、光盘、磁带、存储卡及其它具有存储功能的盘、移动硬盘、软盘、光盘、磁带、存储卡及其它具有存储功能的各类介质。各类介质。（二）复制秘密或工作秘密级移动存储介质，要经本单位主管领导批（二）复制秘密或工作秘密级移动存储介质，要经本单位主管领导批准。对复制介质的密级、编号和复制的内容要履行严格的登记手续。准。对复制介质的密级、编号和复制的内容要履行严格的登记手续。（三）因工作需要，涉密移动存储介质带离办公场所需经使用部门负（三）因工作需要，涉密移动存储介质带离办公场所需经使用部门负责人批准后方可带离责人批准后方可带离第一百二十二条计算机病毒防范应采取以下措施：第一百二十二条计算机病毒防范应采取以下措施：（三）使用移动介质前应先进行杀毒处理，不复制、运行来历不明的（三）使用移动介质前应先进行杀毒处理，不复制、运行来历不明的文件或程序。文件或程序。54软件应用安全重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学55u u尽量不要同尽量不要同尽量不要同尽量不要同时时打开多个打开多个打开多个打开多个链链接窗口接窗口接窗口接窗口u u当某个网站提出要将本网站当某个网站提出要将本网站当某个网站提出要将本网站当某个网站提出要将本网站设设置置置置为为主主主主页时页时，要取消操作，要取消操作，要取消操作，要取消操作u u当网当网当网当网页页中中中中弹弹出安装某个插件的出安装某个插件的出安装某个插件的出安装某个插件的对话对话框框框框时时，要取消安装，的确需要安，要取消安装，的确需要安，要取消安装，的确需要安，要取消安装，的确需要安装的，装的，装的，装的，请请与管理人与管理人与管理人与管理人员联员联系。系。系。系。u u定期清楚定期清楚定期清楚定期清楚历历史史史史访问访问信息、信息、信息、信息、cookiescookies以及以及以及以及InternetInternet临时临时文件文件文件文件u u禁止利用禁止利用禁止利用禁止利用单单位信息系位信息系位信息系位信息系统统从事与工作无关的活从事与工作无关的活从事与工作无关的活从事与工作无关的活动动，如网上聊天、打游，如网上聊天、打游，如网上聊天、打游，如网上聊天、打游戏戏等等等等u u禁止下禁止下禁止下禁止下载载、上、上、上、上传传、传传播与工作无关的文件播与工作无关的文件播与工作无关的文件播与工作无关的文件u u禁止在网禁止在网禁止在网禁止在网络络上运行任何黑客上运行任何黑客上运行任何黑客上运行任何黑客软软件件件件应用安全应用安全56计算机网络访问重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学57u u 访问访问控制基本原控制基本原控制基本原控制基本原则则：未：未：未：未经经明确允明确允明确允明确允许许即即即即为为禁止禁止禁止禁止访问访问u u 必必必必须须通通通通过过唯一注册的用唯一注册的用唯一注册的用唯一注册的用户户IDID来控制用来控制用来控制用来控制用户对户对网网网网络络的的的的访问访问u u 系系系系统统管理管理管理管理员员必必必必须须确保用确保用确保用确保用户访问户访问基于基于基于基于最小特最小特最小特最小特权权原原原原则则而授而授而授而授权权u u 用用用用户户必必必必须须根据要求使用口令并保守秘密根据要求使用口令并保守秘密根据要求使用口令并保守秘密根据要求使用口令并保守秘密u u 系系系系统统管理管理管理管理员员必必必必须对须对用用用用户访问权户访问权限限限限进进行行行行检查检查，防止，防止，防止，防止滥滥用用用用u u 系系系系统统管理管理管理管理员员必必必必须须根据安全制度要求定根据安全制度要求定根据安全制度要求定根据安全制度要求定义访问义访问控制控制控制控制规则规则，用，用，用，用户户必必必必须须遵遵遵遵守守守守规则规则u u 各部各部各部各部门应门应按照管理按照管理按照管理按照管理规规定制定并定制定并定制定并定制定并实实施施施施对业务应对业务应用系用系用系用系统统、开、开、开、开发发和和和和测试测试系系系系统统的的的的访问规则访问规则计算机网络访问计算机网络访问安全安全58移动计算与远程办公重要信息的保密重要信息的保密重要信息的保密重要信息的保密工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求工作环境及物理安全要求防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码防范病毒和恶意代码口令安全口令安全口令安全口令安全电子邮件安全电子邮件安全介质安全管理介质安全管理软件应用安全软件应用安全软件应用安全软件应用安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全计算机及网络访问安全移动计算与远程办公移动计算与远程办公移动计算与远程办公移动计算与远程办公警惕社会工程学警惕社会工程学警惕社会工程学警惕社会工程学59u u 所有所有所有所有连连接接接接办办公生公生公生公生产产网网网网络络的笔的笔的笔的笔记记本本本本电脑电脑或其他移或其他移或其他移或其他移动计动计算机，必算机，必算机，必算机，必须须按照按照按照按照指定指定指定指定PCPC安全安全安全安全标标准来配置，必准来配置，必准来配置，必准来配置，必须须符合符合符合符合补补丁和防病毒管理丁和防病毒管理丁和防病毒管理丁和防病毒管理规规定定定定u u 相关管理部相关管理部相关管理部相关管理部门门必必必必须协须协助部署必要的笔助部署必要的笔助部署必要的笔助部署必要的笔记记本本本本电脑电脑防信息泄漏措施防信息泄漏措施防信息泄漏措施防信息泄漏措施u u 用用用用户户不能将口令、不能将口令、不能将口令、不能将口令、IDID或其他或其他或其他或其他账户账户信息以明文保存在移信息以明文保存在移信息以明文保存在移信息以明文保存在移动动介介介介质质上上上上u u 笔笔笔笔记记本本本本电脑遗电脑遗失失失失应应按照相按照相按照相按照相应应管理制度管理制度管理制度管理制度执执行安全响行安全响行安全响行安全响应应措施措施措施措施u u 敏感信息敏感信息敏感信息敏感信息应应加密保加密保加密保加密保护护u u 禁止在公共区域禁止在公共区域禁止在公共区域禁止在公共区域讨论讨论敏感信息，或通敏感信息，或通敏感信息，或通敏感信息，或通过过笔笔笔笔记记本本本本电脑电脑泄漏信息泄漏信息泄漏信息泄漏信息笔记本电脑与远程办公笔记本电脑与远程办公安全安全智能手机安全对移动设备的安全威胁，大致可以分为三大类物理威胁、操作系统威胁和网络威胁。偷盗行为和看管疏忽是针对移动设备物理安全的最大威胁。容易发生设备遗失的场所主要包括：高等院校、汽车、图书馆、机场、宾馆和会议中心、办公室、医院。恶意代码是移动设备的最大威胁，这些恶意代码主要表现为病毒、僵尸程序和间谍软件或三者的混合体。病毒的主要作用是在用户不知道的情况下滥用网络，如拨打高收费电话或发送多媒体短信，以消耗用户的费用，套取非法收益。僵尸程序主要是作为黑客控制被攻陷系统的代理，攻击者可以用来发动拒绝服务攻击。间谍软件可以用获取系统上的机密信息。例如2006年9月，有人发现塞班操作系统上运行着一种称为A callano的间谍软件。这种问谍软件把所有收发的短信息导向一个外部的号码。这样就会允许别人安装间谍软件监视受害人的短信流量。2006