精华内容
下载资源
问答
  • 如何做好信息安全工作
    千次阅读
    2020-11-20 09:42:08

    随着互联网的发展,信息安全、数据泄露事件也频发不断,很多企业在享受着互联网带来的便利和机遇的同时,也承担着同样的高风险,企业在遭受着数据外泄带来的形象及实际利益带来的重大损害。

    如何在大数据环境下做好信息安全防护措施?避免数据泄露!

    由于大数据时代的数据财富化导致了大量的信息泄露事件,而这些泄露事件中,来自于内部威胁更大。虽然终端的数据安全已经具备了成熟的本地安全防护系统,从数据结构化和网络层端点都具备了很好的防护。但还是要在内部工作系统中加入对内部管理的监控、限制手段。

    信息安全专家将计算机信息安全归纳为以下六个问题:

    1)如何防止违规进入用户终端窃取信息?
    2)如何方式内部人员有意或无意拷走重要信息?
    3)如何防止因存储介质丢失或被盗取造成信息泄露?
    4)如何控制内部人员利用互联网工具发送信息?
    5)如何确保内部信息的相互传输安全?
    6)如何实时掌握信息流向以及整个用户终端的网络配置参数变化?

    以聚合盾数据安全堡防护系统为例,通过信息存储设备管理、传输管理途径、信息使用管理三个方面对重要信息进行防护。不仅如此系统生成审计日志,对数据流向监控到位,对数据的拷贝、违规操作等进行记录,生成日志做到数据流向可查。

    端口控制:对计算机所有外设端口进行控制、方式信息通过端口外泄。
    对U盘设置加密,禁止U盘插入、U盘只读等模式,确保输出数据安全,杜绝计算机数据被违规拷贝。

    文档加密:对计算机内所有数据自动加密,未经授权无法打开或传出单位办公网络,一旦被强行打开或外传,自动销毁文件核心数据,最大限度保障核心信息资产安全。

    磁盘文件管理:通过远程访问计算机的方式,来管理计算机磁盘文件,并对文件进行查看、删除、复制、粘贴等操作。

    上网行为管理:通过对计算机进行监管:监控员工桌面,实时管控电脑一举一动,并对其上网、邮件等操作进行管控,预防泄密行为的发生。

    文件外发管控:
    人员可以通过邮件、QQ、微信、网盘、FTP等方式来外发文件,所以,要屏蔽通过网络外发文件,可以考虑如下几个方案:
    a). 网站白名单,只允许访问工作需要的网站,其他一律禁止掉。这是最严格的限制方式。
    b). 采用应用过滤,禁止掉所有的文件传输、网盘、邮件等,这个方案相对有效。
    c). 文件外发权限设置,对员工外发文件进行审核,上级领导确定允许公开的业务文件才可以解密外发。

    大数据环境下,企业需要认真做好信息安全防护措施,聚合盾数据安全堡帮助企业全面管控终端电脑:上网行为管理,电脑安全监控、电脑操作审计、员工效率管理、远程操作维护,提高企业办公效率,节省资源管理时间,预防泄密行为发生。

    更多相关内容
  • 做好新型信息技术发展应用的信息安全等级保护工作
  • 如何做好网络信息化时代信息安全保密工作
  • 如何做好信息时代企业档案的安全工作.pdf
  • 做好新型信息技术发展应用的信息安全等级保护工作
  • 如何做好信息时代的档案安全管理工作.pdf
  • 什么是信息安全,怎么保障信息安全

    千次阅读 多人点赞 2019-05-18 11:45:10
    1.信息安全简介 勒索病毒----2013年9月CryptoLocker “永恒之蓝”:主要是利用Windows系统的共享漏洞:445端口等。 “永恒之蓝”传播的勒索病毒以ONION和WNCRY两个家族为主,受 害机器的磁盘文件会被篡改为相应...

    1.信息安全简介

    勒索病毒----2013年9月CryptoLocker

    “永恒之蓝”:主要是利用Windows系统的共享漏洞:445端口等。
    “永恒之蓝”传播的勒索病毒以ONION和WNCRY两个家族为主,受 害机器的磁盘文件会被篡改为相应的后缀,图片、文档、视频、压缩 包等各类资料都无法正常打开,只有支付赎金才能解密恢复。

    挖矿

    2018年WannerMine挖矿,导致很多主机存在蓝屏和卡顿现象

    信息安全:防止任何对数 据进行未授权访问的措施 ,或者防止造成信息有意 无意泄漏、破坏、丢失等 问题的发生,让数据处于 远离危险、免于威胁的状 态或特性。
    网络安全:计算机网络环 境下的信息安全。
    在这里插入图片描述

    2.信息安全的脆弱性及常见的安全攻击

    2.1 网络环境的开放性

    网络环境的一大特点 开放性 对于每个人之间互相连接

    2.2 协议栈本身的脆弱性

    1.缺乏数据源验证机制
    2.缺乏完整性验证
    3.缺乏机密性保障机制

    常见的安全风险
    在这里插入图片描述

    2.2.1 网络的基本攻击模式

    被动威胁:
    截获
    1.嗅探(sniffing)
    2.监听(eavesdropping) •
    主动威胁:
    篡改
    数据包篡改(tampering)
    中断
    拒绝服务(dosing)
    伪造
    欺骗(spoofing)

    (1)物理层

    物理设备破坏
    指攻击者直接破坏网络的各种物理设施,比如服务器设施,或者 网络的传输通信设施等
    设备破坏攻击的目的主要是为了中断网络服务
    物理设备窃听
    光纤监听
    红外监听

    (2)链路层—ARP欺骗
    当A与B需要通讯时: 
    ➢ A发送ARP Request询问B的MAC地址 
    ➢ Hacker冒充B持续发送ARP Reply给A(此时,A会以为接收到的 MAC地址是B的,但是实际上是Hacker的) 
    ➢ 之后A发送给B的正常数据包都会发给Hacker
    
    (3)网络层—ICMP攻击

    在这里插入图片描述

    (4)传输层—TCP SYN Flood攻击

    SYN报文是TCP连接的第一个报文,攻击者通过大量发送SYN 报文,造成大量未完全建立的TCP连接,占用被攻击者的资源

    (5)应用层

    缓冲区溢出攻击
    攻击软件系统的行为中,最常见的 一种方法
    可以从本地实施,也可以从远端实 施
    利用软件系统(操作系统,网络服 务,应用程序)实现中对内存操作 的缺陷,以高操作权限运行攻击代 码
    漏洞与操作系统和体系结构相关, 需要攻击者有较高的知识/技巧

    —web攻击
    常见的WEB攻击

    1. 对客户端
      含有恶意代码的网页,利用浏览器的漏洞,威胁本地系统
    2. 对Web服务器
      利用Apache/IIS…的漏洞 利用CGI实现语言(PHP/ASP/Perl…)和实现流程的漏洞 XSS/SQL/CSRF/上传漏洞/解析漏洞…
    3. 通过Web服务器,入侵数据库,进行横向渗透

    2.3 操作系统的自身漏洞

    人为原因
    在程序编写过程中,为实现不可告人的目的,在程序代码的隐藏 处保留后门。

    ** 客观原因**
    受编程人员的能力,经验和当时安全技术所限,在程序中难免会 有不足之处,轻则影响程序效率,重则导致非授权用户的权限提 升。

    硬件原因
    由于硬件原因,使编程人员无法弥补硬件的漏洞,从而使硬件的 问题通过软件表现。

    2.4 人为因素

    操作失误
    • 恶意的行为
    ➢ 出于政治的、经济的、商业的、或者个人的目的
    ➢ 病毒及破坏性程序、网络黑客
    ➢ 在Internet上大量公开的攻击手段和攻击程序

    3.信息安全的要素

    信息安全的五要素
    • 保密性—confidentiality 
    • 完整性—integrity 
    • 可用性—availability 
    • 可控性—controllability
    • 不可否认性—Non-repudiation
    

    3.1保密性

    保密性:确保信息不暴露给未授权的实体或进程。 • 目的:即使信息被窃听或者截取,攻击者也无法知晓信息的真 实内容。可以对抗网络攻击中的被动攻击。
    举例说明:通过加密技术保障信息的保密性
    在这里插入图片描述

    3.2完整性

    只有得到允许的人才能修改实体或进程,并且能够判别出实体 或进程是否已被修改。完整性鉴别机制,保证只有得到允许的 人才能修改数据 。可以防篡改。
    在这里插入图片描述

    3.3可用性

    得到授权的实体可获得服务,攻击者不能占用所有的资源而阻 碍授权者的工作。用访问控制机制,阻止非授权用户进入网络 。使静态信息可见,动态信息可操作,防止业务突然中断。
    在这里插入图片描述

    3.4可控性

    可控性主要指对危害国家信息(包括利用加密的非法通信活动 )的监视审计。控制授权范围内的信息流向及行为方式。使用 授权机制,控制信息传播范围、内容,必要时能恢复密钥,实 现对网络资源及信息的可控性
    在这里插入图片描述

    3.5不可否认性

    不可否认性:对出现的安全问题提供调查的依据和手段。使用 审计、监控、防抵赖等安全机制,使得攻击者、破坏者、抵赖 者“逃不脱",并进一步对网络出现的安全问题提供调查依据和 手段,实现信息安全的可审查性
    在这里插入图片描述

    4.网络安全法解读

    网络安全法的六大亮点
    在这里插入图片描述

    4.1要求

    (1)网络运营者

    遵守法律、行政法 规,履行网络安全 保护义务
    接受政府和社会的监 督,承担社会责任
    保障网络安全、稳定 运行、维护网络数据 的完整性、保密性、 可用性
    及时处置系统漏洞、计算机病毒 、网络攻击、网络侵入等安全风 险
    不得泄露、篡改、毁损其收集的 个人信息,并确保安全;履行等 保制度
    应急预案、主动向主管部门报告

    (2)关键基础信息设施保护

    安全建设要求
    业务运行稳定可靠,安全技术措施同步规划、 同步建设、同步使用

    安全保护
    明确责任人;安全教育、培训、考核;容 灾备份;应急预案、定期演练

    安全审查
    采购网络产品和服务,应当通过国家安全审查

    保密要求
    签订安全保密协议

    境内存储
    个人信息和重要数据应当在境内存储

    检测评估
    每年至少进行一次检测评估,报送检测评估情况和改进措施

    (3)检测、预警、处置
    在这里插入图片描述
    (4)个人信息保护
    在这里插入图片描述
    (5)面向网络产品和服务提供者

    网络产品和服务提供者即网络产品厂商比如思科、华为、深信服等。
    ◼ 可要求网络产品和服务
    • 符合相关国家标准的强制性要求
    • 不得设置恶性程序,及时告知安全缺陷、漏洞等风险
    • 持续提供安全维护服务,不得自行终止
    ◼ 要求网络关键设备和网络安全专用设备
    • 应当按照相关国家标准的强制性要求,由具备资格的机构安 全认证合规或者安全检测符合要求后,方可销售或者提供

    5.信息安全的整体解决方案

    深信服安全解决方案:
    在这里插入图片描述

    在这里插入图片描述
    在这里插入图片描述

    展开全文
  • 信息时代做好企业档案安全管理工作的思考.pdf
  • 北京:进一步做好首都网络安全信息工作.pdf
  • 如何做好电子信息系统机房的安全防护工作.pdf
  • 浅谈如何做好网络信息化条件下的安全保密工作
  • 做好新形势下的网络安全保障工作 信息安全 安全方案与集成 安全开发 网络信息安全 开发安全
  • 沈昌祥-做好工业控制系统的信息安全等级保护工作
  • 本节书摘来自华章出版社《信息安全保障》一书中的...为构建信息安全保障体系,我国已经在信息安全标准化、应急处理与信息通报、等级保护、风险评估和人才队伍建设等方面展开工作,并取得了一些成果。 2.2.1 信息安...

    本节书摘来自华章出版社《信息安全保障》一书中的第2章,第2.2节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看

    2.2 我国信息安全保障工作主要内容

    为构建信息安全保障体系,我国已经在信息安全标准化、应急处理与信息通报、等级保护、风险评估和人才队伍建设等方面展开工作,并取得了一些成果。

    2.2.1 信息安全标准化

    信息安全标准为信息安全保障各项工作提供规范,为保障工作的各参与方提供交流和评判的基准,因此,信息安全标准化是国家构建信息安全保障体系的重要基础环节。
    1.?意义
    信息安全标准化工作是我国信息安全保障工作的重要组成部分之一,也是政府进行宏观管理的重要依据,同时也是保护国家利益、促进产业发展的重要手段之一。虽然国际上有很多标准化组织研究制定了多个信息安全标准,但是由于信息安全标准事关国家安全利益,因此不能过分依赖于国际标准,而是要在充分借鉴国际标准的前提下,通过本国组织和专家制定出符合本国国情并可以信任的信息安全技术和管理等领域的标准,切实有效地保护国家利益和安全。
    信息安全标准是解决信息安全产品和系统在设计、研发、生产、建设、使用和测评中的一致性、可靠性、可控性、先进性和符合性的技术规范与依据。信息安全保障体系的建设是一个极其庞大的复杂系统,没有配套的安全标准,就不能构造出一个可用、实用的信息安全保障体系。信息安全标准化建设作为我国信息安全保障体系的重要组成部分,具有极其重要的意义。
    信息安全标准化工作是解决信息安全问题的重要技术支撑,其作用突出地体现在能够确保有关产品、设施的技术先进性、可靠性和一致性。在按国际规则实行IT产品市场准入时能够为相关产品的安全性合格评定提供依据,以强化和保证我国信息化的安全产品、工程、服务的技术自主可控。
    2.?实践历程
    目前,国务院授权在国家质量监督检验检疫总局管理下,由国家标准化管理委员会统一管理全国标准化工作,下设有529个专业技术委员会。中国标准化工作实行统一管理与分工负责相结合的管理体制,由88个国务院有关行政主管部门和国务院授权的有关行业协会分工管理本部门、本行业的标准化工作,由31个省、自治区、直辖市政府有关行政主管部门分工管理本行政区域内本部门、本行业的标准化工作。
    1984年7月,在我国的全国计算机与信息处理标准化技术委员会下,建立了相应的数据加密分技术委员会,在国家技术监督局和原电子工业部的领导下,归口管理国内外的信息技术数据加密的标准化工作。1997年8月,随着信息技术的发展和工作范围的扩大,在原数据加密分委员会的基础上,改组成立了信息技术安全分技术委员会(与国际ISO/IEC JTC1/SC27信息技术的安全技术分委会对应)。它是一个具有广泛代表性、权威性和军民结合的信息安全标准化组织,其工作范围是负责信息和通信安全的通用框架、方法、技术和机制的标准化,归口国内外对应的标准化工作。2002年4月,经国家标准化管理委员会批准,全国信息安全标准化技术委员会(简称“信安标委”,委员会编号为TC260)正式成立。
    信安标委成立后,逐步形成“基础性研究——标准预研——标准制定”3个阶段波浪式的标准研制新模式,以工作组为主体开展信息安全标准的研究制定工作。工作组由国内信息安全技术领域的有关部门、研究机构、企事业单位及高等院校等代表组成,是标准研制的技术力量。目前正式成立了信息安全标准体系与协调工作组(WG1)、涉密信息系统安全保密工作组(WG2)、密码工作组(WG3)、鉴别与授权工作组(WG4)、信息安全评估工作组(WG5)、通信安全工作组(WG6)和信息安全管理工作组(WG7)7个工作组。
    信安标委制定形成了我国信息安全标准体系框架,并以该标准体系框架作为指导我国信息安全标准制订工作的指导性技术文件,围绕信息安全保障体系建设,积极开展了配套标准的研究制定工作。
    除全国信息安全标准化委员会、公安部信息系统安全标准化技术委员会、中国通信标准化协会网络与信息安全技术工作委员会3个专业性信息安全标准化组织外,我国其他有关主管部门和地方政府也发布了部分信息安全行业标准或地方标准。

    2.2.2 信息安全应急处理与信息通报

    发生信息安全事件可能造成严重损失和恶劣社会影响,我国非常重视信息安全事件管理。应急处理与信息通报是信息安全事件管理的重要内容。加强信息安全应急处理与信息通报是信息安全保障实践活动的重要内容,能够提高安全事件的整体应对能力。
    1.?意义
    国家信息基础设施安全应急保障工作是国家信息安全保障体系建设的重要组成部分。建立健全应急处理与信息通报机制依赖于建设和完善信息安全监控体系,提高网络安全事件应对和防范能力,防止有害信息传播。因此,高度重视信息安全应急处置工作,健全信息安全应急指挥和安全通报制度,不断完善信息安全应急处置预案,具有十分重要的意义。
    1)信息安全应急处理与信息通报工作是国家信息安全保障工作的基本制度和重要措施。
    建立国家网络与信息安全通报机制,有利于各部门、各领域实现信息交流与共享,综合分析安全威胁和安全状况,做好信息安全预警和防范工作,提升对信息安全事件的快速反应和整体应对能力,保证应对措施的及时性和有效性;有利于国家调动和整合各领域的有利资源,迅速、全面掌握整体情况,及时做出决策部署;有利于全社会增强安全防范意识,共同参与信息安全保障工作。因此,建立国家网络与信息安全通报制度,是国家信息安全保障工作的基本制度和重要举措。
    2)信息安全应急处理与信息通报工作有利于提高基础信息网络与重要信息系统的信息安全防范、保障能力。
    建立国家网络与信息安全信息通报制度,能够及时、全面地收集、汇总各方面的网络与信息安全信息,经过综合研判分析,提出对策、建议并及时通报基础信息网络和重要信息系统,为事件发生单位提供对策和技术支持,为其他单位提供预警信息,从而协助基础信息网络和重要信息系统全面掌握国内、外网络与信息安全政策和技术动态,有针对性地制定和实施安全防范措施,增强网络与信息安全防范、保障能力,确保涉及国计民生的基础信息网络和重要信息系统的安全。
    3)信息安全应急处理与信息通报工作有助于加强国家网络与信息安全应急处置工作。
    建立国家网络与信息安全通报制度,能够在发生重大网络与信息安全事件时,在国家网络与信息安全协调小组和成员单位之间以及各成员单位之间,建立畅通的信息交流渠道,全面收集事件的相关情况,及时上报协调小组,同时将协调小组的预警命令和决策部署下达到成员单位,做好预警和防范工作,建立健全国家信息安全应急处置协调机制和指挥调度机制,提高对网络与信息安全事件的快速反应和整体应对能力,保证应急处置措施的及时性和有效性,确保国家基础信息网络和重要信息系统的安全。
    2.?实践历程
    信息安全应急保障体系包括组织机构、标准法规、支撑系统和运行能力4个方面。组织机构是负责国家信息基础设施安全应急处理与通报工作的主体;标准法规是实施国家信息基础设施安全应急处理与通报工作的行为准则和技术标准;支撑系统是支持国家信息基础设施安全应急处理与通报工作实施的技术手段;运行能力是组织机构按照标准法规、利用支撑系统处置国家信息基础设施安全应急事件的能力。
    (1)信息安全应急处理机制的建立
    2000年,我国成立了国家计算机网络应急技术处理协调中心(National Computer network Emergency Response technical Team Coordination Center of China,CNCERT/CC)、国家计算机病毒应急处理中心和国家计算机网络入侵防范中心,建立了最早的技术合作雏形。后来根据在2001年应对一系列大规模网络安全事件中得到的经验教训,这个合作体系又扩大到各骨干互联网运营单位。扩展后的合作体系使我国对大规模网络安全事件的应急响应效率和能力有了极大的提高。自2003年起,各部门都开始制定与互联网相关的应急预案,开始重视应急协调预案和不同部门间的协调。根据新的网络安全威胁特点,这个体系在2004年又进行了进一步的扩展和调整,形成了我国公共互联网络应急处理体系,以便发挥政府、产业界、专业组织、研究机构和安全企业等方面的作用,在中央和地方组成的核心框架下,形成有机整体,使网络安全事件的预防、应对能力均得到更全面、更有效的加强。
    我国的应急响应机构包括CNCERT/CC、中国教育和科研计算机网紧急响应组(China Education and Research Network Computer Emergency Response Team,CCERT)及其他专业性的组织。CNCERT/CC由工业和信息化部(以下简称“工信部”)互联网应急处理协调办公室直接领导,负责协调我国各计算机网络安全事件应急组(Computer Emergency Response Team,CERT),共同处理国家公共互联网上的安全紧急事件,为国家公共互联网、国家主要网络信息应用系统以及关键部门提供计算机网络安全的监测、预警、应急和防范等安全服务和技术支持,及时收集、核实、汇总和发布有关互联网安全的权威性信息,组织国内计算机网络安全应急组织进行国际合作和交流。CCERT是中国教育和科研计算机网CERNET专家委员会领导之下的一个公益性的服务和研究组织,从事网络安全技术的研究和非营利性质的网络安全服务。目前,CCERT的应急响应体系已经包括CERNET内部各级网络中心的安全事件响应组织或安全管理相关部门,是一个由30多个单位组成、覆盖全国的应急响应组织。其他专业性的应急组织还包括国家计算机病毒应急处理中心、国家计算机网络入侵防范中心、国家863计划反计算机入侵和防病毒研究中心。
    (2)信息安全通报机制的建立
    网络信息的安全保障和应急处置涉及多个部门、多个层次,需要建立和规范对影响网络与信息安全的事件的发现、分析、通报、预警以及处置的工作机制,以便统一发布危害警报,统一协调行动。协同加强安全防范,确保一旦发生大规模病毒感染、网络攻击及其他网络信息安全事件时,能够及时有效处置,减少危害损失和影响范围。
    根据“谁主管、谁负责;谁经营,谁负责”的原则,强化各个部门的信息汇总和研判工作,在国家网络与信息安全协调小组的领导下,形成跨部门的网络与信息安全有关信息的共享机制。坚持政府主导,充分发挥社会中介的作用。采用分类、分级的处理方式,规范网络与信息安全的预警和通报工作,及时有效地化解安全风险。
    “分类、分级”的预警与通报机制由公安部负责协调小组成员单位和各重要信息系统主管部门的网络与信息安全信息汇总和反馈工作。发生网络信息安全事件后,协调小组成员单位和各重要信息系统主管部门除按正常渠道上报外,必须及时通知公安机关,公安部在综合分析后,及时将研判结果通报各有关单位。公安部公共信息网络安全监察部门,面向全国接受网络与信息安全方面的报警,组织对计算机安全犯罪行为的调查和打击,研究并提出相应的应对措施,分析研判信息安全问题的性质、危害程度和可能的影响范围,必要时向政府机关、科研单位和网络营运管理部门发布安全预警信息。发生网络安全事件后,各部门、各单位、各网络运营单位和社会公众有义务及时向各级公安机关报告。
    工信部负责基础电信网络和互联网的网络与信息安全事件通报,通过CERT的协作机制,接受网络与信息安全事件报告,分析研判信息安全事件的性质和危害程度,研究提出相应的对应措施,组织技术应急,面向基础电信网络和互联网发布预警信息。
    国家网络与信息安全协调小组办公室将定期对国家网络与信息安全的总体形势进行综合研究和会商,研究提出相应的管理和技术政策建议,并向国务院报告。出现可能影响社会稳定和国民经济正常运行的网络与信息安全威胁时,随时组织会商,及时报告。

    2.2.3 信息安全等级保护

    实施信息安全等级保护能够针对不同系统有效实现恰当保护,提供所需级别的保护能力,是我国在相应法规、政策和标准的基础上推行的一项重要信息安全保障工作。
    1.?意义
    近年来,党中央、国务院高度重视,各有关部门协调配合、共同努力,我国信息安全保障工作取得了很大进展。但是从总体上看,我国的信息安全保障工作尚处于起步阶段,基础薄弱,水平不高,存在以下突出问题:信息安全意识和安全防范能力薄弱,信息安全滞后于信息化发展;信息系统安全建设和管理的目标不明确;信息安全保障工作的重点不突出;信息安全监督管理缺乏依据和标准,监管措施不到位,监管体系尚待完善。随着信息技术的高速发展和网络应用的迅速普及,我国国民经济发展和社会信息化进程全面加快,信息系统的基础性、全局性作用日益增强,信息资源已经成为国家经济建设和社会发展的重要战略资源之一。保障信息安全,维护国家安全、公共利益和社会稳定是当前信息化发展中迫切需要解决的重大问题。
    实施信息安全等级保护,能够有效地提高我国信息和信息系统安全建设的整体水平,有利于在信息化建设过程中同步建设信息安全设施,保障信息安全与信息化建设相协调;有利于为信息系统安全建设和管理提供系统的指导和服务,有效控制信息安全建设成本;有利于优化信息安全资源的配置,对信息系统实施分等级保护,重点保障基础信息网络和关系国家安全、经济命脉和社会稳定等方面的重要信息系统的安全;有利于明确国家、法人和其他组织、公民的信息安全责任,加强信息安全管理;有利于推动信息安全产业的发展,逐步探索出一条适合社会主义市场经济发展的信息安全模式。
    实行信息安全等级保护,本质上就是要明确重点、确保重点。首先是要明确重点,在国家层面,这个重点就是那些关系国家安全、经济命脉、社会稳定的基础网络和重要信息系统。对于部门、地方和企业而言,也应根据实际确定自己的保护重点。其次,在系统定级的基础上,还要综合平衡信息安全风险和建设成本,进一步确定重点部位,将有限的资源用到最急需、最核心的地方,根据安全等级进行建设和管理,确保核心系统安全。最后,实行等级保护要坚持从实际出发。我国的信息化发展不平衡,东中西部差异较大,不同部门、不同地区信息化所处的发展阶段不同,面临的信息安全风险和信息安全需求也不一样。因此,在信息安全保障中必须从实际安全需求出发,不能片面追求“绝对安全”,搞不计成本的安全,也不能搞一刀切、上下一般粗、全国一个模式。必须区分轻重缓急,根据不同等级、不同类别、不同阶段,突出重点,将有限的资源用到最急需保障的地方。这也是实事求是思想路线在信息安全保障工作中的具体体现。
    信息安全等级保护是国家信息安全保障的基本制度和方法,开展信息安全等级保护工作是促进信息化发展,保障国家信息安全的重要举措,也是我国多年来信息安全工作的经验总结。开展信息安全等级保护,就是要解决我国信息安全面临的威胁和存在的主要问题,有效体现“适度安全、保护重点”的目的,将有限的财力、物力和人力投入重要信息系统安全保护中,按标准建设安全保护措施,建立安全保护制度,落实安全责任,加强监督检查,有效提高我国信息和信息系统安全建设的整体水平。
    2.?实践历程
    1994年2月18日,《中华人民共和国计算机信息系统安全保护条例》(国务院令第147号)发布,以国务院行政法规的形式正式确定对我国境内的计算机信息系统实行安全等级保护制度,明确公安部作为主管单位,对具体工作从法律上做了明确规定,由公安机关负责国家信息安全等级保护工作的监督、检查和指导,公安部会同有关部门制定安全等级划分标准和保护的具体办法,公安部根据本条例制定实施办法。
    (1)研究制定等级保护的准则、规范和标准
    1999年,GB 17859—1999《计算机信息系统安全保护等级划分准则》(以下简称《划分准则》)发布。这是一部强制性国家标准,它既是一部技术法规,也是等级保护的重要基础标准,它从功能上把信息系统的安全等级划分为5个级别的安全保护能力。随后,国家先后颁布了多部信息安全等级保护相关标准,逐步形成等级保护标准体系。
    (2)强化等级保护
    为了进一步贯彻落实27号文件精神,推动等级保护工作,2004年9月15日,公安部会同国家保密局和国信办共同研究制定《关于信息安全等级保护工作的实施意见》(公通字[2004]66号,以下简称《实施意见》),把等级保护确认为国家信息安全的基本制度和根本方法,明确了信息安全等级保护的建设原则、工作要求、实施计划,对信息等级保护工作做了更加具体的明确,把等级保护提到一个新的高度。2005年《实施意见》下发,等级保护工作全面启动。
    2005年9月15日,国信办正式发布《电子政务信息安全等级保护实施指南(试行)》(国信办[2005]25号)(以下简称《实施指南(试行)》),着重阐述了电子政务信息安全等级保护的基本概念、工作方法和实施过程,供各级党政机关在新建和已建电子政务系统中开展信息安全等级保护工作参考。
    (3)开展等级保护基础调研
    2005年底,公安部和国信办联合印发了《关于开展信息系统安全等级保护基础调查工作的通知》(公信安[2005]1431号),就此拉开2006年信息安全等级保护工作的序幕。2006年1月17日,根据《实施意见》,公安部、国家保密局、国家密码管理局和国务院信息化工作办公室(以下简称“国信办”)联合发布《关于印发〈信息安全等级保护管理办法(试行)〉的通知》(公通字[2006]7号),于2006年3月1日起实施。
    2006年5月20日,信息安全等级保护基础调查工作初步完成,共调研了涉及各级财政、金融、税务、海关、审计、工商、社会保障、能源、交通运输、国防工业、公用通信和广播电视传媒等4897个信息系统。
    (4)开展等级保护试点工作
    2006年5月19日,由公安部副部长任组长,公安部、国家保密局、国家密码管理局和国信办有关领导为成员的国家等级保护工作协调小组召开了第一次会议。信息产业部、广电总局、铁道部、人民银行、海关总署、国税总局、民航总局、国家电网公司、证监会和保监会等国家基础信息网络和重要信息系统主管部门的有关领导参加了本次会议。2006年6月6日,公安部、国家保密局、国家密码管理局和国信办联合正式下发了《关于开展信息安全等级保护试点工作的通知》(公信安[2006]573号),确定从2006年7~10月组织开展信息安全等级保护试点工作。
    (5)开展等级保护定级工作,等级保护获得快速推进
    2007年6月22日,公安部、保密局、密码管理局和国信办四部委联合正式下发《关于印发〈信息安全等级保护管理办法〉的通知》(公通字[2007]43号),标志着信息安全等级保护工作的正式实行。该管理办法正式确定了信息安全等级保护制度的基本内容及各项工作要求,进一步明确了国家、公民、法人和其他组织在等级保护工作中的责任和义务,各职能部门在信息安全等级保护工作中的职责分工,以及信息系统运营使用单位、行业主管部门的安全保障法律责任。
    公安部、国家保密局、国家密码管理局和国信办于2007年7月26日联合下发《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安[2007]861号),部署各省、自治区、直辖市公安、保密、密码管理、信息化领导小组办公室以及中央和国家机关各部委相关部门组织开展重要信息系统安全等级保护定级工作。

    2.2.4 信息安全风险评估

    重视信息安全风险评估是信息化发达国家的重要经验,作为风险评估先驱者的信息化发达国家越来越重视信息系统风险评估工作。早在20世纪70年代初期,美国政府就提出了风险评估的要求,要求联邦政府部门依据信息和信息系统所面临的风险,根据信息丢失、滥用、泄露和未授权访问等造成损失的大小,制订、实施和维持信息安全计划,以保证信息和信息系统的适度安全。2002年颁布的《2002联邦信息安全管理法》对信息安全风险评估提出了更加具体的要求,指定联邦管理和预算办公室(Office of Management and Budget,OMB)督促这项工作,要求各联邦机构周期性地评估各自信息和信息系统的未授权访问、信息泄露、服务中断和系统破坏所造成的风险和危害,周期性地测试信息安全措施和技术的有效性。
    2006年6月,美国国土安全部正式发布了《国家基础设施保护计划》(National Infrastructure Protection Plan,NIPP)。NIPP是美国国土安全框架的一个关键要素,它是建立于一系列国家战略之上,包括2002年7月发布的《国土安全战略》,2003年2月发布的《关键基础设施和重要资产物理保护的国家战略》,2003年2月发布的《保护网际空间国家战略》,以及2003年12月发布的第7号国土安全总统令。从NIPP和这一系列美国国家战略中可以看出,以风险管理框架为基础开展风险评估工作,已经成为美国等西方发达国家保障关键基础设施和重要资源,从而保护国土安全的一个核心要素和重要手段。
    1.?意义
    信息安全风险评估是信息安全保障体系建立过程中一种重要的评价方法和决策机制,在信息安全保障体系建设中具有不可替代的地位和重要作用。信息安全风险评估是信息安全保障的基础性工作,它既是明确安全需求、确定安全保障重点的科学方法和手段,又是信息安全建设和管理的重要保证。没有准确及时的风险评估,各个机构无法对其信息安全的状况做出准确的判断。
    风险评估工作的目的是为国家信息化发展服务,促进信息安全保障体系的建设,提高信息系统的安全保护能力。目前,国家关键基础设施对信息系统的依赖性越来越强,因此,许多重要信息网络和重要信息系统单位开展信息安全风险评估的需求越来越迫切,一些大型应用行业在考虑信息系统建设的布局时,已经在信息安全评估、咨询和规划方面投入了实质性的资金支持。现阶段,风险评估工作的主要任务是要认清信息安全环境和状况,采取和完善安全保障措施,使其更加经济有效,并使信息安全策略保持一致性和持续性。
    风险评估工作的意义和作用,具体体现在以下几个方面。
    (1)信息安全风险评估是信息安全建设的起点和基础
    信息安全风险评估是科学分析信息和信息系统在保密性、完整性和可用性等方面所面临的风险,揭示一个组织机构的风险状况,并提出改进风险状况的建议的工作。只有在正确、全面认识风险后,才能在控制风险、减少风险、转移风险和接受风险之间做出正确的判断,才能决定调动多少资源,采取何种应对措施去化解、降低风险。所有信息安全建设和管理都应该是基于信息安全风险评估的结果,只有这样,信息安全建设才能做到从实际出发,坚持需求主导、突出重点,以最小的代价去最大程度地保障安全。
    风险评估既是实施信息系统安全等级保护的前提,又是信息系统安全建设和安全管理的基础工作。通过风险评估,能及早发现和解决问题,防患于未然。当前,尤其迫切需要对我国基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统进行持续的风险评估,随时掌握其安全状态,及时采取有针对性的应对措施,为建立全方位的国家信息安全保障体系提供服务。通过风险评估可以有助于认清信息安全环境和信息安全状况,明确信息化建设中各级的责任,采取或完善更加经济有效的安全保障措施,保证信息安全策略的一致性和持续性,进而服务于国家信息化的发展,促进信息安全保障体系的建设,全面提高信息安全保障能力。
    (2)信息安全风险评估是信息安全建设和管理的科学方法
    信息系统的安全性取决于系统的资产、脆弱性和威胁等多种安全要素,这些要素之间的关系以及与系统环境的关系。资产包括设备、软件、数据以及人员等,脆弱性包括系统自身在结构上、管理上和技术上的弱点和不足,威胁有自然威胁与人为威胁、内部威胁与外部威胁等,包括病毒传播、黑客攻击、网络窃密等。风险评估提供了这样一种科学的方法,它将系统的风险理论应用于某一组织的具体生产运营环境,使组织的管理层和决策层能了解组织信息安全的客观状况,基于对现状的了解,才能做出后续信息安全相关建设的正确决策。
    (3)风险评估实际上是在倡导一种适度安全
    从理论上讲,不存在绝对的安全,风险总是客观存在的。风险评估并不追求零风险,不计成本的绝对安全,或者试图完全消灭风险。信息安全风险评估要求在认清风险的基础上,决定哪些风险是必须要避免的,哪些风险是可以容忍的。也就是说,信息安全风险评估要求组织的管理者在风险与成本之间寻求一个最佳平衡点,这体现了适度安全的原则。
    2.?实践历程
    在我国,实施信息安全风险评估已有十余年。国家政策性文件《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)对信息安全风险评估工作的重视,促使我国的信息安全风险评估工作开始进入快车道。为贯彻国家政策对风险评估工作的要求,2003年,国信办成立课题组,启动了信息安全风险评估工作。课题组通过调研、标准编写和试点3个阶段的工作,先后对北京、广州、深圳和上海4个地区十几个行业的50多家单位进行了深入细致的调查与研究。在调查研究的基础上,课题组撰写了《信息安全风险评估调查报告》和《信息安全风险评估研究报告》,全面介绍信息安全风险评估的基本概念、基本理论和基本方法,阐述了信息安全风险评估的意义以及在我国推动信息安全风险评估工作的具体建议。
    2004年1月9日,全国信息安全保障工作会议在北京召开,该会对风险评估工作提出了明确要求,要“抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。根据风险评估结果,进行相应等级的安全建设和管理,特别是对涉及国家机密的信息系统,要按照党和国家有关保密规定进行保护。对涉及国计民生的重要信息系统,要进行必要的信息安全检查。”2004年3~9月,国家信息中心组织国内二十多家单位,编制完成了《信息安全风险评估指南》、《信息安全风险管理指南》等标准规范草案。
    2005年2~8月,国务院信息办在北京市、上海市、黑龙江省、云南省、人民银行、税务总局、国家电网公司、国家信息中心等地方、部门和单位组织开展了国家基础信息网络和重要信息系统信息安全风险评估试点工作,进一步完善两个标准草案并验证两个标准草案的可用性,为全面推广信息安全风险评估工作,出台信息安全风险评估相关政策文件进行了实践探索。开展风险评估试点工作显著提高了试点单位信息安全防护和管理水平,探索了风险评估工作的基本规律和方法,检验并完善了有关标准,培养和锻炼了人才队伍。
    2005年12月16日,国家网络与信息安全协调小组正式通过了《关于开展信息安全风险评估的意见》,于2006年1月正式发布,标志着我国将开始在全国范围内,尤其是基础信息网络和重要信息系统,推进信息安全风险评估工作,使信息安全风险评估工作在实践中更加深入。该意见明确关系国计民生和社会稳定的基础信息网络和重要信息系统的信息安全风险评估技术服务由国家专控队伍承担。中国信息安全测评中心和国家信息技术安全研究中心是国家信息安全风险评估专控队伍。自2006年起,每年国信办都组织风险评估专控队伍对全国基础信息网络和重要信息系统进行检查。2006年3月7日,国信办分别在北京、云南组织召开了全面推进信息安全风险评估工作的宣贯会,由此拉开我国分步全面推广信息安全风险评估工作的序幕。
    2007年发布的GB/T 20984—2007《信息安全风险评估规范》和2009年发布的GB/Z 24364—2009《信息安全风险管理指南》,使我国的风险评估和风险管理工作更趋规范。

    2.2.5 灾难恢复

    灾难恢复能力是信息安全保障能力的重要组成部分。灾难性事件的破坏力是巨大的,然而最近几年,灾难性事件频发,由此导致很多关键业务系统中断,造成严重后果。确保灾难过后关键业务能在较短时间内恢复是信息安全保障工作的目标之一。灾难恢复规划是实现业务连续性的重要步骤,是信息安全保障实践的重要内容。
    1.?意义
    灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态,并将其支持的业务功能从不正常状态恢复到可接受状态而设计的活动和流程。
    当前,信息系统灾难恢复工作已经引起了国家、社会和单位的高度重视。灾难恢复是单位保持业务连续运作的需要,长期可持续发展的要求。它是单位加强风险管理,提高市场竞争力的重要手段,同时也是保证国家安全、人民利益、社会稳定和经济发展的需要。国内、外一系列已经发生的信息安全事件表明,如果没有应对灾难的准备和一定的恢复能力,重要信息系统一旦发生重大事故或者遭遇突发事件,将严重影响国民经济发展和社会稳定。灾难恢复是为高风险、低概率事件所准备的。在一般情况下,灾难恢复资源处于闲置状态,但当灾难来临时,若灾难备份中心不能正常发挥作用,将对单位和社会造成巨大的损失和影响。而信息系统灾难恢复管理是信息安全保障的重要组成部分,灾难恢复建设是现有信息系统安全保护的延伸,承载灾难恢复系统建设的灾备中心是保障信息安全的重要基础设施。灾难恢复是整个信息安全应急工作的一个重要环节,是信息安全综合保障的最后一道防线。我国政府高度重视重要信息系统的灾难备份和灾难恢复工作,出台了有关政策和指南。
    2.?实践历程
    20世纪90年代末期,一些单位在信息化建设的同时,开始关注数据的安全保护,进行数据的备份和恢复。但当时,无论从灾难恢复理论水平、重视程度、从业人员数量和质量,还是技术水平方面都很不成熟。
    2000年的“千年虫”事件和2001年的“9•11”事件引发了国内对信息系统灾难的集体性关注。随着国内信息化建设的不断完善,以及数据大集中的开展,国家对灾难恢复工作高度重视,越来越多的单位和部门认识到灾难恢复的重要性和必要性,开展灾难恢复建设的时机已基本成熟。
    2002年4月,银监会颁布了《商业银行内部控制指引》,其中第八章《计算机信息系统的内部控制》第一百一十七条指出:建立和健全计算机信息系统风险防范的制度,确保计算机信息系统设备、数据、系统运行和系统环境的安全;第一百三十一条中明确规定:商业银行应当建立计算机安全应急系统,制订详细的应急方案,并定期进行修订和演练。数据备份应当做到异地存放,在条件允许时,应当建立异地计算机灾难备份中心。2002年8月,人民银行下发的《中国人民银行关于加强银行数据集中安全工作的指导意见》中明确规定:“为保障银行业务的连续性,确保银行稳健运行,实施数据集中的银行必须建立相应的灾难备份中心”。
    2004年9月,国信办印发了《关于做好重要信息系统灾难备份工作的通知》(信安通[2004]11号),对做好国家重要信息系统灾难备份工作的主要目标、基本原则和近期任务提出了明确要求。文件强调了“统筹规划,资源共享,平战结合”的灾备工作原则。为进一步推动8个重点行业加快实施灾难恢复工作,国信办于2005年4月下发了《重要信息系统灾难恢复指南》(以下简称《指南》),指明了灾难恢复工作的流程,灾备中心的等级划分及灾难恢复预案的制定,使得灾难恢复建设迈上了一个新的台阶。
    2006年,在《指南》工作组的基础上,成立了标准工作组,编写《信息系统灾难恢复规范》(以下简称《规范》),编制任务由全国信息安全标准化委员会下达,由中国信息安全测评中心承担。2007年6月14日《规范》正式发布,编号为GB/T 20988—2007,这是我国灾难恢复行业第一部国家标准。
    除了国家政策上的支持,近年来,各行业为了提高信息系统的可靠性,也逐步展开了信息系统的灾难恢复建设。随着各单位对灾难恢复重视程度的提高,相关管理办法和规范陆续出台,2004年,中国灾难恢复市场开始初具规模。目前,深圳市已经开始建设灾备中心,北京、上海、广州和杭州等地方政府正在研究建设灾备中心。有关部委也在启动灾难恢复工作,海关总署已建成灾备中心,其他一些单位的灾备中心也在建设或规划中。
    2005年5月和2006年7月,在国务院信息办的指导下,中国信息产业商会信息安全产业分会分别在广东南海和北京成功举办了灾难恢复行业高层论坛和研讨会,对中国灾难恢复行业有序、健康发展起到了积极推动作用。
    2.2.6 人才队伍建设
    构建信息安全保障体系的各项工作,都需要具有相应信息安全知识和技能的人员来推动。然而,信息安全人才短缺却是当前我国信息安全保障工作面临的主要问题之一。针对这一现状,国家已经先后在多个政策和规划当中提出加快加强信息安全人才队伍建设的要求。
    1.?意义
    在整个信息安全保障工作中,人是最核心、最活跃的因素,信息安全保障工作最终也是通过人来落实的。因此,加快信息安全人才培养体系建设是发展我国信息安全保障体系必备的基础和先决条件。
    多年来,国家高度重视我国信息安全人才队伍的培养和建设。2003年9月,中共中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003] 27号),针对信息安全人才建设与培养工作提出了“加快信息安全人才培养,增强全民信息安全意识”的指导精神。2010年4月6日,中央军委印发《关于加强新形势下军队信息安全保障工作的意见》,意见提出要加强信息安全人才队伍建设,抓好专业力量训练和组织运用,要充分发挥广大官兵在信息安全防护中的主体作用,采取多种形式开展信息安全教育,进一步增强信息安全意识。2012年5月,国务院常务会议发布了《关于大力推进信息化发展和切实保障信息安全的若干意见》,明确提出加强宣传教育和人才培养,开展面向全社会的信息化应用和信息安全宣传教育培训。
    我国培养信息安全人才以建成国家信息安全保障体系为目标,明确信息安全人才培养的使命,把培养信息安全高级人才与信息安全的普及教育相结合,提高公民的信息安全意识。在加强学科教育的同时,加大信息安全职业培训的规模,满足社会信息化发展的需求。
    2.?实践历程
    2005年,教育部发布《教育部关于进一步加强信息安全学科、专业建设和人才培养工作的意见》,从加强信息安全学科体系研究、信息安全硕士和博士点建设、稳定信息安全本科专业设置和建立信息安全继续教育制度等十个方面提出了指导性意见。2007年我国成立了“教育部高等学校信息安全类专业教学指导委员会”,进一步促进了高校的信息安全学科建设。
    1999~2012年,我国已有80余所高校建立了信息安全本科专业,每年培养信息安全类专业本科毕业生近万人,信息安全学科建设和人才培养进入热潮阶段。从2001年武汉大学创建全国第一个信息安全本科专业,到北京大学软件与微电子学院宣布正式成立信息安全系,各高校在互联网安全监察、等级保护、风险评估、网络攻防、内容安全、数字版权保护、安全策略管理、安全系统设计与监理、计算机犯罪取证、安全标准与管理规范等多个方面形成了信息安全工程硕士的培养体系,并已经向政府立法、执法、监管和广大企、事业单位输送了大批专门人才。我国信息安全专业教育已基本形成了从专科、本科、硕士、博士到博士后的正规高等教育人才培养体系。
    除正规大学教育外,我国信息安全非学历教育已基本形成了以各种认证为核心,辅以各种职业技能培训的信息安全人才培训体系。这种培训认证是提高信息安全从业人员整体水平,解决信息安全专业人才缺口的重要方法和途径。目前,我国信息安全认证培训主要是政府相关部门的认证,如中国信息安全测评中心的“注册信息安全专业人员”(Certified Information Security Professional,CISP)资质认证;以及一些信息安全企业认证,如微软、思科等。这些都对提高信息安全专业人员的理论和技术水平,提升信息安全产业的竞争能力,强化国家信息安全管理起到了重要作用。
    然而,我国现有信息安全人才培养状况尚不能满足国家政府部门、基础信息系统和网络等关系到国计民生的重要部门与行业的需求。一方面,国内每年对信息安全人才的需求量高达数十万,今后一段时间,还将持续增长,而人才供给(包括学历教育和在职教育)每年不到3万人,在未来一段时间内,信息安全从业人员的数量同社会实际需求仍然存在较大缺口。另一方面,信息安全人才综合能力要求高,知识更新快,而当前我国信息安全教育应用实践性不足,难以满足用人单位的深层次、个性化要求。

    展开全文
  • 计算机信息安全认识实习报告

    千次阅读 2020-12-20 20:42:19
    认知实习,通过了解公司的相关信息和技术发展以及招聘情况,让我们了解我们信息安全专业在未来的发展趋势,使我们了解本专业相关领域的发展现状,了解到计算机相关领域的发展现状和最新科研成果,以及在生产科研中的...

    一、实习目的
    认知实习,通过了解公司的相关信息和技术发展以及招聘情况,让我们了解我们信息安全专业在未来的发展趋势,使我们了解本专业相关领域的发展现状,了解到计算机相关领域的发展现状和最新科研成果,以及在生产科研中的应用。让我们更好地明白我们接下来要学什么,不断地去思考该怎么学,要达到一个这样的水平才能在毕业后胜任自己喜欢的、想要的岗位。其实准确地说就是让我们更好地去规划好自己接下来的大学生活,让自己成为一名符合这个时代的大学生,树立起职业目标。

    二、实习时间
    2020年12月18日星期五8:00-5;30

    三、实习单位
    金桥ICT馆、奇安信、拓维

    四、实习过程
    上午去了华为ICT馆,下午去了奇安信、拓维
    五、实习总结和体会
    通过本次认知实习,我懂得了许多经验和道理,明确了自身今后发展的大致方向。同时也让我学到了很多课堂上跟本学不到的东西,例如ICT等。自己也看清了自己的人生方向,认识到了计算机工作应当保持仔细认真的工作态度,要怀有一种平和的心态与不耻下问的精神,不论遇到什么事都要从多方面去思考,多听别人的建议与意见,不要太过急燥,要对自己所做的事去负责,不要轻易承诺,承诺了就要努力去兑现。
    拓维、奇安信公司对实际的计算机工作的有一个简要的介绍,很好地替我们日后的工作转变提供了宝贵的经验。拓维信息系统股份有限公司成立于1996年,成立之初,就立志做一家不断创新的科技企业。历经20年发展,拓维信息已经发展成为拥有4000多名员工,以O2O在线教育为主营业务,以湖南为总部,在北京、上海、深圳、香港、美国、日本、韩国等地设立了分支机构的移动互联网集团公司。这让我懂得做事要持之以恒,要有耐心和恒心,并且以正确的态度去对待你所做的事情。因为你有了正确的态度去对待你所做的事情,你才能认真的去做好它,及时的完成它,有了耐心与恒心,无论你遇到多大的困难,你都会坚持到底,直至成功。这是我在认知实习过程中的感悟,工作是一项热情的事业,并且要有持之以恒的品质精神和吃苦耐劳的品质态度。奇安信集团,是中国最大的网络安全公司之一,专门为政府、企业,教育、金融等机构和组织提供企业级网络安全技术、产品和服务,已覆盖90%以上的中央政府部门、中央企业和大型银行,已在印度尼西亚、新加坡、加拿大、中国香港等国家和地区开展了安全业务。
    奇安信的前身为360企业安全集团,2019年4月30日更名为奇安信集团。 现拥有8000多名员工 ,2016-2018年三年的营业收入的年复合增长率超过90%。2019年10月,奇安信以200亿元位列《2019胡润全球独角兽榜》第84位。2020年5月13日,作为第一批倡议方,与国家发展改革委等发起“数字化转型伙伴行动”倡议。奇安信以“让网络更安全,让世界更美好”为使命。
    通过这次实习,让我更好地了解了信息安全这个专业,特别是奇安信之旅,当中的讲座。
    信息安全本身包括的范围很大。大到国家军事政治等机密安全,小到如防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键,包括计算机安全操作系统、各种安全协议、安全机制(数字签名、信息认证、数据加密等),直至安全系统,其中任何一个安全漏洞便可以威胁全局安全。信息安全服务至少应该包括支持信息网络安全服务的基本理论,以及基于新一代信息网络体系结构的网络安全服务体系结构。重要性积极推动信息安全等级保护。信息作为一种资源,它的普遍性、共享性、增值性、可处理性和多效用性,使其对于人类具有特别重要的意义。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏,即保证信息的安全性。根据国际标准化组织的定义,信息安全性的含义主要是指信息的完整性、可用性、保密性和可靠性。信息安全是任何国家、政府、部门、行业都必须十分重视的问题,是一个不容忽视的国家安全战略。但是,对于不同的部门和行业来说,其对信息安全的要求和重点却是有区别的。我国的改革开放带来了各方面信息量的急剧增加,并要求大容量、高效率地传输这些信息。为了适应这一形势,通信技术发生了前所未有的爆炸性发展。目前,除有线通信外,短波、超短波、微波、卫星等无线电通信也正在越来越广泛地应用。与此同时,国外敌对势力为了窃取我国的政治、军事、经济、科学技术等方面的秘密信息,运用侦察台、侦察船、侦察机、卫星等手段,形成固定与移动、远距离与近距离、空中与地面相结合的立体侦察网,截取我国通信传输中的信息。从文献中了解一个社会的内幕,早已是司空见惯的事情。在20世纪后50年中,从社会所属计算机中了解一个社会的内幕,正变得越来越容易。不管是机构还是个人,正把 信息安全策略
    日益繁多的事情托付给计算机来完成 ,敏感信息正经过脆弱的通信线路在计算机系统之间传送,专用信息在计算机内存储或在计算机之间传送,电子银行业务使财务账目可通过通信线路查阅,执法部门从计算机中了解罪犯的前科,医生们用计算机管理病历,所有这一切,最重要的问题是不能在对非法(非授权)获取(访问)不加防范的条件下传输信息。传输信息的方式很多,有局域计算机网、互联网和分布式数据库,有蜂窝式无线、分组交换式无线、卫星电视会议、电子邮件及其它各种传输技术。信息在存储、处理和交换过程中,都存在泄密或被截收、窃听、窜改和伪造的可能性。不难看出,单一的保密措施已很难保证通信和信息的安全,必须综合应用各种保密措施,即通过技术的、管理的、行政的手段,实现信源、信号、信息三个环节的保护,藉以达到秘密信息安全的目的。
    之后我会更好的学习密码学、计算机网络与Web编程、数据库课程设计、操作系统课程设计。在以后的日子里我会自主学习与独立生活,树立一生的奋斗目标,学会掌控时间,培养良好的学习与生活习惯,了解信息安全专业的课程体系,有选择、有侧重地学习相关课程。科研与创业的选择,高度重视动手实践能力的培养,学好一门面向对象的程序设计语言python,多编程、多实践。抓住晚自习、课间、寒暑假及周末的时间。认真学习主干课程:操作系统、数据结构、数据库、组成原理、计算机网络。获得业界认可的相关证书:英语四、六级,IT资格认证。除此之外,在专业的学习上,我将做到以下几点:
    第一,Linux
    Linux系统现在太重要了,如果不会使用Linux,那么不仅仅无法学习信息安全,其它诸如人工智能、大数据、云计算、物联网等也都无法学习,Linux是在这些专业领域继续学习所必须要具备的基础。但是Linux的学习曲线非常陡峭,尤其对于初学者很不友好,因为在学习初期必须要记忆大量的命令。所以Linux被我放在入门第一关,如果过不了这关,那么就及早收手,另寻其它适合自己的学习方向。但如果能过了这关,即使最终在其它关卡被卡住了,无法继续学习信息安全,但这也给自己增加了一项非常重要的技能,以后要学习人工智能等领域也会比较轻松。
    第二,Python
    凡是参加过CTF比赛的同学都知道,如果不会Python,那么在比赛中是寸步难行,但如果能够精通Python,则会如虎添翼。
    Python的精髓当然是它那丰富多彩的库,但我认为,掌握Python的一些核心语法知识也同样重要,对列表、字符串这些对象的常用处理函数和方法,以及各种推导式和异常处理等,这些都是Python的独门绝技。优雅、简单、明确,我在学习Python的过程中,就常常对它那用短短一行代码所能实现的强大功能而拍案叫绝。另外,Python目前实在是太火热了,同Linux一样,掌握了Python,即使最终学不成安全,那么对自己学习其它领域也同样会很有帮助。
    第三,Web安全
    信息安全所涵盖的领域太多了,如果让我选一个最重要的领域,那么目前来讲,毫无疑问是Web安全(当然将来很有可能是二进制和逆向)。
    注重理论与实践
    理论知识学扎实,多实践。
    写在最后:认知实习是每个大学生的需要经历,通过认知实习,让我对实际的计算机工作也有了新的认识,学到了一些在课堂上学不到的知识,也让我更加看清自己所欠缺的专业能力。通过这次计算机实习,我对今后的学习、发展方向有了更进一步的认识:学习不仅仅学的是理论知识,更重要的是学习如何将理论知识应用于实践,学习将工作做到尽善尽美。

    展开全文
  • 信息安全法律法规

    千次阅读 2021-09-04 10:07:16
    信息安全法律法规一、信息保护相关法律法规1、保护国家秘密相关法律法规2、保护商业秘密相关法律法规3、保护个人信息相关法律法规二、打击网络违法犯罪相关法律法规三、信息安全管理相关法律法规 一、信息保护相关...
  • 2016年10月,工业和信息化部印发《工业控制系统信息安全防护指南》(以下简称《指南》),指导工业企业开展工控安全防护工作。 一、背景情况 工控安全事关经济发展、社会稳定和国家安全。近年来,随着信息化和工业...
  • 一、从零开始建设企业信息安全系统: 企业信息安全体系分为:信息安全技术体系和信息安全管理体系 信息安全技术体系: 两个层面: 1.需建设安全相关基础设施和系统,以具备解决相关安全问题的能力。 2.需...
  • 大数据时代下如何保障信息安全

    千次阅读 2022-03-22 10:26:32
    “大数据”是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力来适应海量、高增长率和多样化的信息资产。‍‍ 01 大数据时代已来 随着网络时代日益信息化,移动互联网、社交网络、电子...
  • 信息安全8个总原则

    千次阅读 2019-09-21 15:32:54
    信息安全保护工作事关大局,影响组织和机构的全局,主要领导人必须把信息安全列为其最关心的问题之一,并负责提高、加强部门人员的认识,组织有效队伍,调动必要资源和经费,协调信息安全管理工作与各部门的工作,使...
  • 网络安全工作自查报告(2)

    千次阅读 2021-06-16 10:52:38
    2016网络安全工作自查报告(2)为贯彻落实国家密码管理局《通知》和《南京市党政机关涉密计算机网络管理规定》(宁委办发[2007]32号)、《关于进一步加强涉密网管理工作的通知》(宁机发[2011]36号)的精神,进一步加强...
  • 文章目录一)信息安全概述(了解即可,考察较少)1.1 信息与信息安全1.1.1信息1.1.2 信息技术1.1.3 信息安全1.1.4 信息系统安全1.2 信息安全威胁1.3 信息安全发展阶段与形式1.4 信息安全保障1.4.1 信息安全保障含义...
  • 如何做好数据安全治理

    万次阅读 2022-03-15 11:00:21
    在新形势下,要做好数据安全治理,就要做好企业的数据安全防护能力建设,建立起一个强保障且动态化的安全保护机制。这个机制的攻坚点主要是三个方面:完善数据安全治理规划,提高数据安全技术防护能力,和加强数据...
  • 医疗信息系统安全事件案例...

    千次阅读 2021-04-09 12:00:07
    网络安全法及个人信息保护规范等法律法规讲解,手机信息及个人隐私安全防护,复杂密码设置技巧及维修电脑注意事项,人脸识别便利背后暗藏的风险等方面,多层次多角度对做好信息安全工作进行了深入浅出的讲解培训。...
  • NISP-信息安全事件与应急响应

    千次阅读 2019-09-19 14:44:13
    文章目录NISP-信息安全事件与应急响应1.信息安全事件2.信息安全事件分类3.信息安全事件分级三要素信息系统重要程度系统损失社会影响4.信息安全事件分级5.信息安全应急响应6.应急响应的作用7.应急响应组织8.应急响应...
  • 2016年10月,工业和信息化部印发《工业控制系统信息安全防护指南》(以下简称《指南》),指导工业企业开展工控安全防护工作。 本部分内容继续解读《工业控制系统信息安全防护指南》 2.6远程访问安全 (一)...
  • 信息安全本身包括的范围就很大,企业信息安全工作更会受企业性质、企业人员、网络环境、应用系统等多重因素影响。安全推进工作需要适应这些复杂情况,企业信息安全可以算是一个“极端复杂问题”。 一、信息安全是...
  • 高职组“信息安全管理与评估”赛项规程 一、赛项名称 赛项名称:信息安全管理与评估 二、竞赛目的 通过赛项检验参赛选手网络组建、安全架构、渗透测试、攻防实战等方面的技术技能,检验参赛队组织和团队协作等...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 106,352
精华内容 42,540
热门标签
关键字:

如何做好信息安全工作