科技信息部徐杰员工信息安全培训目 录CONTENTS1国内外信息安全形势2网络安全法简单解读3本行信息安全规定4信息安全测试与防范01信息安全整体形势网络未普及时，信息安全工作就是保障计算机系统安全，主要做到不当机、不染毒和系统不崩毁；网络普及特别是互联网普及后，信息安全更多的是做好网络防护，保障信息数据不被黑客窃取。没有绝对的安全，只有相对的安全。信息安全是一个攻防的平衡点。信息安全包括网络安全和数据安全。12346手工阶段：1995年前支行记账采取手工记帐模式，算盘是主要计算工具。单机阶段：1997年各支行采用电脑单机记账模式，主要用电脑进行计算和信息保存，有了信息安全概念，主要就是保障计算机系统安全，不当机、不染毒和系统不崩毁；乡镇联网阶段：1998年后，以乡镇为单位陆续进行电脑联网。信息安全主要就是保障计算机网络贯通，系统安全，不当机、不染毒和系统不崩毁；余姚市级联网阶段：2000年下半年，余姚全市上线宁波版综合业务系统，实现全市通存通兑，信息安全主要就是保障全市网络贯通，系统安全，不当机、不染毒和系统不崩毁；移动金融和互联网金融阶段：省联社推出手机银行、互联网金融核心业务，信息安全主要防护全省互联网方向的网络安全和防护，保障网络不被黑客攻破 。52008年全省联网阶段：2008年11月全宁波并入省版综合业务系统，实现全省通存通兑，本行信息安全主要就是保障全市网络贯通，做好泄密数据保护和客户端不染毒；本行信息安全发展概况里程碑 网络已经和人类的生活息息相关微信12306携程大众点评 网络空间已经渗透到政治经济文化生活等各个领域第6页政治l网络政治斗争加剧 l群体性事件增加l网络军事博弈增加 l军事黑客入侵频繁l信息安全问题形式多样 l国家经济损失重大 l经济数据泄露严重军事经济1-1全球网络空间面临的安全挑战案例：斯诺登事件棱镜计划（PRISM）是一项由美国国家安全局自2007年起开始实施的绝密电子监听计划。斯诺登的爆料，可谓一个人的力量，撬动了全球的神经。“棱镜计划”的特点 美国监控的事实性、高端性且违反国际法则 美国监控的全面性 美国监控的长期性 美国监控的重点性“斯诺登事件”的影响 美国对全球监控的事实浮出水面 揭露了美国霸权主义本性 反映了发展中国家在网络时代所处的困境 曝露了网络化力量的非平衡性 改变人们对网络世界的认识 影响未来的战略布局美国其它监控计划棱镜计划、星风计划监听计划参与成员国1、“海莲花”黑客组织专攻中 国国家级机构，攻击方式“鱼叉 攻击”和“水坑攻击”； 2、“匿名者”黑客组织在全球 拥有60多万人成员；第11页1-2我国网络空间安全现状1-2-1 我国网络空间面临的安全威胁 政治渗透 窃密、泄密 网络犯罪 技术隐患 恐怖的破坏1-2-2 我国网络空间安全新动向网络威胁与政治政权相关网络威胁与社会稳定相关网络威胁与恐怖组织相关1-2-3 攻击案例分析国际性重大活动受攻击事件某政府机关门户被黑事件某金融机构服务器被入侵事件某有线电视台被植入后门程序事件某航空公司信息系统被黑客入侵事件某公司关键基础设施被远程控制事件国际性重大活动受攻击事件案例：2008年奥运会利用U盘进行 技术渗透国际性重大活动受攻击事件据杭州安恒信息技术有限公司CEO范渊介绍： 2016年9月1日- 5日整个G20会议期间， 共计受到 来自41个国家的362万次攻击；在网络安保中“国 家队”和“民间高手”的通力合作下，确保会议“ 圆满”完成。在信息化时代，各种信息系统的应用已基本覆盖 活动的筹备组织、运行管理、对外服务等各环节， 而G20这种国际性重大活动，也被很多不法分子视 作“一举成名”的舞台、被国家敌对势力视为打击 破坏的“重要时刻”。因此，在此类活动中，保护 网络环境的安全成为一项“重头戏”。案例：2016年G20峰会某政府机关门户被黑事件据知道创宇侦测统计，至少有上百个政府网站页面被赌 博信息攻占，其中包括了淄博市人民政府网、湖州市信息中 心网、菏泽市人民政府网、常德政府网站、滁州市人民政府 网等重要站点。被篡改网站中，有部分是采用了大汉JCMS 系统。国家体育总局网站因漏洞被篡改更为严重的是：政府或机关网站被人士利用，直接 被贴上标语，性质极为严重。某金融机构服务器被入侵事件 据CNNMoney报道，一个“拉撒路” 的黑客团体攻击了全球银行系统目前仍逍遥法外。 2015年1月份，厄瓜多尔某银行失窃。黑客盗走1200万美元，并通过美国的一个富国银行账户将这笔资金转走。同年10月份，菲律宾一家银行遭到黑客攻击。黑客用一组计算机代码掌控了银行工作人员的台式电脑。不过，到目前为止，尚不清楚这家银行是否有现金损失。 12月份，越南的TPBank遭到黑客攻击。过程中，黑客试图转走100万美元，但未能成功。 2016年1月份，黑客入侵了孟加拉央行的安全系统，然后伪装成孟加拉官员，向纽约联邦储备银行发送一连串指令，要求转移孟加拉央行账上的大笔存款，共有1.01亿美元被误转。 据2016年度乌云网报料，浙江某农商银行因弱密码被黑客破解侵入，造成20多万户客户信息泄露。某有线电视台被植入后门程序事件 2014年8月1日晚，温州有线电视网络系统用户的机顶盒遭黑客攻击，出现一些反动宣传内容，影响群众正常收看电视，造成不良影响。 案发后，温州市委、市政府高度重视，公安局成立专案组，组织精干力量对案件开展侦查，在全面开展外围调查的同时，组织力量进行技术攻坚。 经专案组半个月奋战，8月16日，涉案犯罪嫌疑人王某（男、40岁、系北京某公司工程师）在北京被警方抓获。经审讯，犯罪嫌疑人王某对自己为泄私愤而实施破坏计算机信息系统的犯罪事实供认不讳。某公司关键基础设施存在漏洞被远程控制事件 范渊说，涉及峰会的相关酒店、主场馆、浙江省党政机关等重点网站等，都是网络安保重点内容。 G 20杭州峰会上惊艳全世界的钱江新城灯光秀，在开幕前夕的安全检查侦测中被发现存在安全漏洞，该安全漏洞一旦被黑客发现并利用，就可能被“远程控制”，后果将不堪设想。 G 20杭州峰会期间，对XX机场的安全检查侦测中被发现，X号候机室下面存在一个天然气中继站，而天然气中继站自动控制系统存在漏洞，可能被“远程控制”，通过加压及突然释放压力，后果将不堪设想。 G 20杭州峰会期间，对全省自来水处理系统的安全检查侦测中被发现，该自动控制系统存在漏洞，可能被“远程控制”，通过增大氯元素含量，让自来水变为毒水，后果将不堪设想。1-2-4 我国网络安全方面最近动作2014年初，习近平总书记成立“网络安全与信息化领导小组”，书记亲任组长。第一次会议指出：没有网络安全就没有国家安全，没有信息化就没有现代化；且规划了构建网络安全短期目标和长期目标。近期目标提升能力长期目标根本上提升自主可控能力网络空间已经成为了海、陆、空、天之外的第五大空间 ，于是这个空间也需要有主权、保护，也是有资源的2014年，习总书记提出11个总体国家安全观，深刻 指出：信息安全也是国家总体安全的重要组成部分国家安全法主体任务第26条指出：网络空间的安全是关系 到国家安全的重要组成部分，我们有任务有义务有责任保 障网络空间的安全及时出台中华人民共和国网络安全法02网络安全法解读2-1 制定网络安全法的迫切性和必要性是落实党中央决策部署的重要举措,是维护网络安全、国家安全的迫切需要是维护网络空间国家主权的迫切需要是深化网络安全等级保护制度、保护国家关键信息基础设施和大数据安全的迫切需要是打击网络违法犯罪、维护广大人民群众利益的迫切需要是参与互联网国际竞争和国际治理的迫切需要1、总体框架。共7章79条。第一章 总 则第二章 网络安全支持与促进第三章 网络运行安全第一节 一般规定第二节 关键信息基础设施的运行安全第四章 网络信息安全第五章 监测预警与应急处置第六章 法律责任第七章 附 则（一）综述2、定位 是互联网领域、网络安全的基础性法律。 是党的十八大以来的又一部重要法律。3、制定过程 2013年下半年提上日程，2014年形成草案，15年初 形成征求意见稿，15年6月一审，16年6月二审、10 月31日三审、11月7日人大通过，2017年6月1日起 施行。 154票赞成、0票反对、1票弃权。4、规范和调整的范围 网络空间主权(关于特定域外效力) l国内管辖权、独立权、自卫权、依赖性主权 l对境外攻击破坏行为的管辖权 n防御 n惩治 n制裁 国家网络安全等级保护制度 关键信息基础设施保护 网络运营者、网络产品和服务提供者义务 保障网络信息安全，个人信息保护 关键信息基础设施重要数据跨境传输 监测预警与应急处置5、有关概念 网络，是指由计算机或者其他信息终端及相关设备 组成的按照一定的规则和程序对信息进行收集、存 储、传输、交换、处理的系统。 网络安全，是指通过采取必要措施，防范对网络的 攻击、侵入、干扰、破坏和非法使用以及意外事故， 使网络处于稳定可靠运行的状态，以及保障网络数据 的完整性、保密性、可用性的能力。 网络运营者，是指网络的所有者、管理者和网络服 务提供者。 网络数据，是指通过网络收集、存储、传输、处理 和产生的各种电子数据。 个人信息，是指以电子或者其他方式记录的能够单 独或者与其他信息结合识别自然人个人身份的各种信 息，包括但不限于自然人的姓名、出生日期、身份证 件号码、个人生物识别信息、住址、电话号码等。1、国家承担的责任义务 第三条 国家坚持网络安全与信息化发展并重，遵循积 极利用、科学发展、依法管理、确保安全的方针，推进 网络基础设施建设和互联互通，鼓励网络技术创新和应 用，支持培养网络安全人才，建立健全网络安全保障体 系，提高网络安全保护能力。 （明确原则、方针） 第四条 国家制定并不断完善网络安全战略，明确保障 网络安全的基本要求和主要目标，提出重点领域的网络 安全政策、工作任务和措施。（解决顶层设计问题）（二）重点条款介绍 第五条 国家采取措施，监测、防御、处置来源于中华 人民共和国境内外的网络安全风险和威胁，保护关键信 息基础设施免受攻击、侵入、干扰和破坏，依法惩治网 络违法犯罪活动，维护网络空间安全和秩序。（国家承 担主要任务，解决行业自身力量不足问题） 第六条 国家倡导诚实守信、健康文明的网络行为，推 动传播社会主义核心价值观，采取措施提高全社会的网 络安全意识和水平，形成全社会共同参与促进网络安全 的良好环境。 第七条 国家积极开展网络空间治理、网络技术研 发和标准制定、打击网络违法犯罪等方面的国际交 流与合作，推动构建和平、安全、开放、合作的网 络空间，建立多边、民主、透明的网络治理体系。 （表明国际合作态度） 第十二条 国家保护公民、法人和其他组织依法使 用网络的权利，促进网络接入普及，提升网络服务 水平，为社会提供安全、便利的网络服务，保障网 络信息依法有序自由流动。 第十三条 国家支持研究开发有利于未成年人健康 成长的网络产品和服务，依法惩治利用网络从事危 害未成年人身心健康的活动，为未成年人提供安 全、健康的网络环境。(未成年人保护） 第十五条 国家建立和完善网络安全标准体系。国 务院标准化行政主管部门和国务院其他有关部门根 据各自的职责，组织制定并适时修订有关网络安全 管理以及网络产品、服务和运行安全的国家标准、 行业标准。（强化标准体系建设）国家支持企业、研究机构、高等学校、网络相关行业 组织参与网络安全国家标准、行业标准的制定。 第十六条 国务院和省、自治区、直辖市人民政府应当 统筹规划，加大投入，扶持重点网络安全技术产业和项 目，支持网络安全技术的研究开发和应用，推广安全可 信的网络产品和服务，保护网络技术知识产权，支持企 业、研究机构和高等学校等参与国家网络安全技术创新 项目。（解决投入不足问题） 第十七条 国家推进网络安全社会化服务体系建设，鼓 励有关企业、机构开展网络安全认证、检测和