2023年保护信息安全的措施新编.docx

保护信息平安的措施 >>>点击更多精彩网络平安防护措施保护信息平安的措施一、网站运行平安保障措施 1、网站效劳器和其他计算机之间设置经公安部认证的防火墙，并与专业网络平安公司合作，做好平安策略，拒绝外来的恶意攻击，保障网站正常运行。 2、在网站的效劳器及工作站上均安装了正版的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息对网站系统的干扰和破坏。 3、做好生产日志的留存。网站具有保存60天以上的系统运行日志和用户使用日志记录功能，内容包括ip地址及使用情况，主页维护者、邮箱使用者和对应的ip地址情况等。 4、交互式栏目具备有ip地址、身份登记和识别确认功能，对没有合法手续和不具备条件的电子公告效劳立即关闭。 5、网站信息效劳系统建立双机热备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，保证备用系统能及时替换主系统提供效劳。 6、关闭网站系统中暂不使用的效劳功能，及相关端口，并及时用补丁修复系统漏洞，定期查杀病毒。 7、效劳器平时处于锁定状态，并保管好密码;后台管理界面设置超级用户名及密码，并绑定ip，以防他人登入。 8、网站提供集中式权限管理，针对不同的应用系统、终端、操作人员，由网站系统管理员设置共享数据库信息的访问权限，并设置相应的密码及口令。不同的操作人员设定不同的用户名，且定期更换，严禁操作人员泄漏自己的口令。对操作人员的权限严格按照岗位职责设定，并由网站系统管理员定期检查操作人员权限。 9、公司机房按照电信机房标准建设，内有必备的独立ups不间断电源、高灵敏度的烟雾探测系统和消防系统，定期进行电力、防火、防潮、防磁和防鼠检查。 二、信息平安保密管理制度 1、我公司建立了健全的信息平安保密管理制度，实现信息平安保密责任制，切实负起确保网络与信息平安保密的责任。严格按照谁主管、谁负责、谁主办、谁负责的原那么，落实责任制，明确责任人和职责，细化工作措施和流程，建立完善管理制度和实施方法，确保使用网络和提供信息效劳的平安。 2、网站信息内容更新全部由网站工作人员完成，工作人员素质高、专业水平好，有强烈的责任心和责任感。网站所有信息发布之前都经分管领导审核批准。工作人员采集信息将严格遵守国家的有关法律、法规和相关规定。严禁通过我公司网站及短信平台散布互联网信息管理方法等相关法律法规明令禁止的信息（即九不准），一经发现，立即删除。 3、遵守对网站效劳信息监视，保存、去除和备份的制度。开展对网络有害信息的清理整治工作，对违法犯罪案件，报告并协助公安机关查处。 4、所有信息都及时做备份。按照国家有关规定，网站将保存60天内系统运行日志和用户使用日志记录，短信效劳系统将保存5个月以内的系统及用户收发短信记录。 5、制定并遵守平安教育和培训制度。加大宣传教育力度，增强用户网络平安意识，自觉遵守互联网管理有关法律、法规，不泄密、不制作和传播有害信息，不链接有害信息或网页。 三、用户信息平安管理制度 1、我公司郑重承诺尊重并保护用户的个人隐私，除了在与用户签署的隐私政策和网站效劳条款以及其他公布的准那么规定的情况下，未经用户授权我公司不会随意公布与用户个人身份有关的资料，除非有法律或程序要求。 2、所有用户信息将得到本公司网站系统的平安保存，并在和用户签署的协议规定时间内保证不会丧失; 3、严格遵守网站用户帐号使用登记和操作权限管理制度，对用户信息专人管理，严格保密，未经允许不得向他人泄露。 信息平安简介信息平安主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的平安性。信息平安本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息平安体系是保证信息平安的关键，包括计算机平安操作系统、各种平安协议、平安机制（数字签名、消息认证、数据加密等），直至平安系统，如uninac、dlp等，只要存在平安漏洞便可以威胁全局平安。信息平安是指信息系统（包括硬件、软件、数据、人、物理环境及其根底设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息效劳不中断，最终实现业务连续性。 信息平安学科可分为狭义平安与广义平安两个层次，狭义的平安是建立在以密码论为根底的计算机平安领域，早期中国信息平安专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容;广义的信息平安是一门综合性学科，从传统的计算机平安到信息平安，不但是名称的变更也是对平安开展的延伸，平安不在是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。 信息平安产品 2023年信息平安产业将步入高速开展阶段，而整个互联网用户对平安产品的要求也转入主动性平安防御。随着用户平安防范意识正在增强，主动性平安产品将更受关注，主动的平安防御将成为未来平安应用的主流。 终端方案 终端平安解决方案是以终端平安保护系统全方位综合保障终端平安，并以数据平安保护系统重点保护终端敏感数据的平安。终端平安保护系统以主动防御理念为根底，采用自主知识产权的基于标识的认证技术，以智能控制和平安执行双重体系结构为根底，将全面平安策略与操作系统有机结合，通过对代码、端口、网络连接、移动存储设备接入、数据文件加密、行为审计分级控制，实现操作系统加固及信息系统的自主、可控、可管理，保障终端系统及数据的平安。 平安软件 数据平安保护系统能够实现数据文档的透明加解密保护，可指定类型文件加密、指定程序创立文件加密，杜绝文档泄密。实现数据文档的强制访问控制和统一管理控制、敏感文件及加密密钥的冗余存储藏份，包括文件权限管理、用户管理、共享管理、外发管理、备份管理、审计管理等。对政府及企业的各种敏感数据文档，包括设计文档、设计图纸、源代码、营销方案、财务报表及其他各种涉及企业商业秘密的文档，都能实现稳妥有效的保护。信息平安影响因素 信息平安与技术的关系可以追溯到远古。埃及人在石碑上镌刻了令人费解的象形文字;斯巴达人使用一种称为密码棒的工具传达军事方案，罗马时代的凯撒大帝是加密函的古代将领之一，凯撒密码据传是古罗马凯撒大帝用来保护重要军情的加密系统。它是一种替代密码，通过将字母按顺序推后3位起到加密作用，如将字母a换作字母d，将字母b换作字母e。英国计算机科学之父阿兰图灵在英国布莱切利庄园帮助破解了德国海军的enigma密电码，改变了二次世界大战的进程。美国nist将信息平安控制分为3类。 （1）技术，包括产品和过程（例如防火墙、防病毒软件、侵入检测、加密技术）。 （2）操作，主要包括加强机制和方法、纠正运行缺陷、各种威胁造成的运行缺陷、物理进入控制、备份能力、免予环境威胁的保护。 （3）管理，包括使用政策、员工培训、业务规划、基于信息平安的非技术领域。信息系统平安涉及政策法规、教育、管理标准、技术等方面，任何单一层次的平安措施都不能提供全方位的平安，平安问题应从系统工程的角度来考虑。图8-1给出了nstissc平安模型。 平安威胁 （1）信息泄露。信息被泄露或透露给某个非授权的实体。 （2）破坏信息的完整性。数据被非授权地进行增删、修改或破坏而受到损失。 （3）拒绝效劳。对信息或其他资源的合法访问被无条件地阻止。 （4）非法使用（非授权访问）。某一资源被某个非授权的人，或以非授权的方式使用。 （5）窃听。用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号搭线监听，或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。 （6）业务流分析。通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。 （7）假冒。通过欺骗通信系统（或用户）到达非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。 （8）旁路控制。攻击者利用系统的平安缺陷或平安性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是却又暴露出来的一些系统特性，利用这些特性，攻击者可以绕过防线守卫者侵入系统的内部。 （9）授权侵犯。被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作内部攻击。 （2023）特洛伊木马。软件中含有一个觉察不出的有害的程序段，当它被执行时，会破坏用户的平安。这种应用程序称为特洛伊木马（trojanhorse）。 （11）陷阱门。在某个系统或某个部件中设置的机关，使得在特定的数据输入时，允许违反平安策略。 （12）抵赖：这是一种来自用户的攻击，比方：否认自己曾经发布过的某条消息、伪造一份对方来信等。 （13）重放。出于非法目的，将所截获的某次合法的通信数据进行拷贝，而重新发送。 （14）计算机病毒。一种在计算机系统运行过程中能够实现传染和侵害功能的程序。 （15）人员不慎。一个授权的人为了某种利益，或由于粗心，将信息泄露给一个非授权的人。 （16）媒体废弃。信息被从废弃的磁碟或打印过的存储介质中获得。 （17）物理侵入。侵入者绕过物理控制而获得对系统的访问。 （18）窃取。重要的平安物品，如令牌或身份卡被盗。 （19）业务欺骗。某一伪系统或系统部件欺骗合法的用户或系统自愿地放弃敏感信息等等。 信息平安的重要性信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类具有特别重要的意义。信息平安的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的平安性。根据国际标准化组织的定义，信息平安性的含义主要是指信息的完整性、可用性、保密性和可靠性。信息平安是任何国家、政府、部门、行业都必须十分重视的问题，是一个不容无视的国家平安战略。但是，对于不同的部门和行业来说，其对信息平安的要求和重点却是有区别的。 中国的改革开放带来了各方面信息量的急剧增加，并要求大容量、高效率地传输这些信息。为了适应这一形势，通信技术发生了前所未有的爆炸性开展。除有线通信外，短波、超短波、微波、卫星等无线电通信也正在越来越广泛地应用。与此同时，国外敌对势力为了窃取中国的政治、军事、经济、科学技术等方面的秘密信息，运用侦察台、侦察船、侦察机、卫星等手段，形成固定与移动、远距离与近距离、空中与地面相结合的立体侦察网，截取中国通信传输中的信息。 从文献中了解一个社会的内幕，早已是司空见惯的事情。在20世纪后50年中，从社会所属计算机中了解一个社会的内幕，正变得越来越容易。不管是机构还是个人，正把日益繁多的事情托付给计算机来完成，敏感信息正经过脆弱的通信线路在计算机系统之间传送，专用信息在计算机内存储或在计算机之间传送，电子银行业务使财务账目可通过通信线路查阅，执法部门从计算机中了解罪犯的前科，医生们用计算机管理病历，最重要的问题是不能在对非法（非授权）获取（访问）不加防范的条件下传输信息。 传输信息的方式很多，有局域计算机网、互联网和分布式数据库，有蜂窝式无线、分组交换式无线、卫星电视会议、电子邮件及其它各种传输技术。信息在存储、处理和交换过程中，都存在泄密或被截收、窃听、窜改和伪造的可能性。不难看出，单一的保密措施已很难保证通信和信息的平安，必须综合应用各种保密措施，即通过技术的、管理