信息资源安全.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,8,信息资源安全,主讲人：卢涛,8,信息资源安全,什么是信息资源安全？,信息资源存在哪些安全隐患？,如何保障信息资源的安全？,讨论一下,为什么信息会面临安全威胁？,大家结合自己的认识和经历，谈谈信息安全问题有哪些表现？,信息安全面临的危胁无处不在,CSDN,密码泄露事件,2011,年,12,月，中国最大的程序员网络社区,CSDN,的安全系统遭到黑客攻击，,600,万用户的登录名、密码及邮箱遭到泄漏。经排查，金山毒霸员工疑为隐私泄露源头，金山深陷“泄密门”。随后，,CSDN,密码外泄门,持续发酵，天涯、世纪佳缘等网站相继被曝用户数据遭泄密。天涯网于,12,月,25,日发布致歉信，称天涯,4000,万用户隐私遭到黑客泄露。,近日中国互联网发生大规模用户信息泄露，,CSDN,网,600W,用户数据遭到泄露，网友从,600W,用户密码评选出最文艺的密码：,ppnn13%dkstFeb.1st,，网友纷纷评论认为该密码：密码牛,-,人文艺。你能看懂这个密码什么意思么？,“娉娉袅袅十三余 豆蔻梢头二月初”,2009,年,12,月,13,日，,环球时报,报道：一个参与中国海军潜艇科研项目的军工科研所发生了重大泄密事件。多份重要保密资料和文件，甚至一些关键材料的绝密技术资料，如潜艇新型隐身材料、静音技术这样的军工技术机密都被木马间谍程序从网上窃走了，落入境外情报机关之手。,谍影憧憧，黑手何在,?,安全、保密等部门迅速查清了案情：原来又是境外间谍机构无孔不入的网络窃密攻击。,隐藏在伪装外衣下的网络间谍木马工具寻隙钻入一台违规上网的工作电脑,，将其中存储的大量涉及军工项目的文件资料搜出、下载、传回。难以估量的军事情报损失就在看似平常的,“,小疏忽,”,中酿成了。,“,中国潜艇项目曾重大泄密 境外网络间谍窥探机密,”,中国国防部网站开通第一个月遭,230,多万次攻击,人民日报,2009,年,11,月,18,日的报道：记者在采访中国国防部网站,(,),总编季桂林时，季透露中国国防部网站自,8,月,20日上线以来，网站开通首月即遭黑客攻击,230,万次，不过攻击,“,均未奏效,”,。,“,少林寺网站被黑客篡改 贴出方丈悔过书,”,2009,年,11,月,12,日上午，网上各大论坛开始流传所谓少林寺官网贴出的方丈释永信,“,悔过书,”,，自称,“,对少林寺的现状感到羞愧、痛悔,”,，并表示,“,不要在商业化这条不归路上越走越远，成为少林寺和佛教的罪人,”,。据悉，这是黑客攻击了网站，并篡改了少林寺网站主页所致。,信息资源安全的重要意义,国家层面,企业和组织层面,个人层面,什么是信息资源安全？,信息资源安全的范畴比一般意义上的计算机安全、软件安全、网络安全更广泛。,从信息的层次来看,信息的来源去向和内容的真实无误，信息不会被非法泄露、扩散以及信息的完整性和保密性保证。,从硬件的层次来看,包括硬件设备的的物理安全、设备备份、质量保证。,什么是信息资源安全？,从软件及网络的层次来看,包括信息系统和网络随时可用，运行过程中不出现故障，若遇意外打击能够尽量减少损失并尽早恢复正常，以及信息的可靠性保证。,从管理的层次来看,包括人员的可靠性，安全管理的规章制度是否完善等。,窃听,什么是信息资源安全？,信息资源安全,是指在信息的采集、传输、加工、存储、利用的全过程中，防止与这一过程相关的信息及其载体、各类硬件设备和软件等被非法破坏、窃取和使用。,保密性（,Confidentiality,）,完整性（,Integrity,）,可用性（,Availability,）,可控性（,Controllability,）,不可否认性（,N,on-repudiation,）,可恢复性（,Recoverability,）,可审计性（,Auditability,）,信息的保密性（,Confidentiality,）,信息的保密性（,Confidentiality,）是指确保数据的机密性，保证机密信息不被窃听，或者窃听者不能了解信息的真实含义，防止未授权的访问即便被捕获也不会被解析。这是信息资源安全最重要的，也是最基本的要求。,具体的讲，就是系统能否保证有价值的重要信息对己方的高可靠性和对敌方的不可用性同时可对信息的来源进行判断，能对伪造来源的信息予以鉴别。换句话说，保密性就是对抗对手的被动攻击，保证信息不被泄露给未经授权的人。,信息的完整性,（,Integrity,）,信息的完整性（,Integrity,）,是指信息在存储、传输和使用过程中保持不被修改、不被破坏和不丢失。换句话说，完整性就是对抗对手主动攻击，防止信息被未经授权的篡改。保证信息的完整性是信息安全的基本要求，破坏信息的完整性，则是对信息安全发动攻击的目的之一。,信息的可用性（,Availability,）,信息的可用性（,Availability,）是指保障信息无论在何时、经过何种处理，当需要时能存取所需信息，即保证信息系统确实为授权使用者所用，防止由于计算机病毒或者其他人为因素所造成系统的拒绝使用。另外，信息的可用性还包括具有在某种不正常条件下继续运行的能力。,信息的可控性（,Controllability,）,信息的可控性是指授权机构对信息及信息系统实施安全监控，对信息内容及传播具有控制能力，可以控制授权访问内的信息流向及方向。,信息的不可否认性,（,N,on-repudiation,）,信息的不可否认性是指确保参与方无法否认自己对数据的特定操作（如授权、发送和接收等），即建立有效的责任机制，防止用户否认其行为。,信息的可恢复性,（,Recoverability,）,信息的可恢复性是指建立和实施一些安全方案，确保系统信息被破坏时还能有效获得原有信息资源。,什么是信息资源安全？,信息资源安全包括信息,系统安全,和信息资源,内容安全,两个方面，并以信息资源内容安全为最终目标。,信息资源安全，通常可以从技术安全和管理安全两个方面加以保证。,技术安全,是一种,被动,的安全保护措施，是在信息资源受到攻击的情况下发挥作用。,管理安全,是一种,主动,的安全预防措施，在信息资源的安全保护体系中，往往占有更重要的地位。,信息资源存在哪些安全隐患？,英国政府和互联网安全机构,“,获得在线安全,”,2009,年,1,月,26,日发布的调查报告显示，英国去年遭遇网络欺诈的网民达到,350,万,，占到英国网民总量的,12%英国,每日电讯,援引这份报告说，约,170,万人,遭遇在线购物欺诈，占网民总数的,6%,；遭遇银行账户或信用卡欺诈的人大约有,120,万,，占,4%,。所有遭欺诈网民中，平均每人损失金额为,875,英镑（约合,1700,美元）。,尽管因特网安全越来越受到关注，但仅有,48%,的受访网民认为网络安全应该从自身做起。,信息资源存在哪些安全隐患？,随着网上交易的日益发展，,3,亿多中国网民越来越多地在网络平台上交易，当热钱在网络上流动时，黑客们也在网络上布下,“,黑洞,”,吞噬钱财。,“,2009,江苏（南京）互联网高峰论坛,”,发布报告显示，一个基于网络的地下黑色产业链已逐渐形成，中国互联网用户每年因为网络安全损失被,“,黑掉,”,的钱财竟然高达,76,亿,！,信息资源存在哪些安全隐患？,信息资源的安全问题既可以从客观存在的角度来看，也可以从主观意识的角度来看。,从,客观,的角度来看，所看到的将是,技术,的层面；,从,主观,的角度来看，所看到的将是,社会,的层面。,从技术层面看信息资源面临的安全隐患,物理安全,物理安全是指围绕网络和信息系统的物理硬件设备及有关信息的安全。主要涉及信息及信息系统的电磁辐射、抗恶劣工作环境等方面的问题。面对的威胁主要有自然灾害（如地震、火灾、水灾等）造成的整个系统的毁灭，电源故障设备造成的设备断电以致操作系统引导失效或数据库信息丢失，设备被盗、被毁造成数据的丢失或信息泄露等。,物理安全的主要保护方式有数据校验和系统备份、电磁屏蔽、抗干扰、容错和冗余等。,从技术层面看信息资源面临的安全隐患,运行安全,运行安全是指围绕网络与信息系统的运行过程和运行状态的安全。它主要涉及信息系统的正常运行与有效访问控制等方面的问题。面对的威胁包括非法使用资源、越权访问、网络攻击、网络病毒、网络阻塞、系统安全漏洞利用、软件质量差和系统崩溃等。,运行安全主要的保护方式有防火墙与物理隔离、访问控制、病毒防治、应急响应、风险分析、漏洞扫描、入侵检测、系统加固和安全审计等。,从技术层面看信息资源面临的安全隐患,数据安全,数据安全是指围绕着数据（信息）的生成、处理、传输和存储等环节中的安全。主要涉及数据（信息）的泄露、破坏、伪造、否认等方面的问题。面对的危胁主要包括对数据（信息）的窃取、篡改、冒充、抵赖、伪造、密钥截获和攻击密钥等。,数据安全主要的保护方式有加密、认证、访问控制、鉴别、电子签名、完整性验证和非对称密钥加密等。,从技术层面看信息资源面临的安全隐患,内容安全,内容安全是指围绕非授权信息在网络上进行传播的安全。主要涉及对传播信息的有效控制。面对的威胁主要包括通过网络迅速传播有害信息、制造恶意舆论等。,主要的保护方式有信息内容的监控和过滤等。,从社会层面看信息资源面临的安全隐患,信息资源安全从社会层面的角度来看，反映在网络空间中的舆论文化、社会行为与技术环境,3,个方面。,舆论文化,社会行为,技术环境,信息资源存在哪些安全隐患？,具体的,安全威胁手段,：,（,1,）信息泄露,信息被泄露或透露给某个非授权的实体。,（,2,）破坏信息的完整性,数据被非授权地进行增删、修改或破坏而受到损失。,（,3,）拒绝服务,对信息或其他资源的合法访问被无条件地阻止。,（,4,）窃听,用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号搭线监听，或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。,信息资源存在哪些安全隐患？,具体的,安全威胁手段,：,（,5,）假冒,通过欺骗通信系统（或用户）达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。,（,6,）业务流分析,通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。,（,7,）授权侵犯,被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作“内部攻击”。,信息资源存在哪些安全隐患？,具体的,安全威胁手段,：,（,8,）旁路控制,攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是却又暴露出来的一些系统“特性”，利用这些“特性”，攻击者可以绕过防线守卫者侵入系统的内部。,（,9,）非法使用,(,非授权访问,),某一资源被某个非授权的人，或以非授权的方式使用。,信息资源存在哪些安全隐患？,具体的,安全威胁手段,：,（,10,）特洛伊木马,软件中含有一个觉察不出的有害的程序段，当它被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马,(Trojan Horse),。,（,11,）陷阱门,在某个系统或某个部件中设置的“机关”，使得在特定的数据输入时，允许违反安全策略。,（,12,）抵赖,这是一种来自用户的攻击，比如：否认自己曾经发布过的某条消息、伪造一份对方发来的信息等,。,信息资源存在哪些安全隐患？,具体的,安全威胁手段,：,（,13,）计算机病毒,一种在计算机系统运行过程中能够实现传染和侵害功能的程序。,（,14,）重放,出于非法目的，将所截获的某次合法的通信数据进行拷贝，而重新发送。,（,15,）人员不慎,一个授权的人为了某种利益，或由于粗心，将信息泄露给一个非授权的人。,信息资源存在哪些安全隐患？,具体的,安全威胁手段,：,（,16,）媒体废弃,信息被从废弃的磁的或打印过的存储介质中获得。,（,17,）物理侵入,侵入者绕过物理控制而获得对系统的访问。,（,18,）窃取,重要的安全物品，如令牌或身份卡被盗。,（,19,）业务欺骗,某一伪系统或系统部件欺骗合法的用户或系统自愿地放弃敏感信息等等,如何保障信息资源的安全？,如何保障信息资源的安全？,信息资源安全的保障体系：,人,管理,技术,信息资源安全,如何保障信息资源的安全？,管理手段,组织管理,对于任一级别的信息系统，都应有相应级别的、负责信息资源安全的专门管理机构。其主要职能是：制定、审查安全措施，确定实施安全措施的方针、策略和原则，组织实施安全措施并协调、监督和检查安全措施的执行情况。安全管理机构的人员要按不同任务进行分工以确立各自的责任。,人事管理,信息系统的安全威胁大多数来自人的因素，因此，在信息系统安全管理上要有一套完整、严格的工作规范和标准，有健全的信息安全方面的人事管理制度，以防止和最大限度地减少由于人为原因给系统带来的不安全因素。不仅对用户的行为要实施有效的监控，而且更重要的是要加强对系统内部工作人员的管理。,如何保障信息资源的安全？,管理手段,法制管理,法律法规在保护信息资源安全中具有重要的作用，它是保护信息资源安全的最终手段。对于已经发生的违法犯罪行为，必须依靠法律进行惩处。同时，法律可以使人们了解在信息资源安全管理和应用中的违法犯罪行为。通过法律的威慑力，使攻击者产生畏惧心理，达到惩一儆百、遏制犯罪的效果，从而使人们自觉遵守法律而不进行违法犯罪活动。,美国信息自由法,、,美国个人信息隐私与安全法,、,美国爱国者法,、,美国惩治信息伪造与滥用法,中华人民共和国宪法,、,中国人民共和国刑法,、,中华人民共和国保守国家秘密法,、,中华人民共和国国家安全法,、,中华人民共和国电子签名法,中华人民共和国计算机信息系统安全保护条例,、,中华人民共和国计算机信息网络国际联网管理暂行规定,、,商用密码管理条例,、,互联网信息服务管理办法,、,中国人民解放军计算机信息系统安全保密规定,如何保障信息资源的安全？,保障信息资源安全的,主要技术手段：,（,1,）用户认证技术,用户身份认证：是安全的第一道大门，是各种安全措施可以发挥作用的前提，身份认证技术包括：静态密码、动态密码（短信密码、动态口令牌、手机令牌）、,USB KEY,、,IC,卡、指纹虹膜等。,保障信息资源安全的主要技术手段：,（,2,）信息加密技术,信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。,数据加密技术主要分为数据,传输,加密和数据,存储,加密。数据传输加密技术主要是对传输中的数据流进行加密，常用的有链路加密、节点加密和端到端加密三种方式。,链路加密的目的是保护网络节点之间的链路信息安全；,节点加密的目的是对源节点到目的节点之间的传输链路提供保护；,端,-,端加密的目的是对源端用户到目的端用户的数据提供保护。,信息加密技术,在保障信息安全各种功能特性的诸多技术中，密码技术是信息安全的核心和关键技术，通过数据加密技术，可以在一定程度上提高数据传输的安全性，保证传输数据的完整性。,一个数据加密系统包括加密算法、明文、密文以及密钥，密钥控制加密和解密过程，一个加密系统的全部安全性是基于密钥的，而不是基于算法，所以加密系统的密钥管理是一个非常重要的问题。数据加密过程就是通过加密系统把原始的数字信息,(,明文,),，按照加密算法变换成与明文完全不同得数字信息,(,密文,),的过程。,数据加密与解密的过程,密码是含有一个参数,k,的数学变换，即,C=E,k,（,m,）,m,是未加密的信息（明文）,C,是加密后的信息（密文）,E,是加密算法,参数,k,称为密钥,密文,C,是明文,m,使用密钥,k,经过加密算法计算后的结果；,加密算法可以公开，而密钥只能由通信双方来掌握。,信息加密技术,对称密钥密码体系,加密过程,解密过程,密钥,明文密文,明文,传统密码体制所用的加密密钥和解密密钥相同，也称为对称密码体制,对称加密算法（,1,）：,DES,DES,数据加密标准,DES,(data encrytion standard),算法由,IBM,发明，并于,1976,年成为美国政府标准,DES,是一种数据分块的加密算法，数据长度为,64,位，其中,8,位作为基偶校验位，有效密码长度为,56,位,首先将明文数据进行初始置换，得到,64,位的混乱明文组，再将其分为,2,段，每段,32,位,然后进行乘积变换，在密匙的控制下，做,16,次迭代,最后进行逆初始变换而得到密文,对称加密算法（,2,）：,IDEA,IDEA,国际数据加密算法,IDEA,是行之有效的加密算法中最好、最安全的一种。由瑞士联邦科学技术学院,(SFT),的,Xuejia Lai,和,James Massey,提出,IDEA,使用,3,个,64,位的块，以进一步防范加密分析过程。,IDEA,使用了密码反馈操作，使得算法强度更高,IDEA,的密钥长度为,128,位。当试图破译,IDEA,时，它和,DES,一样没有泄露任何明文组成的信息,IDEA,存在最低要求。为得到强有力的密文，它在一个编码块中需要,64,位的信息文本,IDEA,是为有大量数据传输的,FTP,设计的,非对称密钥密码体系,RSA,算法：,1978,年出现的，其名字来源于它的发明者,Ron Rivest,、,Adi Shamir,以及,Leonard Adleman,RSA,的安全依赖于大数分解,假如已知两个非常大的质数的乘积，那么很难解析出到底是哪两个质数相乘的结果,(,因数分解,),RSA,的重要特点是其中一个密钥可用来加密数据，另一个密钥可用来解密。,加密过程,解密过程,公钥,明文,密文,明文,私钥,公共密钥算法,RSA,这意味着任何人都能用你的公共密钥对一条消息进行加密，而只有你才能对它进行解密。另外，你也可用自己的私人密钥对任何东西进行加密，而拿到你的公共密钥的任何人都能对其解密。这个概念在,“,非拒认,”,及数字签名中是非常重要的。,数字签名,公共密钥加密可用来进行身份验证，只需构建一个所谓的“数字签名”即可。,RSA,体制被认为是目前为止理论上最为成熟的一种公钥密码体制。,RSA,体制多用在数字签名、密钥管理和认证等方面。,数字签名,数字签名的特点,难以伪造：只有私人密钥的持有人才能生成签名。,无法抵赖：由于极难伪造，所以对于一份经过签名的文档来说，签署人很难抵赖这不是自己的,“,手迹,”,。,不可更改：一经签名，文档便不能修改。,不能转移：签名不能移走，并加入另一个不相干的文档。,保障信息资源安全的主要技术手段：,什么是防火墙（,Firewall,）,:,是计算机硬件和软件组成的一个或一组系统，用于增强内部网络和,Internet,之间的访问控制。,内部和外部之间的所有网络数据流必须经过防火墙,只有符合安全政策的数据流才能通过防火墙,防火墙自身应对渗透,(Penetration),免疫,过滤器,过滤器,内部网络,防火墙,外部网络,（,3,）防火墙技术,防火墙的作用,防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。,内部网,FTP,服务器,WWW,服务器,防火墙,外部,内部,1,2,Internet,路由器,路由器,防火墙的拓扑结构,防火墙的功能,防火墙的功能,过滤进入内部网络的数据包,管理进入内部网络的访问,阻挡被禁止的访问,记录通过防火墙的信息和活动,对网络攻击进行检测和告警,防火墙类型,从防火墙技术分为两大类。,(1),包过滤,(Packet filtering),型,包过滤型防火墙工作在,ISO,网络参考模型的网络层和传输层，它根据数据包头源地址，目的地址、端口号和协议类型等标志确定是否允许通过。只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。,(2),应用代理,(Application Proxy),型,应用代理型防火墙是工作在,ISO,的最高层，即应用层。其特点是完全,阻隔,了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。,保障信息资源安全的主要技术手段：,（,4,）计算机防病毒技术,计算机病毒的,预防,技术,通过一定的技术手段防止计算机病毒对系统的传染和破坏。实际上这是一种动态判定技术，即一种行为规则判定技术。也就是说，计算机病毒的预防是采用对病毒的规则进行分类处理，而后在程序运作中凡有类似的规则出现则认定是计算机病毒。,具体来说，计算机病毒的预防是通过阻止计算机病毒进入系统内存或阻止计算机病毒对磁盘的操作，尤其是写操作。,计算机病毒的预防技术,预防病毒技术包括：磁盘引导区保护、加密可执行程序、读写控制技术、系统监控技术等。例如，大家所熟悉的防病毒卡，其主要功能是对磁盘提供写保护，监视在计算机和驱动器之间产生的信号以及可能造成危害的写命令，并且判断磁盘当前所处的状态：哪一个磁盘将要进行写操作，是否正在进行写操作，磁盘是否处于写保护等，来确定病毒是否将要发作。,计算机病毒的预防应用包括对已知病毒的预防和对未知病毒的预防两个部分。目前，对已知病毒的预防可以采用特征判定技术或静态判定技术，而对未知病毒的预防则是一种行为规则的判定技术，即动态判定技术,计算机防病毒技术,计算机病毒的,检测,技术,通过一定的技术手段判定出特定计算机病毒的一种技术。它有两种方法：,一种是根据计算机病毒的关键字、特征程序段内容、病毒特征及传染方式、文件长度的变化，在特征分类的基础上建立的病毒检测技术。,另一种是不针对具体病毒程序的自身校验技术。即对某个文件或数据段进行检验和计算并保存其结果，以后定期或不定期地以保存的结果对该文件或数据段进行检验，若出现差异，即表示该文件或数据段完整性已遭到破坏，感染上了病毒，从而检测到病毒的存在。,计算机防病毒技术,计算机病毒,清除,技术,计算机病毒的清除技术是计算机病毒检测技术发展的必然结果，是计算机病毒传染程序的一种逆过程。目前，清除病毒大都是在某种病毒出现后，通过对其进行分析研究而研制出来的具有相应解毒功能的软件。这类软件技术发展往往是被动的，带有滞后性。而且由于计算机软件所要求的精确性，解毒软件有其局限性，对有些变种病毒的清除无能为力。,（,5,）虚拟专用网（,VPN,）,采用加密和认证技术，利用公共通信网络设施的一部分来发送专用信息，为相互通信的节点建立起的一个相对封闭的、逻辑上的专用网络。,通常用于大型组织跨地域的各个机构之间的联网信息交换，或是流动工作人员与总部之间的通信。,只允许特定利益集团内可以建立对等连接，保证在网络中传输的数据的保密性和安全性。,目标是在不安全的公共网络上建立一个安全的专用通信网络。,保障信息资源安全的主要技术手段：,虚拟专用网,VPN,的好处,实现了网络安全。,简化网络设计和管理。,降低成本。,容易扩展，适应性强。,可随意与合作伙伴联网。,完全控制主动权。,支持新兴应用。,IP VPN的基本信息处理过程,内部网主机发送明文信息到连接公共网络的,VPN,设备。,VPN,设备根据网络管理员设置的规则，确定是否需要对数据进行加密或让数据直接通过。,对需要加密的数据，,VPN,设备在网络,IP,层对整个,IP,数据包进行加密和附上数字签名。,VPN,设备重新封装加密后数据（加上新的数据报头，包括目的地,VPN,设备所需的安全信息和一些初始化参数），然后将其通过虚拟通道在公共网络上传输。,当数据包到达目标,VPN,设备时，数据包被解除封装，数字签名被核对无误后数据包被解密还原。,IP VPN,的基本信息处理过程,VPN,的主要技术,隧道技术（,Tunneling,）。,加解密技术（Encryption&Decryption,）。,密钥管理技术（,Key Management,）。,使用者与设备身份鉴别技术（,Authentication,）。,如何保障信息资源的安全？,保障信息资源安全的,主要技术：,如何保障信息资源的安全？,信息资源安全的保障体系框架：,信息资源安全法律法规,信息资源安全组织管理制度,信息资源安全技术保证,信息资源安全平台及安全基础设施,国家信息基础设施,信,息,资,源,安,全,人,才,支,撑,信,息,资,源,安,全,经,费,支,撑,典型的信息安全事件,个人隐私信息泄露类,泄密案类,黑客入侵类,恶意软件类,国家国防安全类,“,少林寺网站被黑客篡改 贴出方丈悔过书,”,2009,年,11,月,12,日上午，网上各大论坛开始流传所谓少林寺官网贴出的方丈释永信,“,悔过书,”,，自称,“,对少林寺的现状感到羞愧、痛悔,”,，并表示,“,不要在商业化这条不归路上越走越远，成为少林寺和佛教的罪人,”,。据悉，这是黑客攻击了网站，并篡改了少林寺网站主页所致。,2009,年,12,月,13,日，,环球时报,报道：一个参与中国海军潜艇科研项目的军工科研所发生了重大泄密事件。多份重要保密资料和文件，甚至一些关键材料的绝密技术资料，如潜艇新型隐身材料、静音技术这样的军工技术机密都被木马间谍程序从网上窃走了，落入境外情报机关之手。,谍影憧憧，黑手何在,?,安全保密等部门迅速查清了案情：原来又是境外间谍机构无孔不入的网络窃密攻击。,隐藏在伪装外衣下的网络间谍木马工具寻隙钻入一台违规上网的工作电脑,，将其中存储的大量涉及军工项目的文件资料搜出、下载、传回。难以估量的军事情报损失就在看似平常的,“,小疏忽,”,中酿成了。,“,中国潜艇项目曾重大泄密 境外网络间谍窥探机密,”,个人信息安全保护小提示（,tips,）,Rule 1,重视防病毒软件的安装，并及时升级到最新的病毒库，定期扫描杀毒。,系统软件,-,杀毒软件,-,应用软件,卡巴斯基、,NOD32,、诺顿,360,杀毒、金山毒霸、瑞星杀毒,个人信息安全保护小提示（,tips,）,Rule 2,非常重要的个人信息和个人资料不要轻易在网上传递，以免泄露。,身份证号、手机号、家庭住址、家庭电话、家人信息等,网上论坛的注册邮箱最好不要用自己的常用邮箱,网上发送电子邮箱地址（,如,abc,应写成,abc#),个人信息安全保护小提示（,tips,）,Rule 3,非常重要的隐私信息一定要加密存储。,Window,自带加密功能,WinRAR,压缩软件加密功能,其他文件加密软件,个人信息安全保护小提示（,tips,）,Rule 4,个人密码不要都用同一个，而且密码应至少,8,位，而且是包括大写字母、小写字母、数字、符号的组合。,不在公共电脑上登录,QQ,、电子邮件、网上银行等，如果确实需要登录，输入密码时请使用软键盘。,个人信息安全保护小提示（,tips,）,Rule 5,非常重要的信息一定要经常备份。,打包压缩加密之后存储在不同地方，不同存储设备上。（电脑硬盘上、,U,盘上、网络硬盘上、云存储,）,备份一般应至少选取,3,个时间节点来保存。,Thank you,！,Any Questions,？,