信息资源管理概论

1、w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 信息资源管理信息资源管理 一、信息资源管理概论信息资源管理概论 1. 信息资源管理的目标 信息资源管理的目标，总的说来就是通过人们 的计划、组织、协调等活动，实现对信息资源的科学 的开发、合理的配置和有效的利用，以促进社会经济 的发展。 对社会或某个国家来说，信息资源的丰裕程度、 信息产业的发展状况，是衡量经济发展水平和国力的 重要标志。因此信息资源管理的目标，还要结合特定 的国家或地区社会经济发展的现状、目标和战略，提 出更具针对性的目标。 w w w

2、 . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 我国属于发展中国家，经济发展水平和信息 资源丰裕度不高，但发展速度快。现在正在实 现从计划经济向社会主义市场经济的转变，还 要实现经济增长方式从粗放型到集约型的转变， 信息资源管理要为实现这两个转变服务，要为 我国经济持续、高速、稳定发展服务,以信息化 带动工业化。 我国地域辽阔、但各地区各行业发展不平衡。 在信息资源的开发与利用上，我们必须突出重 点，使较发达地区与行业通过推进信息化，在 经济活动中更好地与国际社会接轨，增强我国 经济的国际竞争能力，并以此带动欠

3、发达地区 与行业的发展。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 对于一个组织，特别是企业组织来说，信息资 源管理的目标是为实现组织的整体目标服务的。 当前，企业面临的环境复杂多变，市场竞争十 分激烈，经济活动全球化、市场国际化的趋势 加速，信息资源的开发、配置与利用，要为提 高企业的应变能力和竞争能力服务。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 2、信息资源管理的类型 从信息资源涉及的经济

4、活动类型来分，有 信息资源的生产与创新管理； 信息资源的分配与流通管理； 信息基础设施的建设与运用管理（即信息 资源的配置与运用的管理）； 信息服务的管理。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 从信息资源管理的目的来分有 面向一般社会组织（包括企业）信息资源的 管理，目的在于促进组织目标的实现； 面向信息产品生产与信息服务业的信息资源 管理，目的在于满足社会上广大用户的对 信息产品和信息服务的需求； 面向政府部门的信息资源管理。目的在于使 政府部门更好地实施其宏观调控和信息服 务的职能。

5、w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 3. 信息资源管理的内容 一个现代社会组织的信息资源主要有： 计算机和通信设备； 计算机系统软件与应用软件； 数据及其存储介质； 非计算机信息处理存储装置； 技术、规章、制度、法律； 从事信息活动的人 一个信息系统就是这些信息资源为实现某类目标 的有序组合，因此信息系统的建设与管理就成 了组织内信息资源配置与运用的主要手段。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资

6、源管理概论 面向组织的信息资源管理的主要内容有： 信息系统的管理 包括信息系统开发项目的管理、信息系统 运 行与维护的管理、信息系统的评价等； 信息资源开发、利用的标准、规范、法律制度 的制订与实施； 信息产品与服务的管理； 信息资源的安全管理； 信息资源管理中的人力资源管理 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 4. 信息资源管理的组织概述 信息资源作为一种重要的国家战略资源，其 丰裕程度已成为衡量一个国家国力和经济发 展水平的重要技术指标。因此，各国政府都 将信息资源的开发和管理纳入重要

7、的议事日 程。但信息资源的开发和使用过程涉及的人 员和范围较广，内容庞杂，为了防止信息资 源的浪费和滥用，最大限度地提高信息资源 的效用，需要国家各级政府机构、民间组织、 企业等各方面的共同努力，尤其需要建立和 健全完善的组织机构强化对信息资源开发、 利用的管理和控制。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 目前在我国，信息资源管理的组织机构主要分 布在以下层次上： (1) 各级政府的有关部门，如政府所属的各级信息中 心、科技、教育、宣传、文化、统计、标准、技术 监督等管理部门，它们在信息资

8、源管理过程中的主 要职责是：相应开发标准、法律、法规的审查与制 订，规划与组织信息基础设施的建设，向企业及其 他各类社会组织和公众提供必要的信息服务，从政 策上指导信息资源的合理开发和有效应用，并从宏 观角度上促进和加强国际间信息资源的交流与合作。 (2) 民间团体和组织，如学会、协会、学术社团等， 它们在信息资源管理过程中的主要职责是：配合政 府和企业，研究与制订信息资源开发的标准和规范， 促进新技术的交流与推广。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 (3) 信息服务机构，如图书、情报、

9、影视、电台、网 站等，其主要职责是面向各类不同消费者提供所需 的信息服务与支持。 (4) 企业。由于市场竞争激烈和经济的全球化趋势 加剧，越来越多的企业和组织已经并开始建立自己 的管理信息系统，把信息作为一种重要的资源进行 开发与利用，因此，各类企业实际上已成为对信息 资源开发和利用最重要的地方。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 5. 企业信息资源管理的组织 由于信息资源是企业的战略资源，信息资源 管理已成为企业管理的重要支柱。一般的大 中型企业均设有专门的组织机构和专职人员 从事信息

10、资源管理工作。这些专门组织机构 如：信息中心（或计算中心）、图书资料馆 （室）、企业档案馆（室），企业中还有一 些组织机构也兼有重要的信息资源管理任务 如：计划、统计部门、产品与技术的研究与 开发部门、市场研究与销售部门、生产与物 资部门、标准化与质量管理部门、人力资源 管理部门、宣传与教育部门、政策研究与法 律咨询部门等。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 在有关信息资源管理的各类组织中，企业信息 中心是基于现代信息技术的信息资源管理机构， 其管理手段与管理对象多与现代计算机技术、 通

11、讯与网络技术有关。现代信息技术本身是信 息资源的重要组成部分。利用现代信息技术开 发、利用信息资源是现代信息资源管理的主要 内容。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 大中型企业的信息中心的主要职能包括： (1)在企业主要负责人的主持下制订企业信息资源开发、 利用、管理的总体规划，其中包括信息系统建设规 划； (2)企业管理信息系统的开发、维护与运行管理； (3)信息资源管理的标准、规范、规章制度的制订、修订 和执行； (4)信息资源开发与管理专业人员的专业技能培训、企业 广大职工信息管理

12、与信息技术知识的教育培训和新 开发的信息系统用户培训； (5)企业内部和外部的宣传与信息服务； (6)为企业信息技术推广应用其他项目如计算机辅助设计 CAD、计算机辅助制造CAM等提供技术支持。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 大中型企业信息中心的组织结构示意图 企业信息中心 系统开发部系统运行部技术支持部信息服务部培训部综合管理部 系统分析 与设计 编程、测 试、系统 集成 系统文档 应用系统 各子系统 运行支持 数据准备 录入 计算机 操作 软件技术 支持 数据库 技术支持 多媒体

13、 技术支持 客户 服务 供应商 服务 高层信息 支持 职工 服务 专业 培训 普及 培训 专题 培训 新系统 用户 培训 人员管理 资金管理 档案管理 质量管理 标准化 管理 安全管理 通信与计 算机网络 技术支持 企业建模 与优化技 术支持 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 企业信息资源管理的人员 (1)信息主管 由于信息资源管理在组织中的重要作用和战 略地位，企业主要高层管理人员必须从企业 的全局和整体需要出发，直接领导与主持全 企业的信息资源管理工作。担负这一职责的 企业高层领导人

14、就是企业的信息主管（Chief Information Officer, CIO）。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 企业信息主管（CIO）的主要职责是： 在企业主管（总经理、总裁）的领导下，主持制订、修订企 业信息资源开发、利用和管理的全面规划； 在企业主管（总经理、总裁）的领导下，主持企业管理信息系 统的开发； 直接领导企业内信息资源管理职能部门如信息中心、图书资料 馆（室）、企业档案馆（室）的工作，统一领导与协调企业其 他部门信息资源的开发、利用与管理工作，主持信息资源开发、 利

15、用与管理的对外交流与合作； 审批企业信息资源管理有关规章制度、标准、规范并监督实施； 负责信息管理与信息技术人才的招聘、选拔与培养； 负责企业信息资源开发、利用与管理所需资金的预算与筹措； 参与企业高层决策。 由此可见，信息主管对企业的信息资源管理负有全面责任。由 于信息资源管理关系企业全局，信息主管一般应由相当于企业 副总经理或副总裁的高层管理人员担任。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 (2) 中、基层管理人员主要有： 企业信息资源管理的中、基层管理人员包括信息中心 （或计算中心）、

16、图书资料馆（室）、企业档案馆 （室）等组织机构的负责人，这些机构的分支机构的 负责人，企业中兼有重要的信息资源管理任务组织机 构如：计划、统计、产品与技术的研究与开发、市场 研究与销售、生产与物资管理、标准化与质量管理、 人力资源管理、宣传与教育、政策研究与法律咨询等 部门分管信息资源（含信息系统与信息技术）的负责 人。 ： w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 (3) 企业管理信息系统的专业人员主要有： l 系统分析员 l 系统设计人员 l 程序员 l 系统文档管理人员 l 数据采集人员

17、l 数据录入人员 l 计算机硬件操作与维护 人员 l 数据库管理人员 l 网络管理人员 l 通信技术人员 l 结构化布线与系统安装技 术 人员 l 承担培训任务的教师及教学 辅助人员 l 图书资料与档案管理人员 l 网站的编辑与美工人员 l 从事标准化管理、质量管理、 安全管理、技术管理、计划、统 计等人员 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 二、信息系统的安全管理二、信息系统的安全管理 1. 概述 随着信息技术的发展，信息系统的应用范围不断 扩大，无论是在运行操作、管理控制，还是经营 管

18、理计划、战略决策等社会经济活动的各个方面， 都发挥着越来越大的作用。然而，由于信息系统 中处理和存储的，既有日常业务处理信息、技术 经济信息，又有涉及到有关国家安全的政治、经 济和军事情况以及一些工商企业单位和人的机密 和敏感信息，因此它成为国家和某些部门的宝贵 财富，同时也成为敌对国家和组织以及一些非法 用户、别有用心者威胁和攻击的主要对象。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 信息系统社会信息化的趋势，一方面体现了信息系 统在现代化建设中的重要作用和战略地位，显示了 它的巨大生命力；另

19、一方面也体现了人类及社会的 各个方面对信息系统的依赖性越来越强。 本身的脆弱性和易于攻击的弱点，使得信息系统的 安全问题越来越受到人们的广泛重视。一旦信息系 统的任何破坏或故障，都将对用户以至整个社会产 生重大的影响。 近年来世界范围内的计算机犯罪、计算机病毒泛滥 等问题，使信息系统安全上的脆弱性表现得越来越 明显。信息系统的安全问题已成为全球性的社会问 题，是当前信息资源管理面临的主要挑战，也是信 息系统建设和管理的主要瓶颈。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 2. 信息系统安全的基本

20、概念 信息系统安全的基本要求： 在信息系统采集、存储、加工、传输与利用信 息的过程中，各物理设备、通信线路、软件、 数据及其存储介质、规章制度和有关人员应具 备抵御来自系统内部或外部对信息及有关设施 有意攻击、破坏、窃取或无意损害、泄露的能 力以保证信息的机密性、完整性、可用性、可机密性、完整性、可用性、可 审查性和抗抵赖性。审查性和抗抵赖性。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 信息系统的脆弱性 信息系统各个环节的不安全因素： 数据输入部分：数据通过输入设备进入系 统，输入数据容易被篡改

21、或输入假数据； 数据处理部分：数据处理部分的硬件容易 被破坏或盗窃，并且容易受电磁干扰或因 电磁辐射而造成信息泄漏； 通信线路：通信线路上的信息容易被截获， 线路容易被破坏或盗窃； 软件：操作系统、数据库系统和程序容易 被修改或破坏； 输出部分：输出信息的设备容易造成信息 泄漏或被窃取 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 信息系统的下列特点引起的不安全因素： （1 1）介质存储密度高）介质存储密度高 在一张磁盘或一盘磁带中可以存储大量信息，而软盘常随身携 带出去。这些存储介质也很容易受到意

22、外损坏。不管哪种情 况，都会造成大量信息的丢失。 （2 2） 数据可访问性数据可访问性 数据信息可以很容易地被拷贝下来而不留痕迹。一台远程终端 上的用户可以通过计算机网络连接到信息中心的计算机上。 在一定条件下，终端用户可以访问到系统中的所有数据，并 可以按其需要把它拷贝、删改或破坏掉。 （3 3） 信息聚生性信息聚生性 当信息以分离的小块形式出现时，它的价值往往不大，但当大 量相关信息聚集在一起时，则显示出它的重要性。信息系统 的特点之一，就是能将大量信息收集在一起，进行自动、高 效的处理，产生很有价值的结果。信息的这种聚生性与其安 全密切相关。 w w w . d a m i d a i

23、. c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （4 4）保密困难性）保密困难性 信息系统内的数据都是可用的，尽管可以采用许多方法 在软件内设置一些关卡，但是对那些掌握计算机技术 的专业人士，很可能会突破这些关卡，故要保密很困 难。特别是许多信息系统与互联网（Internet）相联， 由于互联网应用的公开性和广泛性，也增加了安全保 密的难度。 （5 5）介质的剩磁效应）介质的剩磁效应 存储介质中的信息有时是擦除不干净或不能完全擦除掉， 会留下可读信息的痕迹，一旦被利用，就会泄露。另 外，在许多信息系统中，有时删除文件仅仅是将文件 的文件名删除，

24、并相应地释放存储空间，而文件的真 正内容还原封不动地保留在存储介质上。利用这一些 特性，可以窃取机密信息。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （6 6） 电磁泄露性电磁泄露性 计算机设备工作时能够辐射出电磁波，任何人都可以借 助仪器设备在一定的范围内收到它，尤其是利用高灵 敏度仪器可以清晰地看到计算机正在处理的机密信息。 （7 7） 通信网络的弱点通信网络的弱点 连接信息系统的通信网络有不少弱点：如通过未受保护 的外部线路可以从外界访问到系统内部的数据、通信 线路和网络可能被搭线窃听或破

25、坏等。这种威胁增加 了通信和网络的不安全性。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 3. 信息系统面临的威胁和攻击 （1 1）对实体的威助和攻击）对实体的威助和攻击 对实体的威胁和攻击主要指对计算机及其外部设备、网络的 威胁和攻击，如各种自然灾害与人为的破坏、场地和环境因 素的影响、电磁场的干扰或电磁泄露、战争的破坏、各种媒 体的被盗和散失等。 据悉，在1991年海湾战争爆发前，美军计算机专家利用伊拉 克从法国进口计算机打印机用于其防空系统的机会，在伊拉 克的打印机内换装了有计算机病毒的一套

26、芯片。海湾战争爆 发后，美军将其激活，使伊拉克防空系统瘫痪，从而保证了 空袭的成功。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （2）对信息的威胁和攻击）对信息的威胁和攻击 对信息的威胁和攻击主要有两种：一种是信息泄露，信息泄露，另 一种是信息破坏信息破坏。 信息泄露信息泄露 信息泄露是指偶然地或故意地获得（侦收、截获、窃取或 分析破译）目标系统中的信息，特别是敏感信息，造成 泄露事件。 信息泄露的事件是很多的。例如，1988年，德国汉诺威 大学计算机系24岁的学生马蒂亚斯斯佩尔将自己的计 算机

27、同美国军方和军工承包商的30台计算机连接，在两 年时间内收集了美国国防部的大量机密信息。其中有关 于“星球大战”计划、北美战略防空司令部核武器和通 信卫星等方面的资料，震惊了美国国防部和联邦调查局。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 信息破坏信息破坏 信息破坏是指由于偶然事故或人为破坏，使系统的信息 被修改，删除、添加、伪造或非法复制，导致信息的 正确性、完整性和可用性受到破坏。 人为破坏有以下几种手段： 滥用特权身份；不合法地使用；修改或非法复制 系统中的数据。 偶然事故有以下几种可能

28、： 软、硬件的故障引起安全策略失效； 工作人员的误操作使信息严重破坏或无意中让别人看 到了机密信息； 自然灾害的破坏，如洪水、地震、风暴、泥石流、雷 击等，使计算机系统受到严重破坏； 环境因素的突然变化造成系统信息出错、丢失或破坏。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 例：1994年12月，美国海军学院的计算机系统被 不知名的黑客所袭击。袭击者是从英国、芬兰、 加拿大和美国的堪萨斯大学和亚拉巴马大学发 动进攻的。他们攻击了24个服务器，在其中的8 个植入了“嗅探程序”（这是一种植入计算机

29、系统后可以截取其数据，如密码等的程序）。1 个主要路由器被破坏，1个系统的名字和地址被 改变，使得合法用户无法进入该系统。除此之 外，1个系统的备份文件和来自其他4个系统的 文件被删除，其它6个系统被破坏，2个加密密 码文件被破坏，12000多个密码被窜改，海军无 法估计损失究竟有多大，也没能抓住作案者。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 对信息攻击的方法可分为被动攻击和主动攻击：对信息攻击的方法可分为被动攻击和主动攻击： 被动攻击被动攻击：是指一切窃密的攻击。它是在不干 扰系统正常工作

30、的情况下进行侦收、截获、窃 取系统信息，以便破译分析；利用观察信息、 控制信息的内容来获得目标系统的位置、身份； 利用研究机密信息的长度和传递的频度获得信 息的性质。被动攻击不容易被用户察觉出来， 因此它的攻击持续性和危害性都很大。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 被动攻击的主要方法有：被动攻击的主要方法有： 直接侦收 利用电磁传感器或隐藏的收发信息设备直接侦收或 搭线侦收信息系统的中央处理机、外围设备、终端设备、通信 设备或线路上的信息； 截获信息 系统及设备在运行时，散射的寄生信号

31、容易被截 获。如离计算机显示终端百米左右，可以在那里接收到稳定、 清晰可辨的信息图像。此外，短波、超短波、微波和卫星等无 线电通信设备有相当大的辐射面，市话线路、长途架空明线等 电磁辐射也相当严重，因此可利用系统设备的电磁辐射截获信 息； 合法窃取 利用合法用户身份，设法窃取未被授权的信息。 例如，在统计数据库中，利用多次查询数据的合法操作，推导 出不该了解的机密信息； 破译分析 对于已经加密的机要信息，利用多种破译分析手 段，获得机密信息； 从遗弃的媒体中分析获取信息 如从信息中心遗弃的打印纸、 各种记录和统计报表、窃取或丢失的软盘片中获得有用信息。 w w w . d a m i d a

32、i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 主动攻击：主动攻击： 是指可以篡改信息的攻击。它不仅能窃密，而且威胁到 信息的完整性和可靠性。它以各种方式有选择地修改、 删除、添加、伪造、重排信息内容，造成信息破坏。 主动攻击的主要方法有： 窃取并干扰通信线路上的信息； 返回渗透，有选择地截取系统中央处理机的信息，然后 将伪信息返回系统用户； 线间插入 当合法用户已占用信道，但是终端设备还没 有动作时，插入信道进行窃听或信息破坏活动； 非法冒充 采取非常规的方法和手段，窃取合法用户的 口令，冒充合法用户进行窃取或信息破坏活动； 系统内部人员

33、的窃密和毁坏系统数据、信息的活动等。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （3 3）计算机犯罪）计算机犯罪 计算机犯罪是指针对和利用信息系统，通过非法操作或 以其他手段故意泄露、窃取或破坏系统中的机密信息， 并造成重大的经济损失或严重的社会、政治不良影响， 危害了系统实体和信息安全，对信息系统的完整性或 正常运行造成危害后果的不法行为。如利用计算机技 术知识及其它技术篡改银行系统的帐户数据以谋私利， 给银行和客户造成巨额经济损失。 近年来，这种利用信息系统的脆弱性进行破坏活动的计 算机犯罪

34、事件正逐年增多，严重威胁和危害到信息系 统的安全，并给社会经济造成越来越大的损失。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （4 4）计算机病毒）计算机病毒 计算机病毒是计算机犯罪的是一种新的衍化形式，它是通过 运行一段程序干扰或破坏系统正常工作的一种手段，其产生 和蔓延给信息系统的安全带来严重威胁和巨大的损失。实践 证明，计算机病毒已成为威胁信息系统安全的最危险的因素。 这些病毒，有的只干扰屏幕，有的则封锁键盘或打印机，有 的修改或破坏硬、软盘上的数据，有的封锁软盘驱动器，有 的破坏磁盘的引

35、导扇区、硬盘引导扇区和文件分配表，有的 驻留内存、修改中断向量表或格式化硬盘，有的则大量占用 磁盘空间，降低系统运行效率或使系统瘫痪。计算机病毒泛 滥和蔓延的客观效果，危害或破坏信息系统的资源，中断或 干扰信息系统的正常运行，给社会造成的危害越来越大。有 人预言，今后在现代化战争中可以利用传染病毒来破坏对方 的军事指挥通信系统，使其处于瘫痪状态。因而，对计算机 病毒的危害决不能掉以轻心。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （5）威胁与攻击的手段 非法访问（非法用户进入系统，合法用户未授权

36、操作） 破坏信息的完整性（篡改、删除、插入） 假冒、诈骗（假冒管理着或主机、网络控制程序、合 法用户） 破坏系统的可用性 截收和辐射侦测 重放 抵赖 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （6 6）威胁与攻击的来源）威胁与攻击的来源 计算机犯罪分子（内部、外部） 黑客（Hackers) 计算机病毒源（内部、外部；磁盘、光盘、网络） 电磁泄露与辐射 设备故障造成安全措施失灵 内部操作失误 安全管理失控 灾害（自然、人为） w w w . d a m i d a i . c o m 大米袋学习网

37、，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 4. 信息系统安全管理的策略与措施 信息系统安全策略 （1）最小特权 （2）纵深防御（多层、多面防御，必要的冗 余和备份） （3）阻塞点（如防火墙） （4）检测薄弱环节 （5）失效保护 （6）普遍参与 （7）防御多样化 （8）简洁 （9）依法治理 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 信息系统的安全措施信息系统的安全措施 （一）行政管理措施 （）组织及人员制度 加强各种机构（如安全审查、安全管理等机构）、人员 的安全意识和

38、技术培训及人员选择，严格操作守则， 严格分工原则。严禁程序设计人员同时担任系统操作 员，严格区分系统管理员、终端操作员和程序设计人 员，不允许工作交叉。 （）运行维护和管理制度 包括设备维护制度、软件维护制度、用户管理制度、密 钥管理制度、出入门管理、值班守则、操作规程、行 政领导定期检查和监督等制度。 （）计算机处理的控制与管理制度 包括编程流程及控制、程序和数据的管理，拷贝及移植、 存储介质的管理，文件的标准化以及通信和网络的管 理。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （）机房保卫制

39、度 机要机房应规定双人进出的制度，严禁单人在机 房操作计算机。机房门可加双锁，且只有两把 钥匙同时使用时门才能打开。 （）对各种凭证、帐表、资料要妥善保管，严 格控制 （）记帐要交叉复核，各类人员所掌握的资料 要与其身份相适应 （）做信息处理用的机器要专机专用，不允许 兼作其它用机 （9）人员的安全教育 （10）依法治理 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （二）技术、物理措施（二）技术、物理措施 （1）实体安全）实体安全 信息系统的实体安全是指在全部计算机和通信 环境内，为保证信息系统安

40、全运行，确保系统 在信息的采集、传输、存储、处理、显示、分 发和利用的过程中，不致受到人为的或自然因 素的危害而使信息丢失、泄漏和破坏，对计算 机系统设备、通信和网络设备、存储媒体和人 员所采取的物理、技术措施。实体安全，是确 保信息系统安全的前提。实体安全主要包括 场地环境安全、设备安全场地环境安全、设备安全和存储介质安全存储介质安全 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 场地环境安全场地环境安全 信息系统的主场地，主要是机房等中心区 域的选择，应远离有害的气体源及存放 腐蚀、易燃、易爆物

41、品的地方；远离强 的动力设备和机械，避开高压线、雷达 站、无线电发射台和微波中继线路；远 离强振动源和噪声源；有较好的防风、 防火、防水、防地震及防雷击的条件等。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 设备安全设备安全 信息系统应根据实际需要选择设备，并考虑设备 本身稳定可靠；对环境条件的要求尽可能低； 设备能抗震防潮；本身电磁辐射小，抗电磁辐 射干扰和抗静电能力强；有过压、欠压、过流 等电冲击的自动防护能力；有良好的安全接地。 (1) 防电磁泄露 采用电子屏蔽技术来掩饰计算机的工作状态 和

42、保护信息； 采用物理抑制技术，一种方法是对线路单元、 设备乃至系统进行屏蔽，以阻止电磁波的传播； 一种方法是从线路和元器件入手，从根本上解 决计算机及外部设备各外辐射的电磁波，消除 产生较强电磁波的根源。通常将两种方法结合 作用，以起双保险的作用。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 (2) 抗电磁干扰 通常，抑制电磁干扰的基本方法主要有： 电磁屏蔽：凡受电磁场干扰的地方，可用屏蔽的 办法削弱干扰，以确保信息系统正常运行。不同干 扰场采用不同的屏蔽方法，如电屏蔽、磁屏蔽或电 磁屏蔽，并将屏

43、蔽体良好接地。 接地系统：采用接地系统，不仅可以消除多电路 之间流经公共阻抗时所产生的共阻抗干扰，避免计 算机电路受磁场和电位差的影响，而且可以保证设 备及人身安全。对于系统内的交流地、直流地、防 雷地和安全地，接地线要分开，不要互连。进入计 算机的电源线、信号线均要采用金属屏蔽线穿在铁 套管内，并在屏蔽层两端接地，以防干扰及雷电入 侵。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 电源系统：电源电压波动或负载幅度变化引起的瞬 态电压、电流冲击，会通过电源进入计算机，不但 会使计算机信息出错，还会

44、威胁计算机及其器件的 寿命与安全。为了保证信息系统的稳定性和安全， 系统的主机机房应采用双路供电或一级供电；应配 有不间断电源（UPS），其容量最好能维持主机设备 在短暂跳闸或断电后持续工作30分钟以上，以确保 设备和人身安全；系统电源不应与其他电器设备， 特别是强力和冲击电力设备共用，以避免过压、欠 压冲击、电压波动和瞬时尖峰；电器系统应接地良 好。 要完全避免和防止电磁干扰是不现实的，上述措施可 以将电磁干扰控制在一定范围内，以致不影响和破 坏系统的正常工作。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资

45、源管理概论 存储介质安全存储介质安全 信息系统中的信息都存在存储介质中， 而存储介质的安全是保证数据安全的重 要一环，应引起足够的重视。目前的存 储介质主要有磁盘、磁带、光盘等，应 分门别类，以一套严密的科学管理制度 和方法进行管理。存储介质的主要防护 要求有防火、防高温、防潮、防霉、防 水、防震、防电磁场和防盗等。对存储 介质要定期检查和清理。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 终端用户 终端放置在不安全环境 使信息被窃听 终端用户 隐瞒身份进行不正确的输 入 应用程序员 设计“特洛伊

46、木马”软件 设计者回避安全功能 安装不安全系统 授权者制定了不正确 的数据库安全策略 软件保护功能失效 造成信息泄露 硬件失效造成信息破坏 未授权用户的非法 存取 （偷窃，篡改，删 除） 计 算 机 系 统串音 辐射 存取规则 数据库 图5-1威胁数据库安全的来源 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （2 2）数据安全）数据安全 数据安全主要是指为保证信息系统中数据库中的数据免 遭破坏、修改、泄露和窃取等威胁和攻击而采取的技 术方法。它包括口令保护、存取控制技术、数据加密 技术等。 安全的

47、数据库管理系统（安全的数据库管理系统（DBMSDBMS） 可供运行的安全的DBMS应做到： 保证数据具备抗攻击性，能抵御物理破坏（如突然断 电或者其它灾害造成的损失）。 进行用户识别和访问控制，即能进行用户身份的识别 和验证，限制用户只能访问他所授权的数据，对不同 的用户限制在不同的状态下进行访问。 保证合法用户能顺利地访问数据库中授权的数据和一 般的数据，不会出现拒绝服务的情况，并能进行安全 的通信。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 数据库安全性控制的一般方法数据库安全性控制的一般方

48、法 数据库的安全技术主要有三种：口令保护、数据加密、存取 控制。 口令保护口令保护 口令设置是信息系统的第一道屏障，因此口令保护就显得尤 其重要。对数据库的不同功能块应设置不同的口令，对存 取它的人设置不同的口令级别，各种模块如读模块、写模 块、修改模块等之间的口令应彼此独立，并应将口令表进 行不为他人所知的加密，以保护数据安全。 数据加密数据加密 加密是对信息存储和传输过程中的保护手段，并使之具有一 定的抗攻击强度。数据加密就是按确定的加密变换方法对 未经加密的数据（明文）进行处理，使之成为难以识读的 数据（密文）。加密变换不仅可以用于数据保密性的保护， 也可以用于数据的完整性检测。数据加密

49、技术是信息系统 安全中最重要的技术措施之一，具有广泛的用途。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 存取控制存取控制 对于获得机器使用权的用户，还要根据预先 定义好的用户操作权限进行存取控制，保证用 户只能存取他有权存取的数据。通常将存取权 限的定义（称授权）经编译后存储在数据字典 中，每当用户发出存取数据库的操作请求后， DBMS查找数据字典，根据用户权限进行合法权 检查，若用户的操作请求超过了定义的权限， 系统拒绝执行此操作。授权编译程序和合法权 检查机制一起组成了安全子系统。 w w

50、w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 数据加密数据加密 数据加密就是按确定的加密变换方法（加密算 法）对需要保护的数据（明文）作处理，使其 成为难以识读的数据（密文）。其逆过程，即 由密文按对应的解密变换方法（解密算法）恢 复出明文的过程称为数据解密。在加密处理过 程中又引入了一个可变量加密密钥。这样， 不改变加密算法，只要按照需要改变密钥，可 以将相同的明文加密成不同的密文。通常，加 密和解密算法的操作都是在一组密钥的控制下 进行的，分别称为加密密钥和解密密钥。密钥 是加密体系的核心，其形式可以是

51、一组数字、 符号、图形或代表它们的任何形式的电信号。 密钥的产生和变化规律必须严格保密。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 数据加密是用加密算法E和加密密钥Ke，将明文X变换成 不易识读的密文Y。记为 Y=Eke(x) 数据解密是用解密算法D和解密密钥Ka将密文Y变换成原 来易于识读的明文X，记为 X=Dka(Y) 在信息系统中，对某信息除意定的授权接收者之外，还 有非授权者，他们通过各种办法来窃取信息，称其为 截取者。数据加密模型如图所示。 数据加密的两种体制数据加密的两种体制 根据加

52、密密钥Ke和解密密钥Ka是否相同，数据加密技术 在体制上分为两大类：单密钥体制和双密钥体制。 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 E 加密算法 D 解密算法 发 端 收 端 明文X 解密密钥 Kd 密文 Y=Eke(x) 明文 X 加密密钥 Ke 图5-3 数据加密管理 截 取 者 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 密钥 C I P H E R 次序 1 4 5 3 2 6 明文 a

53、 t t a c k b e g i n s a t f o u r 明文：attackbeginsatfour 密文：abachuaiotettgfksr w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （3 3）软件安全）软件安全 软件安全主要是指为保证信息系统中的软件免遭破坏、 非法拷贝、非法使用而采取的技术和方法。它包括口 令的控制与鉴别技术、软件加密技术、软件防拷贝和 防动态跟踪技术等。 软件的技术保护软件的技术保护 对软件开发者、经营者来说，技术保护方式是法律保护 方式的必要补充。技术保护

54、的目的有两个，一是防止 对软件的非法复制、发行和使用，二是防止对软件本 身的跟踪分析解读和修改。软件的技术保护方法一般 有软件措施、硬件措施和软硬件结合措施三种。大体 上有以下几种： w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 在主机内或扩充槽里装入特殊硬件装置在主机内或扩充槽里装入特殊硬件装置 采用特殊标记的磁盘采用特殊标记的磁盘 “软件指纹软件指纹” 限制技术限制技术(“(“时间炸弹时间炸弹” ) 软件加密软件加密 反动态跟踪技术反动态跟踪技术 w w w . d a m i d a i . c o m 大米袋学习网，不仅提供精神食粮大米袋学习网，不仅提供精神食粮. 信息资源管理概论 （4 4） 网络安全网络安全 网络安全是指为保证网络及其节点安全而采用的技术 和方法。它主要包括数据加密技术、访问控制技术、 数字鉴名技术、密钥管理技术、防火墙技术、通信流 分析控制技术等，以便及时发现网络中的不正常状态， 并采取相应措施。 网络中的存取控制网络中的存取控制 - 鉴别（认证）技术鉴别（认证）技