【文章內容簡介】 物理介質傳輸： ? 與快遞公司簽署不擴散協(xié)議，識別丟失風險，采取必要的控制措施 ? 電子郵件和互聯網信息交換 ? 明確不可涉及敏感數據，如客戶信息、訂單合同等信息 ? 如必須交換此類信息，需申請主管批準并采取加密傳輸措施或 DRM保護機制 ? 文件共享： ? 包括 Confidential在內的高級別的信息不能被發(fā)布于公共區(qū)域 ? 所有共享文件應按照規(guī)則放置在相應的文件服務器目錄中，任何人不得在其個人電腦中開設共享。 ? 共享文件夾應該設置恰當的訪問控制，禁止向所有用戶賦予完全訪問權限 ? 臨時共享的文件事后應予以刪除 信息備仹安全 89 ?重要信息系統(tǒng)應支持全備份、差量備份和增量備份 ?備份介質的存儲異地存放 ?屬主應該確保備份成功并定期檢查日志，根據需要，定期檢查和 實施測試以驗證備份效率和效力 軟件應用安全 90 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 軟件應用安全 應用安全 91 ?盡量不要同時打開多個鏈接窗口 ?當某個網站提出要將本網站設置為主頁時，要取消操作 ?當網頁中彈出安裝某個插件的對話框時，要取消安裝，的確需要安裝的，請與管理人員聯系。 ?定期清楚歷史訪問信息、 cookies以及 Inter臨時文件 ?禁止利用單位信息系統(tǒng)從事與工作無關的活動，如網上聊天、打游戲等 ?禁止下載、上傳、傳播與工作無關的文件 ?禁止在網絡上運行任何黑客軟件 計算機網絡訪問 92 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 計算機網絡訪問 計算機網絡訪問安全 93 ? 訪問控制基本原則：未經明確允許即為禁止訪問 ? 必須通過唯一注冊的用戶 ID來控制用戶對網絡的訪問 ? 系統(tǒng)管理員必須確保用戶訪問基于 最小特權 原則而授權 ? 用戶必須根據要求使用口令并保守秘密 ? 系統(tǒng)管理員必須對用戶訪問權限進行檢查，防止濫用 ? 系統(tǒng)管理員必須根據安全制度要求定義訪問控制規(guī)則，用戶必須遵守規(guī)則 ? 各部門應按照管理規(guī)定制定并實施對業(yè)務應用系統(tǒng)、開發(fā)和測試系統(tǒng)的訪問規(guī)則 人員安全管理 94 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 人員安全管理 人員安全 95 背景檢查 簽署保密協(xié)議 安全職責說明 技能意識培訓 績效考核和獎懲 內部職位調整及離職檢查流程 第三方人員安全 96 ? 應該識別來自第三方的風險：保安、清潔、基礎設施維護、供應商或外包人員，低質量的外包服務也被視作一種安全風險 ? 簽署第三方協(xié)議時應包含安全要求，必要時需簽署不擴散協(xié)議 ? 第三方若需訪問敏感信息，需經檢查和批準，其訪問將受限制 ? 任何第三方禁止 無人陪同 訪問生產網絡 環(huán)境 ? 第三方訪問所用工具應經過相關部門檢查， 確認安全可靠， 其訪問應經過認證 ? 負責第三方訪問的人員需 對三方人員進行 必要的安全培訓 秱勱計算不進程辦公 97 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 移動計算與遠程辦公 筆記本電腦不進程辦公安全 98 ? 所有連接辦公 生產 網絡的筆記本電腦或其他移動計算機，必須按照指定 PC安全標準來配置，必須符合補丁和防病毒管理規(guī)定 ? 相關 管理部門 必須 協(xié)助部署必要的筆記本電腦防信息泄漏措施 ? 用戶不能將口令、 ID或其他賬戶信息以明文保存在移動介質上 ? 筆記本電腦遺失應按照相應管理制度執(zhí)行安全響應措施 ? 敏感信息應加密保護 ? 禁止在公共區(qū)域討論敏感信息，或通過筆記本電腦泄漏信息 工作環(huán)境及物理安全 99 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 工作環(huán)境及物理安全 工作安全環(huán)境安全 100 ? 關鍵安全區(qū)域包括機房、財務部門 、 人力資源部門 及其他處理重要數據的辦公區(qū)域，類似區(qū)域 應具備門禁設施 ? 前臺接待負責檢查外來訪客證件并進行登記，訪客進入內部需持臨時卡并由相關人員陪同 ? 實施 7 24小時保安服務，檢查保安記錄 ? 所有入口和內部安全區(qū)都需部署有攝像頭，大門及各樓層入口都被實時監(jiān)控 ? 禁止隨意放置或丟棄含有敏感信息的紙質文件，廢棄文件需用碎紙機粉碎 ? 廢棄或待修磁介質轉交他人時應經 IT專業(yè) 管理部門消磁處理 細節(jié) 101 注意你的身邊！ 注意最細微的地方！ 病毒不惡意代碼 102 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 病毒與惡意代碼 惡意代碼防范策略 103 ? 所有計算機必須部署指定的防病毒軟件 ? 防病毒軟件必須持續(xù)更新 ? 感染病毒的計算機必須從網絡中隔離直至清除病毒 ? 任何意圖在內部網絡創(chuàng)建或分發(fā)惡意代碼的行為都被視為違反管理制度 ? 發(fā)生任何病毒傳播事件，相關人員應及時向 IT管理部門匯報 ? …… ?僅此就夠了么 口令安全 104 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 口令安全 什舉口令很重要 105 ? 用戶名 +口令是最簡單也最常用的身份認證方式 ? 口令是抵御攻擊的第一道防線，防止冒名頂替 ? 口令也是抵御網絡攻擊的最后一道防線 ? 針對口令的攻擊簡便易行，口令破解快速有效 ? 由于使用不當，往往使口令成為最薄弱的安全環(huán)節(jié) ? 口令與個人隱私息息相關，必須慎重保護 數字 …… 106 ? 如果你以請一頓工作餐來作為交換，有 70％ 的人樂意告訴你他（她）的機器口令 ? 有 34％ 的人，甚至不需要賄賂，就可奉獻自己的口令 ? 另據調查，有 79％ 的人，在被提問時，會無意間泄漏足以被用來竊取其身份的信息 ? 平均每人要記住四個口令， 95％ 都習慣使用相同的口令（在很多需要口令的地方） ? 33％ 的人選擇將口令寫下來，然后放到抽屜或夾到文件里 脆弱的口令 107 ? 少于 8個字符 ? 單一的字符類型，例如只用小寫字母，或只用數字 ? 用戶名與口令相同 ? 最常被人使用的弱口令： ? 自己、家人、朋友、親戚、寵物的名字 ? 生日、結婚紀念日、電話號碼等個人信息 ? 工作中用到的專業(yè)術語，職業(yè)特征 ? 字典中包含的單詞，或者只在單詞后加簡單的后綴 ? 所有系統(tǒng)都使用相同的口令 ? 口令一直不變 值得注意的 …… 108 ? 口令是越長越好 ? 但 “ 選用 20個隨機字符作為口令 ” 的建議也不可取 ? 人們總習慣選擇容易記憶的口令 ? 如果口令難記，可能會被寫下來，這樣反倒更不安全 建議 …… 109 ? 口令至少應該由 8個字符組成 ? 口令應該是大小寫字母、數字、特殊字符的混合體 ? 不要使用名字、生日等個人信息和字典單詞 ? 選擇易記強口令的幾個竅門： ? 口令短語 ? 字符替換 ? 單詞誤拼 ? 鍵盤模式 口令設置 110 找到一個生僻但易記的短語或句子（可以摘自歌曲、書本或電影），然后創(chuàng)建它的縮寫形式，其中包括大寫字母和標點符號等。 I like this PiaoLiangMeiMei ! iLtPPMM! My son Tom was born at 8:05 MsTwb8:05 口令設置 鍵盤模式 111 ? 試著使用數字和特殊字符的組合 ? 避免“ qwerty”這樣的直線，而使用 Z字型或者多條短線 ? 這種方法很容易被人看出來 ? 鍵盤輸入時不要讓人看見 口令管理 112 ? 員工 有責任記住自己的口令 ? 賬號 在獨立審計的前提下進行口令鎖定、解鎖和重置操作 ? 初始口令設置不得為空 ? 口令設置不得少于 8個字符 ? 口令應該包含特殊字符、數字和大小寫字母 ? 口令應該經常更改，設定口令 最長 有效期為 不超出 3個月 ? 口令輸入錯誤限定 5次 電子 郵件安全 113 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 電子郵件安全 Email安全 114 ? 不當使用 Email可能導致法律風險 ? 禁止發(fā)送或轉發(fā)反動或非法的郵件內容 ? 不得偽造虛假郵件，不得使用他人賬號發(fā)送郵件 ? 未經許可，不得將屬于他人郵件的消息內容拷貝轉發(fā) ? 與業(yè)務相關的 Email應在文件服務器上做妥善備份，專人負責檢查 ? 包含客戶信息的 Email應轉發(fā)主管做備份 ? 個人用途的 Email不應干擾工作，并且遵守本策略 ? 避免通過 Email發(fā)送機密信息，如果需要，應采取必要的加密保護措施 接收郵件注意 …… 115 ?不安全的文件類型 ： 絕對不要打開任何以下文件類型的郵件附件：.bat, ., .exe, .vbs ?未知的文件類型 ： 絕對不要打開任何未知文件類型的郵件附件，包括郵件內容中到未知文件類型的鏈接 ?微軟文件類型 ： 如果要打開微軟文件類型（例如 .doc, .xls, .ppt等）的郵件附件或者內部鏈接，務必先進行病毒掃描 ?要求發(fā)送普通的文本 ： 盡量要求對方發(fā)送普通的文本內容郵件，而不要發(fā)送 HTML格式郵件，不要攜帶不安全類型的附件 ?禁止郵件執(zhí)行 Html代碼 ： 禁止執(zhí)行 HTML內容中的代碼 ?防止垃圾郵件： 通過設置郵件服務器的過濾，防止接受垃圾郵件 ?盡早安裝系統(tǒng)補丁 ： 杜絕惡意代碼利用系統(tǒng)漏洞而實施攻擊 収送郵件注意 116 ?如果同樣的內容可以用普通文本正文，就不要用附件 ?盡量不要發(fā)送 .doc, .xls等可能帶有宏病毒的文件 ?發(fā)送不安全的文件之前，先進行病毒掃描 ?不要參與所謂的郵件接龍 ?盡早安裝系統(tǒng)補丁，防止自己的系統(tǒng)成為惡意者的跳板 ?可以使用 PGP等安全的郵件機制 介質安全管理 117 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 介質安全管理 介質安全管理 118 創(chuàng)建 使用 存 儲 傳遞 更改 銷毀 警惕社會工程學 119 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網絡訪問安全 人員及第三方安全管理 移動計算