【文章內(nèi)容簡介】 icense管理應(yīng)由專人負(fù)責(zé) ? 軟件若需更新，應(yīng)提出申請，經(jīng)評估確認(rèn)后才能實施，并進(jìn)行記錄 ? 軟件使用到期，應(yīng)卸載軟件 39 重要信息的保密 信息交換及備份 軟件應(yīng)用安全 計算機(jī)及網(wǎng)絡(luò)訪問安全 人員及第三方安全管理 移動計算與遠(yuǎn)程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學(xué) 應(yīng)急響應(yīng)和業(yè)務(wù)連續(xù)性計劃 法律法規(guī) 計算機(jī)網(wǎng)絡(luò)訪問 40 ? 訪問控制基本原則：未經(jīng)明確允許即為禁止訪問 ? 必須通過唯一注冊的用戶 ID來控制用戶對網(wǎng)絡(luò)的訪問 ? 系統(tǒng)管理員必須確保用戶訪問基于 最小特權(quán) 原則授權(quán) ? 用戶必須根據(jù)要求使用口令并保守秘密 ? 系統(tǒng)管理員必須對用戶訪問權(quán)限進(jìn)行檢查，防止濫用 ? 系統(tǒng)管理員必須確保網(wǎng)絡(luò)服務(wù)可用 ? 系統(tǒng)管理員必須根據(jù)安全制度要求定義訪問控制規(guī)則，用戶必須遵守規(guī)則 ? 各部門應(yīng)按照管理規(guī)定制定并實施對業(yè)務(wù)應(yīng)用系統(tǒng)、開發(fā)和測試系統(tǒng)的訪問規(guī)則 計算機(jī)網(wǎng)絡(luò)訪問 安全（舉例） 41 重要信息的保密 信息交換及備份 軟件應(yīng)用安全 計算機(jī)及網(wǎng)絡(luò)訪問安全 人員及第三方安全管理 移動計算與遠(yuǎn)程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學(xué) 應(yīng)急響應(yīng)和業(yè)務(wù)連續(xù)性計劃 法律法規(guī) 人員安全管理 42 背景檢查 簽署保密協(xié)議 安全職責(zé)說明 技能意識培訓(xùn) 內(nèi)部職位調(diào)整及離職檢查流程 績效考核和獎懲 人員 安全（舉例） 43 ? 所有員工必須根據(jù)需要接受恰當(dāng)?shù)陌踩嘤?xùn)和指導(dǎo) ? 根據(jù)工作所需，各部門應(yīng)該識別并評估員工的培訓(xùn)需求 ? 業(yè)務(wù)部門應(yīng)該建立并維持員工安全意識程序，確保員工通過培訓(xùn)而精于工作技能，并將信息安全意識深入其工作之中 ? 管理層有責(zé)任引領(lǐng)信息安全意識促進(jìn)活動 ? 信息安全意識培訓(xùn)應(yīng)該持續(xù)進(jìn)行，員工有責(zé)任對培訓(xùn)效果提出反饋 ? 人力資源部門負(fù)責(zé)跟蹤培訓(xùn)策略的符合性， 保留員工接受培訓(xùn)的相關(guān)記錄 ? 信息安全經(jīng)理應(yīng)該接受專門的信息安全技能培訓(xùn) ? 技術(shù)部門等特定職能和人員應(yīng)該接受相應(yīng)的技能培訓(xùn) 人員 安全（舉例） 44 ? 應(yīng)該識別來自第三方的風(fēng)險：保安、清潔、基礎(chǔ)設(shè)施維護(hù)、供應(yīng)商或外包人員，低質(zhì)量的外包服務(wù)也被視作一種安全風(fēng)險 ? 簽署第三方協(xié)議時應(yīng)包含安全要求，必要時需簽署不擴(kuò)散協(xié)議 ? 第三方若需訪問敏感信息，需經(jīng)檢查和批準(zhǔn)，其訪問將受限制 ? 任何第三方禁止訪問生產(chǎn)網(wǎng)絡(luò) ? 第三方訪問所用工具應(yīng)經(jīng)過相關(guān)部門檢查，其訪問應(yīng)經(jīng)過認(rèn)證 ? 負(fù)責(zé)第三方訪問的人員需接受必要的安全意識培訓(xùn) 第三方管理 安全（舉例） 45 重要信息的保密 信息交換及備份 軟件應(yīng)用安全 計算機(jī)及網(wǎng)絡(luò)訪問安全 人員及第三方安全管理 移動計算與遠(yuǎn)程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學(xué) 應(yīng)急響應(yīng)和業(yè)務(wù)連續(xù)性計劃 法律法規(guī) 移動計算與遠(yuǎn)程辦公 46 ? 所有連接辦公網(wǎng)絡(luò)的筆記本電腦或其他移動計算機(jī)，必須按照指定 PC安全標(biāo)準(zhǔn)來配置，必須符合補(bǔ)丁和防病毒管理規(guī)定 ? IT管理部門可以協(xié)助用戶部署必要的筆記本電腦防信息泄漏措施 ? 用戶不能將口令、 ID或其他賬戶信息以明文保存在移動介質(zhì)上 ? 筆記本電腦遺失應(yīng)按照相應(yīng)管理制度執(zhí)行安全響應(yīng)措施 ? 敏感信息應(yīng)加密保護(hù) ? 禁止在公共區(qū)域討論敏感信息，或通過筆記本電腦泄漏信息 筆記本電腦與遠(yuǎn)程辦公 安全（舉例） 47 重要信息的保密 信息交換及備份 軟件應(yīng)用安全 計算機(jī)及網(wǎng)絡(luò)訪問安全 人員及第三方安全管理 移動計算與遠(yuǎn)程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學(xué) 應(yīng)急響應(yīng)和業(yè)務(wù)連續(xù)性計劃 法律法規(guī) 工作環(huán)境及物理安全 48 ? 關(guān)鍵安全區(qū)域包括服務(wù)器機(jī)房、財務(wù)部門和人力資源部門、法務(wù)部、安全監(jiān)控室應(yīng)具備門禁設(shè)施 ? 前臺接待負(fù)責(zé)檢查外來訪客證件并進(jìn)行登記，訪客進(jìn)入內(nèi)部需持臨時卡并由相關(guān)人員陪同 ? 實施 7 24小時保安服務(wù)，檢查保安記錄 ? 所有入口和內(nèi)部安全區(qū)都需部署有攝像頭，大門及各樓層入口都被實時監(jiān)控 ? 禁止隨意放置或丟棄含有敏感信息的紙質(zhì)文件，廢棄文件需用碎紙機(jī)粉碎 ? 廢棄或待修磁介質(zhì)轉(zhuǎn)交他人時應(yīng)經(jīng) IT管理部門消磁處理 工作環(huán)境 安全（舉例） 49 您肯定用過銀行的 ATM機(jī)，您插入銀行卡，然后輸入密碼，然后取錢，然后拔卡，然后離開，您也許注意到您的旁邊沒有別人，您很小心，可是，您真的足夠小心嗎？ …… 我們來看一個 案例 50 51 52 53 54 55 重要信息的保密 信息交換及備份 軟件應(yīng)用安全 計算機(jī)及網(wǎng)絡(luò)訪問安全 人員及第三方安全管理 移動計算與遠(yuǎn)程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學(xué) 應(yīng)急響應(yīng)和業(yè)務(wù)連續(xù)性計劃 法律法規(guī) 病毒與惡意代碼 56 —— 《 中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例 》 “計算機(jī)病毒 ，是指編制或者在計算機(jī)程序中插入的破壞計算機(jī)功能或者毀壞數(shù)據(jù)，影響計算機(jī)使用，并能自我復(fù)制的一組計算機(jī)指令或者程序代碼。” 什么是 計算機(jī)病毒 57 病毒 Virus 蠕蟲 Worm 木馬 Trojan 傳統(tǒng)的計算機(jī)病毒，具有 自我繁殖能力，寄生于其他可執(zhí)行程序中的，通過磁盤拷貝、文件共享、電子郵件等多種途徑進(jìn)行擴(kuò)散和感染 網(wǎng)絡(luò)蠕蟲不需借助其他可執(zhí)行程序就能獨立存在并運(yùn)行，通常利用網(wǎng)絡(luò)中某些主機(jī)存在的漏洞來感染和擴(kuò)散 特洛伊木馬是一種傳統(tǒng)的后門程序，它可以冒充正常程序，截取敏感信息，或進(jìn)行其他非法的操作 病毒 蠕蟲 木馬 58 ? 除了蠕蟲、病毒、木馬等惡意代碼 ，其他惡意代碼還包括邏輯炸彈、遠(yuǎn)程控制后門等 ? 現(xiàn)在，傳統(tǒng)的計算機(jī)病毒日益與網(wǎng)絡(luò)蠕蟲結(jié)合，發(fā)展成威力更為強(qiáng)大的混合型蠕蟲病毒，傳播途徑更加多樣化（網(wǎng)絡(luò)、郵件、網(wǎng)頁、局域網(wǎng)等） ? 通常的商業(yè)殺毒軟件都能查殺基本的病毒、蠕蟲和木馬程序，但并不能防止未知病毒，需要經(jīng)常更新