计算机信息系统人员安全管理优选ppt资料

计算机信息系统(xìtǒng)人员安全管理第一页，共79页。一、当今社会，计算机信息与我们(wǒmen)息息相关1、规模巨大1）中国网民规模跃居世界第一位全球网站总量已经达到2.315亿个,新增网站主要来自中国。中国网民数量06年是1.23亿，年，我国网民规模继续稳步增长，网民总数达到4.57亿，互联网普及率攀升至34.3%，远超为全球第一2）中国互联网用户互联网消费(xiāofèi)数额惊人年中国互联网用户网络消费(xiāofèi)总规模突破7000亿，达7160.4亿元，增长23.1%。人均每月用于互联网的消费(xiāofèi)为170元，其中主要用于网络购物。引言(yǐnyán)第二页，共79页。2、关系密切网民当选人大代表、政协委员，网民受邀列席两会……将虚拟世界的网民请进两会，成为今年一些地方两会的亮点。浙江杭州市《政府工作报告(bàogào)》征求意见稿，在政府门户网站向社会进行为期一周的公示。《政府工作报告(bàogào)》在市两会前通过互联网向全体市民征求意见，这在杭州还是第一次。

四川省政协办公厅与四川政协网开辟“两会民意直通车”，邀请网民一起提交两会提案、议案。

由中国社科院新闻与传播研究所、社科文献出版社联合发布的新媒体蓝皮书。《1998-年中国重大网络舆论事件与传播特征》指出，中国的网络舆论给人留下的负面印象高于积极作用，但据对中国210起重大舆论事件的研究，网络舆论在67%的事件中起到了推动政府解决问题的正面积极作用。近年重大网络事件：天津(tiānjīn)“我爸是李刚”、武汉“厅官妻子打错门”、云南“躲猫猫”、湖北邓玉娇事件，河南“替谁说话”，上海“钓鱼执法”第三页，共79页。计算机在迅速改变着这个世界，给社会和越来越多的人提供便利，但与此同时，计算机网络里的违法犯罪活动也越来越猖獗。正义(zhèngyì)与邪恶的较量，正越来越趋于激烈。这种较量，直接关系到每一个人的切身利益，关系到国家的经济、政治、文化和社会安全。二、计算机网络犯罪日益(rìyì)猖獗，

计算机信息安全刻不容缓第四页，共79页。1、损失巨大全世界每年被计算机犯罪直接盗走的资金达数百亿元；据联邦调查局统计测算，一起刑事案件的平均损失为2000美元，而一起计算机犯罪案件的平均损失高达50万美元。据计算机安全专家估算，近年因计算机犯罪给总部(zǒnɡbù)在的公司带来的损失约为2500亿美元。年10月1700万名德国电信用户的个人数据遭泄漏；12月，德国再爆2100万个私人账号在市面上非法流通，个人存款面临威胁。第五页，共79页。2、攻击频繁年1月4日，金山毒霸“云安全”中心监测结果显示，年元旦期间，全国近百万台电脑遭遇病毒攻击。其中元月1号一天就有40万台电脑受到病毒的攻击。IE7攻击代码每日进行22万次攻击该代码。年上半年，江民反病毒中心共截获新病毒206439种,1至6月全国共有9871681台计算机感染了病毒。目前江民反病毒中心日处理病毒数量达到最高达到上万种。3、手法多样随着计算机技术水平的的不断(bùduàn)提高，计算机犯罪的手段层出不穷。第六页，共79页。

案例介绍

工商网站(wǎnɡzhàn)假网页案

第七页，共79页。据报：有人建了一个假冒的工商网站，试图骗取该行用户的账号和密码，它的网站和真正的工行网站，只有“1”和“I”一字之差。用户进入假工商网站后，输入一个卡号并进行修改密码后，该网站显示“密码修改成功，请牢记”。专家介绍，如果此时输的是正确卡号和密码就已经被该网站盗取了。工行一位技术人员说，一旦犯罪分子掌握了他人卡号和密码，就可以做假卡到提款机上取现金了。一位用户称，前天他收到一封电子邮件称：“最近我们发现您的工商账号有异常活动，为了保证您的账户安全，我行将于48小时内冻结您的账号，如果您希望继续使用(shǐyòng)，请点击输入账号和密码激活”。邮件落款为：中国工商客户服务中心。在的网站上，按照提示，张先生随意输了一个账号和密码，竟显示激活成功。第八页，共79页。假工商还举行过一项“送大礼”活动，其内容非常诱人：为了回报(huíbào)网上用户，本行特进行火爆送大礼活动！此网页还注明，领奖者需输入网上注册卡号、登录密码、交易密码完成领奖注册后，才能获得以上相应礼物。中国互联网信息举报中心监测数据显示，年春节以来，与中国某相关的诈骗网站举报数量明显增加，克隆网站多达70多个。在媒体公开报道的案例中，有用户被骗走的金额高达百万元。据国家计算机网络应急中心估算，“网络钓鱼”给电子商务用户带来的损失目前已达76亿元，平均每位网购用户被“钓”走的金额为86元。不断升级的诈骗技术再次敲响网银用户安全的警钟。昨天，第九页，共79页。乐购超市(chāoshì)案案例大概：2006年1月19日，上海市金山区人民法院作出一审判决，以职务侵占罪判处被告人方元有期徒刑14年，并处没收财产30万元；同案的于琪等42名被告人分别被判处有期徒刑12年至拘役4个月缓刑6个月，另有8名被告人处没收财产10万至1万元。团伙的核心一号人物方元，26岁，曾经(céngjīng)担任过超市的资讯组长，是“漏斗”程序设计者。二号人物陈炜嘉，34岁，曾经(céngjīng)是超市的驾驶员，负责招收可靠的收银员。三号人物于琪，26岁，曾任超市资讯组长，负责秘密安装漏斗程序，可以说算是潜伏在里面很深的卧底。第十页，共79页。方在工作中发现了超市收银系统存在漏洞，于是便设计了攻击性的“漏斗”程序。根据方的设计，只要收银员输入(shūrù)口令、密码，这个程序会自动运行，删除该营业员当日20%左右的销售记录后再将数据传送至会计部门，造成会计部门只按实际营业额的80%向收银员收取营业额，另20%营业额即可被侵吞。第十一页，共79页。2004年5月，已从乐购超市真北店辞职的方元和当时在该店任资讯员的于琪合谋，实施利用非法程序截留超市营业款。2004年6月至2005年8月期间，由方负责(fùzé)设计并定期修改非法程序，于琪等人利用工作便利，将方设计的非法应用程序安装传送到该超市真北店、金山店、七宝店的收银系统，超市的驾驶员陈炜嘉负责(fùzé)从社会上物色和招聘人员，进行面试和技能培训，然后将他们作为“自己人”安插到超市收银员等岗位。第十二页，共79页。从此，方元家便成了“卧底收银员”的培训基地。方元专门搬来一台收银机现场演示，而陈炜嘉还特意写下了操作中的注意事项。在一年多时间里，这个团伙敛财397万元。由于作案手段专业隐秘，超市苦于被盗却查不出损失到底是如何产生的。正当他们沉浸在发财梦中，认为(rènwéi)万无一失的时候，他们引以为豪的“漏斗”软件被警方识破，整个团伙一网打尽。第十三页，共79页。商场使用收银程序进行计算机（或POS）收银，在国内是1980年代中期的事情，之后在1990年代逐渐流行，到2000年前后，城市(chéngshì)里面绝大部分大型超市都采用收款机来进行收银，包括产品的进销调存处理。既然使用计算机进行销售处理，当然要采用计算机程序。收银的计算机程序一般对于每一笔业务都可以登载清楚，并作为结算的依据。本案的案例反映出几个问题：第十四页，共79页。一是商场的管理非常(fēicháng)涣散，因为帐款不符，在每个柜台的对帐和盘点过程中很容易发现这种问题二是商场的制度很不健全，这么多人，长时间进行舞弊操作，按理说是很不容易组织和维持的，反而维持了很长时间，致使商场蒙受重大损失，这充分反映了商场在制度上的问题。本案例企业管理计算机犯罪案例中属于典型案例。企业应该加强内部控制，在实行计算机业务处理后，应该有适当的、与之配合的监控措施。包括另一个计算机监控程序。一方面是技术上的防范，另外一方面是对人的防范。要提高劳动力的素质不光是劳动技能，还要加强劳动纪律、加强职业道德的教育。第十五页，共79页。上述(shàngshù)案例说明：

信息安全依然存在不少问题。一是安全技术保障体系尚不完善，许多单位花了大量的金钱购买(gòumǎi)了信息安全设备，但是技术保障不成体系，达不到预想的目标；二是应急反应体系没有经常化、制度化:三是企业、单位信息安全的标准、制度建设滞后。第十六页，共79页。联邦调查局(FBI)2001年12月日3日宣布，对全局机构进行全面调整，将成立一个新的网络犯罪侦查处(CybercrimeDivision)，专门处理知识产权保护、高科技与计算机犯罪等问题。调整以后，FBI原有的11个部门(bùmén)将合并为4个新的部门(bùmén)。新成立的网络犯罪侦查处与刑侦处(CriminalInvestigationDivision)平级，由分管刑侦的新任局长执行助理鲁本.加西亚领导。另外3个处分别是反恐怖与反间谍处、执法处和行政处。第十七页，共79页。FBI网络(wǎngluò)犯罪侦察处的工作詹妮弗、格里芬的FBI，就专门有着(yǒuzhe)这样一个部门，他们只负责调查和处理存在于因特网上的犯罪记录，关注的是所有与网络有关的犯罪行为，而FBI特派探员詹妮弗，就是这个部门中非常专业的一位成员。詹妮弗、格里芬在上夜班詹妮弗已盯某嫌疑人多天进该人网站，音乐下载，三首歌曲解压缩，听歌，发现自己金料被盗取，詹妮弗也放了木马，可监控嫌疑人的操作他购买了高级手表，用的是詹妮弗的信用卡詹妮弗查到，是个好人局域网超连接，查出嫌疑人，锁定通知当地警方抓获罪犯。第十八页，共79页。第一节安全(ānquán)组织及其职能做好信息安全工作要建立与系统(xìtǒng)规模、重要程度相适应的安全组织。一、建立信息安全组织的必要性《中华人民共和国计算机信息系统(xìtǒng)安全保护条例》第13条：“计算机信息系统(xìtǒng)的使用单位应当健全安全管理制度，负责本单位计算机信息系统(xìtǒng)的安全保护工作”第4条：“计算机信息系统(xìtǒng)的安全保卫工作，重点维护国家事务、经济建设、国防建设、尖端科学技术等重要领域的计算机信息系统(xìtǒng)的安全。”第十九页，共79页。从木桶理论(lǐlùn)谈计算机信息安全说到木桶理论，可谓众所周知:一个由许多块长短不同的木板箍成的木桶，决定其容水量大小的并非是其中最长的那块(nàkuài)木板或全部木板长度的平均值，而是取决于其中最短的那块(nàkuài)木板。第二十页，共79页。这个理论也被引进了安全领域(lǐnɡyù)，在信息安全中，认为信息安全的防护强度取决于“马奇诺防线”中最为薄弱的一环，这个理论意义在于使我们认识到整个安全防护中，最短木块的巨大威胁，并针对最短木块进行改进。但这其实只是一种头痛医头，脚痛医脚的做法，是治标不治本的方法。所以实施后，安全问题还是很多，有人曾形象地说“洞照开，虫照跑，毒照染”。第二十一页，共79页。新木桶理论(lǐlùn)一个木桶能不能容水，容多少水，除了看最短木板之外，还要看一些(yīxiē)关键信息:1、这个木桶是否有坚实的底板，2、木板之间是否有缝隙。第二十二页，共79页。底板是信息安全的基础一个完整的木桶，除了木桶中长板、短板，木桶还有底板。对于(duìyú)装信息的木桶来讲，底板正是信息安全的基础，即企业的信息安全架构、制度建设和流程管理。对于(duìyú)多数企业而言，目前还没有整体的信息安全规划和建设，也没有制度和流程。信息安全还没有从整体上进行考虑，随意性相当强。第二十三页，共79页。木板(mùbǎn)间的缝隙是木桶能否容水的关键。木桶能否有效地容水，除了需要坚实的底板外，还取决于木板(mùbǎn)之间的缝隙。对于一个安全防护体系而言，其不同产品之间的协作和联动有如木板(mùbǎn)之间的缝隙，通常为我们所忽视，但其危害却最深。第二十四页，共79页。桶箍的妙处就在于它能把一堆独立的木条联合起来，紧紧地排成一圈，同时它消除了木条与木条之间的缝隙，使木条之间形成协作关系，形成一个共同的目标(mùbiāo)。如果箍不紧，那木桶也就是千疮百孔，纵有千升好水，能得几天不停流?信息系统的安全组织就是木桶的桶箍，它能把各种安全技术、安全产品、安全策略、安全措施等各种目标(mùbiāo)等箍在一起，共同形成一个坚实的木桶。第二十五页，共79页。二、安全(ānquán)组织的规模单位最高领导必须主管计算机安全工作。规模大的信息系统：设立安全领导小组，成员包括单位最高领导；确定职能部门负责日常(rìcháng)信息系统安全管理工作，其成员包括单位负责人、系统管理员、程序员、硬件人员、操作员、人事和保卫；并设立下一级安全组织。规模小的信息系统：安全组织人员较少或设立信息系统安全专管员。一般至少“三结合”：即领导、保卫人员、计算机技术人员相结合。第二十六页，共79页。三、安全(ānquán)组织的基本要求安全组织的运行应独立于信息系统的运行，是一个(yīɡè)综合性组织。1、单位安全负责人领导，不能隶属于计算机运行或应用部门。2、常设工作职能机构。3、“三结合”人员组成。4、双重组织联系：接受公安机关计算机安全监察部门管理、指导以及本系统上下级安全管理工作联系。第二十七页，共79页。安全管理(guǎnlǐ)的九个主要环节：领导重视，组织落实，采取登记保护体制，责任分解明确并落实到人，具体措施到位，各类安全管理制度健全，建立安全技术保障，周密细致的信息安全工作，严格周详的审计应急计划。(P176)安全是一把手工程，只有得到领导的强有力支持，才可能把安全策略进行推广;安全是全民工程，只有全民参与，才能有效(yǒuxiào)地贯彻安全策略和制度。第二十八页，共79页。安全管理失控的案例：2003年10月5日13时，甘肃省定西地区临洮县太石镇邮政储蓄所的营业电脑一阵黑屏，随即死机。营业员不知何故，急忙将刚刚下班尚未走远的所长叫了回来。所长以为电脑出现了故障，向负责计算机系统运行和安全的省邮政局信息中心报告之后没放在心上。17日，电脑经过修复重新安装之后，工作人员发现打印出的报表储蓄余额与实际不符。经过对账发现，5日13时发生了11笔交易、总计金额达83．5万元的异地账户系虚存（有交易记录但无实际现金(xiànjīn)）。当储蓄所几天之后进一步与开户行联系时，发现存款已经分别于6日、11日被人从兰州、西安两地取走37．81万元，他们意识到了问题的严重性，于10月28日向临洮县公安局报了案。第二十九页，共79页。专案组首先对有异常情况的8个活期账户进行了调查，发现都属假身份证储户。此时(cǐshí)，技术分析的结果也出来了，发现作案人首先是以会宁邮政局的身份登录到了永登邮政局，然后再以永登邮政局的名义登入了临洮太石邮政储蓄所。经调查，发现该局系统维护人员张少强最近活动异常。其办公桌上有一条(yītiáo)电缆线连接在了不远处的邮政储蓄专用网络上(严重违规，但没有人过问，阻止）。11月14日22时，张少强在其住所被专案组抓获。第三十页，共79页。经过审问，张少强交待了全部犯罪事实。10月5日，张少强在会宁利用笔记本电脑侵入邮政储蓄网络，非法远程登录访问临洮太石邮政储蓄所的计算机，发现对方仍然使用原始密码，则轻易进入操作系统，以营业员身份(shēnfen)向预先利用假身份(shēnfen)证开设的8个活期账户存入了11笔共计83．5万元的现金，并在退出系统前，删除了营业计算机的打印操作系统，造成机器故障。第二天，他在兰州10个储蓄网点提取现金5．5万元，并将30．5万元再次转存到他所开设的虚假账户上。10月11日，张少强利用6张储蓄卡又提取现金1．8万元。2004年，张少强被判无期徒刑。第三十一页，共79页。第三十五页，共79页。第七十三页，共79页。按照国家有关法律法规的规定，建立、完善各项计算机安全管理规章制度，并落到实处。针对这些缺陷你认为应采取什么措施来亡羊补牢。7、确立信息安全岗位人员职责和权限。第四、改乱了保单中一些记录；木板(mùbǎn)间的缝隙是木桶能否容水的关键。思考题：制定本公司所有使用计算机系统的工作人员有关计算机安全的年度培训方案。于是，他们会以最快的速度(sùdù)从同事的电脑上找到自己所需要的资料，并且放到共享中不易被人发现的文件夹内，第二天就可以大大方方的带走了。进该人网站，音乐下载，三首歌曲第六十三页，共79页。三、安全(ānquán)组织的基本要求调查过程中，警方意外发现，深圳沙井世高精密塑胶模具公司也曾遇到工资款被划走的事，事后该公司电脑部员工刘涛就辞工了。其中应包括雇员违反安全规定时应采取的行动。第三十二页，共79页。答案(dáàn)：Np175倒5，3行案例分析题：按照计算机安全组织的基本要求(yāoqiú)和标准对照本案分析该地的邮政系统及其上级部门在计算机安全管理方面存在什么重大漏洞和缺陷。针对这些缺陷你认为应采取什么措施来亡羊补牢。用教材：P175-176对照第三十二页，共79页。1、负责信息运行和安全的是同一个部门，而根据有关规定（P175倒5，P176（1））信息系统(xìtǒng)安全组织不能隶属于计算机运行或应用部门。2、张少强私搭电缆，利用笔记本电脑侵入邮政储蓄网络，从来没有人过问，更没有人阻止。且张作为普通的系统(xìtǒng)维护人员能以营业员身份进行远程操作。说明邮政局没有建立健全安全管理规章制度和明确的岗位安全责任制，至少制度没有落到实处。P176（2、4）3、所长、员工和上级以为电脑出现了故障，根本没有想到会有网络犯罪的情况发生，说明安全意识差。P176（5）4、储蓄所整整过23天才上报案件，没及时采取有效的防范和补救措施。，说明没有严格执行计算机信息系统(xìtǒng)案件上报机制。P176（8）5、储蓄所一直使用原始密码，没有定期更改。P176（6、7）第三十三页，共79页。应建立和完善安全管理规范和机制，切实加强和落实安全管理制度，增强安全防范意识。1）建立单位最高负责人亲自(qīnzì)挂帅且独立于信息系统运行的各级安全组织，基层单位要有专职或的安全员。确立安全管理机制并切实发挥管理作用。2）明确计算机使用部门和岗位的安全责任制；按照国家有关法律法规的规定，建立、完善各项计算机安全管理规章制度，并落到实处。3）在职工群众中普及安全知识，提高信息安全意识。对重点岗位的职工进行专门的培训和考核，持证上岗。4）严格执行计算机信息系统案件及时上报机制。对信息系统的安全隐患能及时发现并及时采取整改措施。制定根据不同案件及时采取有效的防范补救措施的预案。5）定期修改密码，保证密码不失密。第三十四页，共79页。四、安全(ānquán)组织职能P177十条1、与信息安全有关的规划、建设等方面的决策和实施。2、建立各自信息系统的安全策略、安全目标。3、建立健全安全实施细则并贯彻实施。4、与安全主管机关、机构联系。5、参与本单位及下属单位安全管理工作6、建立健全安全操作规程、制度。7、确立信息安全岗位人员职责和权限。8、处理安全违规违纪及泄密事件。9、对信息安全工作表现优秀人员给予表彰。10、定期向安全管理检查(jiǎnchá)部门报告。第三十五页，共79页。第一节要点：安全工作组织机制(jīzhì)不隶属于计算机运行或应用部门，由安全负责人负责安全组织工作，直接对主要领导及公安主管部门负责。第三十六页，共79页。第二节人员安全审查(shěnchá)和安全考核一、人员审查标准和人员背景调查1、人员审查：根据计算机信息系统所定的密级确定人员审查的标准。关键岗位人选须经严格的政审并考核业务能力。2、人员背景调查：对某人参与信息系统安全和接触敏感信息是否(shìfǒu)合适的审查。P178十三条。第三十七页，共79页。二、岗位安全(ānquán)考核考核包括政治思想(sīxiǎng)、保密观念和业务技术等各方面。P179除了思想(sīxiǎng)政治、业务水平、操作技能外，还包括以下安全保密方面的：1）是否在指定计算机上操作2）岗位分离情况3）是否做与工作无关的操作4）是否越权查阅操作5）是否有异常并及时上报6）密码是否失密第三十八页，共79页。人员(rényuán)背景调查和安全考核失控的案例：

硕士生假扮大专生入职17天网上盗70余万元2006年7月6日，朝阳电子(深圳)人事部罗经理急匆匆赶来报警，该公司7月6日发工资(gōngzī)，但是300多名员工账户上没钱，70余万工资(gōngzī)款被人转到李志华、李明两人的账户上。据介绍，朝阳公司委托代发工资(gōngzī)的发现异样，立即致电朝阳公司财务部。紧急查账发现，7月6日上午，一女子分别在该沙井、公明两个营业点取走42万元现金。该女子在该福永营业点再次取款9万元时，有关人员发现有问题，曾让保安员将取款女子留住，但是，该女子撒泼大骂保安员，然后钻空子溜走。第三十九页，共79页。调查发现，李志华、李明两个人的账户均是以假身份证开户，取款的女子失踪，案件陷入迷雾之中。警方认定作案者为该公司内部人员，而且(érqiě)是电脑高手，于是对该公司财务部、人事部等部门员工以及进入公司内部的人员一一排查，但未发现有价值的线索。第四十页，共79页。7月9日，录用不到20天的朝阳公司电脑部员工张艳坤不辞而别。朝阳公司很多人认为张艳坤不可能作案，因为大家认为此人仅仅是个电脑部的小职员，业务上也不突出，性格内向，不太与人来往，张艳坤几乎(jīhū)没有机会和能力作案。但警方进一步调查发现，张艳坤不辞而别后不知去向，而且他入厂时提供的身份证、学历证、姓名、家庭信息等等全部是伪造的。第四十一页，共79页。调查过程中，警方意外发现，深圳沙井世高精密塑胶模具公司也曾遇到工资款被划走的事，事后该公司电脑部员工刘涛就辞工了。最后警方侦查证实，张艳坤和刘涛是同一个人，刘涛的女友闫美廷正是前往提款的女子。7月28日晚，刘涛、闫美廷分别(fēnbié)在包头、临河两地被抓获。经审，刘涛同样是沙井世高精密塑胶模具公司工资遇窃案的作案者。第四十二页，共79页。刘涛是内蒙古一高校电子信息硕士毕业生。06年6月份，他用伪造的假身份证、学历证等资料，以张艳坤的名字向朝阳公司应聘，被录用进入公司电脑部上班。为遮人耳目，刘涛自降身份是大专生，每月工资要求(yāoqiú)仅2000元。上班后，刘涛沉默寡言，业务上故意表现很平庸。他本来没有权限进入财务部的电脑系统的，但他在工作中频频跑到财务部向某财务人员请教一些简单的电脑问题，借机操作财务部员工电脑，暗中掌握了财务部制作工资表的程序。在工作中频频监控财务部人员的电脑资料第四十三页，共79页。7月6日早晨7时50分左右，朝阳公司财务部职员将员工工资表做好，查对之后没错便去倒水喝。刘涛见状，立即用自己电脑侵入财务部职员电脑，将自己制作的模板覆盖公司员工工资模板。财务部职员并未发现异样，将工资表交给财务主管送到。这样(zhèyàng)，刘涛成功将300余名员工共70余万工资划入事先开好的2个账户中，再由女友闫美廷先后两次从取出共42万现金。第四十四页，共79页。案例分析题：1、本案中，公司在新人员录用审查和过程中有哪些环节不符合(fúhé)安全管理要求。2、公司在信息系统岗位的日常安全管理和安全考核过程中有哪些不符合(fúhé)要求。教材P178-179第四十五页，共79页。1、人员背景调查中缺陷：没有对学历证书进行认证。（3）没有对申请人的经历的完整性和准确性进行检查。（4）没有对申请人的身份证进行认证。（5）2、岗位安全考核应包括以下方面(fāngmiàn)：是否在指定的计算机或终端上操作。是否在运行的机器上做与工作无关的操作。是否越权运行程序，是否查询无关信息。从本案可显然看出刘涛和财务室人员在以上几方面(fāngmiàn)都室违反了这些规定的，公司没有进行这些方面(fāngmiàn)的安全考核制度或至少是考核不严格的。第四十六页，共79页。第四十七页，共79页。信息安全首席检查官来了！(一个(yīɡè)华为员工的博客）

风闻信息安全首席检查官今天准备大规模搜查员工的电脑违规情况，当即决定今天不去办公室直接去见客户了。信息安全是华为的一大特色，为了防止公司的技术机密被扩散，每个华为人的电脑上都安装有accheck,这个软件可以记录你在电脑上所有的操作行为，而且每次只要(zhǐyào)用电脑登进公司的局域网，它就会自动象信息安全中心发送所有操作记录，比如上了什么网站，拷贝了什么文件，装了哪些软件，是否使用usb接口etc.在华为，装QQ，msn等聊天工具，用usb接口拷贝文档是严重违规。用笔记本电脑登陆除公司网站外的其他网站收发邮件也是违规行为，另外电脑上不能存储音乐，图片等等与工作无关的东西。但是一个人长期在外不可能只有工作，没有生活，所以大部分人的电脑都处于违规状态。而被检查到违规的后果是不但自己可能罚钱降薪，而且你的直接领导，领导的领导也会受到处罚，所以听说首席检察官专门从深圳飞过来检查，大家都比较紧张，今天估计办公室应该是人影稀疏，大家都在家办公喽。第四十八页，共79页。第二节要点(yàodiǎn)人员安全(ānquán)审查应从人员的安全(ānquán)意识、法律意识、安全(ānquán)技能等方面进行审查和必要的背景调查。定期对计算机从业人员进行政治思想、业务水平、工作表现和安全(ānquán)保密意识方面的考核。第四十九页，共79页。第三节人员(rényuán)安全培训一、培训范围及培训内容对计算机系统的所有工作人员(rényuán)要进行安全保密教育、职业和法制教育等。负责信息系统安全的人员(rényuán)要培训：安全技术；对威胁和脆弱性进行评估的方法学；选择安全工具的标准和实施；了解哪些设备有危险。第五十页，共79页。二、职业道德(zhíyèdàodé)培训计算机职业道德是用以约束计算机从业人员以及与计算机活动相关的人的言行(yánxíng)，指导其思想行为规范的总和，是用以调整计算机从业人员及相关人员之间及计算机活动与社会之间关系的原则规范、行为活动、心理意识乃至善恶评价的总和。第五十一页，共79页。应注意的道德规范主要有以下几个方面：1、有关知识产权1990年9月我国颁布了《中华人民共和国著作权法》，把计算机软件列为享有著作权保护的作品；1991年6月，颁布了《计算机软件保护条例》，规定计算机软件是个人或者团体(tuántǐ)的智力产品，同专利、著作一样受法律的保护任何未经授权的使用、复制都是非法的，按规定要受到法律的制裁。第五十二页，共79页。2、有关(yǒuguān)计算机安全

不要蓄意破坏和损伤(sǔnshāng)他人的计算机系统设备及资源；不得私自拷贝不属于自己的软件资源；不应该到他人的计算机里去窥探，不能私自阅读他人的文件（如电子邮件）不得蓄意破译别人口令。不要制造病毒程序，不要使用传播带病毒的软件；在计算机内安装防病毒软件；定期检查和清除计算机系统内的病毒被授权者对自己享用的资源负有保护责任，口令密码不得泄露给外人；第五十三页，共79页。3、有关(yǒuguān)网络行为规范我国公安部公布的《计算机信息网络国际联网安全保护管理办法》中规定任何单位和个人不得利用国际互联网制作、复制、查阅和传播下列信息：煽动抗拒、破坏宪法和法律、行政法规实施的；煽动颠覆国家政权，推翻社会主义制度的；煽动分裂国家、破坏国家统一的；捏造或者歪曲事实，散布谣言，扰乱社会秩序的；宣言封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖，教唆犯罪的；公然侮辱他人或者捏造事实诽谤他人的；损害(sǔnhài)国家机关信誉的；其他违反宪法和法律、行政法规的。第五十四页，共79页。三、规章制度(ɡuīzhānɡzhìdù)的培训内容如下：(P181)1）系统运行维护管理;2）计算机自理控制管理制度;3）文档资料管理制度;4）操作人员(rényuán)管理制度;5）机房安全管理制度;6）其他规章制度;7）工作手册和工作记录。第五十五页，共79页。四、系统管理员的技术培训P182与系统安全相关的培训内容：1、与安全对策相关的信息的普及；2、管理系统用户应实施的对策；3、管理系统信息应实施的对策；4、管理软件、硬件、通信线路和设备实施的对策；5、记录(jìlù)、保管工作、使用记录(jìlù)等时实施的对策。第五十六页，共79页。第三节要点：要对计算机从业人员分层次进行培训，培训内容包括安全保密教育和法制教育、职业道德培训、规章制度(ɡuīzhānɡzhìdù)培训以及安全技术培训。思考题：制定本公司所有使用计算机系统的工作人员有关计算机安全的年度培训方案。第五十七页，共79页。第四节安全保密契约(qìyuē)管理进入信息系统的工作人员应签订保密合同，承诺其对系统应尽的安全保密义务，保证在岗工作期间和离岗后的一定时期内，均不得违反保密合同，泄露(xièlòu)系统秘密。其中应包括雇员违反安全规定时应采取的行动。无论作用大小，和员工签定清晰的保密协议是必要的,没有规矩不成方圆，明确什么是对的，人们才可以杜绝错的。保密协议的内容越详细越好，如果对方心胸坦白，自然会欣然同意。第五十八页，共79页。2002年11月，在香港首宗被成功定罪的“电脑商业间谍案”中，31岁的女被告龚杏明承认20项非法入侵电脑罪名。龚杏明于2000年受雇于某物业代理公司（该公司为著名跨国地产公司）任职物业代理，一个月后离职转投仲量行。被告在仲量行(现称仲量联行)任职高级磋商员时，通过新加坡互联网供应商的联机服务，连日入侵旧公司的电脑，盗取81封涉及楼宇报价及市场分析的电邮，全部为受害公司与客户间的商业秘密。受害公司表示，资料外泄造成(zàochénɡ)该物业代理公司上亿损失。令其他同业竞争者得益。第五十九页，共79页。在细节的监管上，跨国公司的做法值得我们借鉴。例如，西门子公司从硬件设备上防止员工拷贝公司资料，根据级别区分，公司的大部分员工电脑是不能安装软驱和移动硬盘接口的。而IBM公司规定每个员工只有三次(sāncì)查阅同一文档的机会，并且这三次(sāncì)查看的时间、地点、原因都会被严格的记录下来。第六十页，共79页。小心不忠诚的员工：已是深夜，向来准点下班的小王还仍在办公室挑灯夜战。这让公司的李总感动不已，他还特意给小王叫了外卖。他心里暗想，如果公司其他员工都向小王这样敬业该多好。然而，仅一墙之隔的李总怎么也没想到，在他看来兢兢业业的小王其实正在通过一个间谍软件，在搜索李总通过邮件发出的竞标方案。而这份方案通过小王落在了此次竞标的另外一家同行手里。直到几个月之后，那家公司顾问跳槽在自己手下(shǒuxià)，小王向那家公司出卖标书的事才被揭发出来，李总这才明白为什么自己那次竞标为什么一败涂地。第六十一页，共79页。第五节离岗人员(rényuán)安全管理一、调离人员：移交所有系统资料、钥匙和证件。及时更换口令和机要锁，取消其用过的所有帐号。重申离岗后承担(chéngdān)的安全与保密责任和义务。二、解聘人员按保密契约的规章审查第六十二页，共79页。对于企业来讲，那些即将离职的员工是极度危险的。因为不论出于什么原因，他们都希望能够为自己以后的工作获取必要的资源。“实际上，离职员工通过各种手段从原公司拿走一些资料已经成为一种习惯，当然这些资料只是方便以后工作，而不是直接用来出售。”一位离职员工很坦然的说。“我们的雇员可以在下班之后申请加班两小时，两小时后他们会去刷门卡，让电脑系统显示此人已经离开。但是实际上，员工却可以通过通向卫生间的那道不锁的门出入公司，而不留下在公司超时逗留的证据。于是，他们会以最快的速度(sùdù)从同事的电脑上找到自己所需要的资料，并且放到共享中不易被人发现的文件夹内，第二天就可以大大方方的带走了。”这位离职员工毫不避讳的讲到。第六十三页，共79页。与那些只是做一些小偷小摸的员工相比，那些因不满而离开公司的职员更加可怕，同样是2003年，可口可乐公司前雇员马休·惠特利控告公司有质量问题和舞弊行为，导致联邦检察官展开对可口可乐的调查。对于即将离职的员工，跨国公司的普遍做法是在通知(tōngzhī)员工离职前便冻结员工在公司的所有权限。这一点，联想今年3月份的裁员就显得非常专业。在离职员工知道自己被解聘之前，公司便封掉了他在联想局域网上的ID,员工就不能进入公司的网络获取任何资料。第六十四页，共79页。案例：不速之客99年6月16日，中国太平洋公司郑州分公司某领导办公室的骤然响起，中，该公司电脑部的一位工作人员以紧张的口气报告：“有人侵入了我公司数据库，部分关键数据被修改！”。经初步查明，这个黑客是在6月15日非法侵入该公司网络系统和数据库。15日下午该公司大厅的工作人员就发现，保单上打印的公司服务号码不知何故被更改为寿险经理室的，当日下班(xiàbān)之前，又有一名员工发现，一张减保的保单退保金出现不一致的现象，有关主管人员决定第二天与总公司电脑部联系确定问题原因。第六十五页，共79页。没想到，16日上午一上班，大厅和客户服务部骇然(hàirán)发现：越来越多的保单交费额异常。公司电脑部闻讯后立即组织人员进行技术分析，确认有人更改了部分关键数据。该公司意识到事态的严重性，立即停止了电脑系统的远程登录服务功能，对寿险系统的用户密码进行了更改，实行各部门操作密码，专人保管的临时措施。同时，公司领导决定：向郑州市公安局报案。经过对公司的电脑系统进行实地勘验，警方认定，公司的数据库遭到五个方面的修改：第一、退保金比原来提高了0．025倍；第二、更改了单中10650个保单的交费额和给付额，更改的交费额为正确值的1．87倍，更改的给付额为正确值的1．77倍；第三、删除了保单库中1700条记录；第四、改乱了保单中一些记录；第五、更改了公司的服务。第六十六页，共79页。由于案发时正逢利率下调，业务增多，700多份保单出现错误，幸亏发现及时，及时将出错保单收回，否则该公司的经济利益和声誉将受到很大损害。警方在勘验中还发现，这名黑客是利用网络内部的用户名称和密码，正常进入网络，由于此人手脚比较干净，网络内未留下侵入(qīnrù)痕迹，破案难度较大。这名黑客虽然隐蔽，但至少要符合四个条件：第一，对该公司的电脑网络系统非常熟悉，作案迅速。第二，数据是在半个小时内更改完毕的，一般人做到的可能性不大，此人对公司的业务非常熟悉。第三，此人对该公司电脑系统的网络、用户名和密码，以及系统弱点了如指掌。第四，有作案动机，报复作案的可能性最大。第六十七页，共79页。到此，警方将目光集中在该公司内部和调走人员身上，经过不断排查，一个叫王波的人逐渐纳入了办案人员的侦察视线。王波，男，河南省沁阳县人，21岁，原是太平洋公司郑州分公司的职工(zhígōng)，开始时作业务员，后来主管计算机系统的维护编程。今年3月，他认为自己不受领导的重用，因而跳槽到另一家公司，走之前