信息安全意識培訓(xùn)-員工管理

信息安全意識的探討目錄信息安全發(fā)展背景解析常見網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與應(yīng)對方法12信息安全發(fā)展背景解析安全意識概念所謂的安全意識是指人們發(fā)現(xiàn)可能存在的威脅、判斷其危害性并及時預(yù)防或化解威脅的一種能力。加強(qiáng)自身對威脅相關(guān)知識的掌握以及正確的使用習(xí)慣可以提升這種能力。這也就是我們常說的提高安全意識。必要網(wǎng)絡(luò)的基礎(chǔ)元素是用戶，網(wǎng)絡(luò)應(yīng)用的多樣化、用戶個體習(xí)慣的多樣化。對于企業(yè)來說網(wǎng)絡(luò)安全主要是管理和制度的問題，對于個人來說網(wǎng)絡(luò)安全主要是意識和使用習(xí)慣的問題。技術(shù)僅僅是輔助手段。目的從根本上認(rèn)識到安全是自身的需求，而不僅僅是工作上面的要求；增強(qiáng)自主安全意識，讓養(yǎng)成良好的網(wǎng)絡(luò)及系統(tǒng)使用習(xí)慣。信息安全發(fā)展背景之一——法律監(jiān)管背景一：法律監(jiān)管

《網(wǎng)絡(luò)安全法》、《刑法》（第九修正案）《網(wǎng)絡(luò)安全等級保護(hù)條例（征求意見稿）》《網(wǎng)絡(luò)安全等級保護(hù)基本要求》、《設(shè)計(jì)要求》等《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（征求意見稿）》信息安全發(fā)展背景之一——法律監(jiān)管背景二

個人數(shù)據(jù)和隱私安全事件會更加突出信息安全發(fā)展背景之二——個人信息與數(shù)據(jù)安全販賣個人數(shù)據(jù)：5-20元/每條短信詐騙網(wǎng)游裝備販賣釣魚網(wǎng)站賭博網(wǎng)站定向釣魚勒索病毒QQ詐騙千億規(guī)模為了數(shù)據(jù)背后的利益

黑客會想盡辦法入侵！竊??！信息安全發(fā)展背景之二——個人信息與數(shù)據(jù)安全華住旗下酒店共5億條個人信息泄露時間：2018年8月26日泄露規(guī)模：5億條信息單位性質(zhì)：企業(yè)事件簡介：6:30左右監(jiān)測到華住旗下酒店開房記錄泄露數(shù)據(jù)，內(nèi)容涉及大量個人入住酒店信息，主要為姓名、身份證信息、手機(jī)號、卡號等，約5億條公民信息。有賣家在網(wǎng)絡(luò)上將數(shù)據(jù)標(biāo)價8個比特幣，約等于人民幣35萬人民幣，數(shù)據(jù)泄露涉及到1.3億人的個人信息及開房記錄。攻擊過程簡述：業(yè)內(nèi)分析是Github的程序員（疑似華住程序員），曾在GitHub（一個面向開源及私有軟件項(xiàng)目的托管平臺）上傳了一個名為CMS項(xiàng)目。項(xiàng)目的配置文件代碼里包含了華住敏感的服務(wù)器及數(shù)據(jù)庫信息，被黑客利用攻擊導(dǎo)致泄露。背景三

員工風(fēng)險(xiǎn)行為成為攻擊發(fā)起點(diǎn)信息安全發(fā)展背景之三——員工風(fēng)險(xiǎn)行為帶來安全威脅信息安全發(fā)展背景之三——員工風(fēng)險(xiǎn)行為帶來安全威脅2011年，黑客通過釣魚郵件的方式入侵了著名安全公司RSA內(nèi)網(wǎng)，盜取了大批雙因素認(rèn)證SecureID私鑰，直接經(jīng)濟(jì)損失6600萬美元。該事件爆發(fā)起因：員工不規(guī)范的電腦操作行為，對陌生郵件沒有足夠的重視，隨意點(diǎn)擊不明鏈接，導(dǎo)致主機(jī)被黑客控制，從而利用主機(jī)權(quán)限植入惡意腳本，竊取數(shù)據(jù)企業(yè)安全事件20-30%由黑客入侵或其他外部原因造成70-80%由于內(nèi)部員工的疏忽或有意泄露造成的78%來之內(nèi)部員工的不規(guī)范操作洪水、臺風(fēng)、地震、雷電等自然威脅電源故障、污染、液體泄漏、火災(zāi)等環(huán)境威脅系統(tǒng)漏洞、敏感端口開放、弱密碼、網(wǎng)絡(luò)或服務(wù)故障等系統(tǒng)威脅人員威脅黑客滲透、木馬后門、病毒蠕蟲、流氓軟件、拒絕服務(wù)、社會工程等威脅無處不在信息資產(chǎn)對我們很重要，是要保護(hù)的對象資產(chǎn)自身又有各種弱點(diǎn)，給威脅帶來可乘之機(jī)威脅就像蒼蠅一樣，揮之不去，無所不在面臨各種風(fēng)險(xiǎn)，一旦發(fā)生就成為安全事件、事故面對信息安全，我們需要保持清醒的認(rèn)識常見網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與應(yīng)對方法一、木馬、病毒等什么是木馬和病毒？通俗來講木馬：控制你電腦的一段惡意代碼病毒：破壞你電腦功能或存儲的文檔數(shù)據(jù)的惡意代碼本質(zhì)：惡意代碼被執(zhí)行哪些行為可能會使你的電腦中毒瀏覽網(wǎng)站——主動或被動瀏覽非法網(wǎng)站電子郵件——打開不明郵件鏈接或下載附件移動存儲介質(zhì)——U盤、移動硬盤、手機(jī)即時聊天——引誘點(diǎn)擊或下載不明文件或打開不明鏈接（仿造鏈接，例如www.tmalI.com等）網(wǎng)絡(luò)下載——論壇、各類資料庫等等免費(fèi)資源網(wǎng)絡(luò)共享——FTP、企業(yè)網(wǎng)盤等一、木馬、病毒等防范方法意識先行?。?！不明后綴的文件一定要謹(jǐn)慎點(diǎn)擊運(yùn)行安裝防病毒軟件和主機(jī)防火墻盡可能安裝正版防病毒軟件，并及時更新病毒庫；內(nèi)網(wǎng)環(huán)境也要關(guān)注，配合信息安全機(jī)制落地及時備份關(guān)鍵數(shù)據(jù)、資料對于個人數(shù)據(jù)及時通過移動介質(zhì)、云盤等方式備份；企業(yè)關(guān)鍵信息由組織統(tǒng)一協(xié)調(diào)備份及時更新操作系統(tǒng)補(bǔ)丁不要隨意關(guān)閉系統(tǒng)自動更新，或通過終端軟件及時更新補(bǔ)丁U盤等外設(shè)管理避免U盤隨意插拔，如有業(yè)務(wù)上的必要盡量做到專機(jī)專用強(qiáng)調(diào)：在禁止插拔U盤的場景下，不要隨意將手機(jī)連接電腦，即使是僅為了充電積極配合信息安全部門相關(guān)政策二、信息泄露大數(shù)據(jù)時代個人信息數(shù)據(jù)變成高價值資產(chǎn)，個人信息類型也變得更加多樣復(fù)雜，存在有意或無意泄露的情況黑灰產(chǎn)各類互聯(lián)網(wǎng)公司為了更加準(zhǔn)確分析，通過交易的方式獲取私人信息，由此滋生黑灰產(chǎn)危害企業(yè)個人信息泄露不僅關(guān)乎個人隱私，對企業(yè)信息安全危害也很大，例如密碼字典公開內(nèi)部公開秘密機(jī)密、絕密數(shù)據(jù)保密管理（舉例）根據(jù)需要，在合同或個人協(xié)議中明確安全方面的承諾和要求；明確數(shù)據(jù)管理人員責(zé)任，控制數(shù)據(jù)使用及分發(fā)；明確部門在使用授權(quán)數(shù)據(jù)時的保護(hù)責(zé)任；基于業(yè)務(wù)需要，決定是否對重要數(shù)據(jù)進(jìn)行加密保護(hù)；軟件開發(fā)剩余信息保護(hù)PublicInternal

Use（缺?。〤onfidencialSecret數(shù)據(jù)保密使用（舉例）公司數(shù)據(jù)文件員工有責(zé)任和義務(wù)保護(hù)，防止數(shù)據(jù)泄漏個人電腦不存儲公司敏感數(shù)據(jù)，嚴(yán)禁私自拷貝業(yè)務(wù)數(shù)據(jù)帶離工作場所紙質(zhì)文件指派專人保管，定期銷毀紙質(zhì)文件打印件應(yīng)設(shè)置標(biāo)識，及時取回，并妥善保存或處理禁止將客戶數(shù)據(jù)或客戶標(biāo)識用于非項(xiàng)目相關(guān)的場合如培訓(xùn)材料；二、信息泄露防范——企業(yè)數(shù)據(jù)二、信息泄露防范——個人數(shù)據(jù)不泄露查看社交網(wǎng)絡(luò)或應(yīng)用的隱私設(shè)置，保護(hù)自身敏感信息在社交網(wǎng)絡(luò)謹(jǐn)慎發(fā)布、公開個人信息不留底不要在電腦上自動保存重要系統(tǒng)或應(yīng)用的口令打印、借用他人電腦時，確保關(guān)鍵資料不被復(fù)制或留存在回收站不相信不要忽略各類APP的權(quán)限獲取內(nèi)容，避免被惡意搜集不要參與不規(guī)范的網(wǎng)絡(luò)、街頭市場調(diào)研，防止個人信息被利用法律支持國家目前正積極推進(jìn)《個人信息保護(hù)法》的頒發(fā)，對于有侵權(quán)行為，要及時運(yùn)用法律武器三、密碼管理——弱密碼

用戶名+口令是最簡單也最常用的身份認(rèn)證方式

口令是抵御攻擊的第一道防線，防止冒名頂替

口令也是抵御網(wǎng)絡(luò)攻擊的最后一道防線

針對口令的攻擊簡便易行，口令破解快速有效黑客攻擊最常用的手段是利用密碼字典進(jìn)行爆破現(xiàn)實(shí)是如果你以請一頓工作餐來作為交換，有70％的人樂意告訴你他（她）的機(jī)器口令有34％的人，甚至不需要賄賂，就可奉獻(xiàn)自己的口令另據(jù)調(diào)查，有79％的人，在被提問時，會無意間泄漏足以被用來竊取其身份的信息平均每人要記住四個口令，95％都習(xí)慣使用相同的口令（在很多需要口令的地方）

33％的人選擇將口令寫下來，然后放到抽屜或夾到文件里我們從態(tài)勢感知來看看弱密碼情況！三、密碼管理——密碼設(shè)置建議盡量不用自身常見信息為密碼不要所有系統(tǒng)使用同一密碼密碼定期更換密碼長度應(yīng)盡量長密碼需要具備復(fù)雜度用戶名與密碼一致密碼長度增加是最好的防破解方式密碼長度不低于8位一定要記得住，不要寫在紙上多字符混合至少包含大小寫字母和數(shù)字黑客破解字典中一定有用戶名常見信息包含：生日、紀(jì)念日、電話號碼等個人信息

工作中用到的專業(yè)術(shù)語，職業(yè)特征

字典中包含的單詞，或者只在單詞后加簡單的后綴通過普通會員卡等密碼匹配關(guān)鍵密碼的方式是最常見的破解方法保持一定的評率對密碼進(jìn)行更新未破解密碼更新可固定幾個密碼輪換三、密碼管理——一些小技巧使用一些喜歡的詩句、名言俚語、容易記得順口溜等等，通過一定規(guī)則變換例子1：密碼：

1/2Jss1/2J#f00

例子2：密碼：Quit@smoking4ever對于不同系統(tǒng)間的用戶名可以在口令上加入前后綴例子1：密碼根：

1/2Jss1/2J#f00網(wǎng)易郵箱：1/2Jss1/2J#f00%WmailOA系統(tǒng)：1/2Jss1/2J#f00%OAsys解釋：半江瑟瑟半江紅解釋：永遠(yuǎn)戒煙四、安全瀏覽網(wǎng)頁使用安全瀏覽器（如：搜狗等安全瀏覽器）收藏經(jīng)常訪問的網(wǎng)站安裝殺毒軟件，開啟實(shí)時防護(hù)功能，并保持更新；對超低價、超低折扣、中獎等誘惑要提高警惕；警惕色情、賭博、反動等非法網(wǎng)站，避免訪問；防止網(wǎng)頁自動記住賬號密碼五、電子郵件使用安全應(yīng)警惕的郵件內(nèi)容：偽造發(fā)件人信息模仿單位領(lǐng)導(dǎo)索取個人信息進(jìn)行網(wǎng)上交易時要注意做到以下幾點(diǎn)：核對網(wǎng)址選妥和保管好密碼、做好交易記錄。避免公用計(jì)算機(jī)使用網(wǎng)上交易系統(tǒng)；不通過搜索引擎上的網(wǎng)址或不明網(wǎng)站的鏈接進(jìn)入。在網(wǎng)絡(luò)交易前，對交易網(wǎng)站和交易對方的資質(zhì)全面了解。業(yè)務(wù)與工作往來必須使用企業(yè)級郵箱，禁止使用個人有限為電子郵箱設(shè)置高強(qiáng)度密碼，并設(shè)置每次登陸時必須進(jìn)行帳號密碼驗(yàn)證；開啟防病毒軟件實(shí)時監(jiān)控，檢測收發(fā)的電子郵件是否帶有病毒不打開或轉(zhuǎn)發(fā)來歷不明的電子郵件及附件五、電子郵件使用安全演示1——完整攻擊視頻六、移動終端風(fēng)險(xiǎn)——趨勢用戶App下載量劇增，手機(jī)流量的使用持續(xù)快速增長Source:

GartnerSource:工信部Source:

ARM22倍Source:

Apple50倍智能手機(jī)性能提升，移動應(yīng)用體驗(yàn)增強(qiáng)2013-2016年，手機(jī)木馬病毒感染用戶年增長72.3%多種惡意軟件傳播渠道刷流量日賺百萬…支付盜刷2016年上半年新增32萬病毒…惡意勒索黑色收入超千萬…隱私竊取X臥底，聯(lián)系人信息…病毒作者傳播渠道手機(jī)用戶網(wǎng)站/搜索推廣費(fèi)廣告流量分成病毒作者傳播渠道手機(jī)用戶釣魚界面推廣費(fèi)支付賬號密碼病毒作者傳播渠道手機(jī)用戶勒索界面推廣費(fèi)解鎖費(fèi)用病毒作者傳播渠道手機(jī)用戶第三方隱私信息推廣費(fèi)信息費(fèi)用移動終端及APP的使用成為了主要的生活和辦公方式各種各樣的APP都在采集你的信息，泄密通道多、互聯(lián)網(wǎng)傳播快自帶設(shè)備（BYOD）在個人場景和業(yè)務(wù)場景之間切換的情況成為主流電話詐騙之外，移動端的黑色產(chǎn)業(yè)鏈發(fā)展飛速，并形成許多自動化工具，降低攻擊成本保持系統(tǒng)更新六、移動終端風(fēng)險(xiǎn)——注意事項(xiàng)保持關(guān)鍵應(yīng)用更新目前，Android中被發(fā)現(xiàn)逾800個安全缺陷。而iOS的封閉特性，使得研究人員很難發(fā)現(xiàn)它內(nèi)部的“奧秘”，但并不代表絕對安全?！睆S商們發(fā)布新固件往往都是修復(fù)大量Bug和漏洞，應(yīng)用程序也是如此，即便新固件存在新問題，也能夠讓你的手機(jī)暫時更為安全。明確責(zé)任條款——用戶協(xié)議關(guān)注度需得到提升在下載軟件或者注冊網(wǎng)站之前，通常需要同意一些用戶協(xié)議，對這些協(xié)議，僅有22%的用戶會仔細(xì)閱讀其內(nèi)容，覺得合理才注冊或下載。另有26%的用戶表示從來都不關(guān)注這些用戶協(xié)議。用戶協(xié)議往往關(guān)系到個人信息保護(hù)和責(zé)任條款，廣大用戶應(yīng)該提升關(guān)注意識六、移動終端風(fēng)險(xiǎn)——注意事項(xiàng)連接公共WIFI要謹(jǐn)慎——警惕釣魚WIFI72%的用戶會在手機(jī)上使用公共免費(fèi)WIFI，其中，64%的用戶連接公共WIFI進(jìn)行網(wǎng)頁瀏覽，使用社交通訊工具，7.5%的用戶還