【正文】 就像離開家卻忘記關燈那樣 ? 輕易相信來自陌生人的郵件，好奇打開郵件附件 ? 使用容易猜測的口令，或者根本不設口令 ? 丟失筆記本電腦 ? 不能保守秘密，口無遮攔，上當受騙，泄漏敏感信息 ? 隨便撥號上網(wǎng)，或者隨意將無關設備連入公司網(wǎng)絡 ? 事不關己，高高掛起，不報告安全事件 ? 在系統(tǒng)更新和安裝補丁上總是行動遲緩 ? 只關注外來的威脅，忽視企業(yè)內(nèi)部人員的問題 最常犯的一些 錯誤 叢林中的慘案 想想你是否也犯過這些錯誤？ 叢林中的慘案 信息安全意識 的提高 刻不容緩 ！ 叢林中的慘案 ? 手里拿把獵槍再踏出帳篷 ? 吾自三省吾身 提高 人員信息安全 意識 和 素質(zhì) 勢在必行！ 人 是最關鍵的因素 帶上一把獵槍 ? 信息資產(chǎn) 對我們很重要，是要保護的 對象 ? 威脅 就像蒼蠅一樣，揮之不去， 無所不在 ? 資產(chǎn)自身又有各種 弱點 ，給 威脅 帶來 可乘之機 ? 面臨各種 風險 ，一旦發(fā)生就成為 安全事件、事故 保持清醒 認識 帶上一把獵槍 嚴防威脅 消減弱點 應急響應 保護資產(chǎn) 熟悉 潛在的 安全問題 知道 怎樣 防止 其發(fā)生 明確 發(fā)生后如何 應對 我們 應該 …… 帶上一把獵槍 隱患險于明火！ 預防重于救災！ 安全貴在未雨綢繆 ！ 信息安全意識 方針 帶上一把獵槍 理解 和 鋪墊 基本概念 帶上一把獵槍 ? 消息、信號、數(shù)據(jù)、情報和知識 ? 信息本身是無形的，借助于信息媒體以多種形式存在或傳播： ? 存儲在計算機、磁帶、紙張等介質(zhì)中 ? 記憶在人的大腦里 ? 通過網(wǎng)絡、打印機、傳真機等方式進行傳播 ? 信息借助媒體而存在，對現(xiàn)代企業(yè)來說具有價值，就成為 信息資產(chǎn) ： ? 計算機和網(wǎng)絡中的數(shù)據(jù) ? 硬件、軟件、文檔資料 ? 關鍵人員 ? 組織提供的服務 ? 具有價值的信息資產(chǎn)面臨諸多威脅，需要妥善保護 什么是 信息 帶上一把獵槍 采取措施保護信息資產(chǎn)，使之不因偶然或者惡意侵犯而遭受破壞、更改及泄露，保證信息系統(tǒng)能夠連續(xù)、可靠、正常地運行，使安全事件對業(yè)務造成的影響減到最小，確保組織業(yè)務運行的連續(xù)性。 R備份 恢復B amp。 A身份認證I amp。 ” 絕對 的 安全 是 不存在 的！ 帶上一把獵槍 ? 技術是信息安全的構筑材料，管理是真正的粘合劑和催化劑 ? 信息安全管理構成了信息安全具有能動性的部分，是指導和控制組織的關于信息安全風險的相互協(xié)調(diào)的活動 ? 現(xiàn)實世界里大多數(shù)安全事件的發(fā)生和安全隱患的存在，與其說是技術上的原因，不如說是管理不善造成的 ? 理解并重視管理對于信息安全的關鍵作用，對于真正實現(xiàn)信息安全目標尤其重要 ? 唯有信息安全管理工作活動持續(xù)而周期性的推動作用方能真正將信息安全意識貫徹落實 三分技術，七分管理！ 關鍵 點： 信息安全管理 帶上一把獵槍 務必 重視 信息安全管理 加強 信息安全建設工作 管理層 ：信息安全意識 要點 帶上一把獵槍 安全不是產(chǎn)品的簡單堆積，也不是一次性的靜態(tài)過程，它是 人員 、 技術 、 操作 三者緊密結合的系統(tǒng)工程，是不斷 演進 、 循環(huán) 發(fā)展的 動態(tài)過程 如何 正確認識 信息安全 帶上一把獵槍 從 身邊 做起 良好 的安全 習慣 帶上一把獵槍 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網(wǎng)絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 重要信息的保密 帶上一把獵槍 Owner 數(shù)據(jù)的屬主（ OM/PM） 決定所屬數(shù)據(jù)的敏感級別 確定必要的保護措施 最終批準并 Review用戶訪問權限 Custodian 受 Owner委托管理數(shù)據(jù) 通常是 IT人員或部門系統(tǒng)（數(shù)據(jù)）管理員 向 Owner提交訪問申請并按 Owner授意為用戶授權 執(zhí)行數(shù)據(jù)保護措施，實施日常維護和管理 User 公司或第三方職員 因工作需要而請求訪問數(shù)據(jù) 遵守安全規(guī)定和控制 報告安全事件和隱患 資產(chǎn)責任劃分 帶上一把獵槍 64 ? 各類信息，無論電子還是紙質(zhì)，在標注、授權、訪問、存儲、拷貝、傳真、內(nèi)部和外部分發(fā)（包括第三方轉(zhuǎn)交）、傳輸、處理等各個環(huán)節(jié)，都應該遵守既定策略 ? 信息分類管理程序只約定要求和原則，具體控制和實現(xiàn)方式，由信息屬主或相關部門確定，以遵守最佳實踐和法律法規(guī)為參照 ? 凡違反程序規(guī)定的行為，酌情予以紀律處分 信息 處理 與 保護 帶上一把獵槍 65 ? 根據(jù)需要，在個人協(xié)議 /合同 中明確安全方面的承諾和要求； ? 明確與客戶進行數(shù)據(jù)交接的人員責任，控制客戶數(shù)據(jù)使用及分發(fā)； ? 明確非業(yè)務部門在授權使用客戶數(shù)據(jù)時的保護責任； ? 基于業(yè)務需要，主管決定是否對重要數(shù)據(jù)進行加密保護； ? 禁止將客戶數(shù)據(jù)或客戶標識用于非項目相關的場合如培訓材料； ? 客戶現(xiàn)場的工作人員，嚴格遵守客戶 Policy，妥善保護客戶數(shù)據(jù)； ? 打印件應設置標識，及時取回，并妥善保存或處理。 ? 共享文件夾應該設置恰當?shù)脑L問控制，禁止向所有用戶賦予完全訪問權限 ? 臨時共享的文件事后應予以刪除 信息交換 安全 帶上一把獵槍 68 ?重要信息系統(tǒng)應支持全備份、差量備份和增量備份 ?備份介質(zhì)的存儲異地存放 ?屬主應該確保備份成功并定期檢查日志，根據(jù)需要，定期檢查和 實施測試以驗證備份效率和效力 信息備份 安全 帶上一把獵槍 69 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網(wǎng)絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 軟件應用安全 帶上一把獵槍 70 ?盡量不要同時打開多個鏈接窗口 ?當某個網(wǎng)站提出要將本網(wǎng)站設置為主頁時，要取消操作 ?當網(wǎng)頁中彈出安裝某個插件的對話框時，要取消安裝，的確需要安裝的，請與管理人員聯(lián)系。 I like this PiaoLiangMeiMei ! iLtPPMM! My son Tom was born at 8:05 MsTwb8:05 口令設置 帶上一把獵槍 90 ? 試著使用數(shù)字和特殊字符的組合 ? 避免“ qwerty”這樣的直線，而使用 Z字型或者多條短線 ? 這種方法很容易被人看出來 ? 鍵盤輸入時不要讓人看見 口令設置 —— 鍵盤模式 帶上一把獵槍 91 ? 員工 有責任記住自己的口令 ? 賬號 在獨立審計的前提下進行口令鎖定、解鎖和重置操作 ? 初始口令設置不得為空 ? 口令設置不得少于 8個字符 ? 口令應該包含特殊字符、數(shù)字和大小寫字母 ? 口令應該經(jīng)常更改，設定口令 最長 有效期為 不超出 3個月 ? 口令輸入錯誤限定 5次 口令管理 帶上一把獵槍 92 重要信息的保密 信息交換及備份 軟件應用安全 計算機及網(wǎng)絡訪問安全 人員及第三方安全管理 移動計算與遠程辦公 工作環(huán)境及物理安全要求 防范病毒和惡意代碼 口令安全 電子郵件安全 介質(zhì)安全管理 警惕社會工程學 應急響應和業(yè)務連續(xù)性計劃 法律法規(guī) 電子郵件安全 帶上一把獵槍 93 ? 不當使用 Email可能導致法律風險 ? 禁止發(fā)送或轉(zhuǎn)發(fā)反動或非法的郵件內(nèi)容 ? 不得偽造虛假郵件，不得使用他人賬號發(fā)送郵件 ? 未經(jīng)許可，不得將屬于他人郵件的消息內(nèi)容拷貝轉(zhuǎn)