信息安全意識培訓(xùn)課件

1、信息技術(shù)部信息技術(shù)部2011年7月銀行信息安全意識交流銀行信息安全意識交流2 1、國內(nèi)多家銀行網(wǎng)銀用戶遭到大規(guī)模釣魚攻擊，損失巨大； 2、RSA遭黑客攻擊，主流身份認(rèn)證產(chǎn)品SecureID的重要信息泄漏，導(dǎo)致美國多家軍工企業(yè)信息系統(tǒng)受到嚴(yán)重威脅； 3、LulzSec成功襲擊了中央情報局，美國參議院，任天堂，索尼等多家機(jī)構(gòu)，引起國際社會廣泛關(guān)注； 4、花旗銀行網(wǎng)站遭遇黑客 20萬信用卡用戶信息被盜； 5、由于南海領(lǐng)土糾紛引起中越黑客相互攻擊對方重要網(wǎng)站； 6、韓國農(nóng)協(xié)銀行遭遇攻擊導(dǎo)致系統(tǒng)長時間癱瘓及大量交易數(shù)據(jù)丟失； 7、美聯(lián)合航空電腦故障，全國服務(wù)大亂； 8、騰訊網(wǎng)大面積訪問異常； 9、新浪微

2、博病毒大范圍傳播； 10、Comodo等多家證書機(jī)構(gòu)遭到攻擊，攻擊者得以偽造google等多家知名網(wǎng)站證書，使互聯(lián)網(wǎng)安全遭遇嚴(yán)重威脅；4567 系統(tǒng)漏洞系統(tǒng)漏洞雷雨雷雨8910蓄意破壞蓄意破壞11121314嚴(yán)防威脅嚴(yán)防威脅消減弱點消減弱點應(yīng)急響應(yīng)應(yīng)急響應(yīng)保護(hù)資產(chǎn)保護(hù)資產(chǎn)15161718192021222324三分技術(shù)，七分管理！25262728數(shù)據(jù)的屬主（數(shù)據(jù)的屬主（OM/PM）決定所屬數(shù)據(jù)的敏感級別決定所屬數(shù)據(jù)的敏感級別確定必要的保護(hù)措施確定必要的保護(hù)措施最終批準(zhǔn)并最終批準(zhǔn)并Review用戶訪問權(quán)用戶訪問權(quán)限限受受Owner委托管理數(shù)據(jù)委托管理數(shù)據(jù)通常是通常是IT人員或部門系統(tǒng)（數(shù)據(jù)）管理

3、員人員或部門系統(tǒng)（數(shù)據(jù)）管理員向向Owner提交訪問申請并按提交訪問申請并按Owner授意為用戶授權(quán)授意為用戶授權(quán)執(zhí)行數(shù)據(jù)保護(hù)措施，實施日常維護(hù)和管理執(zhí)行數(shù)據(jù)保護(hù)措施，實施日常維護(hù)和管理公司或第三方職員公司或第三方職員因工作需要而請求訪問數(shù)據(jù)因工作需要而請求訪問數(shù)據(jù)遵守安全規(guī)定和控制遵守安全規(guī)定和控制報告安全事件和隱患報告安全事件和隱患2930數(shù)據(jù)恢復(fù)數(shù)據(jù)恢復(fù)技術(shù)：技術(shù)： 數(shù)據(jù)恢復(fù)是指運(yùn)用軟、硬件技術(shù)對刪除或因介質(zhì)損壞等丟失的數(shù)據(jù)予以還原的過程。U盤或計算機(jī)硬盤存儲的數(shù)據(jù)即使已被刪除或進(jìn)行格式化處理，使用專用軟件仍能將其恢復(fù)，這種方法也因此成為竊密的手段之一。 例如，竊密者使用從互聯(lián)網(wǎng)下載的恢

4、復(fù)軟件對目標(biāo)計算機(jī)的已被格式化的U盤進(jìn)行格式化恢復(fù)操作后，即可成功的恢復(fù)原有文件。安全事件安全事件 香港某明星曾托助手將其手提電腦，送到一間計算機(jī)公司維修，其后有人把計算機(jī)中已經(jīng)刪除的照片恢復(fù)后制作成光盤，發(fā)放予朋友及其它人士觀賞。 3233 34353637安全培訓(xùn)安全培訓(xùn)安全計劃啟動安全計劃啟動并并統(tǒng)一注冊統(tǒng)一注冊安全設(shè)計安全設(shè)計最佳做法最佳做法安全體系結(jié)構(gòu)安全體系結(jié)構(gòu)和攻擊面審核和攻擊面審核使用安全開發(fā)使用安全開發(fā)工具以及工具以及安全開發(fā)和安全開發(fā)和測試最佳做法測試最佳做法創(chuàng)建產(chǎn)品創(chuàng)建產(chǎn)品安全文檔安全文檔和工具和工具準(zhǔn)備安全準(zhǔn)備安全響應(yīng)計劃響應(yīng)計劃安全推動安全推動活動活動 滲透滲透 測試

5、測試 最終最終安全安全審核審核安全維護(hù)安全維護(hù)和和響應(yīng)執(zhí)行響應(yīng)執(zhí)行功能列表功能列表質(zhì)量指導(dǎo)原則質(zhì)量指導(dǎo)原則體系結(jié)構(gòu)文檔體系結(jié)構(gòu)文檔日程表日程表設(shè)計規(guī)范設(shè)計規(guī)范測試和驗證測試和驗證編寫新代碼編寫新代碼故障修復(fù)故障修復(fù)代碼簽發(fā)代碼簽發(fā) + Checkpoint Press 簽發(fā)簽發(fā)RTM產(chǎn)品支持產(chǎn)品支持服務(wù)包服務(wù)包/QFE 安全更新安全更新需求需求設(shè)計設(shè)計實施實施驗證驗證發(fā)行發(fā)行支持和維護(hù)支持和維護(hù)威脅建模威脅建模功能規(guī)范功能規(guī)范38394041424344454647484950515253545556575859606162636465666768697071727374NoImage7576

6、77787980業(yè)務(wù)持續(xù)性管理程序業(yè)務(wù)持續(xù)性管理程序安全事件安全事件管理程序管理程序部門級的部門級的BCP/DRP（基于（基于BIA）緊急響應(yīng)緊急響應(yīng)處理程序處理程序8182 事先做好備份等準(zhǔn)備工作事先做好備份等準(zhǔn)備工作 災(zāi)難發(fā)生后妥善處理以降災(zāi)難發(fā)生后妥善處理以降 低損失低損失 在確定時限內(nèi)恢復(fù)在確定時限內(nèi)恢復(fù) 分析原因，做好記錄分析原因，做好記錄 BCP應(yīng)定期測試和維護(hù)應(yīng)定期測試和維護(hù) 應(yīng)該明確責(zé)任人應(yīng)該明確責(zé)任人838485計算機(jī)信息系統(tǒng)安全保計算機(jī)信息系統(tǒng)安全保護(hù)條例護(hù)條例計算機(jī)信息網(wǎng)絡(luò)國際聯(lián)計算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法網(wǎng)安全保護(hù)管理辦法86“違反國家規(guī)定，侵入前款規(guī)定以外的

7、計算機(jī)信息系統(tǒng)或者采用其他技術(shù)手段，獲取該計算機(jī)信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)，或者對該計算機(jī)信息系統(tǒng)實施非法控制，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處或者單處罰金；情節(jié)特別嚴(yán)重的，處三年以上七年以下有期徒刑，并處罰金。” “提供專門用于侵入、非法控制計算機(jī)信息系統(tǒng)的程序、工具，或者明知他人實施侵入、非法控制計算機(jī)信息系統(tǒng)的違法犯罪行為而為其提供程序、工具，情節(jié)嚴(yán)重的，依照前款的規(guī)定處罰?！?78889P 加強(qiáng)敏感信息的保密加強(qiáng)敏感信息的保密P 留意物理安全留意物理安全P 遵守法律法規(guī)和安全策略遵守法律法規(guī)和安全策略P 公司資源只供公司所用公司資源只供公司所用P 保守口令秘密保守口令秘密P 謹(jǐn)慎使用