第五章-信息系统的安全风险防范 复习 课件 2021-2022学年粤教版（2019）高中信息技术必修2

5.信息系统的安全风险防范主讲人：***粤教版信息技术必修二《信息系统与社会》【知识体系】信息系统的安全风险防范安全风险人为因素软硬件因素网络因素数据因素技术与方法重要术语威胁、攻击、入侵、漏洞、脆弱性、风险P2DR安全模型策略、防护、检测、响应常用技术加密技术、认证技术、主机系统安全技术……合理使用信息系统【知识梳理】一、信息系统应用中的安全风险（一）人为因素1.原因：人是信息系统的使用者与管理者，是信息系统的薄弱环节。2.策略：（二）软硬件因素1.对硬件的保护：2.对软件的保护：及时为软件打补丁或修复漏洞加强立法提高关键安全技术水平全面提高道德意识与技术防范水平把硬件作为物理资产严格限制访问权限【知识梳理】一、信息系统应用中的安全风险（三）网络因素1.风险：2.诱因：（四）数据因素：采集、存储、处理、传输过程中的安全问题网络黑客窃取、篡改信息；网络崩溃导致信息丢失。网络系统管理的复杂性网络信息的重要性网络系统本身的脆弱性低风险的诱惑【知识梳理】二、信息系统安全风险防范的技术与方法（一）信息系统安全风险防范的重要术语1.威胁：对信息、系统或信息资产有潜在危险的人、实体或其他对象2.攻击：对信息、信息系统或信息资产进行蓄意或无意破坏3.入侵：对网络或联网系统的未授权访问与控制4.漏洞：信息系统自身存在的缺陷5.脆弱性：物理环境、组织、过程、人员、管理、配置、硬件、软件、信息都存在的缺陷6.风险：威胁主体利用脆弱性，采用一定的途径和方式，对信息、信息系统或信息资产造成损害或损失，从而形成风险。【知识梳理】二、信息系统安全风险防范的技术与方法（一）信息系统安全风险防范的重要术语【知识梳理】二、信息系统安全风险防范的技术与方法（二）信息系统安全模型及安全策略1.信息系统安全性、便利性与成本的关系【知识梳理】二、信息系统安全风险防范的技术与方法（二）信息系统安全模型及安全策略2.P2DR模型（1）策略：根据风险分析产生的安全策略描述了系统中哪些资源要得到保护，以及如何实现对它们的保护等。【网络安全策略包括】访问控制策略、加密通信策略、身份认证策略和回复备份策略。（2）防护：数据加密、身份认证、访问控制、授权和虚拟专用网（VPN）技术、防火墙、安全扫描和数据备份等。（3）检测：实时监控、IT审计（4）响应：关闭服务、跟踪、反击、消除影响。【知识梳理】二、信息系统安全风险防范的技术与方法（二）信息系统安全模型及安全策略3.信息系统安全策略分析（1）非技术层面：预防意识、管理保障措施、应急响应机制。（2）技术层面：①物理方面：物理系统措施：环境维护、防盗、防火、防静电、防雷击。②逻辑方面：操作系统、数据库系统、应用系统和网络系统措施：访问控制、信息加密。【知识梳理】二、信息系统安全风险防范的技术与方法（三）信息系统安全风险防范的常用技术1.加密技术：防止信息被窃取（1）加密：将数据变换成某种形式，进而隐藏信息（2）解密：将隐藏的数据反变换成原样，进而恢复信息（3）密码分析：研究高效算法破译密码以获取机密信息2.认证技术（1）目的：验证信息发送者的身份、验证信息的完整性。（2）方法：口令字、物理手段、生物手段。【知识梳理】二、信息系统安全风险防范的技术与方法（三）信息系统安全风险防范的常用技术3.主机系统安全技术（1）目的：保护计算机操作系统、保护运行在计算机上的信息系统技术（2）技术手段：①操作系统安全技术：②数据库安全技术：用户账号控制机制：区分普通用户和管理员等不同角色对软件的使用权限强制完整性控制机制用户界面特权隔离机制网络访问保护机制安全数据库管理系统外包数据库安全云数据库/云存储安全【知识梳理】二、信息系统安全风险防范的技术与方法（三）信息系统安全风险防范的常用技术4.网络与系统安全应急响应技术（1）防火墙技术（2）入侵检测技术:（3）应急响应技术:阻挡非法用户的侵入记录计算机网络之中的数据信息防止工作人员访问存在安全隐患的网站检查损坏或企图损坏系统的机密性、完整性及可用性等行为的一类安全技术。在网络被破坏前后所采取的的预防、应对措施【知识梳理】二、信息系统安全风险防范的技术与方法（三）信息系统安全风险防范的常用技术5.恶意代码检测与防范技术:（1）工作环节：预防、机理分析、检测和清楚（2）种类：病毒、蠕虫、木马、僵尸病毒、间谍软件、Rootkit…6.人工智能技术在反病毒中的应用（1）根据计算机病毒的表现手段和方式，采用人工智能方法编制检测病毒软件，建立防治计算机病毒专家系统。（2）专家系统的核心：知识库和推理机主要是指以危害信息的安全等不良意图的程序，一般潜伏在受害计算机系统中实施破坏或窃取信息【知识梳理】三、合理使用信息系统（一）树立信息安全意识1.信息安全管理2.知识产权保护及其意义知识产权保护的范围：维护信息安全：确保信息内容在获取、存储、处理、检索和传送中，保存其保密性、完整性、可用性和真实性。人为造成计算机系统安全风险事件的原因：人为（75%），自然灾害（25%）软件数据库数字内容算法。【知识梳理】三、合理使用信息系统（二）信息系统安全操作规范1.信息系统规范操作的必要性（1）人为因素是信息系统安全问题产生的主要原因。（2）规范操作是消除过程因素造成的潜在威胁的必要策略2.信息系统规范操作及其意义

（1）加强信息系统的运行管理（2）提高工作质量和管理有效性（3）实现计算机系统维护、操作规范化（4）确保计算机系统安全、可靠运作【知识梳理】三、合理使用信息系统（三）信息社会的道德准则与法律法规1.网上道德规范2.信息安全法律法规存在问题造成危害在网上传播不良信息毒化网络“空气”，对青少年的身心造成危害网上犯罪会对经济、人身等造成严重后果虚假信息严重影响人们对信息真实性判断，降低了信息的可信度信息垃圾让人无法对信息作出正确、有效的选择沉溺游戏对青少年的心理和生理造成严重的负面影响《国家网络空间安全战略》《中华人民共和国计算机信息系统安全保护条例》《计算机信息网络国际联网安全保护管理办法》【典型例题】1.下列行为符合网络行为规范的是()A.未经许可随意使用别人的计算机资源B.利用高效算法破译别人的密码C.给别人发大量的垃圾邮件D.不在网上发布存在安全漏洞的驱动程序2.马老师组织几百名学生在计算机教室同时填写调查问卷，结果出现卡顿、乱码、闪退等情况，甚至不能出现问卷页面。究其主要原因是学生集中报名，进而造成网络拥堵。像这种情况，是由于()而造成信息系统不可靠、不安全。A.人为因素 B.软硬件因素 C.网络因素 D.数据因素DB【典型例题】3.小智在某餐厅参加毕业聚餐，结果发现手机账户信息被盗，最大原因可能是()。A.采用了二维码付款 B.在餐厅里用APP播放视频C.添加了朋友的微信 D.连接不安全的Wi-Fi,被盗取信息4.某公司的内部文件，活动内容以及设计方案遭到泄露，通过多方面调查，发现是IT部门没有及时注销离职员工的邮箱及相关业务系统的账号和权限。这样的信息安全问题主要是由()引起的。A.人为因素 B.软硬件因素C.网络因素 D.数据因素DA【典型例题】5.小马作为某公司的信息系统管理员，在员工离职时都要停用该员工曾经使用过的相关信息系统的账号，这样的操作规范属于()