【正文】 第 1章 信息安全概述 信息安全概述 信息安全需求 網(wǎng)絡(luò)不安全的根本原因 信息安全體系結(jié)構(gòu) 小結(jié) 習(xí)題 第 1章 信息安全概述 我們經(jīng)常在媒體上看到有關(guān)信息安全事件的報(bào)道，比如某大型網(wǎng)站遭到黑客攻擊、某種新型病毒出現(xiàn)、犯罪分子利用計(jì)算機(jī)網(wǎng)絡(luò)詐騙錢財(cái)?shù)?。無疑，信息安全的現(xiàn)狀十分令人 信息安全現(xiàn)狀 第 1章 信息安全概述 現(xiàn)在談?wù)摰男畔踩?，?shí)際上是指面向網(wǎng)絡(luò)的信息安全。Inter最初是作為一個(gè)國防信息共享的工具來開發(fā)的，這種連接的目的在于數(shù)據(jù)共享，并沒有把信息的安全看做一個(gè)重要因素來考慮。隨著 Inter的擴(kuò)張和壯大，特別是電子商務(wù)的應(yīng)用，系統(tǒng)的脆弱性和安全漏洞不能完全滿足安全服務(wù) 的需要，再加上商業(yè)信息時(shí)常被非法竊取、篡改、偽造或刪除，因此， Inter 盡管目前學(xué)術(shù)界對(duì)信息安全威脅的分類沒有統(tǒng)一的認(rèn)識(shí)， 第 1章 信息安全概述 1. 人為因素的威脅分為無意識(shí)的威脅和有意識(shí)的威脅兩種。無意識(shí)的威脅是指因管理的疏忽或使用者的操作失誤而造成的信息泄露或破壞。有意識(shí)的威脅是指行為人主觀上惡意 攻擊信息系統(tǒng)或獲取他人秘密資料，客觀上造成信息系統(tǒng)出現(xiàn)故障或運(yùn)行速度減慢，甚至系統(tǒng)癱瘓的后果。有意識(shí)的威脅又分為內(nèi)部攻擊和外部攻擊。外部攻擊又可分為主動(dòng)攻擊 第 1章 信息安全概述 2. 非人為因素的威脅包括自然災(zāi)害、系統(tǒng)故障和技術(shù)缺陷等。自然災(zāi)害包括地震、雷擊、洪水等，可直接導(dǎo)致物理設(shè)備的損壞或零部件故障，這類威脅具有突發(fā)性、自然性和不可抗拒性等特點(diǎn)。自然災(zāi)害還包括環(huán)境的干擾，如溫度過高或過低、電壓異常波動(dòng)、電磁輻射干擾等，這些情況都可能造成系統(tǒng)運(yùn)行的異常或破壞系統(tǒng)。系統(tǒng)故障指因設(shè)備老化、零部件磨損而造成的威脅。技術(shù)缺陷指因受技術(shù)水平和能力的限制而造成的威脅，如操作系統(tǒng)漏洞、應(yīng)用軟件瑕疵等。 信息安全威脅的分類如圖 111 第 1章 信息安全概述 圖 111 信息安全威脅的分類 第 1章 信息安全概述 許多人一提到信息安全，自然會(huì)聯(lián)想到密碼、黑客、病毒等專業(yè)技術(shù)問題。實(shí)際上，網(wǎng)絡(luò)環(huán)境下的信息安全不僅涉及到這些技術(shù)問題，而且還涉及到法律、政策和管理問題， 技術(shù)問題雖然是最直接的保證信息安全的手段，但離開了法律、政策和管理的基礎(chǔ)，縱有最先進(jìn)的技術(shù)，信息安全也得 第 1章 信息安全概述 1. 近十年來，電子政務(wù)發(fā)展迅速，政府網(wǎng)站的安全代表著 電子政務(wù)中政府信息安全的實(shí)質(zhì)是由于計(jì)算機(jī)信息系統(tǒng)作為國家政務(wù)的載體和工具而引發(fā)的信息安全。電子政務(wù)中的政府信息安全是國家安全的重要內(nèi)容，是保障國家信息安 全所不可或缺的組成部分。由于互聯(lián)網(wǎng)發(fā)展在地域上極不平衡，信息強(qiáng)國對(duì)于信息弱國已經(jīng)形成了戰(zhàn)略上的“信息位勢(shì)差”?！靶畔⒔颉辈辉偈且詡鹘y(tǒng)的地緣、領(lǐng)土、領(lǐng)空、領(lǐng)海來劃分的，而是以帶有政治影響力的信息輻射空間來劃分 第 1章 信息安全概述 2. 隨著信息化程度的提高，國民經(jīng)濟(jì)和社會(huì)運(yùn)行對(duì)信息資料和信息基礎(chǔ)設(shè)施的依賴程度越來越高。然而，我國計(jì)算機(jī)犯罪的增長速度遠(yuǎn)遠(yuǎn)超過了傳統(tǒng)意義犯罪的增長速度，計(jì)算機(jī)犯罪從 1997年的 20多起，發(fā)展到 1998年的 142起，再到1999年的 908起。 1999年 4月 26日， CIH病毒大爆發(fā)，據(jù)統(tǒng)計(jì)，我國受到影響的計(jì)算機(jī)總量達(dá)到 36萬臺(tái)，經(jīng)濟(jì)損失可能達(dá)到12億元。 2023年公安部網(wǎng)監(jiān)局調(diào)查了 7起銷售網(wǎng)絡(luò)木馬程序案件，每起案件的木馬銷售獲利均超過 1000萬元。據(jù)公安機(jī)關(guān)的估算， 7起案件實(shí)施的網(wǎng)絡(luò)盜竊均獲利 20億元以上。 第 1章 信息安全概述 3. 文化是一個(gè)國家民族精神和智慧的長期積淀和凝聚，是民族振興發(fā)展的價(jià)值體現(xiàn)。在不同文化相互交流的過程中，一些國家為了達(dá)到經(jīng)濟(jì)和政治上的目的，不斷推行“文化殖 民”政策，形成了日益嚴(yán)重的“文化帝國主義”傾向。同時(shí)，互聯(lián)網(wǎng)上散布著一些虛假信息、有害信息，包括網(wǎng)絡(luò)色情、賭博等不健康的信息，對(duì)青少年的價(jià)值觀、文化觀造成了嚴(yán) 第 1章 信息安全概述 4. 要使網(wǎng)絡(luò)安全運(yùn)行、數(shù)據(jù)安全傳遞，僅僅靠人們的良好愿望和自覺意識(shí)是不夠的，需要必要的法律建設(shè)，以法制來強(qiáng)化信息安全。這主要涉及網(wǎng)絡(luò)規(guī)劃與建設(shè)的法律問題、網(wǎng) 絡(luò)管理與經(jīng)營的法律問題、用戶 (自然人或法人 )數(shù)據(jù)的法律保護(hù)、電子資金劃轉(zhuǎn)的法律認(rèn)證、計(jì)算機(jī)犯罪與刑事立法、 第 1章 信息安全概述 法律是信息安全的防御底線，也是維護(hù)信息安全的最根本保障，任何人都必須遵守，帶有強(qiáng)制性。不難設(shè)想，若計(jì)算機(jī)網(wǎng)絡(luò)領(lǐng)域沒有法制建設(shè)，那么網(wǎng)絡(luò)的規(guī)劃與建設(shè)必然是 混亂的，網(wǎng)絡(luò)將沒有規(guī)范、協(xié)調(diào)的運(yùn)營管理，數(shù)據(jù)將得不到有效的保護(hù)，電子資金的劃轉(zhuǎn)將產(chǎn)生法律上的糾紛，黑客將受不到任何懲罰。但是，有了相關(guān)法律的保障，并不等于安 全問題就解決了，還需要相應(yīng)的配套政策，才能使保障信息 第 1章 信息安全概述 5. 在網(wǎng)絡(luò)威脅多樣化的時(shí)代，單純追求技術(shù)方面的防御措施是不能全面解決信息安全問題的，計(jì)算機(jī)網(wǎng)絡(luò)管理制度是網(wǎng)絡(luò)建設(shè)的重要方面。信息安全的管理包括三個(gè)層次的內(nèi)容 : 組織建設(shè)、制度建設(shè)和人員意識(shí)。組織建設(shè)是指有關(guān)信息安全管理機(jī)構(gòu)的建設(shè)，也就是說，要建立健全安全管理機(jī)構(gòu)。 第 1章 信息安全概述 信息安全的管理包括安全規(guī)劃、風(fēng)險(xiǎn)管理、應(yīng)急計(jì)劃、安全教育培訓(xùn)、安全系統(tǒng)評(píng)估、安全認(rèn)證等多方面的內(nèi)容，只靠一個(gè)機(jī)構(gòu)是無法解決這些問題的，因此應(yīng)在各信息安全管理機(jī)構(gòu)之間，依照法律法規(guī)的規(guī)定建立相關(guān)的安全管理制 度，明確職責(zé)，責(zé)任到人，規(guī)范行為，保證安全。 第 1章 信息安全概述 明確了各機(jī)構(gòu)的職責(zé)后，還需要建立切實(shí)可行的規(guī)章制度，如對(duì)從業(yè)人員的管理，需要解決任期有限、職責(zé)隔離和最小權(quán)限的問題。 有了組織機(jī)構(gòu)和相應(yīng)的制度，還需要加強(qiáng)人員意識(shí)的培養(yǎng)。通過進(jìn)行網(wǎng)絡(luò)信息安全意識(shí)的教育和培訓(xùn)，增強(qiáng)全民的網(wǎng)絡(luò)安全意識(shí)和法制觀念，以及對(duì)信息安全問題的重視，尤 其是對(duì)主管計(jì)算機(jī)應(yīng)用工作的領(lǐng)導(dǎo)和計(jì)算機(jī)系統(tǒng)管理員、操作員要通過多種渠道進(jìn)行計(jì)算機(jī)及網(wǎng)絡(luò)安全法律法規(guī)和安全技術(shù)知識(shí)培訓(xùn)與教育，使主管領(lǐng)導(dǎo)增強(qiáng)計(jì)算機(jī)安全意識(shí)，使 計(jì)算機(jī)應(yīng)用人員掌握計(jì)算機(jī)安全知識(shí)，知法、懂法、守法。 第 1章 信息安全概述 6. 目前，出現(xiàn)的許多信息安全問題，從某種程度上講，可以說是由技術(shù)上的原因造成的，因此，對(duì)付攻擊也最好采用技術(shù)手段。如 : 加密技術(shù)用來防止公共信道上的信息被竊 取 。 完整性技術(shù)用來防止對(duì)傳輸或存儲(chǔ)的信息進(jìn)行篡改、偽造、刪除或插入的攻擊 。 認(rèn)證技術(shù)用來防止攻擊者假冒通信方發(fā)送假信息 。 第 1章 信息安全概述 不論采取何種安全措施，一個(gè)計(jì)算機(jī)系統(tǒng)很