【正文】 妥善保管 ， 嚴(yán)格控制 （ ６ ） 記帳要交叉復(fù)核 ， 各類人員所掌握的資料要與其身份相適應(yīng) （７）做信息處理用的機(jī)器要專機(jī)專用，不允許兼作其它用機(jī) （ 9）人員的安全教育 （ 10）依法治理 （二）技術(shù)、物理措施 （ 1） 實(shí)體安全 信息系統(tǒng)的實(shí)體安全是指在全部計(jì)算機(jī)和通信環(huán)境內(nèi) ， 為保證信息系統(tǒng)安全運(yùn)行 ， 確保系統(tǒng)在信息的采集 、 傳輸 、 存儲 、 處理 、 顯示 、 分發(fā)和利用的過程中 ， 不致受到人為的或自然因素的危害而使信息丟失 、 泄漏和破壞 ， 對計(jì)算機(jī)系統(tǒng)設(shè)備 、 通信和網(wǎng)絡(luò)設(shè)備 、 存儲媒體和人員所采取的物理 、 技術(shù)措施 。 （ ４ ） 機(jī)房保衛(wèi)制度 機(jī)要機(jī)房應(yīng)規(guī)定雙人進(jìn)出的制度 ， 嚴(yán)禁單人在機(jī)房操作計(jì)算機(jī) 。 （ ２ ） 運(yùn)行維護(hù)和管理制度 包括設(shè)備維護(hù)制度 、 軟件維護(hù)制度 、 用戶管理制度 、 密鑰管理制度 、 出入門管理 、 值班守則 、 操作規(guī)程 、 行政領(lǐng)導(dǎo)定期檢查和監(jiān)督等制度 。 （ 5）威脅與攻擊的手段 ? 非法訪問（非法用戶進(jìn)入系統(tǒng)，合法用戶未授權(quán)操作） ? 破壞信息的完整性（篡改、刪除、插入） ? 假冒、詐騙（假冒管理著或主機(jī)、網(wǎng)絡(luò)控制程序、合法用戶） ? 破壞系統(tǒng)的可用性 ? 截收和輻射偵測 ? 重放 ? 抵賴 （ 6）威脅與攻擊的來源 ? 計(jì)算機(jī)犯罪分子（內(nèi)部、外部） ? 黑客（ Hackers) ? 計(jì)算機(jī)病毒源（內(nèi)部、外部；磁盤、光盤、網(wǎng)絡(luò)） ? 電磁泄露與輻射 ? 設(shè)備故障造成安全措施失靈 ? 內(nèi)部操作失誤 ? 安全管理失控 ? 災(zāi)害（自然、人為） 4. 信息系統(tǒng)安全管理的策略與措施 ? 信息系統(tǒng)安全策略 （ 1）最小特權(quán) （ 2）縱深防御（多層、多面防御，必要的冗余和備份） （ 3）阻塞點(diǎn)（如防火墻） （ 4）檢測薄弱環(huán)節(jié) （ 5）失效保護(hù) （ 6）普遍參與 （ 7）防御多樣化 （ 8）簡潔 （ 9）依法治理 ? 信息系統(tǒng)的安全措施 （ 一）行政管理措施 （ １ ） 組織及人員制度 加強(qiáng)各種機(jī)構(gòu) （ 如安全審查 、 安全管理等機(jī)構(gòu) ） 、 人員的安全意識和技術(shù)培訓(xùn)及人員選擇 ， 嚴(yán)格操作守則 ，嚴(yán)格分工原則 。有人預(yù)言，今后在現(xiàn)代化戰(zhàn)爭中可以利用傳染病毒來破壞對方的軍事指揮通信系統(tǒng)，使其處于癱瘓狀態(tài)。這些病毒，有的只干擾屏幕，有的則封鎖鍵盤或打印機(jī)，有的修改或破壞硬、軟盤上的數(shù)據(jù)，有的封鎖軟盤驅(qū)動器，有的破壞磁盤的引導(dǎo)扇區(qū)、硬盤引導(dǎo)扇區(qū)和文件分配表，有的駐留內(nèi)存、修改中斷向量表或格式化硬盤，有的則大量占用磁盤空間，降低系統(tǒng)運(yùn)行效率或使系統(tǒng)癱瘓。 ㎏（ 4）計(jì)算機(jī)病毒 計(jì)算機(jī)病毒是計(jì)算機(jī)犯罪的是一種新的衍化形式，它是通過運(yùn)行一段程序干擾或破壞系統(tǒng)正常工作的一種手段，其產(chǎn)生和蔓延給信息系統(tǒng)的安全帶來嚴(yán)重威脅和巨大的損失。 如利用計(jì)算機(jī)技術(shù)知識及其它技術(shù)篡改銀行系統(tǒng)的帳戶數(shù)據(jù)以謀私利 ，給銀行和客戶造成巨額經(jīng)濟(jì)損失 。 系統(tǒng)內(nèi)部人員的竊密和毀壞系統(tǒng)數(shù)據(jù) 、 信息的活動等 。 線間插入 當(dāng)合法用戶已占用信道 ， 但是終端設(shè)備還沒有動作時(shí) ， 插入信道進(jìn)行竊聽或信息破壞活動； 竊取并干擾通信線路上的信息； 它以各種方式有選擇地修改、刪除、添加、偽造、重排信息內(nèi)容，造成信息破壞。 ?主動攻擊： 是指可以篡改信息的攻擊。 破譯分析 對于已經(jīng)加密的機(jī)要信息 ， 利用多種破譯分析手段 ， 獲得機(jī)密信息； ? 合法竊取 利用合法用戶身份 ， 設(shè)法竊取未被授權(quán)的信息 。 如離計(jì)算機(jī)顯示終端百米左右 ， 可以在那里接收到穩(wěn)定 、清晰可辨的信息圖像 。直接偵收 利用電磁傳感器或隱藏的收發(fā)信息設(shè)備直接偵收或搭線偵收信息系統(tǒng)的中央處理機(jī) 、 外圍設(shè)備 、 終端設(shè)備 、 通信設(shè)備或線路上的信息； ? 被動攻擊不容易被用戶察覺出來，因此它的攻擊持續(xù)性和危害性都很大。 對信息攻擊的方法可分為被動攻擊和主動攻擊： ? 被動攻擊 ：是指一切竊密的攻擊。 1個(gè)主要路由器被破壞， 1個(gè)系統(tǒng)的名字和地址被改變，使得合法用戶無法進(jìn)入該系統(tǒng)。襲擊者是從英國、芬蘭、加拿大和美國的堪薩斯大學(xué)和亞拉巴馬大學(xué)發(fā)動進(jìn)攻的。 偶然事故有以下幾種可能： ① 軟 、 硬件的故障引起安全策略失效； ② 工作人員的誤操作使信息嚴(yán)重破壞或無意中讓別人看到了機(jī)密信息； ③ 自然災(zāi)害的破壞 ， 如洪水 、 地震 、 風(fēng)暴 、 泥石流 、 雷擊等 ， 使計(jì)算機(jī)系統(tǒng)受到嚴(yán)重破壞； ④ 環(huán)境因素的突然變化造成系統(tǒng)信息出錯(cuò) 、 丟失或破壞 。 ? 信息破壞 信息破壞是指由于偶然事故或人為破壞 ， 使系統(tǒng)的信息被修改 ， 刪除 、 添加 、 偽造或非法復(fù)制 ， 導(dǎo)致信息的正確性 、 完整性和可用性受到破壞 。 斯佩爾將自己的計(jì)算機(jī)同美國軍方和軍工承包商的 30臺計(jì)算機(jī)連接，在兩年時(shí)間內(nèi)收集了美國國防部的大量機(jī)密信息。 信息泄露的事件是很多的。 （ 2）對信息的威脅和攻擊 對信息的威脅和攻擊主要有兩種：一種是 信息泄露 ， 另一種是 信息破壞 。 據(jù)悉 ， 在 1991年海灣戰(zhàn)爭爆發(fā)前 ， 美軍計(jì)算機(jī)專家利用伊拉克從法國進(jìn)口計(jì)算機(jī)打印機(jī)用于其防空系統(tǒng)的機(jī)會 ， 在伊拉克的打印機(jī)內(nèi)換裝了有計(jì)算機(jī)病毒的一套芯片 。 這種威脅增加了通信和網(wǎng)絡(luò)的不安全性 。 （ 6） 電磁泄露性 計(jì)算機(jī)設(shè)備工作時(shí)能夠輻射出電磁波 ， 任何人都可以借助儀器設(shè)備在一定的范圍內(nèi)收到它 ， 尤其是利用高靈敏度儀器可以清晰地看到計(jì)算機(jī)正在處理的機(jī)密信息 。 另外 ， 在許多信息系統(tǒng)中 ， 有時(shí)刪除文件僅僅是將文件的文件名刪除 ， 并相應(yīng)地釋放存儲空間 ， 而文件的真正內(nèi)容還原封不動地保留在存儲介質(zhì)上 。 特別是許多信息系統(tǒng)與互聯(lián)網(wǎng) （ Inter） 相聯(lián) ，由于互聯(lián)網(wǎng)應(yīng)用的公開性和廣泛性 ， 也增加了安全保密的難度 。 信息的這種聚生性與其安全密切相關(guān) 。 （ 3） 信息聚生性 當(dāng)信息以分離的小塊形式出現(xiàn)時(shí) ， 它的價(jià)值往往不大 ， 但當(dāng)大量相關(guān)信息聚集在一起時(shí) ， 則顯示出它的重要性 。 一臺遠(yuǎn)程終端上的用戶可以通過計(jì)算機(jī)網(wǎng)絡(luò)連接到信息中心的計(jì)算機(jī)上 。 不管哪種情況 ， 都會造成大量信息的丟失 。 ? 信息系統(tǒng)的脆弱性 ? 信息系統(tǒng)各個(gè)環(huán)節(jié)的不安全因素： ? 數(shù)據(jù)輸入部分：數(shù)據(jù)通過輸入設(shè)備進(jìn)入系統(tǒng) ， 輸入數(shù)據(jù)容易被篡改或輸入假數(shù)據(jù)； ? 數(shù)據(jù)處理部分：數(shù)據(jù)處理部分的硬件容易被破壞或盜竊 ， 并且容易受電磁干擾或因電磁輻射而造成信息泄漏； ? 通信線路：通信線路上的信息容易被截獲 ，線路容易被破壞或盜竊； ? 軟件：操作系統(tǒng) 、 數(shù)據(jù)庫系統(tǒng)和程序容易被修改或破壞； ? 輸出部分：輸出信息的設(shè)備容易造成信息泄漏或被竊取 ?信息系統(tǒng)的下列特點(diǎn)引起的不安全因素： （ 1） 介質(zhì)存儲密度高 在一張磁盤或一盤磁帶中可以存儲大量信息 ， 而軟盤常隨身攜帶出去 。 信息系統(tǒng)的安全問題已成為全球性的社會問題 ， 是當(dāng)前信息資源管理面臨的主要挑戰(zhàn) ， 也是信息系統(tǒng)建設(shè)和管理的主要瓶頸 。 一旦信息