高中信息技术必修2 信息系统安全 知识清单（浙教版）

高中信息技术必修2信息系统安全知识清单（浙教版）一、个人信息安全与保护（一）【基础】个人信息的界定与分类在数字时代，个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。根据其敏感程度和对信息主体的影响程度，通常可以分为两类：1.个人敏感信息：指一旦遭到泄露、非法提供或滥用，可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。【非常重要】【高频考点】这类信息包括但不限于：身份证号码、手机号码、宗教信仰、政治观点、基因信息、指纹、虹膜、金融账户、行踪轨迹等。例如，在手机拍照时开启定位服务，照片的EXIF信息中就会包含经纬度坐标，这属于行踪轨迹信息，是典型的个人敏感信息。2.个人一般信息：指除个人敏感信息以外的个人信息，如姓名、性别、工作单位、毕业院校等。虽然这些信息单独看敏感度不高，但与其他信息结合后，同样可能识别出特定个人，因此也需加以保护。（二）【难点】个人信息泄露的主要渠道与危害▲个人信息泄露的渠道复杂多样，理解这些渠道是有效防护的前提。1.注册与使用过程的无意泄露：这是最常见的信息泄露渠道。用户在注册网站、APP账号，参与线上问卷调查、有奖竞猜或扫二维码点餐时，往往需要提交大量个人信息。如果接收方数据保护措施不力或存在恶意动机，这些信息极易被泄露或倒卖。2.网络交流与活动中的恶意窃取：用户在社交平台聊天、使用搜索引擎、进行网络购物时，其行为数据可能被非法爬取或通过“数据劫持”技术窃取。此外，连接不安全的公共WiFi，可能导致网络数据被监听（中间人攻击）；在人肉搜索事件中，网民通过各个渠道拼凑并公布他人的隐私信息，也是严重的泄露渠道。3.移动终端APP的越权读取：智能手机APP在运行时，会申请各种系统权限（如通讯录、短信、通话记录、相册、麦克风、地理位置）。【重要】恶意APP或过度索权的APP会收集超出其服务范围的个人信息。例如，一个手电筒应用请求读取通讯录权限，显然存在数据滥用的风险。4.泄露的危害：轻则导致个人及家庭遭受垃圾短信、骚扰电话的轰炸，隐私被公开于网络；重则被不法分子用于电信诈骗、敲诈勒索、网络借贷甚至洗钱等犯罪活动，给受害者带来巨大的经济损失和精神伤害。（三）个人信息的保护途径与策略保护个人信息需要国家、行业和个人三个层面的协同努力，其中个人意识的提升是最后一道也是最关键的防线。1.国家立法保护：国家通过制定和完善相关法律法规，如《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》等，确立个人信息收集、使用的规则，明确各方主体的权利和义务，并为信息主体提供司法和行政救济途径。2.行业自律规范：相关行业协会和组织制定行业规范、行为准则，引导企业合法合规地收集和使用用户信息，通过行业内部的监督和约束机制，实现对个人信息的保护。3.个人信息安全意识提升：【核心素养】【实践指导】作为数字公民，必须养成良好的信息安全习惯。1.4.密码管理：定期修改重要账户的口令，避免使用生日、电话号码等简单易猜的密码。不同平台使用不同的高强度密码，并考虑使用密码管理软件。2.5.谨慎分享：不随意在不可信的网站或表单中提供个人及亲属的敏感信息。在社交媒体分享照片时，注意检查是否包含家庭住址、证件等背景信息。3.6.权限管理：在安装和使用手机APP时，仔细审视其申请的权限，关闭不必要的、超出功能的权限（如禁止手电筒APP读取通讯录）。4.7.设备锁定：养成离开电脑或放下手机时立即锁屏的习惯，防止他人在未经授权的情况下访问设备中的信息。5.8.应急响应：一旦发现个人信息被泄露或盗用，应立即收集证据（如截图、录屏），第一时间报警，并通过官方渠道进行挂失、冻结账户等操作，必要时通过法律途径维护自身权益。二、信息社会责任与法律法规（一）【基础】数字公民的内涵与素养数字公民是指能够安全地、合法地、符合道德规范地使用数字化信息和工具的人。【重要】一个合格的数字公民，不仅需要具备较高的数据意识和计算思维能力，能够运用信息技术解决实际问题，更要理解信息技术对社会的影响，在享受技术便利的同时，承担起相应的义务和责任。提升全民数字公民素养的最有效途径是持续的教育培训和实践引导。（二）【高频考点】知识产权保护知识产权是法律规定的人们对于自己创造或拥有的智力成果所享有的各种权利的总称，包括人身权利和财产权利。1.信息技术领域的知识产权：主要涉及对微电子设备（芯片）、计算机设备、通信设备等硬件设计的保护，以及对计算机软件代码、算法、用户界面等原创成果的保护。2.软件知识产权：开发者设计开发的计算机软件，自开发完成之日起即自动获得法律保护，无论是否发表或登记。【易错点】使用者应自觉使用正版软件，抵制盗版及未经授权的软件、传播和修改。未经软件版权人许可，对其软件进行反向工程、商业性转让或销售等，均构成侵权。3.开源软件的认识误区：【难点】开源软件（OpenSourceSoftware）强调源代码的公开、自由使用、修改和分发，但这并不意味着没有任何约束。它必须遵循特定的“开源许可证”（如GPL、MIT、ApacheLicense等）。开源模式的意义在于通过开放协作提升代码质量和创新能力，但使用者在引用和修改开源代码时，同样需要遵守相应许可证的规定，如保留版权信息、公开修改后的源代码等。（三）自媒体时代的道德责任以个人传播为主的新媒体时代，赋予了公众前所未有的通信自由权、信息传播自由权和信息选择权。然而，权利与责任相伴相生。自媒体用户在享有这些权利的同时，必须承担起道德和法律上的责任。1.自律与素养：在传播信息时，要提升自律能力，加强自身的新闻素养和媒介素养，对信息的真实性、客观性进行核实。2.传播伦理：遵循传播伦理规范，不制造和传播谣言、虚假信息、低俗内容和网络暴力，不侵犯他人的名誉权、隐私权。避免不良信息的产生和扩散，共同维护清朗的网络空间。三、信息系统安全的核心技术（一）【核心】【高频考点】数据加密与安全数据加密是保障信息机密性、完整性和不可否认性的核心技术手段。一个基本的密码系统由以下五部分组成：明文、密文、加密算法、解密算法和密钥。1.密钥的概念：【重要】密钥（Key）是在密码算法中引入的控制参数。对于同一个加密算法，使用不同的密钥值进行运算，得到的加密结果是完全不同的。这就像凯撒密码中的位移量K，不同的K值对应着不同的密文字母表。2.对称加密与非对称加密：【非常重要】【必考】根据加密密钥（Ke）和解密密钥（Kd）是否相同，密码体制分为两类：1.3.对称加密（SymmetricCryptography）：Ke=Kd。加密和解密使用同一个密钥。其优点是算法公开、计算量小、加密速度快，适合对大量数据进行加密。缺点是密钥管理困难，在开放式系统中如何安全地传输密钥是一个难题。典型算法：DES、AES。2.4.非对称加密（AsymmetricCryptography）：Ke≠Kd。它使用一对密钥：一个是可以公开的公钥（PublicKey），另一个是必须保密的私钥（PrivateKey）。用公钥加密的数据只能用对应的私钥解密，反之亦然。其优点是密钥管理简单，解决了密钥分发问题，并能提供数字签名功能。缺点是加密速度慢，通常用于加密少量关键数据或数字签名。典型算法：RSA。5.经典简单加密算法：1.6.替代密码（SubstitutionCipher）：按照一定规则将明文中的每个字符替换成另一个字符。最著名的例子是凯撒密码（CaesarCipher），它将字母表中的每个字母移动固定的位数（密钥）。由于加密和解密密钥相同，属于对称加密。2.7.换位密码（TranspositionCipher）：不改变明文中的字符本身，只按照一定的规则重新排列字符的顺序（即打乱位置）。最简单的例子是将字符串逆序书写。解密过程就是按照相同的规则恢复原有顺序。3.8.简单异或加密（XORCipher）：【计算思维】【编程基础】利用二进制位运算中的“异或”规则（相同为0，不同为1）进行加密。其原理是：明文与密钥进行异或运算得到密文；将密文与同一个密钥再次进行异或运算，即可恢复出明文（P⊕K=C,C⊕K=P）。这也是一种对称加密算法。在实际应用中，通常使用一个较长的密钥流与明文数据进行异或，以增强安全性。9.【拓展】加密技术的应用场景：除了数据存储加密外，在网络通信中，加密技术被广泛应用于构建安全传输通道，如HTTPS协议中的SSL/TLS协议，就综合运用了非对称加密（交换对称密钥）和对称加密（加密传输数据）的优势。数字签名则利用非对称加密的私钥签名、公钥验签机制，保证信息的来源和完整性。（二）【核心】【高频考点】身份认证与访问控制身份认证和访问控制是信息系统安全的两道重要关卡，分别解决“你是谁”和“你能做什么”的问题。【重要】1.身份认证（Authentication）：是用户在进入系统或访问受限数据资源时，系统对用户身份进行鉴别的过程。它防止非授权用户进入系统。主要技术有三类：1.2.基于共享密钥的认证：最常见的是“用户名+口令”方式。优点是操作简单、成本低。细分为静态口令（固定密码）和动态口令（如短信验证码、动态口令牌，一次一密，安全性更高）。2.3.基于生物特征的认证：利用人体唯一的、不可的生理特征或行为特征进行识别。【热点】包括指纹识别、人脸识别、虹膜识别、声纹识别等。优点是防伪性能好、便捷。3.4.基于物理实体的认证：最常见的是USBKey认证（如银行的U盾）。它内置微处理器，采用“软硬件结合、一次一密”的双因子认证模式，极大地提高了安全性，解决了安全性与易用性之间的矛盾。5.访问控制（AccessControl）：是系统对用户身份及其所属的预先定义的策略组，限制其使用数据资源的手段。1.6.三要素：【基础】主体（Subject，即提出访问请求的发起者，通常是用户或进程）、客体（Object，即被访问的资源，如文件、数据库、程序）、控制策略（Attribution/Authorization，即主体对客体的操作权限集合，如读取、写入、执行、删除、拒绝访问）。2.7.基本功能：【重要】保证合法用户访问受保护的系统资源，防止非法用户访问，以及防止合法用户进行越权操作（例如，普通员工无法访问财务系统的薪资数据）。3.8.用户账户管理：系统管理员通过设置不同用户的权限级别，对数据安全进行精细化管理，确保用户仅拥有完成其工作所必需的最小权限（最小特权原则）。四、信息系统面临的威胁与防护（一）【高频考点】计算机病毒及其防治1.病毒的定义与特征：计算机病毒是指人为编制的，能够破坏计算机功能或者毁坏数据，影响计算机系统使用，并能自我的一组计算机指令或程序代码。【非常重要】其主要特征包括：1.2.传染性（自我和传播到其他程序或系统）。2.3.寄生性（通常依附在正常文件中）。3.4.隐蔽性（采用多种技术隐藏自身，不易被发现）。4.5.潜伏性（感染后不会立即发作，等待特定条件触发）。5.6.破坏性（占用系统资源、删除文件、窃取数据等）。6.7.可触发性（当满足预设条件时，如特定日期，才激活破坏模块）。8.病毒的危害表现：系统运行速度显著减慢、无故死机或重启、文件莫名丢失或损坏、存储容量异常减少、屏幕出现异常显示、网络流量异常、自动发送邮件或信息等。9.【实践】病毒防治手段：【重要】1.10.技术防御：安装并开启防火墙，安装具有实时监控功能的防病毒软件并定期更新病毒库，及时为操作系统和应用软件安装安全补丁。2.11.数据备份：经常对系统和重要的数据进行备份，并将备份副本离线保存，以防勒索病毒加密。3.12.行为规范：不随意连接公共WiFi，不接受陌生人的文件传输请求，保证内容来源的安全性，收到乱码或可疑信息后及时删除，不点击不明链接。（二）【难点】漏洞及其防护1.漏洞的定义：漏洞是指一个系统（包括硬件、软件、协议、策略等）在设计、实现、运行或管理过程中存在的缺陷或弱点。【重要】漏洞本身并不会造成危害，但它可能被恶意主体利用，从而对系统安全造成威胁。漏洞可能来自应用软件或操作系统的编码错误，也可能来自系统逻辑流程上的不合理，甚至是程序员为了方便调试而预留的“后门”。2.后门（TrapDoor/Backdoor）：漏洞中的一种特殊形式。它通常是程序员为了调试或维护方便而故意留下的、能够绕过正常安全认证的入口。入侵者在成功攻击系统后，也可能会植入后门，以便日后能够再次轻松进入系统。3.漏洞的防护与管理：【重要】1.4.主动发现：系统管理员应经常使用安全监测与扫描工具（如漏洞扫描器）来检测系统和网络中的安全薄弱环节。2.5.及时修补：关注软件厂商发布的安全公告和补丁，第一时间对已知漏洞进行修复。3.6.纵深防御：使用防火墙阻止未经授权的访问，部署入侵检测系统（IDS）实时监控网络异常行为，及时发现和阻断利用漏洞的攻击。4.7.数据备份：在被攻击后能及时恢复系统，将损失降到最低。（三）防火墙技术1.防火墙的定义与功能：防火墙是位于内部网络与外部网络（如互联网）之间，或公共网络与专用网络之间的一道安全保护屏障。【基础】它通过执行预定的访问控制策略，对经过的网络通信进行筛选，目的是允许合法的、授权的通信通过，阻止非法的、潜在的恶意通信进入内部网络，从而保护内部网络资源的安全。2.防火墙的组成与分类：防火墙可以是纯软件的（如Windows系统自带防火墙），也可以是硬件和软件组合而成的复杂系统。1.3.按技术分类：数据包过滤防火墙、状态检测防火墙、代理服务器防火墙（应用层网关）、地址转换防火墙（NAT）。2.4.按形态分类：软件防火墙、硬件防火墙。五、信息系统的安全管理模型（一）【思维拓展】技术与管理的辩证关系在信息系统的安全防护中，技术是基础，是执行安全策略的工具和手段；管理是灵魂，是贯穿安全始终的流程和保障。一个信息安全系统不仅是技术过程，更是管理过程。【非常重要】高水平的管理能够弥补技术的不足，而混乱的管理则会使最先进的技术形同虚设。因此，构建信息系统安全体系，必须坚持“技术与管理并重”的原则。（二）【综合】安全管理的全生命周期信息系统安全管理是一个动态、闭环的过程，可以类比于校园安全防护，划分为三个关键阶段：【重要】1.事先防御阶段（事前）：核心是“预防”。目标是尽可能降低风险发生的可能性。主要措施包括网络隔离、访问控制、数据加密传输、身份认证、制定安全策略、进行人员安全意识培训等。对应校园的围墙、门禁和保安核查。2.实时监测阶段（事中）：核心是“发现”。目标是实时感知系统的运行状态，及时发现正在发生的攻击或异常行为。主要措施包括病毒监控、入侵检测系统（IDS）、用户行为分析、日志审计、网络流量监控等。对应校园的视频监控和保卫巡逻。3.事后响应阶段（事后）：核心是“恢复与改进”。目标是控制事件影响、恢复系统运行、追溯攻击源头、完善防御体系。主要措施包括事件报警、应急响应、系统修复、数据恢复、电子取证、攻击溯源、责任认定、修订安全策略和加固系统。对应校园的报警急救和事故问责。六、综合素养与备考指导（一）【高频考点】核心概念辨析1.口令（Password）vs密码（Cipher）：在日常语境中，我们常把登录账号的“口令”称为“密码”，但在专业领域，两者有严格区别。口令用于用户身份认证，是进入系统的钥匙；而密码是用于对信息进行加密变换的代码或算法，是保护信息内容机密性的工具。2.身份认证vs访问控制：身份认证是访问控制的前置条件，它先确认用户的合法身份；访问控制是在身份确认后，进一步决定该用户能对哪些资源做什么