《管理信息系统》课件-第8章信息系统安全

第8章信息系统安全管理信息系统原书第17版为什么信息系统容易受到破坏、出错和被滥用？安全与控制的商业价值是什么？安全与控制的组织框架有哪些组成要素？保护信息资源最重要的工具和技术有哪些？MIS如何有助于我的职业发展？学习目标电网成为网络战争的战场业务挑战大型复杂基础设施众多接入点不稳定的安全性解决方案发布安全标准和指南监控电网攻击美国政府对策关于恶意软件和社会工程策略的教育电网成为网络战争的战场黑客利用不稳定的安全和控制来攻击美国电网展示信息技术系统的漏洞说明了组织需要特别注意信息系统安全的一些原因系统容易受到破坏的原因安全用于防止未经授权的访问、篡改、盗窃或对信息系统的物理损坏的政策、程序和技术措施控制确保组织资产安全的方法、政策和组织程序；会计记录的准确性、可靠性；并在操作上遵守管理标准系统容易受到破坏的原因网络的可访问性硬件问题（故障、配置错误、使用不当或犯罪造成的损坏）软件问题（编程错误、安装错误、未经授权的更改）灾害使用企业控制之外的网络/计算机便携式设备丢失和被盗图8-2当前的安全挑战和漏洞互联网的弱点网络向任何人开放；规模之大意味着滥用职权可以产生广泛的影响与互联网相连的企业网络更加脆弱电子邮件、即时通讯和P2P增加了脆弱性电子邮件：带有恶意软件的附件；能否用于传输商业秘密、机密数据IM：进入安全网络的后门P2P：可以传输恶意软件，暴露企业数据无线网络的安全挑战蓝牙和Wi-Fi网络容易受到黑客攻击易于扫描的无线电频带SSIDs（服务集标识符）识别接入点，广播多次，可以通过嗅探程序识别抵御驾驶攻击窃听者通过建筑物驱动，并试图检测安全数据并获得访问网络和资源的权限一旦接入点被攻破，入侵者就可以访问网络驱动器和文件非法接入点图8-3

Wi-Fi的安全挑战恶意软件：病毒、蠕虫、特洛伊木马和间谍软件恶意软件（恶意软件）计算机病毒蠕虫蠕虫和病毒通过下载和免费下载电子邮件，IM附件移动设备恶意软件社交网络恶意软件恶意软件：病毒、蠕虫、特洛伊木马和间谍软件特洛伊木马SQL注入攻击勒索软件间谍软件关键伐木者其他类型重置浏览器主页重定向搜索请求占用内存使计算机性能变慢黑客与计算机犯罪黑客vs骇客活动包括：系统入侵系统损坏恶意破坏网络故意破坏、污损、破坏网站或企业信息系统电子欺骗和嗅探黑客与计算机犯罪拒绝服务攻击（DOS）分布式拒绝服务攻击（DDOS）僵尸网络垃圾邮件黑客与计算机犯罪美国司法部将计算机犯罪定义为任何涉及计算机技术知识的犯罪、调查或起诉的违法行为。计算机可能成为犯罪的目标计算机可能是犯罪的工具黑客与计算机犯罪身份盗窃网络钓鱼邪恶的双胞胎嫁接点击欺诈网络恐怖主义网络战内部威胁：员工安全威胁通常来自组织内部内部知识保安程序草率用户缺乏知识社会工程最终用户和信息系统专家都是风险的来源第一资本金融企业：云端大额银行盗窃案案例分析题1.哪些管理、组织和技术因素导致了第一资本遭到黑客攻击？2.这是内部黑客攻击吗？解释你的答案。3.本可以采取哪些措施来防止第一资本遭到黑客攻击？4.处理敏感数据的企业是否应该使用云计算服务？解释你的答案。☉互动讨论：技术软件漏洞商业软件包含会造成安全漏洞的缺陷bug（程序代码缺陷）不可能实现零缺陷漏洞会使网络向入侵者敞开大门零日漏洞补丁和补丁管理：修复软件缺陷微处理器设计中的漏洞：Spectre，Meltdown安全与控制的商业价值故障的计算机系统可能导致业务功能的重大或全部损失企业现在比以往任何时候都更加脆弱保密的个人和财务数据商业秘密，新产品，战略一个安全漏洞几乎会立即降低企业的市场价值不充分的安全和控制也带来了责任问题电子档案管理的法律和监管要求HIPAA医疗安全和隐私规则和程序《金融服务现代化法案》法案要求金融机构确保客户数据的安全性和保密性萨班斯-奥克斯利法案规定企业及其管理层有责任保障内部使用和对外发布的财务信息的准确性和完整性电子证据和计算机取证电子证据白领犯罪的证据通常是数字形式的适当的数据控制可以节省时间和金钱，当响应法律发现请求计算机取证从计算机存储介质中收集、检查、鉴定、保存和分析用作法庭证据的数据的科学方法环境数据恢复信息系统控制是自动的还是手动的总体控制在整个组织中管理计算机程序的设计、安全性和使用以及数据文件的安全性软件控制、硬件控制、计算机操作控制、数据安全控制、系统开发控制、管理控制应用控制控制独特的每个计算机应用程序输入控制，处理控制，输出控制风险评估如果特定的活动或过程没有得到适当的控制，确定企业的风险水平威胁类型年内发生的概率潜在损失，威胁价值预计年损失表8-5在线订单处理系统风险评估安全策略对信息风险进行排序，确定安全目标和实现这些目标的机制推动其他政策可接受使用政策（AUP）定义企业信息资源和计算设备的可接受用途身份管理识别有效用户控制访问图8-4人事系统的访问规则故障恢复与业务持续规划故障恢复计划制定恢复中断服务的计划业务持续计划专注于灾后恢复业务运营这两种计划都需要确定企业最关键的系统业务影响分析，以确定中断的影响管理层必须确定首先恢复哪些系统审计的作用信息系统审计检查企业的整体安全环境以及控制个人信息系统安全审计审查技术、程序、文件、培训和人员甚至可以模拟灾难来测试反应列出和排序控制的弱点和发生的概率评估每个威胁对财务和组织的影响图8-5控制措施缺陷审计清单样例保护信息资源最重要的工具和技术身份管理软件自动跟踪所有用户和特权认证用户，保护身份，控制访问身份验证密码系统令牌智能卡生物认证技术双因素身份验证保护信息资源最重要的工具和技术防火墙硬件和软件的组合，防止未经授权的用户访问专用网络信息包过滤有状态的检查网络地址转换（NAT）应用程序代理过滤图8-6企业防火墙保护信息资源最重要的工具和技术入侵检测系统监视企业网络上的热点，以发现和阻止入侵者反恶意软件和反间谍软件检查计算机是否存在恶意软件，通常也可以消除它需要持续更新一体化威胁管理系统无线网络安全WEP安全静态加密密钥相对容易破解如果与vpn结合使用，效果会更好WPA2规范用更强的标准取代WEP不断变化，更长的加密密钥加密及公钥基础设施加密将文本或数据转换为非预期收件人无法读取的密文网络上的两种加密方法安全套接字层（SSL）和后续传输层安全性（TLS）安全超文本传输协议（S-HTTP）加密及公钥基础设施两种消息加密方法对称密钥加密发送方和接收方使用单个共享密钥公钥加密使用两个数学上相关的密钥：公钥和私钥发送方使用接收方的公钥加密消息接收方使用私钥解密图8-7公钥加密加密及公钥基础设施数字证书用于建立用户身份和电子资产以保护网上交易的数据文件使用受信任的第三方，即证书颁发机构（CA）来验证用户的身份CA验证用户身份，将信息存储在CA服务器中，CA服务器生成包含所有者公开密码匙基建ID信息的加密数字证书和所有者公钥副本公开密码匙基建使用公钥加密与证书颁发机构一起工作广泛应用于电子商务用区块链保护交易安全事务数据库用于验证用户和事务的加密分散的记录不能更改区块链有一些需要注意安全性和控制的漏洞图8-8数宇证书确保系统的可用性在线交易处理需要100%的可用性容错计算机系统包含冗余的硬件、软件和电源组件，可创建一个提供连续、不间断服务的环境安全性外包托管安全服务提供商实现数字弹性处理如何维护和增加组织及其业务流程的弹性除了IT基础设施之外，还需要关注管理和组织问题如果没有明确地设计、测量和测试弹性，单个薄弱环节可能导致中断PayPal提高数字弹性案例分析题1.为什么数字弹性对PayPal这样的企业如此重要？2.PayPal如何从衡量其数字弹性中获益？它解决了哪些问题？3.在使组织的IT基础设施更具弹性方面，管理和组织问题的作用是什么？☉互动讨论：管理云计算与移动数字平台的安全问题云计算的安全性安全责任在于拥有数据的企业企业必须确保供应商提供充分的保护：存储数据的位置满足企业要求，法律隐私法从其他客户端分离数据审计和安全认证服务水平协议（SLA）云计算与移动数字平台的安全问题确保移动平台安全安全策略应该包括并覆盖移动设备的任何特殊要求平台和应用程序的使用指南移动设备管理工具授权库存记录控制更新锁定/删除丢失的设备加密用于在设备上分离企业数据的