管理信息系统的安全管理.ppt

1、信息系统实体安全 2、信息系统设备及记录媒体安全 3、信息系统安全管理操作 重点内容： 信息系统面临的威胁和攻击；信息系统的脆弱性；信息系统安全管理操作 FBI案件调查 床位 、门诊 、住院病人等多项数据是医院开展医疗服务的重要基础。一旦网络瘫痪或数据丢失，将会给医院和病人带来巨大的灾难和难以弥补的损失。 一、中心机房及网络设备的安全维护 1.环境要求 2.电源管理 3.网络设备 二、服务器的安全维护 三、工作站的安全维护 四、防病毒措施 五、数据库的安全备份 六、网络访问控制的安全措施 七、合理的网络管理制度 1、信息系统安全 信息系统安全指信息系统的硬件、软件、数据受到保护，系统能连续正常运行，不因偶然的或恶意的原因而遭到破坏、更改、显露。 涉及内容包括：计算机硬件、软件、数据、各种接口、计算机网络的通信设备、线路和信道。 2、信息系统面临的威胁和攻击 对实体的威胁和攻击：对计算机机器外部设备与网络的威胁和攻击 对信息的威胁和攻击：信息的泄漏、信息的破坏 计算机犯罪：利用暴力和非暴力行为，故意泄露或破坏信息系统中的机密信息，以及危害系统实体和信息安全的不法行为。 3、信息系统存在安全问题的原因 信息的高密度存储 数据的易访问性 信息的聚集性 通信网络的弱点（地震） 4、影响信息系统安全的因素 自然因素（自然灾害、自然损坏、环境干扰） 人为因素（无意损坏、有意破坏） 1、设备安全 防止设备被盗、被毁、保护电源、防止静电影响、防止电磁信息泄露、防止线路截获等。 2、记录媒体安全 对媒体数据和媒体本身采取安全保护。包括纸介质（记录纸）、磁介质（磁盘、磁带）、半导体介质（ROM、RAM )、光盘等。 对记录媒体进行复制、备份及人为、物理防护。 1、操作系统安全 2、信息系统数据库安全 对数据库的破坏来自以下5个方面： （1）非法用户 （2）非法数据 （3）各种故障 （4）对数据的非法窃取 （5）多用户的并发访问 数据库管理系统（DBMS）核心已采取相应措施对数据库实施保护 （1）利用权限机制 （2）利用完整性约束 （3）提供故障恢复能力 （4）数据加密 （5）提供并发控制机制 （两阶段修改技术） 两阶段修改技术 事务：是在数据库上的一个或多个操作的序列，它必须以原子的方式执行。所有的操作要么都做、要么都不做。 2、信息系统数据库安全 数据库加密：库外加密、库内加密、硬件加密 2、信息系统数据库安全 数据库加密：库外加密、库内加密、硬件加密 1、网络身份验证 在内部局域网受监控的电脑上打开浏览器，输入任意一个网址。浏览器自动弹出身份验证请求 2、报文验证 在两个通信实体间建立通信联系之后，对每个通信实体收到的信息进行验证，以保证收到的信息是真实的。 报文内容验证 报文源验证 报文宿验证 报文时间性的验证 3、数字签名 在网络中实现通信真实性的方法是数字签名。它可以使接收方能够核实发送方对报文的签名，发送方事后不能抵赖对报文的签名；数字签名要有控制手段，使接收方不能伪造对报文的签名。 主要功能：保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖发生。 3、数字签名 A和B进行通信，当A要向B发送报文X时，A用其私秘密钥SKA对X进行签名： Y=ESKA（X） A将Y传于B， B用A的公开密钥对Y进行解密运算，从Y中恢复出X： X=DPKA（Y）=DPKA（ ESKA（X）) 只有A拥有私秘密钥SKA，所以除A之外无人可产生密文ESKA（X） 即，A对报文签名，B也不能对收到的报文伪造，若伪造成X/， 则B无法在公证人面前出示ESKA（X/），因为只有A知道自己的私秘密钥 为Netscape所研发，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听 SSL协议提供的服务主要有：1）认证用户和服务器，确保数据发送到正确的客户机和服务器；2）加密数据以防止数据中途被窃取；3）维护数据的完整性，确保数据在传输过程中不被改变。  用户认证阶段：在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。 SET协议 （1）消费者通过因特网选定所要购买的物品下订单