員工信息安全意識(shí)及安全實(shí)踐培訓(xùn) 人力資源 職能

信息安全意識(shí)與安全實(shí)踐信息安全：人員是最大的風(fēng)險(xiǎn)來源

“人是最薄弱的環(huán)節(jié)。你可能擁有最好的技術(shù)、防火墻、入侵檢測(cè)系統(tǒng)、生物鑒別設(shè)備，可只要有人給毫無戒心的員工打個(gè)電話……”

——KevinMitnick

超過80%的信息安全威脅來自于組織內(nèi)部信息安全：信息資產(chǎn)與威脅黑客入侵20%-30%70%-80%員工疏忽和泄漏固定資產(chǎn)和一些文檔中存儲(chǔ)在員工的腦子中根據(jù)Delphi公司統(tǒng)計(jì)，公司價(jià)值的26%體現(xiàn)在固定資產(chǎn)和一些文檔上，而高達(dá)42%的價(jià)值是存儲(chǔ)在員工的腦子里。78%的企業(yè)數(shù)據(jù)泄漏是來自內(nèi)部員工的不規(guī)范操作信息安全意識(shí)裝有100萬的保險(xiǎn)箱裝有客戶信息的電腦需要3個(gè)悍匪1輛車，拉走公司損失100萬只需1個(gè)商業(yè)間諜公司損失：所有客戶

信息資產(chǎn)比鈔票更重要，但更脆弱，更應(yīng)得到保護(hù)！一個(gè)優(yōu)盤物理安全—“ATM取款機(jī)”物理安全—“電子門禁”物理安全—“電子門禁”（案例）時(shí)間：某天夜里地點(diǎn)：A公司的數(shù)據(jù)中心大樓人物：一個(gè)普通的系統(tǒng)管理員一個(gè)普通的系統(tǒng)管理員，利用看似簡單的方法，就進(jìn)入了需要門卡認(rèn)證的數(shù)據(jù)中心……

————來自國外某論壇的激烈討論物理安全—“電子門禁”（案例）①張三找到一個(gè)氣球，放掉氣②張三面朝大門入口趴下來，把氣球塞進(jìn)門里，只留下氣球的嘴在門的這邊③張三在門外吹氣球，氣球在門內(nèi)膨脹，然后，他釋放了氣球……④由于氣球在門內(nèi)彈跳，觸發(fā)動(dòng)作探測(cè)器，門終于開了網(wǎng)絡(luò)釣魚—“釣魚網(wǎng)站”http://

http://

http://

http://

http://

http://http://

網(wǎng)絡(luò)釣魚—“釣魚郵件”網(wǎng)絡(luò)釣魚—“偽基站釣魚”網(wǎng)絡(luò)釣魚—“偽基站釣魚”（案例）網(wǎng)絡(luò)釣魚—“偽基站釣魚”（案例）網(wǎng)絡(luò)釣魚—“偽基站釣魚”（案例）后臺(tái)數(shù)據(jù)：姓名身份證號(hào)銀行卡號(hào)銀行卡密碼開戶銀行手機(jī)號(hào)碼....社會(huì)工程學(xué)詐騙明天到我辦公室來一趟…“領(lǐng)導(dǎo)”的權(quán)威讓下屬服從利用親情關(guān)系詐騙你女兒生病住院了…手機(jī)安全—“二維碼”手機(jī)安全—“手機(jī)充電樁”用使用者的手機(jī)，向任意號(hào)碼發(fā)送短信！用使用者手機(jī)進(jìn)行消費(fèi)！手機(jī)安全—“手機(jī)充電樁”充電樁會(huì)提示用戶開啟USB調(diào)試或信任該設(shè)備，如果用戶點(diǎn)擊同意，就會(huì)使手機(jī)部分權(quán)限得到開放！提醒：手機(jī)接入手機(jī)充電樁時(shí)，如果充電樁需要權(quán)限請(qǐng)求，一律拒絕。（包括USB調(diào)試與設(shè)備信任）部分手機(jī)充電樁有提供插座，用隨身攜帶的設(shè)備進(jìn)行充電。部分手機(jī)充電樁只提供USB孔，如果遇到這類的手機(jī)充電樁，切記使用只有充電功能（無數(shù)據(jù)傳輸功能）的充電線。使用手機(jī)充電樁時(shí)，將設(shè)備關(guān)機(jī)。手機(jī)安全—“惡意吸費(fèi)APP”這個(gè)彈窗暗藏玄機(jī)！一款專門為搶購火車票而設(shè)計(jì)的應(yīng)用程序手機(jī)安全—“惡意吸費(fèi)APP”點(diǎn)擊確定后，對(duì)話框消失。隨后，話費(fèi)詳單顯示，這次操作實(shí)際上被定制了20元的增值業(yè)務(wù)費(fèi)！提醒：通過可信渠道下載經(jīng)過專業(yè)檢測(cè)認(rèn)證簽名的APP版本；不要隨意下載帶有“黃賭毒”的惡意APP軟件，不慎下載應(yīng)及時(shí)徹底刪除；要定期查看自己的話費(fèi)詳單，別不明不白做了冤大頭；類似智能火車票、游戲修改大師、瘋狂的小鳥、搶票快手等熱門App，如果發(fā)現(xiàn)手機(jī)惡意推送廣告，要謹(jǐn)慎。手機(jī)安全—“電信詐騙”手機(jī)安全—“木馬病毒”通過發(fā)送手機(jī)惡意鏈接、虛假短信等使用戶遭受手機(jī)木馬病毒，蒙受資金損失。手機(jī)安全注意事項(xiàng)員工安全實(shí)踐進(jìn)門——物理安全1忘了帶卡？

——尾隨進(jìn)入最佳實(shí)踐所有人員必須佩戴身份識(shí)別卡，才能在公司相應(yīng)區(qū)域活動(dòng)不得將身份識(shí)別卡借與他人使用監(jiān)督未佩戴身份識(shí)別卡的外來人員的活動(dòng)，制止其非授權(quán)的活動(dòng)，并及時(shí)報(bào)告給安全保衛(wèi)部門接到恐怖威脅，及時(shí)向主管領(lǐng)導(dǎo)和安全保衛(wèi)部門報(bào)告員工安全實(shí)踐打開計(jì)算機(jī)——賬戶安全2最佳實(shí)踐誰未經(jīng)授權(quán)使用了我的電腦？

——數(shù)據(jù)被竊取——內(nèi)容被破壞未經(jīng)批準(zhǔn)，不得轉(zhuǎn)借或使用他人賬戶使用計(jì)算機(jī)及應(yīng)用系統(tǒng)應(yīng)設(shè)置登錄口令，且不得向他人泄露口令工作崗位調(diào)動(dòng)或離職時(shí)，應(yīng)主動(dòng)移交全部賬號(hào)和口令員工安全實(shí)踐登錄計(jì)算機(jī)/VPN——口令安全3最佳實(shí)踐不得將口令寫在紙上或記錄于電子文件中不要采用用戶名、姓名、生日、電話號(hào)碼、默認(rèn)口令等作為密碼口令長度應(yīng)至少10位，至少包含字母、數(shù)字、特殊符號(hào)的兩種或兩種以上定期更換口令VPN身份認(rèn)證口令不得轉(zhuǎn)借他人使用，如有遺失或被竊取應(yīng)第一時(shí)間通知安全管理員口令泄露？弱口令?

——鑒別信息被冒用!員工安全實(shí)踐暫離工位——賬戶安全4最佳實(shí)踐使用”win+L”鎖屏或關(guān)閉計(jì)算機(jī)設(shè)置15min后自動(dòng)啟動(dòng)屏幕保護(hù)程序，在恢復(fù)時(shí)使用密碼保護(hù)員工安全實(shí)踐使用個(gè)人計(jì)算機(jī)——個(gè)人計(jì)算機(jī)設(shè)備安全5最佳實(shí)踐未經(jīng)批準(zhǔn)任何計(jì)算機(jī)不得接入公司網(wǎng)絡(luò)，經(jīng)批準(zhǔn)的使用指定端口和IP，接入網(wǎng)絡(luò)前安裝安全補(bǔ)丁、殺毒軟件并查殺病毒未經(jīng)授權(quán)嚴(yán)禁打開辦公電腦機(jī)箱、拆裝電腦硬盤等配件，嚴(yán)禁使用辦公電腦內(nèi)置硬盤以外的設(shè)備啟動(dòng)電腦發(fā)現(xiàn)計(jì)算機(jī)被入侵或感染病毒應(yīng)立即斷開網(wǎng)絡(luò)連接，清除病毒；發(fā)現(xiàn)病毒無法被有效清除時(shí)，及時(shí)報(bào)告信息安全部門不制造和傳播計(jì)算機(jī)病毒不在工作時(shí)間使用計(jì)算機(jī)進(jìn)行與工作無關(guān)的活動(dòng)對(duì)敏感數(shù)據(jù)采取加密措施，妥善存放員工安全實(shí)踐使用公用計(jì)算機(jī)——公用計(jì)算機(jī)設(shè)備安全6最佳實(shí)踐設(shè)置管理責(zé)任人，防止公用計(jì)算機(jī)被盜、被濫用或被入侵未授權(quán)的外來人員不得使用公用計(jì)算機(jī)使用完公用計(jì)算機(jī)后要退出登錄員工安全實(shí)踐使用公司網(wǎng)絡(luò)辦公——計(jì)算機(jī)網(wǎng)絡(luò)安全7最佳實(shí)踐計(jì)算機(jī)接入公司網(wǎng)絡(luò)時(shí)，計(jì)算機(jī)名稱必須遵循命名規(guī)則計(jì)算機(jī)只能使用管理員分配的IP地址，禁止隨意修改不得在公司私自撥號(hào)上網(wǎng)、私自創(chuàng)建和連接未經(jīng)批準(zhǔn)的無線網(wǎng)絡(luò)未經(jīng)批準(zhǔn)不得安裝兩塊或多塊網(wǎng)卡并連接到不同的網(wǎng)絡(luò)設(shè)備不得對(duì)公司網(wǎng)絡(luò)內(nèi)的設(shè)備進(jìn)行掃描不得濫用網(wǎng)絡(luò)資源進(jìn)行與工作無關(guān)的其他活動(dòng)可用性效率員工安全實(shí)踐上網(wǎng)查閱資料、休息——互聯(lián)網(wǎng)安全8最佳實(shí)踐不得濫用公司網(wǎng)絡(luò)訪問與工作無關(guān)的網(wǎng)站和互聯(lián)網(wǎng)服務(wù)、進(jìn)行與工作無關(guān)的網(wǎng)上即時(shí)通訊不得濫用公司網(wǎng)絡(luò)下載圖片、小說、音樂、錄像、游戲等與工作無關(guān)的文件防不勝防!病毒木馬泄密員工安全實(shí)踐安裝軟件——計(jì)算機(jī)軟件安全9最佳實(shí)踐計(jì)算機(jī)終端只能安裝、運(yùn)行公司批準(zhǔn)的軟件，并及時(shí)安裝補(bǔ)丁安裝其他軟件應(yīng)向部門負(fù)責(zé)人提出申請(qǐng)，交由信息管理部門處理必須安裝、運(yùn)行上網(wǎng)行為控制客戶端，未經(jīng)授權(quán)不得卸載必須安裝、運(yùn)行公司規(guī)定的防病毒軟件，并及時(shí)更新病毒庫，未經(jīng)授權(quán)不得卸載，及時(shí)執(zhí)行公司的防病毒措施下載、安裝軟件

——不小心中招！員工安全實(shí)踐使用移動(dòng)存儲(chǔ)介質(zhì)——移動(dòng)存儲(chǔ)介質(zhì)安全10最佳實(shí)踐嚴(yán)格控制移動(dòng)存儲(chǔ)介質(zhì)的使用，使用前登記移動(dòng)存儲(chǔ)介質(zhì)上的數(shù)據(jù)和文件在使用后立即刪除使用前進(jìn)行病毒檢測(cè)，確認(rèn)無毒后方可使用移動(dòng)存儲(chǔ)介質(zhì)維修、廢棄前應(yīng)清除數(shù)據(jù)或銷毀介質(zhì)U盤病毒U盤泄密員工安全實(shí)踐打印/復(fù)印文件——打印機(jī)安全11最佳實(shí)踐公用的打印、復(fù)印設(shè)備使用完成后，及時(shí)取走打印、復(fù)印的文件一體機(jī)維修前消除打印記憶2011年6月，濟(jì)南軍區(qū)某裝甲團(tuán)出現(xiàn)機(jī)關(guān)干部考試試題泄露事件，而事件原因最終定位為打印機(jī)的記憶功能。員工安全實(shí)踐收發(fā)郵件——電子郵件安全12最佳實(shí)踐不要打開來歷不明的郵件，不要隨便點(diǎn)擊郵件中的陌生鏈接禁止發(fā)送與工作無關(guān)的郵件、含有違反政策和法律法規(guī)的內(nèi)容的郵件、含有不利于公司的信息的郵件、連環(huán)郵件或附帶大量非工作需要的圖片文件的郵件、夾帶計(jì)算機(jī)病毒的郵件、含有敏感信息和商業(yè)機(jī)密的郵件等員工安全實(shí)踐處理辦公數(shù)據(jù)——數(shù)據(jù)安全13最佳實(shí)踐個(gè)人計(jì)算機(jī)中的數(shù)據(jù)文件，應(yīng)按照實(shí)際情況及時(shí)做好備份，避免可能的數(shù)據(jù)丟失個(gè)人計(jì)算機(jī)中的重要辦公數(shù)據(jù)應(yīng)當(dāng)根據(jù)部門要求適時(shí)備份到指定的文件服務(wù)器或者存儲(chǔ)介質(zhì)上數(shù)據(jù)丟失的七大原因員工安全實(shí)踐處理敏感信息——敏感信息保密14最佳實(shí)踐存儲(chǔ)一般商業(yè)秘密及以上信息的介質(zhì)應(yīng)進(jìn)行敏感性標(biāo)識(shí)敏感非電子信息不得隨意擱置在桌面或夾帶在日常文件中，未經(jīng)授權(quán)不得私自復(fù)制、影印、摘錄與外傳，復(fù)印、打印或傳真后及時(shí)取走原件和復(fù)本離開座位時(shí)將紙質(zhì)敏感信息鎖入抽屜或文件柜中作廢的記錄敏感信息的紙質(zhì)文件應(yīng)用碎紙機(jī)銷毀發(fā)現(xiàn)敏感信息被非授權(quán)使用或?yàn)E用，應(yīng)立即向安全管理員報(bào)告公開內(nèi)部使用一般商密重要商密核心商密信息員工安全實(shí)踐外來人員辦公——外來人員計(jì)算機(jī)接入控制15最佳實(shí)踐外來人員計(jì)算機(jī)設(shè)備未經(jīng)批準(zhǔn)不得接入公司網(wǎng)絡(luò)經(jīng)批準(zhǔn)的計(jì)算機(jī)設(shè)備只可使用批準(zhǔn)的網(wǎng)絡(luò)端口接入專供外來人員使用的網(wǎng)絡(luò)內(nèi)外來人員的計(jì)算機(jī)設(shè)備在接入公司網(wǎng)絡(luò)前，須由對(duì)口部門負(fù)責(zé)人確保計(jì)算機(jī)安全后方可接入外來人員計(jì)算機(jī)設(shè)備接入公司網(wǎng)絡(luò)后不得從事與工作無關(guān)的操作外來人員隨意接入內(nèi)網(wǎng)

——信息泄露

——內(nèi)部網(wǎng)絡(luò)被攻擊員工安全實(shí)踐日常與下班——辦公環(huán)境安全16不得將易燃物品堆放在電源插座上，不違規(guī)使用大功率電器設(shè)備，不在UPS電源上使用電器，不私自接電線，不拖拉電源線，