等级保护关于信息安全工作的认识与体会

关于信息平安工作的认识与体会主要内容一、国家高度重视信息平安二、我国信息平安主要工作开展情况三、国家信息平安保障体系介绍四、对园区信息平安的几点建议32024/5/23国家平安战略的演变和开展冷战结束后，各国面临的平安问题和威胁日益增加并趋复杂化，传统的以军事平安为主要内涵的国家平安和平安战略受到冲击，经济平安、金融平安、能源平安、信息平安、生态环境平安等诸多非传统平安问题逐渐突出，非传统威胁正在推动国家平安战略的演变和开展。42024/5/23传统平安与非传统平安传统平安主要是指国家的政治平安和军事平安，即国家的生存不受威胁就国家外部平安而言，主要是指国家独立，主权和领土完整，不存在军事威胁和军事入侵非传统平安指除军事、政治和外交冲突以外的其他因素也对主权国家及人类整体生存与开展构成威胁国土平安、经济平安、文化平安、信息平安、社会平安等从不同的角度构成直接对国家平安威胁的重要因素信息平安属于非传统平安52024/5/23党的十六届四中全会?决定?针对传统平安威胁和非传统平安威胁的因素相互交织的新情况，提出：增强国家平安意识完善国家平安战略抓紧构建维护国家平安的科学、协调、高效的工作机制?决定?还从全面应对传统平安威胁和非传统平安威胁着眼，重点提出了维护国家政治平安、经济平安、文化平安、信息平安、国防平安的重大任务。62024/5/23中央领导重要指示胡锦涛总书记“把信息平安放到至关重要的位置上，认真加以考虑和解决〞。强调要从国家平安、社会稳定、经济开展的高度去认识信息平安问题的极端重要性。72024/5/23中央领导重要指示温家宝总理面对复杂多变的国际环境和互联网的广泛应用，我国信息平安问题日益突出。参加世界贸易组织、开展电子政务等，对信息平安保障提出了新的、更高的要求。主要内容一、国家领导重视信息平安二、我国信息平安主要工作开展情况三、国家信息平安保障体系介绍四、对园区信息平安的几点建议92024/5/23近年国家层面的主要工作完成国家信息平安顶层设计开展信息平安规划管理体制和工作机制逐步建立根底性工作和根底设施建设取得较大进展

102024/5/23一、完成国家信息平安顶层设计?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号文件〕我国第一个全面关于信息平安保障工作的文件，是我国今后一段时期内信息平安保障工作的纲领性文件112024/5/23加强以密码技术为根底的信息保护和网络信任体系：标准和加强以身份认证、授权管理、责任认定等为主要内容的的网络信任体系建设122024/5/23加强信息平安保障工作-总体要求：总体要求：坚持积极防御、综合防范的方针，全面提高信息平安防护能力，重点保障根底信息网络和重要信息系统平安，创立平安健康的网络环境，保障和促进信息化开展，保护公众利益，维护国家平安。132024/5/23加强信息平安保障工作-主要原那么主要原那么：立足国情，以我为主，坚持管理与技术并重；正确处理平安与开展的关系，以平安保开展，在开展中求平安；统筹规划，突出重点，强化根底性工作；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息平安保障体系。142024/5/23加强信息平安保障工作-九项任务一、加强信息平安保障工作的总体要求和主要原那么二、实行信息平安等级保护三、加强以密码技术为根底的信息保护和网络信任体系建设四、建设和完善信息平安监控体系五、重视信息平安应急处理工作六、加强信息平安技术研究开发，推进信息平安产业开展七、加快信息平安人才培养，增强全民信息平安意识八、保证信息平安资金九、加强对信息平安保障工作的领导，建立健全信息平安管理责任制152024/5/23国家中长期科学和技术开展规划纲要明确未来15年信息平安技术开展重点：〔1〕掌握集成电路及关键元器件、大型软件、高性能计算、宽带无线移动通信、下一代网络等核心技术；〔2〕开发网络信息平安技术及相关产品，建立信息平安技术保障体系，具备防范各种信息平安突发事件的技术能力；〔3〕重点研究开发国家根底信息网络和重要信息系统中的平安保障技术，开发复杂大系统下的网络生存、主动实时防护、平安存储、网络病毒防范、恶意攻击防范、网络信任体系与新的密码技术等。162024/5/23?中华人民共和国国民经济和社会开展第十一个五年规划纲要?积极防御、综合防范，提高信息平安保障能力。强化平安监控、应急响应、密钥管理、网络信任等信息平安根底设施建设。加强根底信息网络和国家重要信息系统的平安防护。推进信息平安产品产业化。开展咨询、测评、灾备等专业化信息平安效劳。健全平安等级保护、风险评估和平安准入制度。“信息平安保障〞列入国家“十一五〞规划，再显中央对信息平安工作的重视程度。172024/5/23?2006－2021年国家信息化开展战略?提出了全面加强国家信息平安保障体系、增强国家信息平安保障能力的战略目标。?战略?是继中办发[2003]27号文件后提出的包括信息平安工作在内的又一纲领性文件，182024/5/23?2006－2021年国家信息化开展战略?其战略任务可概括为完成信息平安保障六项工作和提高信息平安保障六大能力：1．信息平安保障六项工作可概括为：〔1〕建立和完善信息平安等级保护制度；〔2〕建设以密码为根底的网络信任体系；〔3〕建设和完善信息平安监控体系，加强网络防范，防止有害信息传播；〔4〕做好信息平安应急处置工作；〔5〕做好信息平安风险评估工作，综合平衡平安本钱和风险，确保重点，优化信息平安资源配置；〔6〕促进资源共享，加强灾难备份体系建设。192024/5/23?2006－2021年国家信息化开展战略?提高信息平安保障六大能力：〔1〕信息平安核心产品和技术的自主创新能力；〔2〕信息平安人才保障能力；〔3〕信息平安法律保障能力；〔4〕信息平安根底设施支撑能力；〔5〕网络宣传驾驭能力；〔6〕国际影响力。202024/5/23二、开展信息平安规划国家开展与改革委积极布局国家“十一五〞信息化开展规划，并列专题研究了信息平安问题。?国家“十一五〞科学技术开展规划?规定：在信息领域，重点研究开发高性能CPU和面向网络通信、信息家电、信息平安和工业控制的系统芯片；研究新一代网络与通信关键技术、传感器网络与智能信息处理技术以及新型开放式架构核心路由器、效劳器和低本钱网络信息终端。国家“863〞方案根据国际信息平安技术开展态势，结合我国信息平安技术实际应用需求，重点支持复杂系统下的网络生存、主动实时防护、平安存储、网络病毒防范、网络信任保障等技术和系统的研发。212024/5/23二、开展信息平安规划?国家自然科学基金“十一五〞开展规划?在完善学科布局和部署优先开展领域方面向信息科学研究倾斜，把信息平安领域中的可信计算、包括量子密码的量子调控理论和技术作为未来五年的重点支持领域。?信息产业科技开展“十一五〞规划和2021年中长期规划纲要?提出使集成电路在信息平安和国防平安领域的自给率到达70%以上的建设目标，并重点支持和开展密码技术；平安处理芯片；电子认证、责任认定、授权管理；计算环境和终端平安处理；网络和通信边界平安；应急响应和灾难恢复；信息平安测评等技术和相关产品。222024/5/23三、管理体制和工作机制逐步建立信息平安等级保护信息平安风险评估信息平安产品认证认可网络信任体系建设232024/5/23管理体制和工作机制逐步建立

〔1〕信息平安等级保护?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号文件〕

实行信息平安等级保护公安部等四部委联合下发了?关于加强信息平安等级保护的意见?242024/5/23管理体制和工作机制逐步建立

〔1〕信息平安等级保护信息平安等级保护制度的主要工作内容信息平安等级保护是指：对国家秘密信息、法人和其他组织及公民的专有信息、公开信息分类分级进行管理和保护；对信息系统按业务平安应用域和区实行分级保护。对系统中使用的信息平安产品实行按分级许可管理。对等级系统的平安效劳资质分级许可管理。对信息系统中发生的信息平安事件分等级响应、处置。252024/5/23信息平安等级保护管理方法公布单位：公安部、国家保密局、国家密码管理局、国务院信息化工作办公室安全等级名称对国家安全、社会秩序、经济建设和公共利益的危害程度监管方式第一级自主保护级无影响自主保护第二级指导保护级有一定损害政府职能部门指导下的自主保护第三级监督保护级较大损害政府职能部门监督下的严格保护第四级强制保护级严重损害政府职能部门的强制监督和检查下的严格保护第五级专控保护级特别严重损害政府协助下由主管部门和使用单位实施专门控制和保护262024/5/23管理体制和工作机制逐步建立

〔2〕信息平安风险评估工作?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号文件〕

要重视信息平安风险评估工作，对网络与信息系统平安的潜在威胁、薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的风险等因素，进行相应等级的平安建设和管理。272024/5/23?关于开展信息平安风险评估工作的意见?〔国信办[2006]5号〕什么是信息平安风险评估信息平安风险评估是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在地脆弱性，评估平安事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。目的是：为防范和化解信息平安风险，或者将风险控制在可接受的水平，从而最大限度地保障网络和信息系统提供科学依据。282024/5/23管理体制和工作机制逐步建立

〔3〕信息平安产品认证认可认监委等八部委联合发下发了?关于建立国家信息平安产品认证认可体系的通知?2005年4月19日国家信息平安产品认证管理委员会成立，这标志着我国建立统一的信息平安产品认证认可体系已进入实质性的实施阶段。292024/5/23管理体制和工作机制逐步建立

〔4〕网络信任体系建设?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号文件〕加强以密码技术为根底的信息保护和网络信任体系建设2006年2月国务院办公厅下发?关于网络信任体系建设假设干意见的通知?〔国办发[2006]11号〕。对网络信任体系建设提出了总体要求。302024/5/23电子签名已得到广泛的成认：

2004年全国人大常委会通过了?电子签名法?

2005年信息产业部制定了?电子认证效劳管理方法?管理体制和工作机制逐步建立

〔4〕网络信任体系建设312024/5/23管理体制和工作机制逐步建立

〔5〕信息平安应急协调机制建设?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号文件〕重视信息平安应急处理工作2004年8月成立了国家网络与信息平安通报中心2005年4月,国信办发布了?关于做好重要信息系统灾难备份工作的通知?322024/5/23四、根底性工作和根底设施建设取得较大进展

〔1〕信息平安标准化工作2002年4月15日，全国信息平安标准化技术委员会在北京正式成立332024/5/23该标委会是在信息平安的专业领域内，从事信息平安标准化工作的技术工作组织。它的工作任务是向国家标准化管理委员会提出本专业标准化工作的方针、政策和技术措施的建议。四、根底性工作和根底设施建设取得较大进展

〔1〕信息平安标准化工作342024/5/23四、根底性工作和根底设施建设取得较大进展

〔2〕信息平安法制取得进步随着信息网络广泛应用于社会政治、经济和文化生活的各个领域，信息平安、知识产权、消费者权益保护、个人隐私和商业秘密保护、传统文化与道德冲突等问题越来越突出。要及时研究新情况、新问题，有针对性地制订相应的监管政策和法律法规，形成有效的管理机制。352024/5/23四、根底性工作和根底设施建设取得较大进展

〔3〕技术研究和产业取得重要成果?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号文件〕加强信息平安技术研究开发，推进信息平安产业开展国家发改委重点支持18个信息平安产业化工程、两个研究中心、两个国家信息平安根底设施建设工程。国家863方案共有48个信息平安课题立项。全年国内信息平安市场总量估计到达28.7亿元。362024/5/23四、根底性工作和根底设施建设取得较大进展

〔4〕加强信息平安学科、专业建设和人才培养工作?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号文件〕

加快信息平安人才培养，增强全民信息平安意识教育部起草了?教育部关于进一步加强信息平安学科、专业建设和人才培养工作的意见?。据2006年初的统计数据，教育部共批准42所本科、38所专科院校开设信息平安专业。2006年初，在校的本科生到达9,182人，专科生到达3,787人。中国科学院研究生院、北京邮电大学、西安电子科技大学、上海交通大学、西北工业大学等相继设置了信息平安或网络与信息平安的博士点。全国从事信息平安工作的专职人员大幅增长。主要内容一、国家领导重视信息平安二、我国信息平安主要工作开展情况三、国家信息平安保障体系介绍四、对园区信息平安的几点建议382024/5/23组织管理技术保障信息安全基础设施产业支撑人材教育和培养法规与标准国家信息安全保障体系一个体系、六个要素国家信息平安保障体系框架392024/5/23国家信息平安保障工作要点实行信息平安等级保护制度：风险与本钱、资源优化配置、平安风险评估基于密码技术网络信任体系建设：密码管理体制、身份认证、授权管理、责任认定建设信息平安监控体系：提高对网络攻击、病毒入侵、网络失窃密、有害信息的防范能力重视信息平安应急处理工作：指挥、响应、协调、通报、支援、抗毁、灾备推动信息平安技术研发与产业开展：关键技术、自主创新、强化可控、引导与市场、测评认证、采购、效劳信息平安法制与标准建设：信息平安法、打击网络犯罪、标准体系、标准网络行为信息平安人材培养与增强平安意识：学科、培训、意识、技能、自律、守法信息平安组织建设：信息平安协调小组、责任制、依法管理主要内容一、国家领导重视信息平安二、我国信息平安主要工作开展情况三、国家信息平安保障体系介绍四、对园区信息平安的几点建议412024/5/23平安威胁日益严重复合威胁：蠕虫、病毒、特洛伊木马黑客攻击基础设施Flash威胁大规模蠕虫侵入分布式Dos攻击可加载病毒和蠕虫（如脚本病毒….）1980s1990s2000sToday威胁发生的频率－加快威胁的种类－剧增攻击对象－变广攻击源－变强422024/5/23面对层出不穷的平安漏洞和各式各样的威胁，简单的产品堆叠无法保证组织的信息平安！员工Hacks/Cracks自然界和环境威胁内部人员的操作失误或恶意行为系统故障信息及相关资源其他问题蠕虫、木马病毒泛滥432024/5/23实例3000万机房2路供电〔99.99%〕200万的电源后备系统〔99.99%〕40万的大型主机－2路电源〔99.99%〕50元的电源插座442024/5/23某运营商1.2亿平安投入PK380万损失20053－7某公司31岁程XX月薪1万多不缺钱深圳、拉萨、北京曾经的客户－拉萨一个密码6600张，380万的损失实例2在奥运举办前夕，按公安部要求，在涉奥城市做了信息平安领域的检查检测。硬件环境专业化的信息平安效劳理解与认识程度共性问题46共性问题信息平安管理机构建设不完善信息平安管理制度不健全〔不成体系〕缺乏深入防御、纵深防护的平安建设重要信息系统保障手段不够完备〔单点故障〕缺乏必要的系统审计手段应急响应机制落实不到位个性问题开发区信息平安的两个保障主体政府：可参照电子政务、行政法规等规定。园区不同于一般政府部门，其信息平安需求即需要重视政策层面以及应用系统的保障〔类似政府〕，又要协助园区企业做好信息平安方面的统筹建设工作，以提升园区投资环境。企业：自身所获取的信息、及专利、著作权等是企业的核心竞争力。针对开发区产业升级，向高附加值的效劳业开展，在保障自身的同时，提供园区企业平安的计算环境。几点建议管理层面：相关规章制度的进一步完善；建立周期性的评估机制；技术层面：根据网络的应用系统特点，通过数据库系统、WEB系统扫描分析，在确保应用正常传输的前提下，尽可能切断传播途径；从强审计、加固、准入控制〔web防火墙〕等方面加强应用的防护能力；建立统一的管理平台，将各类防护工具、技术有效结合，以到达降低风险、提高应急响应能力的建设目标；谢谢！

2002年2月18日

APEX培训中心像总经理那样思考请按自已最希望开展的能力排序管理能力领导能力经营能力专业能力

宁做一天的狮子，不做一世的绵羊。王侯将相，宁有种乎？

只有一个人能给你自尊，那就是你自己。根据全美MBA评定委员会最喜欢看到年轻的MBA的素质是：善与人交往与人沟通口齿伶俐有说服力能看懂报表

CEO的最适合人选首先应具有超人的管理才能和领导能力，而不是专业知识。

全美一百多家工商财经记者一致认为：我相信你们能胜任！为什么未能达成自已所设定的目标？

“人并不是命运的囚徒，富兰克林D罗斯福而是自己思想的囚徒〞比方看上去很傻、犯错误、寻找赞成、不是你的最正确表现、落伍了…第二个自我设陷——不去花时间考虑该采取不同的做法。

第一个自我设陷——害怕一、 评估领导管理能力的9个原那么9、尊重别人。尊重别人的意见和工作；不要无视别人的形象和地位。1、唤醒他人的忠诚及热情的才能。具有人格魅力，受人爱戴，能明白别人需要什么，有强烈的使命感。2、为人着想。向有需要的人提供培训、提出建议，并给予指导，积极倾听并暗示对方你在倾听；对初来乍到者给予更多的帮助。3、启发智慧。从别人那里得到原因和证明强于不可靠的意见；允许其他人用新方法思考旧问题；用一种能促使别人思考他们以前从未考虑的问题的方式进行交流。4、勇气。即使这种思想不流行也要勇于接受；不要为了防止冲突而屈服于别人的压力或意见，要为公司和客户考虑，即使这会给自己带来困难5、有责任感。信守承诺；勇于承担责任和错误；不要依赖老板。6、灵活性。在变化的环境中高效地发挥作用；当很多事情同时发生时，要同时处理假设干件事，因时而变。7、正直。要做符合伦理和道德的事情；不要把辱骂作为管理者的特权，这是始终不变的。8、判断。通过逻辑分析和比较，对行为作出正确的评价；将相关的事实和因素归纳在一起；利用过去的经验和信息来为今天的决策效劳。比照上述9个原那么，你呢？准备反思自己：〔按先后次序说出你最喜欢的三种动物〕评价自我：

a

我怎么看待自己。

b别人怎么看待我。

全面分析自己的商业经营能力、业绩、分析思考能力、组织能力、影响力、领导能力，以及专业技术能力

全面审视自己：正确的思考应该是控制消极想法，相信自己能做到。学会自我交谈，每天对自己谈自己的目标15遍。

2005年一个优秀的广告领导人的素质：1、 梦想和理念2、 领导能力3、 预见力4、 创造力5、 挑战精神6、 快速经营能力7、 对广告的独特观点8、 英语水平9、 MBA资格10、 说服能力

必备二、如何领导你的部下?

1、评价你的员工能力水平概念基本内容举例第一层知识掌握一定的生活、广告常识和基础知识的入门者、新手三流广告人只有广告知识的人、半专业人员第二层见识知识水平较高，有自己的见解、思想，相当于大学老师的水平。二流广告人评论家、大学教授第三层胆识知识见识水平高，有独立工作能力，有成果和实战经验一流广告人有知识有实战的人、专家

管理就是做一些事情，来阻止那些引起员工工作失败的讨厌时机的出现。

预防性管理，就是在特定的工作环境中为实现预想的结果而必须采取的干预手段。

引入一个重要的概念：

在工作开始之前你要做的事：

1、 让部下知道要让他们干什么。2、 看看部下是否知道该怎样做。3、 让部下清楚他们为什么要做这件事。

4、如果你的部下觉得你的方法行不通，让他们相信你的

方法会奏效。5、如果你的部下认为他们的方法好，要做出令人信服的

解释为什么他们的方法不好。

8、 证实工作并没有超出部下的个人限制。9、 证实没有超出部下控制范围的障碍。10、 证实工作是能够完成的。

6、 让部下知道工作的优先解决性。7、 让部下相信将来的负面结果不会发生。

在工作开始之前你要做的事：

工作开始之后你要做的事：

1、 经常向部下的工作提供特别的反响。2、 经常对于好的工作表现进行口头赞赏3、 搬开障碍或者给部下一条绕开障碍的策略。4、 让部下知道哪些工作需要优先解决。5、 排除影响好的工作行为的负面结果或者通过正面的加强来平衡负面结果。6、 否认对部下的差行为仍能得到正面结果定论。7、 只在一贯的表现差的部下身上使用负面结果〔进步的规那么〕请记住：你的部下是因为工作而得到认可，而你是因为管理他们的工作而被认可。当你看到你的部下的成绩时，请立即向你的部下表示口头赞许，做到尽可能快的在行为发生之后用口头赞赏描述特殊行为以来持续其不断发生。

三、怎样做好广告这门生意？〔一〕超越竞争对手的策略竞争对手：国际4A公司、国内一线的4A公司、国内一线的筹划机构、本区域有特长的中小广告公司。A：本钱领导策略〔Cost

Leadership

Strategy〕B：产品差异化策略〔Product

Differentiation

Strategy〕较竞争对手而言，提供更好的产品与效劳品质。提供给顾客更新、更符合需要的产品或效劳功能。更接近顾客，用个性化、定制化的效劳满足客户。〔二〕形成我们优势竞争力的六大要素：〔5M+1I〕1〕 掌控资讯的能力〔information〕2〕 人力资源(Human

Resource)3〕 管理能力(management)4〕 市场能力(marketing)5〕 技术能力(method)6〕 资金能力(money)〔三〕关于代理费〔佣金〕和效劳费的优劣佣金体系的缺点：

1〕15%的佣金与广告代理工作努力的结果并没有联系，即佣金多少与代理工作努力程度无关。2〕 大客户补助了较小客户。3〕 利润率高的客户补助了获利不那么多的客户。4〕 将佣金控制在15%以内的做法导致了一个后果，那就是工作由那些能力低的雇员来执行5〕 代理商会想方设法附加一些不必要的工作，以显示一直在持续努力。6〕 代理商总试图建议提高广告预算，从而提高其代理收入。7〕 佣金体系导致代理商在推荐媒体时缺乏目标，减少从事线下工程的活动。8〕 处在15%的佣金体系内的广告代理商倾向于扩展他们的效劳以提高收益，而不管他们的客户究竟是否需要这种额外效劳，最后的结果就是，许多客户为他们根本不需要有效劳付款。9〕通货膨胀时期，媒体本钱上升。广告代理的收益因为建立了一种自动防止通胀受损的对策而得到了保障，付出代价的是广告主。10〕 广告主被迫使用一家指定的代理商，从而无法通过内部运作或购置自由职业者的效劳来完成相关工作。佣金体系的缺点：

2002年起APEX将全面导入效劳费体系，从代理商角度收入稳定且效劳能持久深入自然好处多多，但从广告主方面来看：1〕效劳费体系根本上是一种本钱附加的系统，它孕育了效率低下的因素；佣金体系那么是代理降低本钱的一条原那么。2〕效劳费体系会导致在广告代理商之间引发一场价格战，因此很有可能忽略了一些本应提供给客户的效劳；效劳费体系同样可能导致广告状况的恶化。3〕对管理者来说，效劳费体系非常难于管理，需要经常审查。4〕效劳费的设定可能导致在广告代理商及客户之间产生裂缝。5〕使用效劳费体系，媒体费用的减少并非是节约可以做到的，代理商的效劳费仍然必须支付。6〕 与代理商打交道时，使用效劳费体系导致客户陷入了不必要的匆忙，因为实际消耗时间都将更加直接地计入效劳费。7〕 佣金体系刺激代理增加客户的业务量，费用也随之增多。8〕 使用佣金体系，代理商被迫