信息系统导论 MIS-102_安全和道德.ppt

网络钓鱼: 因特网用户的一个新的高代价活动 网址双胞胎大集合 快速的键盘弹指神功固然是修练成正果的证明之一，但是因为拼错字或按错键盘，导致网络钓鱼者得逞的案例已经发生很多起了 以下是几个真实案例 ： 伪装目标 真实网址 模仿网址 批注 汇丰银行   假网址多了HK 游戏橘子 假网址多了一个 N 中国工商银行 小写字母I 与 L 之差   COM改成 ORG PayP 英文字母L 被改成1 　 G 键盘K 在 L旁边， 容易同时误按两键 白宫 W W GOV 被改成 COM 问题: 在线金融服务大量易受攻击的用户，容易建立假网站 方案: 部署反钓鱼软件和服务，多层认证系统，识别威胁和减少钓鱼企图 部署新工具，技术和安全过程，培训消费者，提高可靠性和消费者信心 结合网络犯罪说明IT的作用  信息系统控制类型 通用控制（general control)是指对系统的设计、安全、使用程序以及整个公司数据安全的控制。 软件控制—监控系统软件用于防止对系统程序、系统软件和应用程序的未经授权的访问。 硬件控制—用来确保计算机硬件安全及检查设备是否有故障。 计算机操作控制—规范部门的工作，确保对数据存储和处理的一致性与正确性。 数据安全控制—保证所存储的数据文件不会被未经授权存取、破坏和改变。 系统应用过程控制—针对系统开发过程的不同阶段进行审计，确保开发过程得到适当的控制和管理． 管理控制是指用来确保组织的通用控制和应用控制，可以正确执行的一些正式标准、规则、程序和控制原则． 信息系统控制类型 应用控制(application control）则针对特定的计算机应用程序，如工资程序、订单处理程序等，进行特别的控制。应用控制包括自动程序和手工程序，确保只有经过授权的数据才能被应用程序完整和正确处理。 输入控制—检查数据输入系统时的正确性和完整性，可以分为数据输入的授权、数据转换、数据编辑和错误控制。 处理控制—确保数据在更新过程中的完整性和正确性。 输出控制—确保计算机处理结果的正确性和完整性，并恰当地传输处理结果。 Case:供应链信息共享的道德问题 讨论： 情形A中价格提高合法吗？是否是道德的？这样做聪明吗？为什么和为什么不？声称运输成本引起价格提高是否道德？这样做的远期后果是什么？ 在情形B，你通过查询和分析数据来估计竞争对手的库存水平，是否合法？是否道德？你是否推荐这种分析方法？ 在情形C中，你有责任去告知信息系统存在的漏洞吗？如果你不告知这个问题，会产生什么后果？对于你从这个系统错误中受益是否非法和不道德? 在情形D中，你有责任去告知信息系统存在的漏洞吗？如果你不告知这个情况，会产生什么后果？对于你从这个系统错误中受益是否非法和不道德?在情形C和D中，你的所作所为是否存在不同？为什么和为什么不？ 在供应链中，可能其它的组织能够查询你的数据，你也可以查询他们的数据。你认为需要采取哪些步骤来确保你的系统不被误用，同时没有错误和安全漏洞？ How do you help prevent some of the problems we’ve discussed? One of the best ways is to institute controls into your information system the same way you might in any other system; through methods, policies, and procedures. Think about what a typical company does when it builds a new office building. From the beginning of the design phase until the building is occupied, the company decides how the physical security of the building and its occupants will be handled. It builds locks into the doors, maybe even desig