企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理2024/3/11企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理第六章企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理

第一節(jié)信息系統(tǒng)的脆弱性第二節(jié)信息系統(tǒng)的安全保障第三節(jié)信息系統(tǒng)的質(zhì)量管理企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理第一節(jié)信息系統(tǒng)的脆弱性一、信息系統(tǒng)中幾種常見的安全脆弱點二、計算機犯罪、黑客、計算機病毒和計算機商業(yè)間諜三、信息系統(tǒng)的質(zhì)量問題：軟件和數(shù)據(jù)的質(zhì)量企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理一、信息系統(tǒng)中幾種常見的安全脆弱點在線連接的信息系統(tǒng)或通過電信網(wǎng)絡(luò)(電纜或光纜)連接的信息系統(tǒng)無線數(shù)據(jù)網(wǎng)絡(luò)客戶／服務(wù)器模式的網(wǎng)絡(luò)Internet網(wǎng)絡(luò)企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理二、計算機犯罪、黑客、計算機病毒和計算機商業(yè)間諜計算機犯罪黑客計算機病毒計算機商業(yè)間諜企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理（一）計算機犯罪計算機犯罪包括故意偷竊或毀壞數(shù)據(jù)，使系統(tǒng)不能正常實現(xiàn)其服務(wù)功能；或利用計算機硬件、軟件、數(shù)據(jù)等進行非法的活動。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理（二）黑客計算機黑客是人們對那些利用所掌握的技術(shù)未經(jīng)授權(quán)而進入一個計算機信息網(wǎng)，以獲取個人利益、故意搗亂或?qū)で蟠碳槟康牡娜说目偡Q。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理（三）計算機病毒計算機病毒是一些電腦發(fā)燒友編制出一段程序在系統(tǒng)文件或應(yīng)用文件之間漫無目的的廣泛傳播，或者附著在正常文件的末尾或者加在正常文件的中間，就像人身體當(dāng)中的病毒被正常體細胞攜帶一樣。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理降低計算機病毒的措施(1)每當(dāng)新購得一套軟件包后都要備份一套，并將其中一套保留在安全之處。(2)安裝之前，仔細的檢查新得到的軟件，尤其是從網(wǎng)上得到的軟件，看是否有病毒感染。如果條件允許，最好用一臺單獨的計算機隔離檢查。(3)限制對文件的存取權(quán)限，僅在需要用到的時候才放開權(quán)限。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理降低計算機病毒的措施(4)定期的利用殺毒軟件檢查系統(tǒng)有否病毒感染。(5)小心防范那些標(biāo)有“免費軟件(shareware)”的軟件，它們經(jīng)常是病毒攜帶者。(6)購買正版軟件。(7)多重備份重要的數(shù)據(jù)文件。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理（四）計算機商業(yè)間諜信息化的浪潮使得越來越多的大大小小的公司、銀行、企業(yè)等經(jīng)濟實體加入了上網(wǎng)的行列。他們把越來越多的秘密信息保存在計算機上，其中包括經(jīng)營戰(zhàn)略計劃、銷售數(shù)據(jù)、產(chǎn)品配方甚至秘密的信件、備忘錄等等。計算機商業(yè)間諜可以直接進入商家的電腦獲得這些信息。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理三、信息系統(tǒng)的質(zhì)量問題：軟件和數(shù)據(jù)的質(zhì)量(一)軟件質(zhì)量問題

(二)數(shù)據(jù)質(zhì)量問題

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(一)軟件質(zhì)量問題所謂質(zhì)量可以定義為“與一個產(chǎn)品或服務(wù)是否能夠滿足其指定的或蘊涵的需求有關(guān)的性質(zhì)與特征的總和”。軟件失效在整個信息系統(tǒng)安全故障中占有的比重很大，這是由許多原因所形成的。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(二)數(shù)據(jù)質(zhì)量問題

信息系統(tǒng)產(chǎn)生故障原因有時是由于輸入數(shù)據(jù)的錯誤所造成的。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理第二節(jié)信息系統(tǒng)的安全保障一、總體安全保障二、應(yīng)用安全保障三、安全保障的三個重要環(huán)節(jié)四、信息系統(tǒng)的安全保障措施企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理一、總體安全保障總體保障就像為企業(yè)的信息系統(tǒng)的安全提供了一把保護傘，總體保障措施實施后可以促進下列需求的實現(xiàn)：1．信息系統(tǒng)硬件安全和可靠；2．信息系統(tǒng)軟件安全和可靠；3．?dāng)?shù)據(jù)文件的安全；4．信息系統(tǒng)運行操作管理的正確；5．信息系統(tǒng)能夠按部就班的得以開發(fā)。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理信息系統(tǒng)文檔資料所應(yīng)有的

具體內(nèi)容：1．系統(tǒng)文檔(1)系統(tǒng)工作流程圖；(2)系統(tǒng)結(jié)構(gòu)圖；(3)文件和記錄設(shè)計圖；(4)程序列表清單。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理信息系統(tǒng)文檔資料所應(yīng)有的

具體內(nèi)容：2．用戶文檔(1)系統(tǒng)功能或業(yè)務(wù)說明；(2)數(shù)據(jù)輸入方法；(3)用戶權(quán)利說明；(4)數(shù)據(jù)輸入格式實例或在線幫助；(5)用戶服務(wù)網(wǎng)點列表；(6)用戶問題報告方法和實例；(7)常見錯誤處理方法。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理信息系統(tǒng)文檔資料所應(yīng)有的

具體內(nèi)容：3．操作文檔(1)信息系統(tǒng)任務(wù)的設(shè)置方法；(2)運行控制管理的方法；(3)備份和恢復(fù)方法；(4)對硬件和操作系統(tǒng)的要求；(5)災(zāi)難性事故的恢復(fù)計劃。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理二、應(yīng)用安全保障應(yīng)用保障和總體保障結(jié)合在一起共同保證信息系統(tǒng)更加安全和可靠。應(yīng)用保障確保具體的系統(tǒng)應(yīng)用的安全。按照信息系統(tǒng)運行進程，即輸入、處理、輸出三個步驟，應(yīng)用保障分為輸入保障制、處理保障和輸出保障三部分。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理輸入保障確保向信息系統(tǒng)輸入的數(shù)據(jù)完整和準(zhǔn)確；處理保障保證處理過程中被更新的數(shù)據(jù)和文件的完整和準(zhǔn)確；輸出控制則保證計算機處理后輸出的結(jié)果完整、準(zhǔn)確并且分布恰當(dāng)。最重要的應(yīng)用保障措施包括輸入輸出授權(quán)認證、程序化的例行編輯檢查以及總量控制技術(shù)。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(一)輸入輸出授權(quán)認證

輸入輸出的授權(quán)認證是指信息系統(tǒng)中部分內(nèi)容，僅允許某些有權(quán)用戶輸入數(shù)據(jù)和得到輸出數(shù)據(jù)。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(二)程序化的例行編輯檢查程序化的例行編輯檢查是在原始數(shù)據(jù)被正式處理之前，利用預(yù)先編好的預(yù)處理程序?qū)斎氲臄?shù)據(jù)進行錯誤檢查，不滿足標(biāo)準(zhǔn)的數(shù)據(jù)一律報告出來。系統(tǒng)拒絕對有疑問的數(shù)據(jù)文件作進一步的處理。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理程序化的編輯檢查應(yīng)用控制技術(shù)示意圖

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理

編輯檢查技術(shù)說明

格式檢查檢查輸入數(shù)據(jù)的格式、大小、內(nèi)容、符號等。如長途電話號碼格式應(yīng)固定分為國家號一區(qū)號一電話號碼三個區(qū)域。

存在檢查通過與預(yù)先已知的代碼表進行比較，確定輸入的代碼字段是否有效。比如省或直轄市的代碼是固定的，如果輸入的數(shù)據(jù)中該項在已知的代碼表中不存在，則大致可以確定輸入有誤。

合理檢查檢查輸入數(shù)據(jù)的值是否落人合理范圍內(nèi)。如員工的月工資不應(yīng)超過六位數(shù)。

數(shù)字檢查將輸入的數(shù)字與系統(tǒng)中預(yù)定好的某個數(shù)字進行運算，結(jié)果符合條件，則認為輸入的數(shù)字正確。如某賬戶的輸人數(shù)字是29675，與9減運算后的結(jié)果是29666。程序化的例行編輯檢查技術(shù)列表

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(三)總量控制技術(shù)

總量控制技術(shù)可適用于信息處理過程中的任何階段，其作用是確保數(shù)據(jù)總量的完整和準(zhǔn)確。在信息系統(tǒng)數(shù)據(jù)的輸入、處理和輸出過程中，某些位置可以通過不同的手段對信息字段中可計算的數(shù)據(jù)進行統(tǒng)計，走不同的統(tǒng)計路徑統(tǒng)計出來的數(shù)據(jù)總量應(yīng)該是完全一致的，如果出現(xiàn)不同，說明某個環(huán)節(jié)出現(xiàn)問題。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理總量控制技術(shù)說明

記錄計數(shù)計算已經(jīng)輸入的源文件的數(shù)量，與其他原始階段輸入的文件數(shù)量進行比較。

數(shù)量總量比較某字段中的數(shù)據(jù)總量與手工合計出來的數(shù)值是否一致。

混合總數(shù)用于控制目的的字段的總數(shù)與訂貨單中的欄目進行比較

動態(tài)數(shù)量

新輸入的訂貨數(shù)量經(jīng)過計算機運算后得到的總數(shù)量與輸入前的數(shù)量進行比較，結(jié)果應(yīng)該符合手工計算值。主要總量控制技術(shù)類型企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理三、安全保障的三個重要環(huán)節(jié)作為信息系統(tǒng)解決方案整體考慮的一部分，采用合適的保障技術(shù)是保證其安全必不可少的條件。我們可以在和信息系統(tǒng)的各個環(huán)節(jié)，如人、組織、技術(shù)這三個環(huán)節(jié)上采取安全控制步驟。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理

人

組織

技術(shù)防范內(nèi)部和外部人員利用計算機進行犯罪活動。組織內(nèi)部設(shè)立超級系統(tǒng)管理機構(gòu)，負責(zé)信息系統(tǒng)的總體安全保障。降低硬件朱靈的次數(shù)和影響對信息系統(tǒng)管理人員進行培訓(xùn)，提高管理水平。把信息系統(tǒng)不同的功能分開進行分工管理，各負其責(zé)，減少系統(tǒng)之間的相互干擾。

減少軟件錯誤減少信息系統(tǒng)用戶錯誤

注意通信環(huán)節(jié)的安全性簡化控制技術(shù)的復(fù)雜性，使人們操作起來更加方便。

數(shù)據(jù)庫的安全性

應(yīng)用程序存放安全性需要采取安全控制措施的各個環(huán)節(jié)列表

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理四、信息系統(tǒng)的安全保障措施計算機化的信息系統(tǒng)的安全包括計算機硬件使用環(huán)境的安全和軟件的安全。防止硬件設(shè)備受到無端損壞，防止無關(guān)人員在未被授權(quán)的情況下使用計算機，防止在未經(jīng)授權(quán)的情況下修改計算機程序和數(shù)據(jù)。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(一)設(shè)置數(shù)據(jù)存取權(quán)限保障數(shù)據(jù)的安全

數(shù)據(jù)的安全包括禁止無權(quán)用戶存取數(shù)據(jù)和防止有權(quán)用戶隨意修改數(shù)據(jù)或在不經(jīng)意的情況下破壞數(shù)據(jù)。對于數(shù)據(jù)的存儲和數(shù)據(jù)的使用必須保證各種應(yīng)用環(huán)境情況下都能做到安全可靠。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理Internet網(wǎng)上在線數(shù)據(jù)的安全

Internet網(wǎng)上在線數(shù)據(jù)的安全問題更需要小心，因為在線數(shù)據(jù)更多的是被非技術(shù)專家使用。主要的數(shù)據(jù)安全措施是用戶密碼或安全字。用戶要想進入某個信息系統(tǒng)讀取信息或改動數(shù)據(jù)，必須提供其注冊登記的用戶密碼。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理數(shù)據(jù)的安全措施數(shù)據(jù)的安全措施經(jīng)常是采用多級保護的方法，對于不同安全級別的數(shù)據(jù)設(shè)置不同密碼。比如進入主要操作系統(tǒng)設(shè)置一個密碼，若再需要存取系統(tǒng)中的某組數(shù)據(jù)或文件則需要輸人另一個組密碼，層層把關(guān)。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理密碼安全措施

密碼安全措施帶來的弊端是容易遺忘或記錯，尤其是當(dāng)進入不同安全級別的系統(tǒng)需要輸入不同的密碼或周期性的更改密碼時更容易混亂。用戶往往把密碼記在本上或隨手寫在一張紙片上，這很容易被人有機可乘，使安全工作流于形式。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(二)PC機和網(wǎng)絡(luò)計算機的安全

信息系統(tǒng)的安全問題可以認為就是計算機網(wǎng)絡(luò)的安全問題。以前由主機+終端結(jié)構(gòu)組成的信息系統(tǒng)，現(xiàn)在基本上已經(jīng)由服務(wù)器+PC結(jié)構(gòu)代替，所以連接在網(wǎng)絡(luò)上的PC機的安全問題就更加重要。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(三)災(zāi)難性事故的恢復(fù)

災(zāi)難性事故是指突發(fā)的或人們無法抗拒的意外事件的發(fā)生對信息系統(tǒng)的正常工作所造成的中斷影響。比如，火災(zāi)、水災(zāi)、電力供應(yīng)中斷、人為的對硬件設(shè)備的毀壞等。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理一個典型的應(yīng)急恢復(fù)計劃

1．找出信息系統(tǒng)中最關(guān)鍵最重要的需要保護的業(yè)務(wù)數(shù)據(jù)及其易損原因。2．列出恢復(fù)系統(tǒng)運行所需要的最基本的硬件、軟件和系統(tǒng)管理者姓名清單，聯(lián)系方法。3．培訓(xùn)人員掌握系統(tǒng)恢復(fù)方法和步驟，必要時進行模擬訓(xùn)練。4．列出災(zāi)難性事故發(fā)生后一步步處理的具體步驟。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理五、Internet網(wǎng)絡(luò)站點安全措施

(一)弄清楚網(wǎng)站對公眾開放的目的以及如何應(yīng)用該網(wǎng)站

(二)明確對網(wǎng)站最嚴重的安全威脅

(三)利用恰當(dāng)?shù)谋Ｗo技術(shù)和組織程序與安全威脅做斗爭企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(一)弄清楚網(wǎng)站對公眾開放的目的以及如何應(yīng)用該網(wǎng)站

開放的網(wǎng)站應(yīng)用一般分成三個主要方面，即廣告、電子商務(wù)和安全保障Internet／Intranet。某些站點可能具有全部三項應(yīng)用功能。站點管理者應(yīng)著重其安全措施于那些最脆弱的安全點，即對用戶開放的數(shù)據(jù)部分的安全。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(二)明確對網(wǎng)站最嚴重的安全威脅

在考慮對網(wǎng)站采取安全措施時，必須考慮這幾方面的安全保障措施。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(三)利用恰當(dāng)?shù)谋Ｗo技術(shù)和組織程序與安全威脅做斗爭1．用戶ID碼確認技術(shù)；2．已授權(quán)用戶審查技術(shù)；3．?dāng)?shù)據(jù)加密技術(shù)；4．身份信息證實技術(shù)；5．建立網(wǎng)絡(luò)數(shù)據(jù)所有權(quán)和責(zé)任掛鉤技術(shù)；6．安裝網(wǎng)絡(luò)容錯系統(tǒng)；7．系統(tǒng)備份／恢復(fù)措施等。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理第三節(jié)信息系統(tǒng)的質(zhì)量管理

一、提高信息系統(tǒng)中軟件質(zhì)量的措施

二、提高信息系統(tǒng)中數(shù)據(jù)質(zhì)量的措施企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理一、提高信息系統(tǒng)中軟件質(zhì)量的措施(一)軟件的開發(fā)方法(二)信息系統(tǒng)軟件質(zhì)量的度量(三)軟件程序代碼設(shè)計編寫標(biāo)準(zhǔn)(四)軟件的測試(五)軟件開發(fā)工具企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(一)軟件的開發(fā)方法生命周期法又稱為結(jié)構(gòu)化系統(tǒng)分析與設(shè)計方法是比較常見的方法。生命周期法的基本開發(fā)思想是：嚴格的區(qū)分各個開發(fā)階段，每一個階段都有標(biāo)準(zhǔn)的文檔供下一個階段驗收；采用自頂向下的逐層開發(fā)，結(jié)構(gòu)化、模塊化編程；建立面向用戶的觀點，充分預(yù)料可能發(fā)生的各種內(nèi)外變化；著重調(diào)查研究和系統(tǒng)分析。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理原型法

另外一種好的軟件開發(fā)方法是快速原型法。其基本思想是：對用戶需求進行簡單快速分析后，利用先進的開發(fā)工具，盡快構(gòu)造出一個原型系統(tǒng)提供給用戶評價、使用，在使用中不斷修改完善原型，直至用戶滿意為止。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(二)信息系統(tǒng)軟件質(zhì)量的度量

信息系統(tǒng)的質(zhì)量度量主要內(nèi)容之一是指系統(tǒng)軟件的質(zhì)量度量。在信息系統(tǒng)的開發(fā)過程中，開發(fā)者要按照用戶需求制定系統(tǒng)質(zhì)量度量標(biāo)準(zhǔn)，經(jīng)過開發(fā)者和用戶雙方共同認可的質(zhì)量度量條款作為軟件開發(fā)的依據(jù)和軟件質(zhì)量驗收的標(biāo)準(zhǔn)。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理McCall質(zhì)量度量法比較常用到的軟件質(zhì)量度量方法是McCall質(zhì)量度量法，它分別對構(gòu)成軟件質(zhì)量的各個因素進行度量。其基本思想是：把質(zhì)量因素的各個度量標(biāo)準(zhǔn)進一步分解成一些條款，根據(jù)一個軟件是否滿足條款，對軟件進行評分。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(三)軟件程序代碼設(shè)計編寫標(biāo)準(zhǔn)采用標(biāo)準(zhǔn)的結(jié)構(gòu)化模塊化設(shè)計方法來編寫程序代碼是保證軟件質(zhì)量的必要條件。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理模塊化設(shè)計的主要思想是：根據(jù)系統(tǒng)的主要特征對系統(tǒng)進行模塊分割，每一個模塊實現(xiàn)一個或多個功能，用一個名字附加參數(shù)就可以對該模塊調(diào)用。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理結(jié)構(gòu)化設(shè)計的主要思想是：結(jié)構(gòu)化設(shè)計是面向數(shù)據(jù)流的軟件設(shè)計方法，它用數(shù)據(jù)流圖(DFD)表示軟件的邏輯模型，通過變換分析或事物分析把DFD轉(zhuǎn)換為相應(yīng)的軟件結(jié)構(gòu)。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理結(jié)構(gòu)化編程和模塊化設(shè)計的優(yōu)點

結(jié)構(gòu)化編程和模塊化設(shè)計帶來的優(yōu)點是：一旦某個模塊的功能需要更新或修改，只需改動該模塊內(nèi)容和其對外接口即可，對整個軟件的邏輯結(jié)構(gòu)不會產(chǎn)生大的影響。這樣的編程方法更降低了軟件缺陷相互交叉出現(xiàn)的機會，維護起來也方便。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理(四)軟件的測試軟件的測試是軟件質(zhì)量保證的關(guān)鍵。軟件測試的目的就是要在投入運行之前，盡可能的發(fā)現(xiàn)那些實際運行過程當(dāng)中會發(fā)生的軟件缺陷。盡管在程序編制階段經(jīng)過嚴格的技術(shù)審查，但是經(jīng)驗表明難免遺留各種各樣的錯誤。

企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理軟件測試經(jīng)常采用的模式軟件測試經(jīng)常采用的模式是：白盒子黑盒子企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理白盒子模式白盒子測試模式的要點是：在已知產(chǎn)品內(nèi)部活動方式的情況下，測試產(chǎn)品的內(nèi)部活動是否都符合設(shè)計要求。白盒子測試檢查軟件的內(nèi)部邏輯結(jié)構(gòu)，以仔細檢查過程的細節(jié)為基礎(chǔ)，通過提供一組指定條件和循環(huán)的測試用例，對穿過軟件的邏輯路徑進行測試，可以在不同點檢查程序的狀態(tài)，以確定實際狀態(tài)與預(yù)期狀態(tài)是否一致。企業(yè)信息系統(tǒng)的安全保障與質(zhì)量管理黑盒子模式黑盒子測試模式是在已知產(chǎn)品的功能和預(yù)期要求的情況下，測試軟件是否達到了預(yù)期要求。黑盒子測試著眼于軟件的外部特征，而不考慮軟件的內(nèi)部