《企業(yè)信息安全管理》課件

第四章企業(yè)信息安全管理

1精選PPT第四章企業(yè)信息安全管理1精選PPT§4-1企業(yè)信息安全管理

一、信息安全1、定義信息安全是指信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，信息服務(wù)不中斷。2、目的根本目的是使內(nèi)部信息不受外部威脅3、內(nèi)容保證信息的保密性、真實性、完整性、未授權(quán)拷貝和所寄生系統(tǒng)的安全性

2精選PPT§4-1企業(yè)信息安全管理一、信息安全2精選PPT二、企業(yè)信息安全1、企業(yè)信息安全的特征完整性、可用性、保密性、可控性2、企業(yè)信息安全的基本內(nèi)容（1）實體安全保護計算機設(shè)備、設(shè)施及其他媒體免遭地震、水災(zāi)、火災(zāi)、有害氣體和其他環(huán)境事故破壞的措施和過程。即環(huán)境安全、設(shè)備安全和媒體安全。（2）運行安全（3）信息資產(chǎn)安全防止信息資產(chǎn)被故意的或偶然的非授權(quán)泄露、更改、破壞或使信息被非法的系統(tǒng)辨識、控制，即確保信息的完整性、可用性、保密性和可控性。（4）人員安全指人員的安全意識、法律意識、安全技能等。3精選PPT二、企業(yè)信息安全3精選PPT三、企業(yè)信息安全管理1、定義即針對當前企業(yè)面臨的病毒威脅、黑客入侵、惡意軟件、信息失控等復(fù)雜的應(yīng)用環(huán)境制定相應(yīng)的防御措施，保護企業(yè)信息和企業(yè)信息系統(tǒng)不被未經(jīng)授權(quán)的訪問、使用、泄露、中斷、修改和破壞，為企業(yè)信息和企業(yè)信息系統(tǒng)提供保密性、完整性、真實性、可用性、不可否認性服務(wù)。2、企業(yè)信息安全管理現(xiàn)狀（1）缺乏來自法律規(guī)范的推動力和約束（2）安全管理缺乏系統(tǒng)管理的思想（3）重視安全技術(shù)，忽視安全管理（4）在安全管理中不夠重視人的因素（5）缺乏懂得管理的信息安全技術(shù)人員（6）企業(yè)安全意識不強，員工接受的教育和培訓不夠4精選PPT三、企業(yè)信息安全管理4精選PPT§4-2企業(yè)信息安全技術(shù)

一、企業(yè)所需要的安全業(yè)務(wù)1、信息的保密性2、信息的完整性、防篡改性3、交易者身份的確定性4、信息的不可抵賴性（或稱不可否認性）①源點不可抵賴②接收不可抵賴③回執(zhí)不可抵賴5、進入系統(tǒng)的用戶身份識別5精選PPT§4-2企業(yè)信息安全技術(shù)一、企業(yè)所需要的安全業(yè)務(wù)5精選P二、網(wǎng)絡(luò)安全技術(shù)1、防火墻技術(shù)（1）定義防火墻是一種隔離控制技術(shù)，通過在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間設(shè)置一個或多個電子屏障，阻止對信息資源的非法訪問，也可阻止內(nèi)部信息從企業(yè)的網(wǎng)絡(luò)上被非法竊取。（2）防火墻的主要功能①保護數(shù)據(jù)的完整性②保護網(wǎng)絡(luò)的有效性③保護數(shù)據(jù)的機密性（3）防火墻的類型①數(shù)據(jù)包過濾——基于路由器的防火墻②代理服務(wù)技術(shù)6精選PPT二、網(wǎng)絡(luò)安全技術(shù)6精選PPT（4）防火墻技術(shù)的局限性①只能防止經(jīng)由防火墻的攻擊②經(jīng)不起人為因素的攻擊③防火墻不能保證數(shù)據(jù)的秘密性2、防止網(wǎng)絡(luò)病毒（1）常見類型（2）網(wǎng)絡(luò)病毒的防治（3）網(wǎng)絡(luò)病毒的預(yù)防措施3、其他網(wǎng)絡(luò)的安全技術(shù)7精選PPT（4）防火墻技術(shù)的局限性7精選PPT三、信息加密技術(shù)1、定義明文變成密文的過程稱為加密，由密文還原成明文的過程稱為解密，加密和解密的規(guī)則稱密碼算法。在加密和解密的過程中，由加密者和解密者使用的加解密可變參數(shù)叫作密鑰。根據(jù)信息加密使用的密鑰體制的不同，可以將加密技術(shù)分為兩類：對稱密鑰加密體制和非對稱密鑰加密體制。2、對稱密鑰加密體制（1）定義對稱密鑰加密體制，也稱私鑰加密體制或單鑰加密體制，密鑰相同，或雖不相同，但能推導出。對稱加密的算法是公開的。8精選PPT三、信息加密技術(shù)8精選PPT（2）加密過程第一步，將明文數(shù)據(jù)進行初始置換，以一定的規(guī)則打亂明文的排列順序并分段第二步，進行一系列的乘積變換，在密鑰控制下，做迭代第三步，再進行逆初始變換就得到密文。（3）優(yōu)缺點優(yōu)點：加密、解密速度快缺點：密鑰難于共享，所需密鑰較多9精選PPT（2）加密過程9精選PPT3、非對稱密鑰加密體制（1）定義非對稱密鑰密碼體制，又稱為公鑰密碼體制，是指對信息加密和解密使用不同的密鑰，即有兩個密鑰：一個是公開密鑰，一個是私有密鑰，稱為“密鑰對”。如果公開密鑰對數(shù)據(jù)進行加密，則只有用對應(yīng)的私有密鑰才能解密；反之，若用私有密鑰對數(shù)據(jù)進行加密，則須用相應(yīng)的公開密鑰才能解密。（2）優(yōu)缺點優(yōu)點：易于實現(xiàn)，使用靈活，密鑰較少缺點：使用的密鑰較長，加重系統(tǒng)的負擔和減慢系統(tǒng)的吞吐速度。10精選PPT3、非對稱密鑰加密體制10精選PPT

11精選PPT11精選PPT四、電子交易安全技術(shù)1、安全電子交易認證技術(shù)目的：驗證信息發(fā)送者不是冒充的；驗證信息的完整性包括：數(shù)字摘要、數(shù)字信封、數(shù)字簽名、數(shù)字證書等（1）數(shù)字摘要數(shù)字摘要技術(shù)亦稱安全Hash編碼法，該編碼法將需加密的明文“摘要”成一串128位密文，這128位的密文就是所謂的數(shù)字指紋，又稱信息鑒別碼，它有固定的長度，且不同的明文摘要成的密文，其結(jié)果總是不同的，而同樣的明文其摘要必定一致。數(shù)字指紋的應(yīng)用使交易文件的完整性（不可修改性）得以保證。12精選PPT四、電子交易安全技術(shù)12精選PPT

（2）數(shù)字信封數(shù)字信封（也稱電子信封）技術(shù)結(jié)合應(yīng)用了對稱密鑰和非對稱密鑰兩種技術(shù)：信息發(fā)送方隨機產(chǎn)生對稱密鑰，用這個對稱密鑰加密所需發(fā)送的原文，然后將此對稱密鑰用接收方的公開密鑰加密（這部分稱為數(shù)字信封），連同加密了的原文一同傳輸?shù)绞招欧?。收信方首先使用自己的私有密鑰解密數(shù)字信封，獲得對稱密鑰，再用該對稱密鑰解密出真正的原文。優(yōu)點：使用兩個層次的加密獲得非對稱密鑰技術(shù)的靈活性和對稱密鑰技術(shù)的高效性。13精選PPT（2）數(shù)字信封13精選PPT

14精選PPT14精選PPT（3）數(shù)字簽名第一步，被發(fā)送的原文算法加密產(chǎn)生128位數(shù)字摘要；第二步，發(fā)送方用私有密鑰對摘要加密，形成數(shù)字簽名；第三步，將原報文和加密的摘要同時發(fā)送給接收方；第四步，接收方用發(fā)送方的公開密鑰對摘要解密，同時對收到的原文算法加密產(chǎn)生又一摘要；第五步，將解密后的摘要和在接收方重新加密產(chǎn)生的摘要相互對比，如果一致，則說明報文來源確實且傳送過程中沒被破壞或修改過。15精選PPT（3）數(shù)字簽名15精選PPT（4）數(shù)字證書①定義所謂數(shù)字證書，就是用電子手段來證實一個用戶的身份及用戶對網(wǎng)絡(luò)資源的訪問權(quán)限。②內(nèi)容證書的版本號；數(shù)字證書的序列號；證書擁有者的姓名；證書擁有者的公開密鑰；公開密鑰的有效期；簽名算法；頒發(fā)數(shù)字證書的單位；頒發(fā)數(shù)字證書單位的數(shù)字簽名③類型客戶證書；商家證書；網(wǎng)關(guān)證書、CA系統(tǒng)證書16精選PPT（4）數(shù)字證書16精選PPT2、安全認證協(xié)議技術(shù)（1）作用在支付體系中，用于架構(gòu)服務(wù)器和客戶之間的安全通道，主要有三個作用：①客戶和服務(wù)器之間的相互確認②以加密的方式保證傳輸信息的可靠性③保證傳輸信息的完整性（2）種類SSL安全協(xié)議和SET安全協(xié)議17精選PPT2、安全認證協(xié)議技術(shù)17精選PPT

（3）SSL安全協(xié)議（安全套接層協(xié)議）①作用主要用于提高應(yīng)用程序之間的數(shù)據(jù)的安全系數(shù)。認證用戶和服務(wù)器，使得它們能夠確信數(shù)據(jù)將被發(fā)送到正確的客戶機和服務(wù)器上；加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)；維護數(shù)據(jù)的完整性，確保數(shù)據(jù)在傳輸過程中不被改變。②運行步驟第一步，接通階段第二步，密碼交換階段第三步，會談密碼階段第四步，檢驗階段第五步，客戶認證階段第六步，結(jié)束階段18精選PPT（3）SSL安全協(xié)議（安全套接層協(xié)議）18精選PPT

（4）SET安全協(xié)議（電子商務(wù)交易安全協(xié)議）由兩大信用卡組織Visa和Master—Card聯(lián)合開發(fā)①定義是一個為了在因特網(wǎng)上進行在線交易而設(shè)立的一個開放的以電子貨幣為基礎(chǔ)的電子付款系統(tǒng)規(guī)范。

②要達到的的目標保證信息在網(wǎng)上安全傳輸，防止數(shù)據(jù)被黑客或內(nèi)部人員竊?。槐ＷC電子商務(wù)參與者信息的相互隔離；解決多方認證問題；保證網(wǎng)上交易的實時性，使所有的支付過程都是在線的；規(guī)范協(xié)議和消息格式，促使不同廠家開發(fā)的軟件具有兼容性和互操作功能，并且可以運行在不同的硬件和操作系統(tǒng)平臺上。19精選PPT（4）SET安全協(xié)議（電子商務(wù)交易安全協(xié)議）19精選PP②工作流程第一步，選定要購買的物品，輸入訂貨單。第二步，通過電子商務(wù)服務(wù)器與有關(guān)在線商店聯(lián)系，在線商店作出應(yīng)答，告之所填訂貨單信息是否準確，是否有變化。第三步，消費者選擇付款方式，確認訂單，簽發(fā)付款指令。此時SET開始介入。第四步，在SET中，消費者須對訂單和付款指令進行數(shù)字簽名，同時利用雙重簽名技術(shù)保證商家看不到其賬號信息。第五步，在線商店接受訂單后，向消費者所在銀行請求支付認可。第六步，在線商店發(fā)送訂單確認信息給消費者。第七步，在線商店發(fā)送貨物或提供服務(wù)，并通知收單銀行將錢從消費者的賬號轉(zhuǎn)移到商店賬號，或通知發(fā)卡銀行請求支付。20精選PPT②工作流程20精選PPT③存在的問題沒有說明收單銀行給在線商店付款前，是否必須收到消費者的貨物接受證書。協(xié)議沒有擔?！胺蔷芙^行為”沒有提及在事務(wù)處理完成后，如何保存或銷毀此類數(shù)據(jù)只支持信用卡交易。21精選PPT③存在的問題21精選PPT第四章企業(yè)信息安全管理

22精選PPT第四章企業(yè)信息安全管理1精選PPT§4-1企業(yè)信息安全管理

一、信息安全1、定義信息安全是指信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，信息服務(wù)不中斷。2、目的根本目的是使內(nèi)部信息不受外部威脅3、內(nèi)容保證信息的保密性、真實性、完整性、未授權(quán)拷貝和所寄生系統(tǒng)的安全性

23精選PPT§4-1企業(yè)信息安全管理一、信息安全2精選PPT二、企業(yè)信息安全1、企業(yè)信息安全的特征完整性、可用性、保密性、可控性2、企業(yè)信息安全的基本內(nèi)容（1）實體安全保護計算機設(shè)備、設(shè)施及其他媒體免遭地震、水災(zāi)、火災(zāi)、有害氣體和其他環(huán)境事故破壞的措施和過程。即環(huán)境安全、設(shè)備安全和媒體安全。（2）運行安全（3）信息資產(chǎn)安全防止信息資產(chǎn)被故意的或偶然的非授權(quán)泄露、更改、破壞或使信息被非法的系統(tǒng)辨識、控制，即確保信息的完整性、可用性、保密性和可控性。（4）人員安全指人員的安全意識、法律意識、安全技能等。24精選PPT二、企業(yè)信息安全3精選PPT三、企業(yè)信息安全管理1、定義即針對當前企業(yè)面臨的病毒威脅、黑客入侵、惡意軟件、信息失控等復(fù)雜的應(yīng)用環(huán)境制定相應(yīng)的防御措施，保護企業(yè)信息和企業(yè)信息系統(tǒng)不被未經(jīng)授權(quán)的訪問、使用、泄露、中斷、修改和破壞，為企業(yè)信息和企業(yè)信息系統(tǒng)提供保密性、完整性、真實性、可用性、不可否認性服務(wù)。2、企業(yè)信息安全管理現(xiàn)狀（1）缺乏來自法律規(guī)范的推動力和約束（2）安全管理缺乏系統(tǒng)管理的思想（3）重視安全技術(shù)，忽視安全管理（4）在安全管理中不夠重視人的因素（5）缺乏懂得管理的信息安全技術(shù)人員（6）企業(yè)安全意識不強，員工接受的教育和培訓不夠25精選PPT三、企業(yè)信息安全管理4精選PPT§4-2企業(yè)信息安全技術(shù)

一、企業(yè)所需要的安全業(yè)務(wù)1、信息的保密性2、信息的完整性、防篡改性3、交易者身份的確定性4、信息的不可抵賴性（或稱不可否認性）①源點不可抵賴②接收不可抵賴③回執(zhí)不可抵賴5、進入系統(tǒng)的用戶身份識別26精選PPT§4-2企業(yè)信息安全技術(shù)一、企業(yè)所需要的安全業(yè)務(wù)5精選P二、網(wǎng)絡(luò)安全技術(shù)1、防火墻技術(shù)（1）定義防火墻是一種隔離控制技術(shù)，通過在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間設(shè)置一個或多個電子屏障，阻止對信息資源的非法訪問，也可阻止內(nèi)部信息從企業(yè)的網(wǎng)絡(luò)上被非法竊取。（2）防火墻的主要功能①保護數(shù)據(jù)的完整性②保護網(wǎng)絡(luò)的有效性③保護數(shù)據(jù)的機密性（3）防火墻的類型①數(shù)據(jù)包過濾——基于路由器的防火墻②代理服務(wù)技術(shù)27精選PPT二、網(wǎng)絡(luò)安全技術(shù)6精選PPT（4）防火墻技術(shù)的局限性①只能防止經(jīng)由防火墻的攻擊②經(jīng)不起人為因素的攻擊③防火墻不能保證數(shù)據(jù)的秘密性2、防止網(wǎng)絡(luò)病毒（1）常見類型（2）網(wǎng)絡(luò)病毒的防治（3）網(wǎng)絡(luò)病毒的預(yù)防措施3、其他網(wǎng)絡(luò)的安全技術(shù)28精選PPT（4）防火墻技術(shù)的局限性7精選PPT三、信息加密技術(shù)1、定義明文變成密文的過程稱為加密，由密文還原成明文的過程稱為解密，加密和解密的規(guī)則稱密碼算法。在加密和解密的過程中，由加密者和解密者使用的加解密可變參數(shù)叫作密鑰。根據(jù)信息加密使用的密鑰體制的不同，可以將加密技術(shù)分為兩類：對稱密鑰加密體制和非對稱密鑰加密體制。2、對稱密鑰加密體制（1）定義對稱密鑰加密體制，也稱私鑰加密體制或單鑰加密體制，密鑰相同，或雖不相同，但能推導出。對稱加密的算法是公開的。29精選PPT三、信息加密技術(shù)8精選PPT（2）加密過程第一步，將明文數(shù)據(jù)進行初始置換，以一定的規(guī)則打亂明文的排列順序并分段第二步，進行一系列的乘積變換，在密鑰控制下，做迭代第三步，再進行逆初始變換就得到密文。（3）優(yōu)缺點優(yōu)點：加密、解密速度快缺點：密鑰難于共享，所需密鑰較多30精選PPT（2）加密過程9精選PPT3、非對稱密鑰加密體制（1）定義非對稱密鑰密碼體制，又稱為公鑰密碼體制，是指對信息加密和解密使用不同的密鑰，即有兩個密鑰：一個是公開密鑰，一個是私有密鑰，稱為“密鑰對”。如果公開密鑰對數(shù)據(jù)進行加密，則只有用對應(yīng)的私有密鑰才能解密；反之，若用私有密鑰對數(shù)據(jù)進行加密，則須用相應(yīng)的公開密鑰才能解密。（2）優(yōu)缺點優(yōu)點：易于實現(xiàn)，使用靈活，密鑰較少缺點：使用的密鑰較長，加重系統(tǒng)的負擔和減慢系統(tǒng)的吞吐速度。31精選PPT3、非對稱密鑰加密體制10精選PPT

32精選PPT11精選PPT四、電子交易安全技術(shù)1、安全電子交易認證技術(shù)目的：驗證信息發(fā)送者不是冒充的；驗證信息的完整性包括：數(shù)字摘要、數(shù)字信封、數(shù)字簽名、數(shù)字證書等（1）數(shù)字摘要數(shù)字摘要技術(shù)亦稱安全Hash編碼法，該編碼法將需加密的明文“摘要”成一串128位密文，這128位的密文就是所謂的數(shù)字指紋，又稱信息鑒別碼，它有固定的長度，且不同的明文摘要成的密文，其結(jié)果總是不同的，而同樣的明文其摘要必定一致。數(shù)字指紋的應(yīng)用使交易文件的完整性（不可修改性）得以保證。33精選PPT四、電子交易安全技術(shù)12精選PPT

（2）數(shù)字信封數(shù)字信封（也稱電子信封）技術(shù)結(jié)合應(yīng)用了對稱密鑰和非對稱密鑰兩種技術(shù)：信息發(fā)送方隨機產(chǎn)生對稱密鑰，用這個對稱密鑰加密所需發(fā)送的原文，然后將此對稱密鑰用接收方的公開密鑰加密（這部分稱為數(shù)字信封），連同加密了的原文一同傳輸?shù)绞招欧?。收信方首先使用自己的私有密鑰解密數(shù)字信封，獲得對稱密鑰，再用該對稱密鑰解密出真正的原文。優(yōu)點：使用兩個層次的加密獲得非對稱密鑰技術(shù)的靈活性和對稱密鑰技術(shù)的高效性。34精選PPT（2）數(shù)字信封13精選PPT

35精選PPT14精選PPT（3）數(shù)字簽名第一步，被發(fā)送的原文算法加密產(chǎn)生128位數(shù)字摘要；第二步，發(fā)送方用私有密鑰對摘要加密，形成數(shù)字簽名；第三步，將原報文和加密的摘要同時發(fā)送給接收方；第四步，接收方用發(fā)送方的公開密鑰對摘要解密，同時對收到的原文算法加密產(chǎn)生又一摘要；第五步，將解密后的摘要和在接收方重新加密產(chǎn)生的摘要相互對比，如果一致，則說明報文來源確實且傳送過程中沒被破壞或修改過。36精選PPT（3）數(shù)字簽名15精選PPT（4）數(shù)字證書①定義所謂數(shù)字證書，就是用電子手段來證實一個用戶的身份及用戶對網(wǎng)絡(luò)資源的訪問權(quán)限。②內(nèi)容證書的版本號；數(shù)字證書的序列號；證書擁有者的姓名；證書擁有者的公開密鑰；公開密鑰的有效期；簽名算法；頒發(fā)數(shù)字證書的單位；頒發(fā)數(shù)字證書單位的數(shù)字簽名③類型客戶證書；商家證書；網(wǎng)關(guān)證書、CA系統(tǒng)證書37精選PPT（4）數(shù)字證書16精選PPT2、安全認證協(xié)議技術(shù)（1）作用在支付體系中，用于架構(gòu)服務(wù)器和客戶之間的安全通道，主要有三個作用：①客戶和服務(wù)器之間的相互確認②以加密的方式保證傳輸信息的可靠性③保證傳輸信息的完整性（2）種類SSL安全協(xié)議和SET安全協(xié)議38精選PPT2、安全認證協(xié)議技術(shù)17精選PPT

（3）SSL安全協(xié)議（安全套接層協(xié)議）①作用主要用于提高應(yīng)用程序之間的數(shù)據(jù)的安全系數(shù)。認證用戶和服務(wù)器，使得它們能夠確信數(shù)據(jù)將被發(fā)送到正確的客戶機和服務(wù)器上；加密數(shù)據(jù)以隱藏被傳送的數(shù)據(jù)；維護數(shù)據(jù)的完整性，確保數(shù)據(jù)在傳輸過程中不被改變。②運行步驟第一步，接通階段第二步，密碼交換階段