资源简介

(共39张PPT)
观看并思考：视频中的Ellie遭受到了什么危机？
Ellie的个人信息遭到泄露，但她通过禁止软件跟踪、加密邮件地址等方式保护了个人的信息安全
信息系统的安全风险防范
信息技术必修二《信息系统与社会》
第五章
信息系统安全风险防范的技术和方法
合理使用信息系统
信息系统应用中的安全风险
信息系统应用中的安全风险
01
1. 人为因素造成的信息安全风险
信息系统可以拥有最好的技术，例如防火墙、入侵检测等，但是如果操作人员没有防范意识、误操作、故意破坏，信息系统仍然可能崩溃。
原因
防范措施
1. 从政府层面加强立法工作。
2. 不断提高关键安全技术水平。
3. 使用者全面提高道德意识与技术防范水平。
身份认证
权限管理
常用防范技术
2. 软硬件因素造成的信息安全风险
软件是信息系统中最难实施安全保护的部分，主要是在软件开发中产生的错误，如软件漏洞、故障、缺陷等。
原因
防范措施
1. 把硬件作为物理资产处理。
2. 严格限制对硬件的访问权限。
3. 保护好信息系统的物理位置及本身的安全。
硬件因素，包括服务器、网络设备、终端等硬件损坏。
3. 网络因素造成的信息安全风险
信息资源在网络环境中共享、传播，一些重要的信息极有可能被网络黑客窃取、篡改，也可能因为攻击行为导致网络崩溃而出现信息丢失，严重时可能波及信息产业正常发展，甚至会造成人类社会的动荡。
公共场所Wi-Fi
需谨慎使用
3. 网络因素造成的信息安全风险
1. 网络系统管理的复杂性：网络与计算机信息系统管理的复杂性造成了工作中稍有不慎或管理策略不得当，都会形成安全漏洞。
2. 网络信息的重要性：大数据时代的海量数据使信息、机密、财富之间产生紧密关联。数据和信息的价值远远超过网络系统各组件本身。通过渗透网络系统窃取机密信息能够获取钱财。
3. 网络系统本身的脆弱性：计算机网络本身的脆弱性是诱发网络信息安全的根本原因。
4. 低风险的诱惑：需要相关技术；隐蔽性较强；高回报低风险。
诱因
4. 数据因素造成的信息安全风险
通过信息系统采集、存储、处理和传输的数据，是具有很高价值的资产，其安全性格外重要。
原因
防范措施
1. 数据加密
2. 分开存储
数据泄露、数据损坏
骚扰电话
个人信息泄露
练一练
1. 下列选项中，非人为因素影响网络安全的是（ ）
A. 非法窃取用户信息 B. 制作和传播网络病毒
C. 强磁场影响 D. 修改服务器用户信息
C
2. 下列选项中，不属于计算机网络安全的是（ ）
A. 网上系统信息的安全 B. 网上信息传播的安全
C. 网上信息内容的安全 D. 网上信息更新的快慢
D
信息系统安全风险防范的技术和方法
02
威胁
攻击
入侵
漏洞
风险
脆弱性
（书P119 表5-3重要信息安全风险术语）
1. 信息系统安全风险的重要用语
信息系统不存在绝对的安全，因为安全性和便利性以及成本之间有着矛盾的关系。
提高安全性，相应地就会降低便利性。
提高安全性，相应地就会增大成本。
易用性越好，安全性就可能会越低。
信息系统安全性、便利性与成本的关系：
2. 信息系统安全模型及安全策略
安全水平与安全成本/损失关系图
P2DR安全模型：
策略（Policy）
防护（Protection）
检测（Detection）
响应（Response）
2. 信息系统安全模型及安全策略
P2DR安全模型：
策略（Policy）
策略是模型的核心，所有的防护、检测和响应都是依据安全策略实施的。
网络安全策略:
（1）访问控制策略 （2）加密通信策略
（3）身份认证策略 （4）备份恢复策略
2. 信息系统安全模型及安全策略
P2DR安全模型：
常用防护技术:
（1）数据加密：明文、密文 （2）身份认证
（3）访问控制 （4）授权和虚拟专用网（VPN）技术
（5）防火墙 （6）安全扫描
（7）数据备份：完全备份、增量备份、差异备份
防护（Protection）
2. 信息系统安全模型及安全策略
镜像技术：把数据从一台计算机上原样复制到另一台计算机上。
刻录技术：将数据用光盘刻录机保存到光盘上。
可懂的文本
不可懂的文本
P2DR安全模型：
采用技术:
是动态响应和加强防护的依据。
检测（Detection）
（1）实时监控
（2）IT审计
IT审计是一个获取并评价证据的过程，主要是判断信息系统是否能够保证资产的安全、数据的完整性、有效率利用组织的资源、有效果地实现组织目标地过程。
2. 信息系统安全模型及安全策略
P2DR安全模型：
主要方法：
检测到安全漏洞时，通过及时的响应措施将网络系统的安全性调整到最低风险。
（1）关闭服务 （2）跟踪
（3）反击 （4）消除影响
响应（Response）
2. 信息系统安全模型及安全策略
信息系统安全策略分析：（书P122 页 表5-4）
2. 信息系统安全模型及安全策略
计算机的安全威胁主要来自于：
（1）非法访问
（2）恶意代码
（3）脆弱口令
面对信息系统安全问题的安全措施包括：
（1）防火墙
（2）防病毒
（3）漏洞扫描
（4）入侵检测
（5）公钥基础设施（PKI）
（6）VPN
主要防范措施是：
及时更新修复计算机漏洞以预防、检测和减小计算机系统（软硬件）用户执行未授权活动所造成的后果。
3. 信息系统安全风险防范的常用技术（重点）
（1）加密技术：
基本原理：
在发送端将数据变换成某种难以理解的形式，把信息隐藏起来，在接收端通过反变换恢复数据的原样。
目的：防止信息被窃取
明文
密文
加密
发信方
密文
明文
解密
收信方
Internet
3. 信息系统安全风险防范的常用技术
信息加密
密码分析
（1）加密技术——“墨子号”量子卫星
利用量子密钥实现加密数据传输与视讯通信
3. 信息系统安全风险防范的常用技术
（2）认证技术：
方法：口令字（即密码）、验证码
目的：
（1）验证信息发送者的身份，以防止有可能冒充发送者身份信息的情况出现。
（2）验证信息的完整性。
3. 信息系统安全风险防范的常用技术
（3）主机系统安全技术：
目的：
用于保护计算机操作系统和运行于其上的信息系统的技术
技术手段：
（1）操作系统安全技术
（2）数据库安全技术
操作系统安全技术发挥作用，系统进行用户账号控制
3. 信息系统安全风险防范的常用技术
（4）网络与系统安全应急响应技术：
① 防火墙技术
② 入侵检测技术
③ 应急响应技术
防火墙技术示意图
3. 信息系统安全风险防范的常用技术
防火墙技术
防火墙技术是位于不可信的外部网络和被保护的内部网络之间(2个网络之间)的一个网络安全设备或由多个硬件设备和相应软件组成的系统。
基本类型：包过滤防火墙、代理网关、包检查型防火墙和混合型防火墙。
3. 信息系统安全风险防范的常用技术
防火墙与预防火灾无关！
（5）恶意代码检测与防范技术：
恶意代码的防治包括预防、机理分析、检测和清除等环节
恶意代码是指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。
3. 信息系统安全风险防范的常用技术
木马病毒：它与一般的病毒不同，它不会自我繁殖，也并不“刻意”去感染其他文件。它通过将自身伪装吸引用户下载执行。
（5）恶意代码检测与防范技术：
计算机病毒：指编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机正常使用并且能够自我复制的一组计算机指令或程序代码。
3. 信息系统安全风险防范的常用技术
传播性
破坏性
隐蔽性
寄生性、触发性
（5）恶意代码检测与防范技术：
计算机病毒的防护：
不要打开可疑的电子邮件附件
注意可疑链接和超链接
不要从盗版或不受信任的网站下载
安装防病毒软件并经常进行扫描
使用防火墙
注意外部存储设备（如 CD、DVD 和 USB）的安全性
备份计算机数据
3. 信息系统安全风险防范的常用技术
（6）人工智能技术在反病毒中的应用：
传统程序设计方法编制的反病毒软件，一般局限于固定模式和参数的计算。检测或者消除，总是滞后于新的计算机病毒的出现。根据计算机病毒的表现手段和方式，采用人工智能方法编制的检测病毒软件，建立防止计算机病毒专家系统，可以在动态过程中不断学习和总结经验，以改进和提高。
专家系统核心：
知识库
推理机
国内已有应用：
瑞星EMS防毒系统
腾讯TPR-AI反病毒引擎
3. 信息系统安全风险防范的常用技术
练一练
1. 在两个网络之间执行访问控制策略、保护网络或计算机安全的软件是（ ）
A. 防病毒软件 B. 防木马软件 C. 防火墙 D. 操作系统
C
2. 一般地，人们把可懂的文本称为明文，把明文变成不可懂的文本后，这样
的文本称为（ ）
A. 密文 B. 编码 C. 数据 D. 文档
A
3. 计算机病毒是一种特殊的、能够自我复制的计算机程序（ ）
√
4. 造成计算机不能正常工作的原因若不是硬件故障，就是计算机病毒（ ）
×
合理使用信息系统
03
（1）信息安全管理
国家计算机应急响应中心数据
造成安全风险事件的原因 所占比例 /%
人为因素 52
自然灾害 25
技术错误 10
内部人员作案 10
外部人员非法攻击 3
信息系统安全管理是指通过维护信息的保密性、完整性、可用性和真实性等来管理和保护信息系统资源的一项体制，也包含对信息系统安全保障进行指导、规范和管理的一系列活动和过程。
属于管理方面原因高达70%
其中95%的安全问题可以通过科学的信息安全管理来避免
1. 树立信息安全意识
（2）知识产权保护及其意义
软件：包括由商业软件开发商开发的程序以及共享软件、专用软件和个人软件。
数据库：可能包括因为具有潜在商业价值而收集并组织的数据。例如天气预测数据库、地震预测数据库、水文情况预测数据以及经济形势预测等数据，都可以受到版权保护。
数字内容：能够用计算机或其他数字设备以某种方式展现出来的，包括音视频文件、课件、网站内容和其他形式的数字作品。
算法：已经获得专利的算法。
1. 树立信息安全意识
（1）信息系统规范操作的必要性
① 人为因素是信息系统安全问题产生的主要原因。
② 规范操作是消除过程因素造成的潜在安全威胁的必要策略
（2）信息系统规范操作及其意义
定义：
信息系统规范操作就是要按照信息系统既定标准、规范的要求进行操作
目的：
加强信息系统的运行管理，提高工作质量和管理有效性，实现计算机系统维护、操作规范化，确保计算机系统安全、可靠运作。
2. 信息系统安全操作规范
网上道德规范
遵守《全国青少年网络文明公约》，法律禁止的事坚决不做，法律提倡的事积极去做，净化网络语言，坚决抵制网络有害信息和低俗之风，健康、合理、科学上网。
(1)未经允许，不进入他人计算机信息网络或者使用他人计算机网络信息资源。
(2)未经允许，不对计算机信息网络功能进行删除、修改或者增加。
(3)未经允许，不对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加。
(4)不故意制作、传播计算机病毒等破坏性程序。
(5)不做危害计算机信息网络安全的其他事。
3. 信息社会的道德准则与法律法规
《中华人民共和国网络安全法》是为保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展而制定的法律。
2016年11月7日，全国人大常委会表决通过了《中华人民共和国网络安全法》。
3. 信息社会的道德准则与法律法规
信息安全法律法规
练一练
1. 如今，微信朋友圈成为不少人最主要的信息传播媒介，如果盲目转发非法
或虚假的信息也是需要承担法律责任的，可能要受到行政处罚，对于扰乱社
会秩序或造成严重后果的，还可能构成（ ）
A. 经济犯罪 B. 刑事犯罪
C. 走私犯罪 D. 民事犯罪
B
练一练
2.《中华人民共和国网络安全法》是为保障网络安全，维护_______和国家安全、
社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健
康发展而制定的法律。由全国人民代表大会常务委员会于2016年11月7日发布，
梓2017年6月1日起施行。横线上应填（ ）
A. 网络空间主权 B. 网络运行安全
C. 网络数据主权 D. 网络信息安全
A
信息系统的安全风险防范
信息系统应用中的安全风险
信息系统的安全风险的技术和方法
合理使用信息系统
人为因素
软硬件因素
网络因素
数据因素
信息系统安全风险术语
信息系统安全模型及安全策略
信息系统安全风险防范的常用技术
P2DR模型
树立安全意识
信息系统安全操作规范
信息社会的道德准则与法律法规
课堂总结
加强信息系统安全意识，提高信息安全风险防范水平，
担当起应有的信息社会责任，做信息社会的一名合格公民！

展开更多......

收起↑