文档库 最新最全的文档下载
当前位置:文档库 › CEAC_2603_信息安全管理基础_0

CEAC_2603_信息安全管理基础_0

CEAC_2603_信息安全管理基础_0
CEAC_2603_信息安全管理基础_0

信息安全管理基础样题单选题

1:有一种攻击是不断对网络服务系统进行干扰,改变其正常的作业流程,执行无关程序使系统响应减慢甚至瘫痪。这种攻击叫做什么?( 2 分)

A:重放攻击

B:反射攻击

C:拒绝服务攻击

D:服务攻击

答案:C

2:陷门的威胁类型属于什么?( 2 分) A:授权侵犯威胁

B:植入威胁

C:渗入威胁

D:旁路控制威胁

答案:B

3:某用户使用WWW浏览器访问一个web站点,当该用户键入了此站点的URL后,浏览器的以下哪个首先对该键入信息进行处理?( 2 分)

A:控制单元

B:解释单元

C:客户单元

D:服务器单元

答案:A

4:BS7799的安全方针是什么?( 2 分) A:为信息安全管理提供决策支持

B:为网络安全提供管理指导

C:为信息安全提供管理指导

D:为信息安全提供管理软件

答案:C

5:信息安全团队的生命周期有四个阶段,以下不正确的是?( 2 分)

A:初创时期

B:关键时期

C:发展后期

D:建立时间答案:C

6:下列对备份中心技术描述正确的是什么?( 2 分)

A:备份技术提高了网络的可靠性,增强了

网络的可用性

B:备份中心技术可以为路由器任意接口提

供备份接口,包括逻辑接口

C:备份中心技术可以实现对多个网络设备

的冗余备份

D:以上说法正确

答案:A

7:信息安全团队在进行响应过程中其工作

程序的内容很多,以下不正确的是哪个?( 2 分)

A:调查

B:网络监视

C:起诉

D:报告

答案:C

8:信息安全就是要防止非法攻击和病毒的

传播,保障电子信息的有效性,从具体的

意义上来理解,需要保证哪几个方面的内容?

Ⅰ.保密性(Confidentiality)

Ⅱ.完整性(Integrity)

Ⅲ.可用性(Availability)

Ⅳ.可控性(Controllability)( 2 分) A:Ⅰ、Ⅱ和Ⅳ

B:Ⅰ、Ⅱ和Ⅲ

C:Ⅱ、Ⅲ和Ⅳ

D:都是

答案:B

9:以下什么技术不属于预防病毒技术的范畴?( 2 分)

A:加密可执行程序

B:引导区保护

C:系统监控与读写控制

D:自身校验

答案:D

10:保证数据的完整性就是什么?( 2 分) A:保证因特网上传送的数据信息不被第三

方监视

B:保证因特网上传送的数据信息不被篡改C:保证电子商务交易各方的真实身份

D:保证发送方不能抵赖曾经发送过某数据

信息

答案:B

11:对信息安全的检查,可以怎样?( 2 分) A:独立的经理不可以从事此项工作

B:可以由内部的审查功能执行

C:第三方不可以做此项检查

D:检查的人员必须都是技术人员

答案:B

12:美国国防部安全标准定义了4个安全级别,其中最高安全级提供了最全面的安全

支持,它是几级?( 2 分)

A:A级

B:B级

C:C级

D:D级

答案:A

13:在制定计算机使用策略时,什么不是必

须考虑的问题?( 2 分)

A:可以接受的计算机使用

B:计算机的所有权

C:计算机硬件的维护

D:信息的所有权

答案:C

14:响应系统的量化指标中响应时间以什么

为单位?( 2 分)

A:分钟

B:小时

C:天

D:秒

答案:B

15:以下哪个不属于防止口令猜测的措施?( 2 分)

A:严格限定从一个给定的终端进行非法认

证的次数

B:确保口令不在终端上再现

C:防止用户使用太短的口令

D:使用机器产生的口令答案:B

16:在计算机网络中,当信息从信源向信宿

流动时,可能会遇到安全攻击,在下列选

项中,属于信息可能受到安全攻击的是什么?

I.中断 II.修改Ⅲ.截取Ⅳ.捏造Ⅴ.陷阱( 2 分)

A:Ⅰ,Ⅱ,Ⅲ和Ⅴ

B:Ⅰ,Ⅱ,Ⅳ和Ⅴ

C:Ⅰ,Ⅲ,Ⅳ和Ⅴ

D:Ⅰ,Ⅱ,Ⅲ和Ⅳ

答案:D

17:BS7799是信息安全管理体系要求的标准,它的作用是什么?( 2 分)

A:可以帮助公司识别、管理、减少信息所

面临的各种威胁

B:可以帮助公司识别、管理、减少信息所

面临的各种风险

C:可以帮助公司识别、管理、消除信息所

面临的各种危险

D:可以帮助公司识别、管理、预测信息所

面临的各种威胁

答案:A

18:什么不是信息安全团队的组织实施过程

中实施方案中的内容?( 2 分)

A:人员的配置

B:设施的配置

C:工具包配置

D:组织的配置

答案:B

19:MTBF(平均无故障时间)和MTTR(平均故障修复时间)分别表示计算机系统的可

靠性和可用性,下列哪个选项表示可靠性

和可用性好?( 2 分)

A:MTBF高,MTTR高

B:MTBF高 MTTR低

C:MTBF低 MTTR高

D:MTBF低 MTTR低

答案:B

20:对人员安全来说要什么?( 2 分)

A:通过从以前事件和故障中汲取教训,最

大限度降低安全的损失

B:通过从以前事件和故障中汲取教训,消除安全的损失

C:通过从以前事件和故障中汲取教训,最大限度降低安全风险

D:通过从以前事件和故障中汲取教训,消除安全风险

答案:A

21:什么是指防止对资源的未授权使用,包括访问以未授权方式使用某一资源( 2 分) A:访问控制

B:安全策略

C:安全审计

D:用户鉴别

答案:A

22:在网络安全中,中断指攻击者破坏网络系统资源,使之变成无效的或无用的。这是对?( 2 分)

A:可用性的攻击

B:保密性的攻击

C:完整性的攻击

D:真实性的攻击

答案:A

23:务器的网络具有什么优点?( 2 分)

A:容错

B:安全

C:便于小型客户机的访问

D:以上全部

答案:D

24:有一种攻击是不断对网络服务系统进行干扰,改变其正常的作业流程,执行无关程序使系统响应减慢甚至瘫痪。这种攻击叫做什么?( 2 分)

A:重放攻击

B:反射攻击

C:拒绝服务攻击

D:服务攻击

答案:C

25:在网络安全中,截取是指未授权的实体得到了资源的访问权。这是对?( 2 分) A:可用性的攻击B:完整性的攻击

C:保密性的攻击

D:真实性的攻击

答案:C

26:对于共同的资产,要确保那些信息资产得到什么?( 2 分)

A:适当水平的保护

B:最低限度的保护

C:最高规格的维护

D:最高水平的保护

答案:A

27:某软件设计师自行将他人使用C程序语言开发的控制程序转换为机器语言形式的控制程序,并固化在芯片中,该软件设计师的行为是什么?( 2 分)

A:不构成侵权,因为新的控制程序与原控制程序使用的程序设计语言不同

B:不构成侵权,因为对原控制程序进行了转换与固化,其使用和表现形式不同

C:不构成侵权,将一种程序语言编写的源程序转换为另一种程序语言形式,属于一种“翻译”行为

D:构成侵权,因为他不享有原软件作品的著作权

答案:D

28:编写资产清单的过程是什么?( 2 分) A:系统分析的一个重要方面

B:系统设计的一个重要方面

C:风险评估的一个重要方面

D:威胁分析的一个重要方面

答案:C

29:不属于安全策略组成部分的是什么?( 2 分)

A:威严的法律

B:先进的技术

C:培训网络管理员

D:严格的管理

答案:C

30:响应系统按服务对象划分,可以分为政府型、商业型和什么三种?( 2 分)

A:敏感型

B:内部型

C:职能型

D:政策型

答案:B

31:内部型的信息安全团队与本系统独立的

公共关系部门应该属于什么关系?( 2 分) A:下级

B:同级

C:没有关系

D:上级

答案:B

32:BS7799的作用是什么?( 2 分)

A:减少环境造成的错误,或人为的偷窃、

欺诈、滥用信息产生的风险

B:消除环境造成的错误、偷窃、欺诈、滥

用信息造成的威胁

C:减少人为错误、偷窃、欺诈、滥用信息

造成的威胁

D:消除人为错误、偷窃、欺诈、滥用信息

产生的风险

答案:C

33:什么是指计算机系统内保护装置的总体,包括硬件、固件、软件和负责执行安全策

略的组合体?( 2 分)

A:可信计算基

B:客体

C:主体

D:用户鉴别

答案:A

34:培训人员分为什么培训人员和什么培训

人员两大类?( 2 分)

A:客户、团队内部

B:商务、团队内部

C:安全、评估

D:安全、技术

答案:A

35:按照美国国防部安全准则,Unix系统能够达到的安全级别是什么?( 2 分)

A:C1

B:C2

C:B1 D:B2

答案:B

36:安全响应方法论由几个阶段构成?( 3 分)

A:8

B:5

C:6

D:4

答案:C

37:对网络的威胁包括什么?

I.假冒 II.特洛伊木马 III.旁路控制IV.陷门 V.授权侵犯

这些威胁中,属于渗入威胁的是哪个?( 3 分)

A:I、III和V

B:III和Ⅳ

C:II和IV

D:I、II、Ⅲ和Ⅳ

答案:A

38:系统管理员可以什么操作系统中的工作日志?( 3 分)

A:修改

B:删除

C:查看和修改

D:修改和删除

答案:B

39:根据GA/T387-2002标准的要求,可信计算基的设计和实现应包括什么?( 3 分) A:配置管理、分发和操作

B:开发、指导性文档

C:生命周期支持、测试

D:以上全部

答案:D

40:从网络高层协议角度,网络攻击可以分为什么?( 3 分)

A:主动攻击与被动攻击

B:服务攻击与非服务攻击

C:病毒攻击与主机攻击

D:侵入攻击与植入攻击

答案:B

41:在制定信息策略时,什么不是必须考虑的问题?( 3 分)

A:对敏感信息进行分类

B:找出敏感信息

C:定制敏感信息

D:标记敏感信息

答案:C

42:在访问因特网过程中,为了防止Web页面中恶意代码对自己计算机的损害,可以采取以下哪种防范措施?( 3 分)

A:利用SSL访问Web站点

B:将要访问的Web站点按其可信度分配到浏览器的不同安全区域

C:在浏览器中安装数字证书

D:要求Web站点安装数字证书

答案:B

43:某用户打开Word文档编辑时,总是发现计算机自动把该文档传送到另一台FTP 服务器上,这可能是因为Word程序已被黑客植入什么中?( 3 分)

A:病毒

B:特洛伊木马

C:陷门

D:FTP匿名服务

答案:B

44:在网络安全中,捏造是指未授权的实体向系统中插入伪造的对象,这是对?( 3 分)

A:可用性的攻击

B:保密性的攻击

C:完整性的攻击

D:真实性的攻击

答案:D

45:加强网络安全性的最重要的基础措施是什么?( 3 分)

A:设计有效的网络安全策略

B:选择更安全的操作系统

C:安装杀毒软件

D:加强安全教育

答案:A

网络与信息安全基础知识点

知识点: 计算机病毒的特征:非授权可执行性、隐蔽性、传染性、潜伏性、表现性或破坏性、可触发性。 拿不走:访问控制 一个安全保密的计算机信息系统,应能达到“五不”:“进不来、拿不走、看不懂、走不脱、赖不掉”,即非合法用户进入不了系统;非授权用户拿不走信息;重要的信息进行了加密,即使看到了也看不懂;进入系统或在涉密系统内进行违规操作,就会留下痕迹,走不脱;拿走或篡改了信息,就有相关记录,想赖也赖不掉。 用于客户信息安全审核、审核的原始日志必须单独保存,各系统主管部门要制定数据存储备份管理制度,定期对原始日志进行备份归档,所有客户信息操作原始日志在线至少保留3个月,离线至少保留1年。 各系统用于安全审核的原始日志记录内容应至少包括:操作帐号、时间、登录IP地址、详细操作内容和操作是否成功等。日志不应明文记录帐号的口令、通信内容等系统敏感信息和客户信息。 安全有以下属性:CIA三要素 保密性:是指信息不泄露给未授权的个人、实体或过程或不使信息为其所利用的特性;C 完整性:保护信息及处理方法的准确性和完备性;I 可用性:被授权实体一旦需要就可访问和使用的特性;A 真实性:确保主体或资源的身份正式所声称身份的特性。 可核查性:确保可将一个实体的行动唯一的追踪到此实体的特征。 抗抵赖性:证明某一动作或事件已经发生的能力,以使事后不能抵赖这一动作或事件。 可靠性:预期行为和结果相一致的特性。 电信业务经营者、互联网信息服务提供者违反本规定第八条、第十二条规定的,由电信管理机构依据职权责令限期改正,予以警告,可以并处一万元以下的罚款。 信业务经营者、互联网信息服务提供者违反本规定第九条至第十一条、第十三条至第十六条、第十七条第二款规定的,由电信管理机构依据职权责令限期改正,予以警告,可以并处一万元以上三万元以下的罚款,向社会公告;构成犯罪的,依法追究刑事责任。 电信业务经营者、互联网信息服务提供者应当对用户个人信息保护情况每年至少进行一次自查,记录自查情况,及时消除自查中发现的安全隐患

信息安全基本知识

信息安全基本知识 安全体系: 安全方针:积极防范、突出重点、科学管理、持续改进 工作要求:归口管理、控制源头、逐级负责、确保安全 运行模式:“策划—实施—检查—改进(PDCA)” 组织机构:信息安全委员会(领导机构)、信息安全管理办公室(执行机构) 技术等级:内部公开、技术Ⅲ级、技术Ⅱ级、技术Ⅰ级(由低到高);内部文件按项目管控要求定级,外来文件按客户要求定级;流程:项目单位申请—信息安全办公室初审—信息安全委员会审定 管理期限:技术Ⅰ级>=20年,技术Ⅱ级>=10年,技术Ⅲ级>=5年,内部公开>=1年 电脑管理: 系统密码:密码>=8位、修改< 6 个月、自动屏保< 10分钟,不外借不扩散 密码组成:大小字母、特殊符号、数字任意三种以上组合 软件使用:软件用正版,安装杀毒软件并设置为定期杀毒,开启防火墙,U盘和下载的软件使用前先杀毒设备转用:服务器、电脑、存储介质停止使用或转作它用,必须低级格式化 文件控制: 文件管控:设计文件、工艺文件、质量体系类文件已经进入PDM系统管控 文件使用:各部门文控才有权从PDM系统签收、导出、下载、打印、分发,加盖“PDM受控章”为有效版本,其余途径获取均是不受控文件 文件管理:建立好文件接收、分发、使用、回收等台账管理 关岗键位: 定级要求:以项定级、以级定人; 人员等级:技术Ⅲ级岗位、技术Ⅱ级岗位、技术Ⅰ级岗位 部门申请(关键岗位人员审查审批表)--总经办信用审查(信用审查表)--信息安全办公室审查--信息安全委员会批准 信用等级:A优秀、B良好、C一般、D差 保密协议:劳动合同(普通员工),保密协议(关键岗位),专项保密协议(按项目) 离岗离职:清退信息资产,离职审计(《员工离职信息安全审计控制表》) 外网访问:原则上不许可,特殊情况需审批(填写《互联网申请表》,信息安全办公室同意,公司审批) 邮件收发:使用公司邮箱 电脑要求:技术Ⅱ级及以上,不用笔记本电脑,台式机加锁,物理手段禁USB 存储介质:技术Ⅰ、Ⅱ级不许,技术Ⅲ级受控(技术Ⅰ、Ⅱ级禁用移动介质,技术Ⅲ级使用受控介质) 开机密码:技术Ⅰ级>=10位,技术Ⅱ级>=8位, 技术Ⅲ级无要求 系统密码:技术Ⅰ级>=10位,技术Ⅱ级>=8位,技术Ⅲ级>=8位 客户专区: 公司为保护客户权益,划分了专区管理;专区内禁止直接出现客户名称,禁止拍照、录像,禁止非授权人员进入,禁止客户竞争对手参观、进入;进入专区必须佩带身份卡,非授权人员禁止进入 服务器管理: 账号与分类:管理员最多2人,独立账号和密码,密码长度超10位,更改周期小6月,权限清单需备案日常管理:每周查看日志和升级病毒库,定期杀毒,巡查服务器做记录(《服务器巡查记录表》) 故障处理:规划部负责网络与硬件故障,科技管理部负责软件故障;故障恢复需填《服务器恢复记录表》 机房要求: 保持10 ~ 20℃温度,做好非管理员出入登记,定期巡检填写记录(《机房巡检记录表》) 公共盘: 公共盘设立要备案(信息安全管理办公室备案); 必须设置访问权限,权限设立要信息安全主管、业务主管批准;建立权限清单并备案信息安全办公室

新建-第二章-信息安全管理基础

第二章信息安全管理基础 一、判断题 1.Windows2000/xp系统提供了口令安全策略,以对帐户口令安全进行 保护。 2.口令认证机制的安全性弱点,可以使得攻击者破解合法用户帐户信息, 进而非法获得系统和资源访问权限。 3.PKI系统所有的安全操作都是通过数字证书来实现的。 4.PKI系统使用了非对称算法、对称算法和散列算法。 5.信息安全的层次化特点决定了应用系统的安全不仅取决于应用层安全机 制,同样依赖于底层的物理、网络和系统等层面的安全状况。 6.按照BS 7799标准,信息安全管理应当是一个持续改进的周期性过 程。 7.网络边界保护中主要采用防火墙系统,为了保证其有效发挥作用,应当 避免在内网和外网之间存在不经过防火墙控制的其他通信连接。 8.网络边界保护中主要采用防火墙系统,在内网和外网之间存在不经过防 火墙控制的其他通信连接,不会影响到防火墙的有效保护作用。

9.信息技术基础设施库(ITIL),是由英国发布的关于IT服务管理最佳实践的建议和指导方针,旨在解决IT服务质量不佳的情况。 10.美国国家标准技术协会NIST发布的《SP 800-30》中详细阐述了IT 系统风险管理内容。 11.防火墙在静态包过滤技术的基础上,通过会话状态检测技术将数据包的过滤处理效率大幅提高。 12.脆弱性分析技术,也被通俗地称为漏洞扫描技术。该技术是检测远程或本地系统安全脆弱性的一种安全技术。 二、单选题 1.下面所列的安全机制不属于信息安全保障体系中的事先保护环节。 A.杀毒软件 B.数字证书认证 C.防火墙 D.数据库加密 2.信息安全管理领域权威的标准是。 A.ISO 15408 B.ISO 17799/ISO 27001 C.ISO 9001

网络信息安全基础知识培训

网络信息安全基础知识培训 主要内容 网络信息安全知识包括哪些内容 培养良好的上网习惯 如何防范电脑病毒 如何安装杀毒软件 如何防范邮件病毒 如何防止QQ密码被盗 如何清除浏览器中的不明网址 各单位二级站点的安全管理 如何提高操作系统的安全性 基本网络故障排查 网络信息安全知识 包括哪些基本内容 (一)网络安全概述 (二)网络安全协议基础 (三)网络安全编程基础 (四)网络扫描与网络监听 (五)网络入侵 (六)密码学与信息加密 (七)防火墙与入侵检测 (八)网络安全方案设计 (九)安全审计与日志分析 培养良好的上网习惯 1、安装杀毒软件 2、要对安装的杀毒软件进行定期的升级和查杀 3、及时安装系统补丁 4、最好下网并关机 5、尽量少使用BT下载,同时下载项目不要太多 6、不要频繁下载安装免费的新软件 7、玩游戏时,不要使用外挂

8、不要使用黑客软件 9、一旦出现了网络故障,首先从自身查起,扫描本机 如何防范电脑病毒 (一)杜绝传染渠道 病毒的传染主要的两种方式:一是网络,二是软盘与光盘 建议: 1、不使用盗版或来历不明的软件,建议不要使用盗版的杀毒软件 2、写保护所有系统盘,绝不把用户数据写到系统盘上 3、安装真正有效的防毒软件,并经常进行升级 4、对外来程序要使用尽可能多的查毒软件进行检查(包括从硬盘、软盘、局域网、Internet、Email中获得的程序),未经检查的可执行文件不能拷入硬盘,更不能使用 5、尽量不要使用软盘启动计算机 6、一定要将硬盘引导区和主引导扇区备份下来并经常对重要数据进行备份,防患于未然 7、随时注意计算机的各种异常现象 8、对于软盘、光盘传染的病毒,预防的方法就是不要随便打开程序或安装软件、可以先复制到硬盘上,接着用杀毒软件检查一遍,再执行安装或打开命令 9、在使用聊天工具(如QQ、MSN)时,对于一些来历不明的连接不要随意点击;来历不明的文件不要轻易接收 (二)平时的积极预防,定期的查毒,杀毒 (三)发现病毒之后的解决办法 1、在解毒之前,要先备份重要的数据文件 2、启动反病毒软件,并对整个硬盘进行扫描 3、发现病毒后,我们一般应利用反病毒软件清除文件中的病毒,如果可执行文件中的病毒不能被清除,一般应将其删除,然后重新安装相应的应用程序 4、某些病毒在Windows状态下无法完全清除,此时我们应采用事先准备的干净的系统引导盘引导系统,然后在DOS下运行相关杀毒软件进行清除 备注:可以随时随地防护任何病毒反病毒软件是不存在的、随着各种新病毒的不断出现,反病毒软件必须快速升级才能达到杀除病毒的目的、具体来说,我们在对抗病毒时需要的是一种安全策略和一个完善的反病

信息安全教育培训

信息安全教育培训制度 为进一步提高网络管理人员对网络安全重大意义的认识,增强遵守规章制度和劳动纪律的自觉性,避免网络安全事故的发生,确保各项工作顺利进行,特制订本制度。 一、安全教育培训的目的 网络安全教育和培训不仅能提高员工对网络信息安全的认识,增强搞好信息安全责任感和法律意识,提高贯彻执行信息安全法律、法规及各项规章制度的自觉性,而且能使广大员工掌握网络信息安全知识,提高信息安全的事故预防、应急能力,从而有效地防止信息安全事故的发生,为确保网络安全创造条件。 二、培训制度 1、信息安全教育培训计划由信息中心根据年度工作计划作出安排。 2、成立信息安全教育学习小组,定期组织信息安全教育学习; 3、工作人员每年必须参加不少于15个课时的专业培训。 4、工作人员必须完成布置的学习计划安排,积极主动地参加信息中心组织的信息安全教育学习活动 组织本单位工作人员认真学习《网络安全制度》、《计算机信息网络安全保护》等业务知识,不断提高工作人员的理论水平。 (2)、负责对全员安全教育和培训。 (3)、定期的邀请上级有关部门和人员进行信息安全方面的培

训,提高操作员的防范能力。 2.计算机职业道德教育 (1)、工作人员要严格遵守工作规程和工作制度。 (2)、不得制造,发布虚假信息,向非业务人员提供有关数据资料。 (3)、不得利用计算机信息系统的漏洞偷窃资料,进行诈骗和转移资金。 (4)、不得制造和传播计算机病毒。 3.计算机技术教育 (1)、操作员必须在指定计算机或指定终端上进行操作。 (2)、管理员,程序维护员,操作员必须实行岗位分离,不得串岗,越岗。 (3)、不得越权运行程序,不得查阅无关参数。 (4)、发现操作异常,应立即向管理员报告。 三、培训方法: 1.结合专业实际情况,指派有关人员参加学习。 2.有计划有针对性,指派人员到外地或外单位进修学习。 3.举办专题讲座或培训班,聘请有关专家进行讲课。 4.自订学习计划,参加学习,学业优秀者给予奖励

银行信息安全管理基础知识

银行信息安全管理基础知识 一、银行信息安全威胁 随着银行信息建设的深入发展,银行全面进入了业务系统整合、数据大集中的新的发展阶段,经营的集约化和数据的集中化趋势一方面顺应了银行业务发展的要求,但是另一方面不可避免地导致了信息安全风险的集中。银行信息系统存在的信息安全威胁主要包括: 来自互联网的风险、外部机构的风险、不信任网络的风险、机构内部的风险、灾难性风险等五部分。 二、信息安全建设的原则及等级划分 (一)信息安全原则 信息安全是一项结合规划、管理、技术等多种因素的系统工程,是一个持续、动态发展的过程。技术是安全的主体,管理是安全的灵魂。只有将有效的安全管理实践自始至终贯彻落实于信息安全当中,网络安全的长期性和稳定性才能有所保证。 信息安全的原则:明确责任,共同保护;依照标准,自行保护;同步建设,动态调整;指导监督,重点保护。 ` (二 )信息安全等级介绍 信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息和公开信息,以及存储、传输、处理这些信息的信息系统分等级实行安全保护,对信息系统中使用的信息安全产品实行按等级管理,对信息系统中发生的信息安全事件分等级响应、处置。根据信息和信息系统在国家安全、经济建设、社会生活中的重要程度,遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度,针对信息的保密性、完整性和可用性要求及信息系统必须达到的基本安全保护水平等因素,信息系统的安全保护共分为五等级: 第一级为自主保护级 第二级为指导保护级

第三级为监督保护级 第四级为强制保护级 第五级为专控保护级 (二)》 (三)信息安全等级评估 决定信息系统重要性等级时应考虑以下因素: 1、系统所属类型,即信息系统的安全利益主体。 2、信息系统主要处理的业务信息类别。 3、系统服务范围,包括服务对象和服务网络覆盖范围。 4、业务依赖程度,或以手工作业替代信息系统处理业务的程度。 三、信息安全规划内容 (一)) (二)信息安全体系及其特点 信息安全体系包括安全管理体系和安全技术体系,两者是保障信息系统安全不可分割的两个部分,大多数情况下,技术和管理要求互相提供支撑以确保各自功能的正确实现。构建安全管理体系的主要目的是管理信息系统中各种角色的活动。通过文档化的管理体系,从政策、制度、规范、流程以及日志等方面监督、控制各类角色在系统日常运行维护工作中的各种活动。安全管理体系是由安全管理组织、人员安全管理、系统建设管理、系统运维管理和安全审计管理 5个部分组成。 安全技术体系的主要目的是为信息系统提供各种技术安全机制,主要是通过在信息系统中部署软硬件并正确地配置其安全功能来实现。 安全技术体系是由基础设施安全、网络安全、主机安全、应用安全和数据安全5个层面组成。 (三)建立信息安全管理体系(简称 ISMS),具体内容如下: 计划(PLAN):建立ISMS。建立ISMS的政策、目标、过程及相关程序以管理风险及改进信息安全,使结果与组织整体政策和目标相一致。

信息安全管理体系建设

a* ILIMOOH 佛山市南海天富科技有限公司信息安全管理体系建设咨询服务项目 时间:2015年12月

信息化建设引言 随着我国中小企业信息化的普及,信息化给我国中小企业带来积极影响的同时也带来了信息安全方面的消极影响。一方面:信息化在中小企业的发展程中,对节约企业成本和达到有效管理的起到了积极的推动作用。另一方面伴随着全球信息化和网络化进程的发展,与此相关的信息安全问题也日趋严 重。 由于我国中小企业规模小、经济实力不足以及中小企业的领导者缺乏信息安全领域知识和意识,导致中小企业的信息安全面临着较大的风险,我国中企业信息化进程已经步入普及阶段,解决我国中小企业的信息安全问题已经不容缓。 通过制定和实施企业信息安全管理体系能够规范企业员工的行为,保证各种技术手段的有效实施,从整体上统筹安排各种软硬件,保证信息安全体系同工作的高效、有序和经济性。信息安全管理体系不仅可以在信息安全事故生后能够及时采取有效的措施,防止信息安全事故带来巨大的损失,而更重的是信息安全管理体系能够预防和避免大多数的信息安全事件的发生。 信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的,由 新的威胁不断出现,信息安全管理是一个相对的、动态的过程,企业能做到的 就是要不断改进自身的信息安全状态,将信息安全风险控制在企业可接受的围之内,获得企业现有条件下和资源能力范围内最大程度的安全。 在信息安全管理领域,三分技术,七分管理”的理念已经被广泛接受。结合 ISO/IEC27001信息安全管理体系,提出一个适合我国中小企业的信息安全管理的模型,用以指导我国中小企业的信息安全实践并不断提高中小企业的安全管 理能力。 IS027001信息安全管理体系框架建立 ISO27001信息安全管理体系框架的搭建必须按照适当的程序来进行(如下

网络信息安全基础知识培训学习

主要内容 网络信息安全知识包括哪些内容 培养良好的上网习惯 如何防范电脑病毒 如何安装杀毒软件 如何防范邮件病毒 如何防止QQ密码被盗 如何清除浏览器中的不明网址 各单位二级站点的安全管理 如何提高操作系统的安全性 基本网络故障排查 网络信息安全知识包括哪些基本内容 (一)网络安全概述 (二)网络安全协议基础 (三)网络安全编程基础 (四)网络扫描与网络监听 (五)网络入侵 (六)密码学与信息加密 (七)防火墙与入侵检测 (八)网络安全方案设计 (九)安全审计与日志分析 培养良好的上网习惯 1、安装杀毒软件 2、要对安装的杀毒软件进行定期的升级和查杀

3、及时安装系统补丁 4、最好下网并关机 5、尽量少使用BT下载,同时下载项目不要太多 6、不要频繁下载安装免费的新软件 7、玩游戏时,不要使用外挂 8、不要使用黑客软件 9、一旦出现了网络故障,首先从自身查起,扫描本机 如何防范电脑病毒 (一)杜绝传染渠道 病毒的传染主要的两种方式:一是网络,二是软盘与光盘 建议: 1、不使用盗版或来历不明的软件,建议不要使用盗版的杀毒软件 2、写保护所有系统盘,绝不把用户数据写到系统盘上 3、安装真正有效的防毒软件,并经常进行升级 4、对外来程序要使用尽可能多的查毒软件进行检查(包括从硬盘、软盘、局域网、Internet、Email中获得的程序),未经检查的可执行文件不能拷入硬盘,更不能使用 5、尽量不要使用软盘启动计算机 6、一定要将硬盘引导区和主引导扇区备份下来并经常对重要数据进行备份,防患于未然 7、随时注意计算机的各种异常现象 8、对于软盘、光盘传染的病毒,预防的方法就是不要随便打开程序或安装软件、可以先复制到硬盘上,接着用杀毒软件检查一遍,再执行安装或打开命令 9、在使用聊天工具(如QQ、MSN)时,对于一些来历不明的连接不要随意点击;来历不明的文件不要轻易接收 (二)平时的积极预防,定期的查毒,杀毒 (三)发现病毒之后的解决办法

2020信息安全管理制度

信息安全管理制度 1.总则:为了切实有效的保证公司信息系统安全,提高信息系统为公司生产经营的服务能力,特制定信息系统相关管理制度,设定管理部门及专业管理人员对公司整体信息系统进行管理,以保证公司信息系统的正常运行。 2.范围 2.1 计算机网络系统由基础线路、计算机硬件设备、软件及各种终端设备的网络系统配置组成。 2.2 软件包括:PC操作系统、数据库及应用软件、有关专业的网络应用软件等。 2.3 终端机的网络系统配置包括终端机在网络上的名称,IP地址分配,用户登录名称、用户密码、U8设置、OA地址设置及Internet的配置等。 2.4 系统软件是指: 操作系统(如 WINDOWS XP等)软件。 2.5平台软件是指:设计平台工具(如AUTOCAD等)、办公用软件(如OFFICE)等平台软件。 2.6管理软件是指:生产和财务管理用软件(如用友U8软件)。 2.7基础线路是指:联系整个信息系统的所有基础线路,包括公司内部的局域网线路及相关管路。 3.职责 3.1 公司设立信息管理部门,直接隶属于分管生产副总经理,设部门经理一名。 3.2 信息管理部门为网络安全运行的归口部门,负责计算机网络系统的日常维护和管理。 3.3 负责系统软件的调研、采购、安装、升级、保管工作。 3.4 负责软件有效版本的管理。 3.5 信息管理部门为计算机系统、网络、数据库安全管理的归口管理部门。 3.6 信息管理人员负责计算机网络、办公自动化、生产经营各类应用软件的安全

运行;服务器安全运行和数据备份;internet对外接口安全以及计算机系统防病毒管理;各种软件的用户密码及权限管理;协助职能科室进行数据备份和数据归档(如财务、生产、设计、采购、销售等)。 3.7 信息管理人员执行企业保密制度,严守企业商业机密。 3.8员工执行计算机安全管理制度,遵守企业保密制度。 3.9系统管理员的密码必须由信息管理部门相关人员掌握。 3.10 负责公司网络系统基础线路的实施及维护。 4.管理 4.1网络系统维护 4.1.1 系统管理员每日定时对机房内的网络服务器、各类生产经营应用的数据库服务器及相关网络设备进行日常巡视,并填写《网络运行日志》〔附录A〕记录各类设备的运行状况及相关事件。 4.1.2 对于系统和网络出现的异常现象信息管理部应及时组织相关人员进行分析,制定处理方案,采取积极措施,并如实将异常现象记录在《网络运行日志》〔附录A〕。针对当时没有解决的问题或重要的问题应将问题描述、分析原因、处理方案、处理结果、预防措施等内容记录在《网络问题处理跟踪表》〔附录B〕上。部门负责人要跟踪检查处理结果。 4.1.3 定时对相关服务器数据备份进行检查。(包括对系统的自动备份及季度或年度数据的刻盘备份等) 4.1.4 定时维护OA服务器,及时组织清理邮箱,保证服务器有充足空间,OA系统能够正常运行。 4.1.5 维护Internet 服务器,监控外来访问和对外访问情况,如有安全问题,及时处理。 4.1.6 制定服务器的防病毒措施,及时下载最新的防病毒疫苗,防止服务器受病毒的侵害。 4.2 客户端维护 4.2.1 按照人事部下达的新员工(或外借人员)姓名、分配单位、人员编号为新的计算机用户分配计算机名、IP地址等。

信息安全培训及教育管理办法(含安全教育和培训记录表技能考核表)

信息安全培训及教育管理办法

第一章总则 第一条为了加强公司信息安全保障能力,建立健全公司的安全管理体系,提高整体的信息安全水平,保证网络通信畅通和业务系统的正常运营,提高网络服务质量,在公司安全体系框架下,本策略主要明确公司信息安全培训及教育工作的内容及相关人员的职责。对公司人员进行有关信息安全管理的理论培训、安全管理制度教育、安全防范意识宣传和专门安全技术训练;确保公司信息安全策略、规章制度和技术规范的顺利执行,从而最大限度地降低和消除安全风险。 第二条本策略适用于公司所有部门和人员。 第二章信息安全培训的要求 第三条信息安全培训工作需要分层次、分阶段、循序渐进地进行,而且必须是能够覆盖全员的培训。 第四条分层次培训是指对不同层次的人员,如对管理层(包括决策层)、信息安全管理人员,系统管理员和公司人员开展有针对性和不同侧重点的培训。 第五条分阶段是指在信息安全管理体系的建立、实施和保持的不同阶段,培训工作要有计划地分步实施;信息安全培训要采用内部和外部结合的方式进行。 一、管理层(决策层) 第六条管理层培训目标是明确建立公司信息安全体系的迫切性和重要性,获得公司管理层(决策层)有形的支持和承诺。

第七条管理层培训方式可以采用聘请外部信息安全培训、专业公司的技术专家和咨询顾问以专题讲座、研讨会等形式。 二、信息安全管理人员 第八条信息安全管理人员培训目标是理解及掌握信息安全原理和相关技术、强化信息安全意识、支撑公司信息安全体系的建立、实施和保持。 第九条信息安全管理人员培训方式可以采用聘请外部信息安全专业资格授证培训、参加信息安全专业培训、自学信息安全管理理论及技术和公司内部学习研讨的方式。 三、公司系统管理员 第十条公司系统管理员培训目标是掌握各系统相关专业安全技术,协助公司和各部门信息安全管理人员维护和保障系统正常、安全运行。 第十一条公司系统管理员培训方式可以采用外部和内部相结合的培训以及自学的方式。 四、公司人员 第十二条公司人员培训目标是了解公司相关信息安全制度和技术规范,有安全意识,并安全、高效地使用公司信息系统。 第十三条公司人员培训方式应主要采取内部培训的方式。

5步构建信息安全保障体系

5步构建信息安全保障体系 随着信息化的发展,政府或企业对信息资源的依赖程度越来越大,没有各种信息系统的支持,很多政府或企业其核心的业务和职能几乎无法正常运行。这无疑说明信息系统比传统的实物资产更加脆弱,更容易受到损害,更应该加以妥善保护。而目前,随着互联网和网络技术的发展,对于政府或企业的信息系统来讲,更是面临着更大的风险和挑战。这就使得更多的用户、厂商和标准化组织都在寻求一种完善的体系,来有效的保障信息系统的全面安全。于是,信息安全保障体系应运而生,其主要目的是通过信息安全管理体系、信息安全技术体系以及信息安全运维体系的综合有效的建设,让政府或企业的信息系统面临的风险能够达到一个可以控制的标准,进一步保障信息系统的运行效率。 通常所指的信息安全保障体系包含了信息安全的管理体系、技术体系以及运维体系。本文将重点介绍信息安全管理体系的建设方法。 构建第一步确定信息安全管理体系建设具体目标 信息安全管理体系建设是组织在整体或特定范围内建立信息安全方针和目标,以及完成这些目标所用方法的体系。它包括信息安全组织和策略体系两大部分,通过信息安全治理来达到具体的建设目标。 信息安全的组织体系:是指为了在某个组织内部为了完成信息安全的方针和目标而组成 的特定的组织结构,其中包括:决策、管理、执行和监管机构四部分组成。

信息安全的策略体系:是指信息安全总体方针框架、规范和信息安全管理规范、流程、制度的总和。策略体系从上而下分为三个层次: 第一层策略总纲 策略总纲是该团体组织内信息安全方面的基本制度,是组织内任何部门和人不能违反的,说明了信息安全工作的总体要求。 第二层技术指南和管理规定 遵循策略总纲的原则,结合具体部门、应用和实际情况而制定的较专业要求和方法以及技术手段。包括以下两个部分: 技术指南:从技术角度提出要求和方法; 管理规定:侧重组织和管理,明确职责和要求,并提供考核依据。 第三层操作手册、工作细则、实施流程 遵循策略总纲的原则和技术指南和管理规定,结合实际工作,针对具体系统,对第二层的技术指南和管理规定进行细化,形成可指导和规范具体工作的操作手册及工作流程,保证安全工作的制度化、日常化。 构建第二步确定适合的信息安全建设方法论 太极多年信息安全建设积累的信息安全保障体系建设方法论,也称 “1-5-4-3-4”。即:运用1个基础理论,参照5个标准,围绕4个体系,形成3道防线,最终实现4个目标。

信息安全基础知识培训考试答案

信息安全基础知识培训试题 姓名:部门:成绩: 一、填空题:每空4分共40分 1、电脑要定期更换(密码)、定期(杀毒),对不明邮件不要轻易(打 开)。 2、信息安全的基本特征是(相对性)、(时效性)、(复杂性)、配置相关性、攻击的不确定性。 3、(人)是信息安全中最关键的因素,同时也应该清醒的认识到人是信息 安全中最薄弱的环节。 4、绝对的(信息安全)是不存在的,每个网络环境都有一定程度的漏洞和(风险)。 5、信息安全管理中明确需要保护的对象包括内部员工、外部客户、服务供应商、产品供应商、(网络设备)、系统主机、工作站、PC机、操作 系统、业务应用系统、商业涉密数据、个人隐私数据、文档数据等。 二、多选题:每题5分共25分 1、信息安全三要素包括( A B C ) A 机密性 B 完整性 C 可用性 D 安全性 2、信息安全的重要性体现在以下方面(ABC) A 信息安全是国家安全的需要 B 信息安全是组织持续发展的需要

C 信息安全是保护个人隐私与财产的需要 D 信息安全是维护企业形象的需要 “上传下载”的应用存在的风险包括(ABC)在工作当中,、3. A 病毒木马传播 B 身份伪造 C 机密泄露 D 网络欺诈 4、客户端安全的必要措施包括( ABCDE ) A 安全密码 B 安全补丁更新 C 个人防火墙 D 应用程序使 用安全E防病毒 5、信息安全管理现状已有的措施包括( ABCD ) A 兼职的安全管理员 B 物理安全保护 C 机房安全管理制度 D资产管理制度 三、判断题:每题5分共35分 1、电子商务应用不可能存在账号失窃的问题。( X ) 2、为了信息安全,在使用密码时建议使用大写字母、小写字母、数字、特殊符号组成的密码。(√) 3、员工缺乏基本的安全意识,缺乏统一规范的安全教育培训是信息安全管理现状存在的问题之一。(√) 4、超过70%的信息安全事件,如果事先加强管理,都可以得到避免。(√) 5、由于许多信息系统并非在设计时充分考虑了安全,依靠技术手段实现安全很有限,必须依靠必要的管理手段来支持。(√) 6、企业需要建造一个全面、均衡的测量体系,用于评估信息安全管理的效用以及改进反馈建议。(√) 7、通过合理的组织体系、规章制度和控管措施,把具有信息安全保障功

7-信息安全培训与考核管理规定

信息安全培训与考核管理规定 第一章总则 第一条为了加强医院信息安全培训与考核工作,特制定本办 法。 第二条本办法适用医院信息安全培训与考核工作。 第二章目的和范围 第三条培训的目的:为提高单位职工普遍的安全意识,使单位职工充分了解信息化安全策略,掌握基本的安全防范方法,确保信息化系统的安全稳定运行。 第四条培训的人员范围: 全院职工: ●信息安全意识培训; ●安全策略、安全制度培训; ●信息化安全相关的法律法规培训; ●防病毒知识培训等。 信息化技术员工(信息化关键岗位技术员工):

计算机病毒及防治知识培训; ●安全攻防知识培训; ●操作系统的安全培训; ●安全运维、安全监控; ●主流安全设备的使用; ●安全管理培训等。: 第三章培训与考核的管理 第五条信息安全培训工作(包括培训需求收集、实施和记录等)由信息管理部门负责;信息管理部门定期向各科室、处属单位收集培训需求,组织培训并做好培训记录。 第六条针对信息化技术员工,提供脱岗培训方式。邀请信息化安全专业机构或者取得一定资质的主流安全设备供应商对信息化技术员工进行脱岗培训,以提高其自身水平。针对非信息化技术人员,提供在岗培训方式。定期或不定期由信息管理部门组织进行安全培训,从而提高安全意识和自我安全防护能力。 第四章培训内容 第七条计算机网络安全知识培训的内容包括但不仅限于:网络的基本安全对策、常见的信息网络安全问题、网络安全

隐患、信息系统安全风险管理的方法、计算机信息系统安全事故的查处和管理、计算机犯罪的防范等计算机网络安全保护的相关知识。另外其它方面: ●计算机的安全使用知识; ●信息安全策略、制度; ●信息化安全的相关法律、法规; ●计算机病毒及防治知识; ●安全攻防知识; ●主流安全设备使用和管理知识等。 第五章培训考核办法 第八条为提高培训效率,量化衡量培训质量,在每次培训后都要对参与培训人员进行考核。考核分为书面考核和应用考核方式。考核成绩不合格者,应限制其使用信息化平台,直至考核合格。 第九条培训记录的保存,为每一位职工建立培训记录表,主要记录以下内容: ●参与了哪些培训; ●培训的时长; ●培训的考核结果;

信息安全管理政策和业务培训制度(最新版)

( 安全管理 ) 单位:_________________________ 姓名:_________________________ 日期:_________________________ 精品文档 / Word文档 / 文字可改 信息安全管理政策和业务培训 制度(最新版) Safety management is an important part of production management. Safety and production are in the implementation process

信息安全管理政策和业务培训制度(最新 版) 第一章信息安全政策 一、计算机设备管理制度 1.计算机的使用部门要保持清洁、安全、良好的计算机设备工作环境,禁止在计算机应用环境中放置易燃、易爆、强腐蚀、强磁性等有害计算机设备安全的物品。 2.非我司技术人员对我司的设备、系统等进行维修、维护时,必须由我司相关技术人员现场全程监督。计算机设备送外维修,须经有关部门负责人批准。 3.严格遵守计算机设备使用、开机、关机等安全操作规程和正确的使用方法。任何人不允许带电插拨计算机外部设备接口,计算机出现故障时应及时向电脑负责部门报告,不允许私自处理或找非

我司技术人员进行维修及操作。 二、操作员安全管理制度 1.操作代码是进入各类应用系统进行业务操作、分级对数据存取进行控制的代码。操作代码分为系统管理代码和一般操作代码。代码的设置根据不同应用系统的要求及岗位职责而设置. 2.系统管理操作代码的设置与管理: (1)、系统管理操作代码必须经过经营管理者授权取得; (2)、系统管理员负责各项应用系统的环境生成、维护,负责一般操作代码的生成和维护,负责故障恢复等管理及维护; (3)、系统管理员对业务系统进行数据整理、故障恢复等操作,必须有其上级授权; (4)、系统管理员不得使用他人操作代码进行业务操作; (5)、系统管理员调离岗位,上级管理员(或相关负责人)应及时注销其代码并生成新的系统管理员代码; 3.一般操作代码的设置与管理 (1)、一般操作码由系统管理员根据各类应用系统操作要求生

信息安全管理体系建立方案

信息安全管理体系建立方案 (初稿) 信息技术部 2012年2月

随着企业的发展状大,信息安全逐渐被集团高层所重视,但直到目前为止还没有一套非常完善的信息安全管理方案,而且随着新技术的不断涌现,安全防护又如何能做到一劳永逸的坚守住企业信息安全的大门便成为每个信息技术部门永恒不变的课题。 作为天一药业集团的新兴部门,信息技术部存在的意义绝对不是简单的电脑维修,它存在的意义在于要为企业建设好信息安全屏障,保护企业的信息安全,同时通过信息交互平台,简化办公流程,提高工作效率,这才是部门存在的目的和意义,信息技术部通过不断的学习,研究,通过大量的调研,终于开始着手建立属于天一药业自己的信息堡垒。 企业信息安全主要包括了四个方面的容,即实体安全、运行安全、信息资产安全和人员安全,信息技术部将从这四个方面详细提出解决方案,供领导参考,评议。 一、实体安全防护: 所谓实体安全就是保护计算机设备、设施(含网络)以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故破坏的措施和过程。要想做好实体安全就必须要保证以下几点的安全: 1、环境安全: 每个实体都存在于环境当中,环境的安全对于实体来讲尤为重要,但对于环境来讲要想做到100%的安全那

是不现实的,因为环境是在不断的变化的,所以我们只能做到相对的安全,对于天一集团来讲,集团及各子厂所在的地理位置即称之为环境,计算机实体设备都存放于这个环境之中,所以要求集团及各子厂的办公楼要具备一定的防灾(防震,防火,防水,防盗等)能力。 机房作为服务器所在的环境,要求机房要具备防火、防尘、防水、防盗的能力,所以根据现用《机房管理制度》要求,集团现用机房的环境除不具备防尘能力外,基本上仍能满足环境安全条件。 2、设备及媒体安全: 计算机设备、设施(含网络)、媒体设备的安全需要具备一定的安全保障,而为了保障设备安全,首先需要确定设备对象,针对不同的管理设备制订相应的保障条例,比如计算机设备的管理条例中就应该明确规定里面的散件也应属于固定资产,应对散件加强管理,每次固定资产盘点时应仔细核对其配置信息,而不是只盘点主机数量。同时为了保障机器中配件的安全,需要对所有设备加装机箱锁,由信息技术部,行政部共同掌握钥匙。 散件的使用情况必须建立散件库台帐,由信息技术部管理,行政部将对信息部进行监督。 对于移动设备(笔记本、移动硬盘、U盘等)不允许带离集团,如必须带离集团需要经信息部、行政

信息安全管理体系iso27基本知识

信息安全管理体系ISO27000认证基本知识 一、什么是信息安全管理体系 信息安全管理体系是在组织内部建立信息安全管理目标,以及完成这些目标所用方法的体系。 ISO/LEC27001是建立、实施和维持信息安全管理体系的标准,通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础,选择控制目标与控制方式等活动建立信息安全管理体系。 二、信息安全的必要性和好处 我国信息安全管理专家沈昌祥介绍,对于我国软件行业,病毒木马、非法入侵、数据泄密、服务瘫痪、漏洞攻击等安全事件时有发生,80%信息泄露都是由内或内外勾结造成,所以建立信息安全管理体系很有必要。 1、识别信息安全风险,增强安全防范意识; 2、明确安全管理职责,强化风险控制责任; 3、明确安全管理要求,规范从业人员行为; 4、保护关键信息资产,保持业务稳定运营; 5、防止外来病毒侵袭,减小最低损失程度; 6、树立公司对外形象,增加客户合作信心; 7、可以得到省信息产业厅、地方信息产业局、行业主管部门、中小企业局 等政府机构的补贴,补贴额度不少于企业建立ISO27001体系的投入费用 (包含咨询认证过程)。 (信息安全管理体系标准2005年改版后的ISO/LEC27001共有133个控制点,39个控制措施,11个控制域。其中11个控制域包括:1)安全策略2)信息安全的组织3)资产管理4)人力资源安全5)物理和环境安全6)通信和操作管理7)访问控制8)系统采集、开发和维护9)信息安全事故管理10)业务连续性管理11)符合性) 三、建立信息安全体系的主要程序 建立信息安全管理体系一般要经过下列四个基本步骤 ①信息安全管理体系的策划与准备; ②信息安全管理体系文件的编制; ③信息安全管理体系运行; ④信息安全管理体系审核、评审和持续改进。

信息安全教育培训管理制度

信息安全教育培训管理制度 第一条为加强我局信息安全建设,提高全体税务干部的信息安全意识和技能,保障我局信息系统安全稳定的运行,特制定本制度。 第二条信息安全培训旨在强化我局全体税务干部的信息安全意识,使之明确信息安全是每个人的责任,并掌握其岗位所要求的信息安全操作技能。 第三条针对不同的培训对象进行分层次的培训,信息安全培训分为管理层培训、技术层培训和普通用户层培训三个层面,分层培训内容的参考范围和需达到的标准如下: 一、管理层信息安全培训 (一)对象:市局、各区县局的各级领导。 (二)内容:宏观信息安全管理理念及高级信息安全管理知识。 (三)标准:使管理层人员能够了解其信息安全职责,具备其工作所需的信息安全管理知识和信息安全管理能力。 二、技术层信息安全培训 (一)对象:各级信息化管理部门的各类技术管理人员。 (二)内容:系统安全策略;内部和外部攻击的检测;常用计算机及网络安全保护手段、日常工作中需要注意的信息安全方面的事

项;《北京市地方税务局信息系统安全管理框架》下包括的所有制度内容。 (三)标准:使技术层人员能够了解其所从事岗位的信息安全职责,熟悉与其工作相关的各项信息安全制度,具备工作所需的信息安全知识和技能。 三、普通用户层信息安全培训 (一)对象:全局的普通计算机用户。 (二)内容:所在岗位的信息安全职责;计算机病毒预防和查杀的基本技能;计算机设备物理安全知识和网络安全常识;《北京市地方税务局信息系统安全管理框架》下的所有普通用户应掌握和了解的制度内容。 (三)标准:使普通用户了解其信息安全职责,熟悉与工作相关的各项信息安全制度,具备工作所需的信息安全知识和技能。 第四条各单位信息安全管理部门和人事教育部门负责每年制定管理层和普通用户层的信息安全培训计划

信息安全管理手册范本

信息安全管理手册 (一)发布说明 为了落实国家与XX市网络信息安全与等级保护的相关政策,贯彻信息安全管理体系标准,提高XXXX信息安全管理水平,维护XXXX电子政务信息系统安全稳定可控,实现业务信息和系统服务的安全保护等级,按照ISO/IEC 27001:2005《信息安全管理体系要求》、ISO/IEC 17799:2005《信息安全管理实用规则》,以及GB/T 22239-2008《信息系统安全等级保护基本要求》,编制完成了XXXX信息安全管理体系文件,现予以批准颁布实施。 信息安全管理手册是纲领性文件,是指导XXXX等各级政府部门建立并实施信息安全管理体系的行动准则,全体人员必须遵照执行。 信息安全管理手册于发布之日起正式实施。 XXXX 局长 _________________ 年月日 (二)授权书 为了贯彻执行ISO/IEC 27001:2005《信息安全管理体系要求》、ISO/IEC 17799:2005《信息安全管理实用规则》,以及GB/T 22239-2008《信息系统安全等级保护基本要求》,加强对信息安全管理体系运作的管理和控制,特授权XXXX 管理XX市政务信息安全工作,并保证信息安全管理职责的独立性,履行以下职责:

?负责建立、修改、完善、持续改进和实施XX市政务信息安全管理体系; ?负责向XXXX主任报告信息安全管理体系的实施情况,提出信息安全管理体系改进建议,作为管理评审和信息安全管理体系改进的基础; ?负责向XXXX各级政府部门全体人员宣传信息安全的重要性,负责信息安全教育、培训,不断提高全体人员的信息安全意识; ?负责XXXX信息安全管理体系对外联络工作。 (三)信息安全要求 1.具体阐述如下: (1)在XXXX信息安全协调小组的领导下,全面贯彻国家和XX市关于信息安全工作的相关指导性文件精神,在XXXX建立可持续改进的信息安全管理体系。 (2)全员参与信息安全管理体系建设,落实信息安全管理责任制,建立和完善各项信息安全管理制度,使得信息安全管理有章可循。 (3)通过定期地信息安全宣传、教育与培训,不断提高XXXX所有人员的信息安全意识及能力。 (4)推行预防为主的信息安全积极防御理念,同时对所发生的信息安全事件进行快速、有序地响应。 (5)贯彻风险管理的理念,定期对“门户”等重要信息系统进行风险评估和控制,将信息安全风险控制在可接受的水平。 (6)按照PDCA精神,持续改进XXXX信息安全各项工作,保障XXXX电子政务外网安全畅通与可控,保障所开发和维护信息系统的安全稳定,为XXXX所有企业和社会公众提供安全可靠的电子政务服务。 2.信息安全总体要求 (1)建立XXXX信息化资产(软件、硬件、数据库等)目录。 (2)“门户”信息系统,按照等级保护要求进行建设和运维。各单位自建的网络、和信息系统参照执行。

信息安全基础知识培训试题

信息安全基础知识培训试题 一、 填空题:每空 分共 ?分 、电脑要定期更换(密码 )、定期( 杀毒),对不明邮件不要轻易(打开 )。 、信息安全的基本特征是(相对性)、(时效性)、 (复杂性)、配置相关性、攻击的不确定性。 、 ?人 ?是信息安全中最关键的因素,同时也应该清醒的认识到人是信息安全中最薄弱的环节。 、绝对的?信息安全 ?是不存在的,每个网络环境都有一定程度的漏洞和(风险 )。 、 信息安全管理中明确需要保护的对象包括内部员工、外部客户、服务供应商、产品供应商、 (网络设备)、系统主机、工作站、 ?机、操作系统、业务应用系统、商业涉密数据、个人隐私数据、文档数据等。 二、多选题:每题5分共 ?分 、 信息安全三要素包括( ? ) ? 机密性 完整性 可用性 安全性 、信息安全的重要性体现在以下方面(AB ) ? 信息安全是国家安全的需要 ? 信息安全是组织持续发展的需要 信息安全是保护个人隐私与财产的需要 ? 信息安全是维护企业形象的需要 、 在工作当中,“上传下载”的应用存在的风险包括(ABC) ? 病毒木马传播 身份伪造 机密泄露 网络欺诈

、客户端安全的必要措施包括( ????? ) ?安全密码 安全补丁更新 个人防火墙 应用程序使用安全 E防病毒 、信息安全管理现状已有的措施包括( ???? ) ? 兼职的安全管理员 物理安全保护 机房安全管理制度 资产管理制度 三、判断题:每题 分共 ?分 、电子商务应用不可能存在账号失窃的问题。( ? ) 、为了信息安全,在使用密码时建议使用大写字母、小写字母、数字、特殊符号组成的密码。( √ ) 、员工缺乏基本的安全意识,缺乏统一规范的安全教育培训是信息安全管理现状存在的问题之一。(√) 、超过 ??的信息安全事件,如果事先加强管理,都可以得到避免。(√) 、由于许多信息系统并非在设计时充分考虑了安全,依靠技术手段实现安全很有限,必须依靠必要的管理手段来支持。(√) 、企业需要建造一个全面、均衡的测量体系,用于评估信息安全管理的效用以及改进反馈建议。( √ ) 、通过合理的组织体系、规章制度和控管措施,把具有信息安全保障功能的软硬件设施和管理以及使用信息的人整合在一起,以此确保整个组织达到预定程度的信息安全,称为信息安全管理。( ? )

相关文档