影响信息系统安全的因素

第一篇：影响信息系统安全的因素

影响信息系统安全的因素

1、电磁波辐射泄漏

一类传导发射，通过电源线和信号线辐射。另一类是由于设备中的计算机处理机、显示器有较强的电磁辐射。计算是靠高频脉冲电路工作的，由于电磁场的变化，必然要向外辐射电磁波。这些电磁波会把计算机中的信息带出去，犯罪分子只要具有相应的接收设备，就可以将电磁波接收，从中窃得秘密信息。据国外试验，在1000米以外能接收和还原计算机显示终端的信息，而且看得很清晰。微机工作时，在开阔地带距其100米外，用监听设备就能收到辐射信号。这类电磁辐射大致又分为两类：

第一类是从计算机的运算控制和外部设备等部分辐射，频率一般在10兆赫到1000兆赫范围内，这种电磁波可以用相应频段的接收机接收，但其所截信息解读起来比较复杂。第二类是由计算机终端显示器的阴极射线管辐射出的视频电磁波，其频率一般在6．5兆赫以下。对这种电磁波，在有效距离内，可用普通电视机或相同型号的计算机直接接收。接收或解读计算机辐射的电磁波，现在已成为国外情报部门的一项常用窃密技术，并已达到很高水平。

2．信息系统网络化造成的泄密

由于计算机网络结构中的数据是共享的，主机与用户之间、用户与用户之间通过线路联络，就存在许多泄密漏洞。

（1）计算机联网后，传输线路大多由载波线路和微波线路组成，这就使计算机泄密的渠道和范围大大增加。网络越大，线路通道分支就越多，输送信息的区域也越广，截取所送信号的条件就越便利，窃密者只要在网络中任意一条分支信道上或某一个节点、终端进行截取。就可以获得整个网络输送的信息。（2）黑客通过利用网络安全中存在的问题进行网络攻击，进入联网的信息系统进行窃密。

（3）INTERNET造成的泄密

在INTERNET上发布信息把关不严；INTERNET用户在BBS、网络新闻组上网谈论国家秘密事项等；使用INTERNET传送国家秘密信息造成国家秘密被窃取；内部网络连接INTERNET遭受窃密者从INTERNET攻击进行窃密；处理涉密信息的计算机系统没有与INTERNET进行物理隔离，使系统受到国内外黑客的攻击；间谍组织通过INTERNET搜集、分析、统计国家秘密信息。

（4）在INTERNET上，利用特洛尹木马技术，对网络进行控制，如BＯ、ＢＯ２０００。（5）网络管理者安全保密意识不强，造成网络管理的漏洞。

3、计算机媒体泄密

越来越多的秘密数据和档案资料被存贮在计算机里，大量的秘密文件和资料变为磁性介质和光学介质，存贮在无保护的介质里，媒体的泄密隐患相当大。（1）用过程的疏忽和不懂技术。存贮在媒体中的秘密信息在联网交换被泄露或被窃取，存贮在媒体中的秘密信息在进行人工交换时泄密。（2）大量使同磁盘、磁带、光盘等外存贮器很容易被复制。

（3）处理废旧磁盘时，由于磁盘经消磁十余次后，仍有办法恢复原来记录的信息，存有秘密信息的磁盘很可能被利用磁盘剩磁提取原记录的信息。这很容易发生在对磁盘的报废时，或存贮过秘密信息的磁盘，用户认为已经清除了信息，而给其它人使用。

（4）计算机出故障时，存有秘密信息的硬盘不经处理或无人监督就带出修理，或修理时没有懂技术的人员在场监督，而造成泄密。

（5）媒体管理不规范。秘密信息和非秘密信息放在同一媒体上，明密不分，磁盘不标密级，不按有关规定管理秘密信息的媒体，容易造成泄密。（6）媒体失窃。存有秘密信息的磁盘等媒体被盗，就会造成大量的国家秘密外泄其危害程度将是难以估量的。各种存贮设备存贮量大，丢失后造成后果非常严重。

（7）设备在更新换代时没有进行技术处理。4．内部工作人员泄密

（1）无知泄密。如由于不知道计算机的电磁波辐射会泄露秘密信息，计算机工作时未采取任何措施，因而给他人提供窃密的机会。又如由于不知道计算机软盘上剩磁可以提取还原，将曾经存贮过秘密信息的软盘交流出去或废旧不作技术处理而丢掉，因而造成泄密。不知道上INTERNET网时，会造成存在本地机上的数据和文件会被黑客窃走。网络管理者没有高安全知识。

（2）违反规章制度泄密。如将一台发生故障的计算机送修前既不做消磁处理，又不安排专人监修，造成秘密数据被窃。又如由于计算机媒体存贮的内容因而思想麻痹，疏于管理，造成媒体的丢失。违反规定把用于处理秘密信息的计算机，同时作为上INTERNET的机器。使用INTERNET传递国家秘密信息等。（3）故意泄密。外国情报机关常常采用金钱收买、色情勾引和策反别国的计算机工作人员。窃取信息系统的秘密。如程序员和系统管理员被策反，就可以得知计算机系统软件保密措施，获得使用计算机的口令或密钥，从而打入计算机网络，窃取信息系统、数据库内的重要秘密；操作员被收买，就可以把计算机保密系统的文件、资料向外提供。维修人员被威胁引诱，就可对用进入计算机或接近计算机终端的机会，更改程序，装臵窃听器等。

信息安全涉及到信息的保密性、完整性、可用性、可控性。综合起来说，就是要保障电子信息的有效性。保密性就是对抗对手的被动攻击，保证信息不泄漏给未经授权的人。完整性就是对抗对手主动攻击，防止信息被未经授权的篡改。可用性就是保证信息及信息系统确实为授权使用者所用。可控性就是对信息及信息系统实施安全监控。为满足客户多方面的信息安全需求，北京联华中安信息技术有限公司的产品覆盖了多个领域，是一家专业从事国家保密技术和保密咨询标准、涉密系统工程监理、保密技术产品研发和营销、电磁兼容技术和信息安全服务的高新技术企业，是国内权威的信息安全产品和整体解决方案提供商。

第二篇：信息系统安全

数字签名过程 “发送报文时，发送方用一个哈希函数从报文文本中生成报文摘要,然后用自己的私人密钥对这个摘要进行加密，这个加密后的摘要将作为报文的数字签名和报文一起发送给接收方，接收方首先用与发送方一样的哈希函数从接收到的原始报文中计算出报文摘要，接着再用发送方的公用密钥来对报文附加的数字签名进行解密，如果这两个摘要相同、那么接收方就能确认该数字签名是发送方的。

数字签名有两种功效：一是能确定消息确实是由发送方签名并发出来的，因为别人假冒不了发送方的签名。二是数字签名能确定消息的完整性。因为数字签名的特点是它代表了文件的特征，文件如果发生改变，数字签名的值也将发生变化。不同的文件将得到不同的数字签名。一次数字签名涉及到一个哈希函数、发送者的公钥、发送者的私钥。”这报文鉴别的描述！数字签名没有那么复杂。数字签名： 发送方用自己的密钥对报文X进行E运算，生成不可读取的密文Esk，然后将Esx传送给接收方，接收方为了核实签名，用发送方的密钥进行D运算，还原报文。

口令攻击的主要方法

1、社会工程学(social Engineering)，通过人际交往这一非技术手段以欺骗、套取的方式来获得口令。避免此类攻击的对策是加强用户意识。

2、猜测攻击。首先使用口令猜测程序进行攻击。口令猜测程序往往根据用户定义口令的习惯猜测用户口令，像名字缩写、生日、宠物名、部门名等。在详细了解用户的社会背景之后，黑客可以列举出几百种可能的口令，并在很短的时间内就可以完成猜测攻击。

3、字典攻击。如果猜测攻击不成功，入侵者会继续扩大攻击范围，对所有英文单词进行尝试，程序将按序取出一个又一个的单词，进行一次又一次尝试，直到成功。据有的传媒报导，对于一个有8万个英文单词的集合来说，入侵者不到一分半钟就可试完。所以，如果用户的口令不太长或是单词、短语，那么很快就会被破译出来。

4、穷举攻击。如果字典攻击仍然不能够成功，入侵者会采取穷举攻击。一般从长度为1的口令开始，按长度递增进行尝试攻击。由于人们往往偏爱简单易记的口令，穷举攻击的成功率很高。如果每千分之一秒检查一个口令，那么86%的口令可以在一周内破译出来。

5、混合攻击，结合了字典攻击和穷举攻击，先字典攻击，再暴力攻击。

避免以上四类攻击的对策是加强口令策略。

6、直接破解系统口令文件。所有的攻击都不能够奏效，入侵者会寻找目标主机的安全漏洞和薄弱环节，饲机偷走存放系统口令的文件，然后破译加密的口令，以便冒充合法用户访问这台主机。

7:网络嗅探(sniffer)，通过嗅探器在局域网内嗅探明文传输的口令字符串。避免此类攻击的对策是网络传输采用加密传输的方式进行。

8:键盘记录，在目标系统中安装键盘记录后门，记录操作员输入的口令字符串，如很多间谍软件，木马等都可能会盗取你的口述。

9:其他攻击方式，中间人攻击、重放攻击、生日攻击、时间攻击。

避免以上几类攻击的对策是加强用户安全意识，采用安全的密码系统，注意系统安全，避免感染间谍软件、木马等恶意程序。

第三篇：信息系统安全管理办法

1.0

目的为保证集团计算机信息系统的平安，防止信息泄密，特制定本管理办

法。

2.0

适用范围

本规定适用于本集团的全体员工；适用于本公司所有办公用计算机、网

络布线和网络连接设备。

3.0

职责

集团人力行政中心统一负责管理和维护集团各公司的计算机、打印机、电脑网络等办公自动化设备及各类软件，并对计算机系统平安保密工作进行指导、协调和监督检查；各部门主管负责本部门办公设备和信息系统的平安保密工作，应指定专人经常进行信息的平安情况检查；定期查、杀病毒，确保系统平安运行。

4.0

具体管理方法

4.1

设备平安管理

4.1.1

非设备维护人员，不得私自拆装计算机设备，不得私自变更网络设备的连接，对非法操作造成的财产损失和网络重大故障的有关人员，要追究

责任。

严禁带电拔插计算机上的所有连线和设备〔键盘、鼠标、打印机、软件

狗等〕，以防止损坏设备。

4.1.3

除不可抗拒的原因外，禁止非法开、关机，关机后再次启动电脑的间隔

时间不得低于1分钟。

对外来软盘、u盘等介质应先杀毒，以消除可能带有的病毒。

严禁在开机状态下移动计算机主机等设备。

4.1.6

未经人力行政中心IT部门登记，不得将外来的笔记本电脑等设备私自接

入公司网络。

4.2

软件平安管理

4.2.1

计算机上使用的系统软件由集团人力行政中心有关技术人员进行安装，各部门使用的自购或开发的软件必须由集团人力行政中心技术员检查确认平安问题并建立软件档案前方可使用。

计算机使用人员应遵守如下规定：

〔1〕不得随意修改计算机和网络上的配置参数、程序及信息资源；

〔2〕未经防病毒检查和平安性检查，不得随意拷入外来程序及数据；

〔3〕不得私自从因特网上下载非工作必需的软件，以免影响其他人上网的速度。

〔4〕不得安装与工作无关的软件，严禁办公时间在电脑上玩游戏、上网浏览色情网站或下载游戏软件，工作时间不得上网聊天或进入交友网站。

4.3

信息平安管理

4.3.1

各计算机用户负责妥善处理本人使用的计算机上的信息，未经许可不得

随意拷贝、打印保密信息。

4.3.2不得向网络输入有害程序和信息或利用网络查询、传播各种违法信息。

4.3.3向网站发布信息必须按相关规定审批前方可发布。

4.3.4需长期保存的文件不得放置在电脑C盘，应放在D、E等盘，并及时备份〔建议采用光盘或U盘的方式，尽量不使用软盘方式〕，以免由于系统出错格式化造成文档丧失，如因硬盘损坏等原因造成信息丧失的后果由当事人及部门主管负责。

任何部门或个人发现计算机信息系统泄密和存在不平安因素，应及时报

告集团人力行政中心IT部门采取措施补救。

5.0

违反本管理方法按?奖惩制度?处理。

6.0

本管理方法解释权归属集团人力行政中心。如原有规定与本管理方法有冲突,以本管理方法为准。

7.0

本管理方法自2021年1月1日起执行。

第四篇：信息系统安全工作总结

2011年信息系统安全工作总结

为确保公司信息系统持续安全稳定运行，我中心把此项工作列入重要议事日程，明确主管领导、责任部门和相关人员，制定相应规章制度，确保了我中心公司信息系统持续安全稳定运行。现将2011年工作汇报如下：

一、安全管理制度落实情况

1、成立了信息安全管理机构。明确信息安全工作由中心信息安全领导小组负责，该领导小组由中心工会主席XX任组长，由中心安全部XX为信息专责，各系统使用人为成员。明确由中心信息中心负责具体公司信息系统安全维护日常工作。健全的机构、明晰的人员分工为公司信息系统安全运行奠定了坚实的基础。

2、建立了信息安全责任制。按责任规定：中心信息安全领导小组对信息安全负首责，主管领导负总责，管理人员负主责，具体使用人员负主责。

3、制定了计算机外网和公司网分离使用的相关保密管理制度。规定外网使用人员负责本台电脑信息管护工作，公司网使用人员负责内网保密管理，规定双网间不得相互搭接，严禁泄密。

二、安全防范措施落实情况

1、公司网计算机按照公司管理规定，经过了保密技术检查，没有同互联网相连接，并安装了防火墙，实行了物理隔离。同时安装了金山杀毒软件，加强了防篡改、防病毒、防攻击、防瘫痪、防泄密等方面的功能。

2、检测信息系统无安全漏洞，载有涉密内容的移动存储设备（包括软盘、硬盘、光盘等）没有带离办公地点，没有出现涉密内容在Internet相连的计算机系统中存储、处理、传输。

三、应急响应机制建设情况

1、按照要求制定了应急机构及应急预案等，做到了责任落实、人员到位、措施得力，并在中心内进行了广泛的宣传贯彻和培训，明确了应急技术支援队伍。

2、坚持和涉密计算机系统定点维修单位取得密切联系，并商定在中心涉密计算机出现问题等应急技术时给予最大程度的支持。

3、严格文件的收发，完善了清点、编号、签收制度，并要求办公室文员在每天下班前进行系统检查维护。

四、信息技术产品和服务国产化情况

计算机的保密系统、公文处理软件、信息安全产品、服务器、路由器、交换机等皆符合相关技术要求。

五、安全教育培训情况

1、派专人参加了公司组织的网络系统安全和保密知识培训、安全技能培训等，并安排专人负责本中心的网络安全管理和信息安全工作。

2、中心信息安全领导小组多次组织全中心职工学习了计算机的基本操作技能和信息安 全常识等内容。

总之，在2011年里我单位没有出现违反信息安全规定行为和造成泄密事故、信息、安全事故的情况发生。

六、存在的不足和整改措施

1、对信息安全投入力量有限。由于办公费用紧张，对信息系统安全投入不足，硬件措施不能完全达到标准。

2、人员培训力度需要进一步加强。2011年在人员培训上也下了不少工夫，使用内网职工对于信息安全重要性的认识需要进一步提升，特别是岗位发生变化后，需要进行上岗前的培训，合格后方能进行相关工作，以进一步确保信息安全。

在以后的信息安全工作中，我们将结合实际，主要在以下几个方面进行整改。

1、针对信息安全意识需进一步提升问题，进一步加大力度对计算机安全知识的培训教育，提高做好安全工作的主动性和自觉性。

2、针对设备维护、及时更新问题，加大对线路、系统等及时维护和保养，同时针对信息技术的快速发展的特点，加大更新力度。

3、针对信息安全工作水平不高问题。继续努力，在落实责任制上下功夫，坚持执行“谁主管谁负责，谁分管谁负责，谁维护谁负责，谁使用谁负责”的责任制方针，将上级的信息安全精神落实到实处，力争把信息安全的管护提高到现代化水平，促进中心计算机信息系统安全的防范和保密工作的顺利进行。

4、针对工作机制不够完善问题。要坚持以制度为根本，在进一步完善信息安全制度的同时，安排专人，完善设施，密切监测，加大奖惩力度，随时随地解决可能发生的信息系统安全事故，确保此项工作稳定运行。

第五篇：信息系统安全自查报告

信息系统安全自查报告

一、自查情况

1、安全制度落实情况: 目前我院已制定了<网络安全管理制度>、<计算机信息系统安全保密管理制度>、<涉密人员管理制度>等制度并严格执行。信息管护人员负责信息系统安全管理，密码管理，且规定严禁外泄。

2、安全防范措施落实情况:(1)计算机经过了信息系统安全技术检查，并安装了防火墙，同时配置安装了专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面的有效性。(2)禁止使用来历不明或未经杀毒的一切移动存储介质。(3)在安装杀毒软件时采用国家主管部门批准的查毒杀毒软件适时查毒和杀毒，不使用来历不明、未经杀毒的软件、软盘、光盘、u盘等载体，不访问非法网站，自觉严格控制和阻断病毒来源。在单位外的u盘，不得携带到单位内使用。(4)安装了准入准出管理系统，对内部网络中出现的内部用户未通过允许私自联到外部网络的行为进行检查。对外来终端接入医院网络必须进行健康度审查，直至符合相关要求后，经管理员审核才能接入医院网络。对接入互联网的终端计算机采取控制措施，包括实名接入认证、IP地址与MAC地址绑定等，定期对终端计算机进行安全审计；规范化使用终端软硬件，不得擅自更改软硬件配置，不得擅自安装软件，严禁在计算机上安装非法盗版软件；监控系统开启服务与程序情况，关闭不必要的服务、端口、来宾组等，防止恶意程序后台运行，防止安装过多应用软件及病毒、木马程序的自运行；加强网络访问控制，防止计算机进行违规互联，防止信息因共享等方式进行违规流转，防止木马、病毒在信息系统内大规模爆发。(5)安装了防病毒系统、威肋预警系统，服务器安装支持统一管理的防病毒软件，及时更新软件版本和病毒库;整改配备威胁管理平台和杀软，主机与网络的防范产品统一管理，且必须与终端杀毒软件属不同的安全库；定期（如每半年年）进行系统漏洞扫描，并根据扫描发现的漏洞开展整改工作，应定期（如每月）对恶意代码查杀结果进行分析，对于查杀发现的病毒及其传播、感染方式进行通告，并出具分析报告，及时更新操作系统的安全补丁，更新前应对补丁进行测试，确认其不影响操作系统的业务性能后，再安装系统安全补丁。(6)安装了数据库审计系统（防统方）软件，审计范围覆盖到服务器上的每个操作系统用户和数据库用户；审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等；保护审计记录，避免受到未预期的删除、修改或覆盖等；对医院数据库几张重要的表格（统方）采取相应的安全措施，降低国家省里卫计委三令五声的统方信息泄露事件。整改配备数据库审计系统（反统方），对重要客户端的审计和审计报表计记录的保护。部署数据库审计系统，赋予安全管理员审计系统管理权限，其中系统管理员无审计系统日志访问权限，安全管理员无数据库系统管理权限；(7)安装了网闸隔离设备，医院内网与外网原本是物理上隔离，因部份数据需要内外网进行交互，采用专用三机统的安全网闸来实现内外网数据交互，保障安全。

3、应急响应机制建设情况:(1)制定了初步应急预案，并处于不断完善阶段。(2)对信息系统数据进行定期备份，以降低或消除各种灾难对正常工作的影响。

4、信息技术产品应用情况: 使用防火墙、安全网闸与入侵检测系统，有效保护信息系统安全。

5、信息安全教育培训情况:(1)我院不断加强对计算机使用者的安全培训工作，强化每一个使用者安全使用网络的能力，提高安全防范意识，对每台入网计算机的使用者、ip地址进行登记造册。(2)组织人员参加网络安全员培训。增强内部人员的信息安全防护意识，有效提高信息安全防护能力。

二、信息安全检查发现的主要问题及整改情况

1、目前存在的问题:(1)规章制度体系初步建立，但还不够完善，未能覆盖信息系统安全的所有方面。(2)不少信息系统使用人员安全意识不强，在管理上缺乏主动性和自觉性。(3)网络安全技术管理人员配备较少，信息系统安全方面投入的力量有限。

2、整改措施:(1)再次检查规章制度各个环节的安全策略与安全制度，并对其中不完善部分进行重新修订与修改，切实增强信息安全制度的落实工作，不定期对安全制度执行情况进行检查。(2)继续加强人员的安全意识教育，提高人员安全工作的主动性和自觉性。(3)加大对线路、系统等的及时维护和保养，加大更新力度。提高安全工作的现代化水平，便于进一步加强对计算机信息系统安全的防范和信息系统安全工作。

三、对信息安全检查工作的意见和建议

1、加强信息网络安全技术人员培训，使安全技术人员及时更新信息网络安全管理知识。

2、加强人员的信息安全意识，不断地加强信息系统安全管理和技术防范水平。

3、增加安全管理的经费。