信息安全管理与法律法规-复习下要点.ppt

* * * * * * * 安全区域只限于授权者知晓； 安全区域的工作有监控；无人时安全区域应封锁并经常检查； 安全区域不能未经允许携带可记录设备：手机、照相机、摄像机、录音笔等 * * * * * 移动代码，从一台计算机传到另一台计算机，用户干预少的自动执行代码，如中间件服务。 应限制过多使用移动代码，以避免系统、网络或应用资源的未授权使用或破坏，以及其他信息安全违规。 * * * * * * * * * * * * * * * * * * * * * * * * 减少安全事件发生的可能性和后果 降低价值（备份） 将前几张ppt对应的内容写在黑板上，进行风险分析 * Cpu、操作系统、网络设备等很多都没有自主知识产权 斯诺登事件说明信息安全形势很严峻，通信可能被美国监控 火焰、震网病毒说明国家间利用计算机网络的对抗防不胜防，渗入到工业控制系统 * 信息可有多种载体，竹简、纸、电磁、光等等 信息安全—简单地说就是使信息的使用和处理符合预期。具体地说就是CIA及更多的安全属性，基本是数据本身安全层面的，还有一个是内容安全，是基于对数据的处理和理解。这是对信息及信息系统正常运行的一种安全要求，不同的信息系统的安全属性要求是不同的。 信息系统安全—软硬件设施的物理安全、运行安全，可靠性、可生存性、容错、故障恢复、稳健性、强壮性 信息技术引发的安全问题——包括信息系统安全和内容安全（涉及国家安全、国防安全、政治经济文化各方面的安全、社会稳定、个人隐私安全等等），正因为其他安全问题的存在，使得信息安全问题变得非常重要。 通过这门课程的学习，我们就会知道信息安全涉及问题的普遍性，知道从哪些方面、哪些层次和哪些手段来管理信息安全。 从法律、法规、标准、制度等规范网络行为，兴利除弊。 不同层面的行为有相应的规范方法。国家层面是法律，社会层面是道德，组织层面是规章制度、规则。以调整不同主体之间的关系。 * 上面的规定； 社会约束； 信息安全的一般规则； 组织特殊的安全需求。 * 政策：政策是一定阶级、政党、国家以及其他社会主体，为达到一定的目的，结合当前情况或历史条件所制定的实际行动准则。通常经由通知、决定、会议文件、会议精神等发布。 * * 犯罪动机与侵入信息系统类似：炫耀、报复、讹诈、图财和不正当竞争等。 信息采集、加工、存储、传输、检索等是计算机信息系统的功能。 破坏分为逻辑破坏和物理破坏，一般是指逻辑破坏，物理破坏有破坏公用电信设施罪和故意毁坏财产罪 1997年，北京江民新技术公司在其产品“kv300L++”杀毒盘中加入“逻辑炸弹”，只要是通过破解手段使用该软件的，将会出现硬盘被锁，数据丢失，计算机不能从软盘或者硬盘引导，有物理损坏的现象。 行为：逻辑炸弹、D.o.S攻击、入侵后改动系统或远程控制等 必须造成严重后果才构成犯罪 利用计算机犯罪后为毁灭罪证而破坏计算机功能，数罪并罚 * 多种行为同时出现时，侵入、盗取数据、毁坏功能，数罪并罚？-以重者处置 * 犯罪手法：将病毒隐匿在邮件、网页、下载工具、图片、音乐、视频中，一旦打开、下载、点击、运行就中毒。 * 按相应犯罪而不以计算机这种形式不同而划分 除了刑法明文规定的这三种计算机网络犯罪以外，还存在着很多其他类型的以计算机网络为工具而进行的传统犯罪行为，例如：网上诈骗犯罪、未授权盗窃、滥用计算机系统、利用网络电子布告板免费发送软件———非法复制软件，利用网络发表反政府言论、恐怖言论和从事颠覆破坏活动，利用网络传播内容淫秽的视听资料的;利用网络传授犯罪方法等等。 * 商业秘密与国家秘密不同，普密和商密 * 商业秘密不属国家秘密，管理由单位自行负责，只有商用秘密违法使用的法律方面的规定，而其中可能使用到的密码产品属于国家秘密，故有商用密码管理条例。商用=民用？ * 为什么实行等级保护？轻重（价值）缓急（紧迫性） 可针对分类、分级的原因提问； 分类是因为同类信息系统面临类似的风险，有参照性。如同举一反三，解决问题 而分级，正如一个玻璃球不应该用翡翠盒装，否则就要买椟还珠了；同样，一颗钻石不会用纸盒保存。衣服等不会用保险柜放。安全需要成本、安全影响性能 一般信息系统，比如，我们使用的PC机，加个防盗门就行了；重要信息系统需要更强的防盗措施，如红外线报警装置等，更重要的信息系统还需要门卫值勤； * 对该管理办法进行阐述 1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。2003年中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信