信息安全培訓(xùn)-基礎(chǔ)概念培訓(xùn)v1.7

員工信息安全培訓(xùn)主要內(nèi)容：21、什么是信息安全？2、信息安全與我的關(guān)系？3、如何實(shí)現(xiàn)信息安全？4、信息安全管理制度和法律法規(guī)5、公司信息安全管理體系和現(xiàn)行制度6、信息安全案例回顧

7、工作和生活中的信息安全

1、什么是信息安全？3什么是信息？有意義的內(nèi)容；對(duì)企業(yè)具有價(jià)值的信息，包括電子文件、紙質(zhì)文件、圖紙、標(biāo)準(zhǔn)、專利、報(bào)價(jià)短信消息、電話匯報(bào)等，稱為信息資產(chǎn)；企業(yè)所稱的信息是指一切與公司經(jīng)營(yíng)有關(guān)情況的反映（或者雖然與公司經(jīng)營(yíng)無關(guān)，但其產(chǎn)生或存儲(chǔ)是發(fā)生在公司控制的介質(zhì)中），它們所反映的情況包括公司的經(jīng)營(yíng)狀況、財(cái)務(wù)狀況、組織狀況等一切內(nèi)容，其存儲(chǔ)的介質(zhì)包括紙質(zhì)文件、電子文件等。

1、什么是信息安全？4信息安全：采取措施保護(hù)信息資產(chǎn)，使之不因偶然或者惡意侵犯而遭受破壞、更改及泄露，保證信息系統(tǒng)能夠連續(xù)、可靠、正常地運(yùn)行，使安全事件對(duì)業(yè)務(wù)造成的影響減到最小，確保組織業(yè)務(wù)運(yùn)行的連續(xù)性。信息安全意識(shí)：就是能夠認(rèn)知可能存在的信息安全問題，預(yù)估信息安全事故對(duì)組織的危害，恪守正確的行為方式，并且執(zhí)行在信息安全事故發(fā)生時(shí)所應(yīng)采取的措施。1、什么是信息安全？5信息安全的3要素：CIAConfidentiality,Integrity,Availability保密性、完整性、可用性采取合適的信息安全措施，使安全事件對(duì)業(yè)務(wù)造成的影響降低最小，保障組織內(nèi)業(yè)務(wù)運(yùn)行的連續(xù)性。2、信息安全與我的關(guān)系？6

常見威脅：竊取、截取、偽造、篡改、拒絕服務(wù)攻擊、行為否認(rèn)、非授權(quán)訪問、傳播病毒等；威脅來源：◆自然災(zāi)害、意外事故；◆計(jì)算機(jī)犯罪；◆人為錯(cuò)誤，比如使用不當(dāng)，安全意識(shí)差等；◆"黑客"行為；◆泄密；◆外部泄密；◆信息丟失；◆網(wǎng)絡(luò)協(xié)議自身缺陷，例如TCP/IP協(xié)議的安全問題等等。2、信息安全與我的關(guān)系？7

主要的信息安全威脅：◆竊取：非法用戶通過數(shù)據(jù)竊聽的手段獲得敏感信息?！艚厝。悍欠ㄓ脩羰紫全@得信息，再將此信息發(fā)送給真實(shí)接收者?！魝卧欤簩卧斓男畔l(fā)送給接收者?！舸鄹模悍欠ㄓ脩魧?duì)合法用戶之間的通訊信息進(jìn)行修改，再發(fā)送給接收者?！艟芙^服務(wù)攻擊：攻擊服務(wù)系統(tǒng)，造成系統(tǒng)癱瘓，阻止合法用戶獲得服務(wù)?！粜袨榉裾J(rèn)：合法用戶否認(rèn)已經(jīng)發(fā)生的行為?！舴鞘跈?quán)訪問：未經(jīng)系統(tǒng)授權(quán)而使用網(wǎng)絡(luò)或計(jì)算機(jī)資源?！魝鞑ゲ《荆和ㄟ^網(wǎng)絡(luò)傳播計(jì)算機(jī)病毒，其破壞性非常高，而且用戶很難防范。2、信息安全與我的關(guān)系？8

2、信息安全與我的關(guān)系？9

以企業(yè)為目標(biāo)的攻擊威脅數(shù)字上升；

攻擊工具的普及，使網(wǎng)絡(luò)犯罪較以往變得更輕易；基于網(wǎng)站的攻擊有增無減；針對(duì)個(gè)人身份資訊的安全威脅持續(xù)增長(zhǎng)；垃圾郵件持續(xù)泛濫。信息安全就在我們身邊！信息安全需要我們每個(gè)人的參與！3、如何實(shí)現(xiàn)信息安全？10

3、如何實(shí)現(xiàn)信息安全？11

物理安全計(jì)算機(jī)使用的安全網(wǎng)絡(luò)訪問的安全社會(huì)工程學(xué)病毒和惡意代碼賬號(hào)安全電子郵件安全重要信息的保密應(yīng)急響應(yīng)3、如何實(shí)現(xiàn)信息安全？12

物理安全：建立物理安全區(qū)域概念；主動(dòng)學(xué)習(xí)了解限制區(qū)域和普通區(qū)域，熟悉在不同區(qū)域自己的權(quán)限。在公司里佩戴員工卡做身份標(biāo)識(shí)前來拜訪的外來人員應(yīng)做身份驗(yàn)證（登記），見到未佩戴身份識(shí)別卡的人應(yīng)主動(dòng)詢問離開座位要清空屏幕與桌面3、如何實(shí)現(xiàn)信息安全？13

物理安全區(qū)域說明：3、如何實(shí)現(xiàn)信息安全？14

物理安全區(qū)域說明：3、如何實(shí)現(xiàn)信息安全？15

計(jì)算機(jī)與網(wǎng)絡(luò)使用對(duì)個(gè)人用計(jì)算機(jī)要設(shè)置帳戶密碼，信息安全規(guī)定口令長(zhǎng)度應(yīng)該不低于6位，且最好要為大寫字母、小寫字母、數(shù)字、特殊字符的組合，防止非法用戶猜出你的密碼，定期更換妥善保護(hù)自己的密碼，不要將自己的密碼告訴別人加強(qiáng)對(duì)計(jì)算機(jī)信息保護(hù)，離開機(jī)器時(shí)要及時(shí)對(duì)機(jī)器鎖屏（Win+L）；計(jì)算機(jī)防病毒軟件，經(jīng)常升級(jí)病毒庫；加強(qiáng)對(duì)移動(dòng)計(jì)算機(jī)的安全保護(hù)，防止丟失；重要文件做好備份3、如何實(shí)現(xiàn)信息安全？16

文件分類分級(jí)管理：分為絕密信息（A級(jí)）、信息（B級(jí)）、秘密信息（C級(jí)）、公開信息（D級(jí)）使用過的重要文件及時(shí)銷毀，不要扔在廢紙簍里，也不要重復(fù)利用不在公共場(chǎng)所、電話中說工作敏感信息，電話回叫要確認(rèn)身份不隨意下載安裝軟件，防止惡意程序、病毒及后門等黑客程序前來拜訪的外來人員應(yīng)做身份驗(yàn)證（登記），見到未佩戴身份識(shí)別卡的人應(yīng)主動(dòng)詢問加強(qiáng)對(duì)智能移動(dòng)設(shè)備信息安全管理重要文件做好備份3、如何實(shí)現(xiàn)信息安全？17

3、如何實(shí)現(xiàn)信息安全？18

3、如何實(shí)現(xiàn)信息安全？19

3、如何實(shí)現(xiàn)信息安全？20

3、如何實(shí)現(xiàn)信息安全？21

3、如何實(shí)現(xiàn)信息安全？22

溝通交流不在電話中說工作敏感信息，電話回叫要確認(rèn)身份不通過email傳輸敏感信息，如要通過EMAIL最好加密以后再傳輸不在安全得不到保障的公共場(chǎng)合談?wù)撁舾行畔⒎乐剐畔⒏`取不隨意下載安裝軟件，防止惡意程序、病毒及后門等黑客程序不隨意打開可執(zhí)行的郵件附件，如.EXE,.BAT,.VBS,,.PIF,.CMD,打開附件時(shí)最好進(jìn)行病毒檢查3、如何實(shí)現(xiàn)信息安全？23

3、如何實(shí)現(xiàn)信息安全？24

防范社會(huì)工程學(xué)攻擊社會(huì)工程學(xué)是一種通過對(duì)受害者心理弱點(diǎn)、本能反應(yīng)、好奇心、信任、貪婪等心理陷阱進(jìn)行諸如欺騙、傷害等危害手段,取得自身利益的手法.步驟：信息收集——信任建立——反追查典型攻擊方式：環(huán)境滲透、身份偽造、冒名電話、信件偽造等如何防范？3、如何實(shí)現(xiàn)信息安全？25

如何防范？仔細(xì)身份審核（多重身份認(rèn)證、來電顯示確認(rèn)、電話回?fù)?、EMAIL簽名、動(dòng)態(tài)密碼驗(yàn)證、身份ID卡、上級(jí)領(lǐng)導(dǎo)擔(dān)保等）；嚴(yán)格執(zhí)行操作流程審核；完善日志審計(jì)記錄；完善應(yīng)對(duì)措施，及時(shí)上報(bào)；注重保護(hù)個(gè)人隱私；不要把任何個(gè)人和公司信息或是識(shí)別標(biāo)識(shí)告訴他人，除非你聽出她或他的聲音是熟人，并確認(rèn)對(duì)方有這些信息的知情權(quán)。無論什么時(shí)候在接受一個(gè)陌生人詢問時(shí)，首先要禮貌的拒絕，直到確認(rèn)對(duì)方身份。3、如何實(shí)現(xiàn)信息安全？26

如何防范？保護(hù)好隨身攜帶電腦及資料.（案例-中興高層赴美考察，本來是正常出差，結(jié)果董秘被美國海關(guān)攔下來了，要求檢查電腦，這家伙電腦里有關(guān)于向伊朗出口設(shè)備會(huì)議的會(huì)議記錄，中興高層做的決策等等都寫在里面，這也是中興被美國處罰的直接依據(jù)之一。）不在公共區(qū)域談?wù)摽赡苌婕肮炯夹g(shù)秘密、商業(yè)秘密等相關(guān)事務(wù)，防止無意中泄密（案例-浙江一上市公司幾個(gè)高管在洗浴時(shí)，談?wù)摴举Y金等情況，導(dǎo)致無意中泄露公司，被證監(jiān)會(huì)追責(zé)。）3、如何實(shí)現(xiàn)信息安全？27

4、信息安全管理制度和法律法規(guī)28

原則上外來設(shè)備不允許接入公司網(wǎng)絡(luò)，如有業(yè)務(wù)需要，需申請(qǐng)審批通過后方可使用。外來設(shè)備包括外部人員帶到公司的筆記本電腦、演示機(jī)、測(cè)試機(jī)、智能移動(dòng)設(shè)備等。公司內(nèi)計(jì)算機(jī)嚴(yán)格限制使用包括移動(dòng)硬盤、U盤、帶存儲(chǔ)卡的設(shè)備等的移動(dòng)存儲(chǔ)設(shè)備，除工作必須要長(zhǎng)期使用移動(dòng)存儲(chǔ)的可申請(qǐng)開通外，公司內(nèi)的計(jì)算機(jī)禁止使用移動(dòng)存儲(chǔ)設(shè)備。公司內(nèi)嚴(yán)禁使用盜版軟件和破解工具，如有工作需要，應(yīng)通過公司采購正版軟件或使用免費(fèi)軟件。不經(jīng)批準(zhǔn)，嚴(yán)禁在公司架設(shè)FTP，DHCP，DNS等服務(wù)器。4、信息安全管理制度和法律法規(guī)29

研發(fā)用機(jī)未經(jīng)批準(zhǔn)，嚴(yán)禁轉(zhuǎn)移到公司辦公網(wǎng)絡(luò)、或?qū)⑥k公電腦轉(zhuǎn)移到研發(fā)內(nèi)網(wǎng)使用。任何部門和個(gè)人不得私自將包括HUB（集線器）、交換機(jī)、路由器等的網(wǎng)絡(luò)設(shè)備接入公司網(wǎng)絡(luò)中。原則上不得使用網(wǎng)絡(luò)共享，如因工作原因需要使用的，必須遵循最小化授權(quán)原則，刪除給所有人(everyone)的共享權(quán)限，只共享給需要訪問的人員，并且在使用后立即關(guān)閉。發(fā)現(xiàn)中毒后要斷開網(wǎng)絡(luò)，并及時(shí)報(bào)告信息中心，等待網(wǎng)管來處理。4、信息安全管理制度和法律法規(guī)30

嚴(yán)禁使用掃描工具對(duì)網(wǎng)絡(luò)進(jìn)行掃描和在網(wǎng)絡(luò)使用黑客工具不得以任何方式將公司信息（包括網(wǎng)絡(luò)拓?fù)?、IP地址、安全策略、帳號(hào)，口令等）告知不相關(guān)的人員計(jì)算機(jī)的操作系統(tǒng)、IIS、數(shù)據(jù)庫、FTP以及所有企業(yè)應(yīng)用（如電子郵件系統(tǒng)、即時(shí)通訊工具等）中，必須設(shè)置用戶口令，嚴(yán)禁使用空口令、弱口令或缺省口令。一經(jīng)發(fā)現(xiàn)將被行政處罰。口令長(zhǎng)度應(yīng)在8個(gè)字符以上，還應(yīng)包括大小寫字母，特殊符號(hào)和數(shù)字?？诹顟?yīng)該在三個(gè)月內(nèi)更換,重要的和使用頻繁的口令視情況縮短更改周期。不允許使用前3次用過的口令。嚴(yán)禁卸載或關(guān)閉安全防護(hù)軟件和防病毒軟件，如有系統(tǒng)補(bǔ)丁必須及時(shí)安裝。離開電腦要鎖屏。4、信息安全管理制度和法律法規(guī)31

系統(tǒng)保護(hù)中華人民共和國網(wǎng)絡(luò)安全法中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法安全產(chǎn)品商用密碼管理?xiàng)l例國家秘密中華人民共和國保守國家秘密法計(jì)算機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定知識(shí)產(chǎn)權(quán)中華人民共和國著作權(quán)法最高人民法院關(guān)于審理涉及計(jì)算機(jī)網(wǎng)絡(luò)著作權(quán)糾紛案件適用法律若干問題的解釋計(jì)算機(jī)軟件保護(hù)條例中華人民共和國專利法4、信息安全管理制度和法律法規(guī)32

計(jì)算機(jī)犯罪

中華人民共和國刑法（摘錄）網(wǎng)絡(luò)犯罪的法律問題研究電子證據(jù)中華人民共和國電子簽名法電子認(rèn)證服務(wù)管理辦法上市公司信息安全要求上市公司信息披露管理辦法5、公司信息安全管理體系及相關(guān)制度33

信息安全管理體系

ISO27001信息安全體系兩化融合體系的信息安全部分TISAX汽車行業(yè)信息安全體系相關(guān)制度上市公司相關(guān)部分對(duì)外信息報(bào)送制度年報(bào)信息披露重大差錯(cuò)責(zé)任追究制度內(nèi)幕信息知情人管理制度信息披露制度電子認(rèn)證服務(wù)管理辦法統(tǒng)計(jì)信息管理制度日常信息安全管理方面信息應(yīng)用系統(tǒng)管理制度企業(yè)網(wǎng)站、微信管理制度；機(jī)房管理制度6、公司信息安全案例分析主要原因：資料來源： Forrester-TheStateOfBusinessTechnologyResiliency斷電43%IT硬件故障31%人為錯(cuò)誤13%颶風(fēng)12%

6、公司信息安全案例分析1、2017年，OA服務(wù)器無法正常提供服務(wù)，導(dǎo)致應(yīng)用訪問異常，影響辦公2、2017年更換數(shù)據(jù)中心UPS主機(jī)時(shí)候，由于電路異常導(dǎo)致服務(wù)器直接斷電，導(dǎo)致所有業(yè)務(wù)中斷3、2018年3月，中午時(shí)分突然發(fā)現(xiàn)無法正常訪問公司應(yīng)用，服務(wù)器系統(tǒng)工作異常4、2020年7月，晚上20點(diǎn)左右三廠機(jī)房匯聚交換機(jī)故障，導(dǎo)致三廠區(qū)所有網(wǎng)絡(luò)無法正常訪問生產(chǎn)系統(tǒng)7、工作及生活中的信息安全36

信息設(shè)備的日常信息安全管理1.不可以自己安裝軟件,特別來源不明的程序,會(huì)帶來極大的信息風(fēng)險(xiǎn);2.不可以隨便安裝非授權(quán)軟件,可能會(huì)帶來未知的版權(quán)糾紛,給公司帶來未知的商業(yè)風(fēng)險(xiǎn);3.不可以更改系統(tǒng)的默認(rèn)設(shè)置和默認(rèn)安裝程序;7、工作及生活中的信息安全37

對(duì)外工作溝通交流中的信息安全風(fēng)險(xiǎn)管理1.不可以隨意向外部人員透露自己工作中所使用的軟件;2.對(duì)客戶信息、工藝數(shù)據(jù)、材料數(shù)據(jù)、公司的財(cái)務(wù)信息、公司未來重大計(jì)劃等重要數(shù)據(jù)，要注意保密；3.對(duì)自己的信息相關(guān)設(shè)備，如PC計(jì)算機(jī)、移動(dòng)智能終端、IC卡等，注意密碼設(shè)置，不讓他人使用；7、工作及生活中的信息安全38

生活中的信息安全1.自己的信息設(shè)備不能隨意安裝不明來源的APP應(yīng)用,可能帶來個(gè)人信息及資金的安全風(fēng)險(xiǎn);2.個(gè)人社交、購物軟