信息安全意识培训-全体员工ppt课件.ppt

《信息安全意识培训-全体员工ppt课件.ppt》由会员分享，可在线阅读，更多相关《信息安全意识培训-全体员工ppt课件.ppt（89页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、1资本本部资本本部21楼、楼、23楼哪里存在信息楼哪里存在信息安全隐患？安全隐患？lISO/IEC 17799:2005版版11 个方面、个方面、39 个控制目标和个控制目标和133 项控制措项控制措施列表施列表p1) 安全方针安全方针7) 访问控制访问控制p2) 信息安全组织信息安全组织8) 信息系统获取、开发和维护信息系统获取、开发和维护p3) 资产管理资产管理9) 信息安全事故管理信息安全事故管理p4) 人力资源安全人力资源安全10) 业务连续性管理业务连续性管理p5) 物理和环境安全物理和环境安全11) 符合性符合性p6) 通信和操作管理通信和操作管理ISMS(信息安全管理系统)lIS

2、O/IEC 27001:2005版通篇就在讲一件事，版通篇就在讲一件事，ISMS(信息安全管理系统信息安全管理系统)。l本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（InformationSecurity Management System，简称，简称ISMS）提供模型。采用）提供模型。采用ISMS应当是一个组织的一项战略性决策。一个组织的应当是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受其需的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规模和结构的影响，上述因素及要和目标、

3、安全要求、所采用的过程以及组织的规模和结构的影响，上述因素及其支持系统会不断发生变化。按照组织的需要实施其支持系统会不断发生变化。按照组织的需要实施ISMS，是本标准所期望的，例，是本标准所期望的，例如，简单的情况可采用简单的如，简单的情况可采用简单的ISMS解决方案。解决方案。 本标准可被内部和外部相关方用于一致性评估。本标准可被内部和外部相关方用于一致性评估。l（引用自引用自ISO/IEC 27001:2005中中 “0.1 总则总则” ）Page 5PDCA（戴明环）lPDCA（Plan、Do、Check 和和Act）是管理学惯用的一个过程模型，最早是由休哈特）是管理学惯用的一个过程模型

4、，最早是由休哈特（WalterShewhart）于）于19 世纪世纪30 年代构想的，后来被戴明（年代构想的，后来被戴明（Edwards Deming）采纳、）采纳、宣传并运用于持续改善产品质量的过程当中宣传并运用于持续改善产品质量的过程当中。p1、P（Plan）-计划，确定方针和目标，确定活动计划；计划，确定方针和目标，确定活动计划；p2、D（Do）-执行，实地去做，实现计划中的内容；执行，实地去做，实现计划中的内容；p3、C（Check）-检查，总结执行计划的结果，注意效检查，总结执行计划的结果，注意效果，找出问题果，找出问题；p4、A（Action）-行动，对总结检查的结果进行处理，行动

5、，对总结检查的结果进行处理，成功的经验加以肯定并适当推广、标准化；失败的教成功的经验加以肯定并适当推广、标准化；失败的教训加以总结，以免重现，未解决的问题放到下一个训加以总结，以免重现，未解决的问题放到下一个PDCA循环。循环。Page 6PDCA特点l 大环套小环，小环保大环，推动大循环大环套小环，小环保大环，推动大循环 pPDCA循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整个企业和循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目标，都有自己的企业内的科室、工段、班组以至个人。各级部门根据企业的

6、方针目标，都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小的环。大环是小环的母体循环，层层循环，形成大环套小环，小环里面又套更小的环。大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小环都围绕着企业的总目标朝着同一方和依据，小环是大环的分解和保证。各级部门的小环都围绕着企业的总目标朝着同一方向转动。通过循环把企业上下或工程项目的各项工作有机地联系起来，彼此协同，互相向转动。通过循环把企业上下或工程项目的各项工作有机地联系起来，彼此协同，互相促进。以上特点。促进。以上特点。 Page 7PDCA特点(续)l 不断前进、不断提高不断前进、不断提高 p PDCA循环就像爬

7、楼梯一样，一个循环运转结束，生产的质量就会提高一步，循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步，然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺旋式上升的过程。旋式上升的过程。PDCA质量水平质量水平螺旋上升的螺旋上升的PDCAPDCAPage 8PDCA和ISMS的结合Page 9认证审核现场审核l桌面审核（文件审核）的结果作为现场审核输入。桌面审核（文件审核）的结果作为现场审核输入。l现场审核的内容包括会议、现场调查、形成审核发现、举行末次会议和现场审核的内容包括会议、现场调查、形成审核发

8、现、举行末次会议和报告审核结果等。报告审核结果等。 l审核内容审核内容p验证第一阶段的审核发现是否获得纠正。p 证实受审核组织是否按照其方针、目标和程序，执行工作。p 证实受审核组织的ISMS是否符合ISO/IEC 27001:2005第4-8章的所有要求 Page 10认证审核获得证书l所有审核工作结束并达到要求后，用户会得到证书。所有审核工作结束并达到要求后，用户会得到证书。l半年或者一年，用户需要进行复审半年或者一年，用户需要进行复审l三年时，证书期满，需要重新审核。三年时，证书期满，需要重新审核。 Page 11举例l为了方便大家理解，举个例子来进行说明：为了方便大家理解，举个例子来进

9、行说明：l华赛公司要参加上地地区的一个卫生评比，评比通过发放华赛公司要参加上地地区的一个卫生评比，评比通过发放上地地区高上地地区高科技企业卫生红旗科技企业卫生红旗。l该次评比有个评比要求该次评比有个评比要求上地地区高科技企业卫生评比要求上地地区高科技企业卫生评比要求，要求内，要求内容包括，建立长效的卫生机制，如划定公司卫生范围，购买各种卫生用容包括，建立长效的卫生机制，如划定公司卫生范围，购买各种卫生用具，专门领导负责，成立专门团队，聘请专业保洁公司，组织内部检查，具，专门领导负责，成立专门团队，聘请专业保洁公司，组织内部检查，内部互查等等。内部互查等等。信息安全意识培训信息安全意识培训131

10、234什么是信息安全？怎样搞好信息安全？信息产业发展现状主要内容信息安全基本概念14引言15什么是信息安全？ 不止有产品、技术才是信息安全不止有产品、技术才是信息安全16信息安全无处不在 一个软件公司的老总，等他所有的员工下班之一个软件公司的老总，等他所有的员工下班之后，他在那里想：我的企业到底值多少钱呢？后，他在那里想：我的企业到底值多少钱呢？假假如它的企业市值如它的企业市值1 1亿，那么此时此刻，他的企业就亿，那么此时此刻，他的企业就值值26002600万。万。 因为据因为据DelphiDelphi公司统计，公司价值的公司统计，公司价值的2626%体现体现在固定资产和一些文档上，而在固定资

11、产和一些文档上，而高达高达4242%的价值是存的价值是存储在员工的脑子里，而这些信息的保护没有任何储在员工的脑子里，而这些信息的保护没有任何一款产品可以做得到一款产品可以做得到，所以需要我们建立信息安，所以需要我们建立信息安全管理体系，也就是常说的全管理体系，也就是常说的ISMSISMS！17怎样搞好信息安全？18信息在哪里？纸质文档纸质文档电子文档电子文档员工员工其他信息介质其他信息介质小问题：小问题：公司的信息都在哪里？19小测试： 20答案解释： 21这就是意识缺乏的两大这就是意识缺乏的两大不看重大公司，更看重小家庭。不看重大公司，更看重小家庭。钞票更顺眼，信息无所谓。钞票更顺眼，信息无

12、所谓。22思想上的转变（一） 老板那里23WHY?信息安全搞好了信息安全搞好了信息安全搞砸了信息安全搞砸了公司赚钱了公司赚钱了领导笑了领导笑了领导怒了领导怒了公司赔钱了公司赔钱了你就你就“跌跌” 了了你就你就“涨涨” 了了24思想上的转变（二） 信息比钞票更重要，信息比钞票更重要，更脆弱，我们更应该保护更脆弱，我们更应该保护它。它。25WHY?装有100万的 保险箱需要 3个悍匪、公司损失： 100万装有客户信息的 电脑只要 1个商业间谍、1个U盘，就能偷走。1辆车，才能偷走。26典型案例27安全名言 公司的利益就是自己的利益，不保护公司公司的利益就是自己的利益，不保护公司，就是不保护自己。，

13、就是不保护自己。 电脑不仅仅是工具，而是装有十分重要信电脑不仅仅是工具，而是装有十分重要信息的保险箱。息的保险箱。28绝对的安全是不存在的绝对的零风险是不存在的，要想实现零风险，也是不现实的；绝对的零风险是不存在的，要想实现零风险，也是不现实的；计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大，计算机系统的安全性越高，其可用性越低，需要付出的成本也就越大，一般来说，需要在安全性和可用性，以及安全性和成本投入之间做一一般来说，需要在安全性和可用性，以及安全性和成本投入之间做一种平衡。种平衡。 在计算机安全领域有一句格言：“真正真正安全的计算机是拔下网线，断掉电源，放置安全的计算机是拔

14、下网线，断掉电源，放置在地下掩体的保险柜中，并在掩体内充满毒在地下掩体的保险柜中，并在掩体内充满毒气，在掩体外安排士兵守卫。气，在掩体外安排士兵守卫。” 显然，这样的计算机是无法使用的。29安全是一种平衡30安全是一种平衡安全控制的成本安全事件的损失最小化的总成本最小化的总成本低高高安全成本/损失所提供的安全水平关键是实现成本利益的平衡关键是实现成本利益的平衡信息的价值信息的价值 = 使用信息所获得的收益使用信息所获得的收益 获取信息所用成本获取信息所用成本信息具备了安全的保护特性信息具备了安全的保护特性31信息的价值广义上讲 领域领域 涉及到信息的保密性，完整性，可用性，涉及到信息的保密性，

15、完整性，可用性，真实性，可控性的相关技术和理论。真实性，可控性的相关技术和理论。本质上1.保护保护 系统的硬件，软件，数据系统的硬件，软件，数据2.防止防止 系统和数据遭受破坏，更改，泄露系统和数据遭受破坏，更改，泄露3.保证保证 系统连续可靠正常地运行，服务不中断系统连续可靠正常地运行，服务不中断两个层面1.技术层面技术层面 防止外部用户的非法入侵防止外部用户的非法入侵2.管理层面管理层面 内部员工的教育和管理内部员工的教育和管理32信息安全的定义33信息安全基本目标34信息生命周期35信息产业发展迅猛截至截至2008年年7月，我国固定电话已达到月，我国固定电话已达到3.55亿户，移动电话用

16、户数达到亿户，移动电话用户数达到6.08亿。亿。截至截至2008年年6月，月，我国网民数量达到了我国网民数量达到了2.53亿亿，成为世界上网民最多的，成为世界上网民最多的国家，与去年同期相比，中国网民人数增加了国家，与去年同期相比，中国网民人数增加了9100万人，同比增长达到万人，同比增长达到56.2%。手机上网成为用户上网的重要途径，网民中的手机上网成为用户上网的重要途径，网民中的28.9%在过去半年曾经使在过去半年曾经使用过手机上网，用过手机上网，手机网民规模达到手机网民规模达到7305万人万人。 2007年电子商务交易总额已超过年电子商务交易总额已超过2万亿元。万亿元。目前，目前，全国网

17、站总数达全国网站总数达192万万，中文网页已达，中文网页已达84.7亿页，个人博客亿页，个人博客/个人个人空间的网民比例达到空间的网民比例达到42.3%。 目前，县级以上目前，县级以上96%的政府机构都建立了网站的政府机构都建立了网站，电子政务正以改善公共，电子政务正以改善公共服务为重点，在教育、医疗、住房等方面，提供便捷的基本公共服务。服务为重点，在教育、医疗、住房等方面，提供便捷的基本公共服务。 36信息安全令人担忧内地企业内地企业4444%信息安全事件是数据失窃信息安全事件是数据失窃 普华永道最新发布的2008年度全球信息安全调查报告显示，中国内地企业在信息安全管理方面存在滞后，信息安全

18、与隐私保障方面已被印度赶超。数据显示，内地企业内地企业4444%的信息安全事件与的信息安全事件与数据失窃有关，而全球的平均水平只有数据失窃有关，而全球的平均水平只有1616%。普华永道的调查显示，中国内地企业在改善信息安全机制上仍有待努力，从近年安全事件结果看，中国每年大约中国每年大约9898万美元的万美元的财务损失，而亚洲国家平均约为财务损失，而亚洲国家平均约为7575万美元，印度大约为万美元，印度大约为30.830.8万美万美元元。此外，42%的中国内地受访企业经历了应用软件、系统和网络的安全事件。37安全事件（1）38安全事件（2）39安全事件（3）40安全事件（4）41安全事件（5）4

19、2安全事件（6）熊猫烧香病毒的制造者-李俊 43深度分析44这样的事情还有很多关键是做好预防控制关键是做好预防控制 4649502005年年9月月7日，上海乐购超市金山店负责人到市公安局金山分局报案称，该店在盘点货物时发现日，上海乐购超市金山店负责人到市公安局金山分局报案称，该店在盘点货物时发现销售的货物和收到的货款不符，有可能款物被非法侵吞。上海市公安局经侦总队和金山分局立即成销售的货物和收到的货款不符，有可能款物被非法侵吞。上海市公安局经侦总队和金山分局立即成立了专案组展开调查。立了专案组展开调查。专案组调查发现，乐购超市几家门店货物缺损率大大超过了业内千分之五的物损比例，缺损的货物专案组

20、调查发现，乐购超市几家门店货物缺损率大大超过了业内千分之五的物损比例，缺损的货物五花八门，油盐酱醋等日常用品的销售与实际收到的货款差别很大。根据以往的案例，超市内的盗五花八门，油盐酱醋等日常用品的销售与实际收到的货款差别很大。根据以往的案例，超市内的盗窃行为往往是针对体积小价值高的化妆品等物，盗窃者很少光顾油盐酱醋等生活用品。奇怪的是，窃行为往往是针对体积小价值高的化妆品等物，盗窃者很少光顾油盐酱醋等生活用品。奇怪的是，在超市的各个经营环节并没有发现明显漏洞。在超市的各个经营环节并没有发现明显漏洞。考虑到钱和物最终的流向收银员是出口，问题很可能出在收银环节。考虑到钱和物最终的流向收银员是出口，

21、问题很可能出在收银环节。警方在调查中发现，收银系统警方在调查中发现，收银系统软件的设计相对严密，除非是负责维护收银系统的资讯小组职员和收银员合谋，才有可能对营业款软件的设计相对严密，除非是负责维护收银系统的资讯小组职员和收银员合谋，才有可能对营业款项动手脚。项动手脚。经过深入调查，侦查人员发现超市原有的收银系统被装入了一个攻击性的补丁程序，只要收银员输经过深入调查，侦查人员发现超市原有的收银系统被装入了一个攻击性的补丁程序，只要收银员输入口令、密码，这个程序会自动运行，删除该营业员当日入口令、密码，这个程序会自动运行，删除该营业员当日20左右的销售记录后再将数据传送至会左右的销售记录后再将数据

22、传送至会计部门，造成会计部门只按实际营业额的计部门，造成会计部门只按实际营业额的80向收银员收取营业额。另向收银员收取营业额。另20营业额即可被侵吞。营业额即可被侵吞。能够在收银系统中装入程序的，负责管理、更新、维修超市收银系统的资讯组工作人员嫌疑最大。能够在收银系统中装入程序的，负责管理、更新、维修超市收银系统的资讯组工作人员嫌疑最大。 警方顺藤摸瓜，挖出一个包括超市资讯员、收银员在内的近警方顺藤摸瓜，挖出一个包括超市资讯员、收银员在内的近40人的犯罪团伙。据调查，原乐购超市人的犯罪团伙。据调查，原乐购超市真北店资讯组组长方元在工作中发现收银系统漏洞，设计了攻击性程序，犯罪嫌疑人于琪、朱永春

23、真北店资讯组组长方元在工作中发现收银系统漏洞，设计了攻击性程序，犯罪嫌疑人于琪、朱永春、武侃佳等人利用担任乐购超市多家门店资讯工作的便利，将这一程序植入各门店收银系统；犯罪、武侃佳等人利用担任乐购超市多家门店资讯工作的便利，将这一程序植入各门店收银系统；犯罪嫌疑人陈炜嘉、陈琦、赵一青等人物色不法人员，经培训后通过应聘安插到各家门店做收银员，每嫌疑人陈炜嘉、陈琦、赵一青等人物色不法人员，经培训后通过应聘安插到各家门店做收银员，每日将侵吞赃款上缴到犯罪团伙主犯方元、陈炜嘉、陈琦等人手中，团伙成员按比例分赃。一年时间日将侵吞赃款上缴到犯罪团伙主犯方元、陈炜嘉、陈琦等人手中，团伙成员按比例分赃。一年时

24、间内，先后侵吞乐购超市真北店、金山店、七宝店内，先后侵吞乐购超市真北店、金山店、七宝店374万余元。犯罪团伙个人按比例分得赃款数千元至万余元。犯罪团伙个人按比例分得赃款数千元至50万元不等万元不等关于员工安全管理的建议关于员工安全管理的建议 根据不同岗位的需求，在职位描述书中加入安全方面根据不同岗位的需求，在职位描述书中加入安全方面的责任要求，特别是敏感岗位的责任要求，特别是敏感岗位 在招聘环节做好人员筛选和背景调查工作，并且签订在招聘环节做好人员筛选和背景调查工作，并且签订适当的保密协议适当的保密协议 在新员工培训中专门加入信息安全内容在新员工培训中专门加入信息安全内容 工作期间，根据岗位需

25、要，持续进行专项培训工作期间，根据岗位需要，持续进行专项培训 通过多种途径，全面提升员工信息安全意识通过多种途径，全面提升员工信息安全意识 落实检查监督和奖惩机制落实检查监督和奖惩机制 员工内部转岗应做好访问控制变更控制员工内部转岗应做好访问控制变更控制 员工离职，应做好交接和权限撤销员工离职，应做好交接和权限撤销53543131岁的软件工程师岁的软件工程师程稚瀚，在华为工作期间，曾为西藏移动做过技术程稚瀚，在华为工作期间，曾为西藏移动做过技术工作，案发时，在工作，案发时，在UT斯达康深圳分公司工作。斯达康深圳分公司工作。20052005年年3 3月开始，其月开始，其利用为西藏移动做技术时使用

26、的密码（此密码自程利用为西藏移动做技术时使用的密码（此密码自程稚瀚离开后一直没有更改），轻松进入了西藏移动的服务器。通过西稚瀚离开后一直没有更改），轻松进入了西藏移动的服务器。通过西藏移动的服务器，程稚瀚又跳转到了北京移动数据库，取得了数据从藏移动的服务器，程稚瀚又跳转到了北京移动数据库，取得了数据从2005年年3月至月至7月，程稚瀚先后月，程稚瀚先后4次侵入北京移动数据库，修改充值卡次侵入北京移动数据库，修改充值卡的时间和金额，将已充值的充值卡状态改为未充值，共修改复制出上的时间和金额，将已充值的充值卡状态改为未充值，共修改复制出上万个充值卡密码。他还将盗出的充值卡密码通过淘宝网出售，共获利

27、万个充值卡密码。他还将盗出的充值卡密码通过淘宝网出售，共获利370余万元。余万元。 直到直到2005年年7月，由于一次月，由于一次“疏忽疏忽”，程稚瀚将一批充值卡售出时，忘，程稚瀚将一批充值卡售出时，忘了修改使用期限，使用期限仍为了修改使用期限，使用期限仍为90天。购买到这批充值卡的用户因无天。购买到这批充值卡的用户因无法使用便投诉到北京移动，北京移动才发现有法使用便投诉到北京移动，北京移动才发现有6600张充值卡被非法复张充值卡被非法复制，立即报警。制，立即报警。 2005年年8月月24日，程稚瀚在深圳被抓获，所获赃款全部起获。日，程稚瀚在深圳被抓获，所获赃款全部起获。 关于第三方安全管理的

28、建议关于第三方安全管理的建议 识别所有相关第三方：服务提供商，设备提供商，咨识别所有相关第三方：服务提供商，设备提供商，咨询顾问，审计机构，物业，保洁等询顾问，审计机构，物业，保洁等 识别所有与第三方相关的安全风险，无论是牵涉到物识别所有与第三方相关的安全风险，无论是牵涉到物理访问还是逻辑访问理访问还是逻辑访问 在没有采取必要控制措施，包括签署相关协议之前，在没有采取必要控制措施，包括签署相关协议之前，不应该授权给外部伙伴访问。应该让外部伙伴意识到其不应该授权给外部伙伴访问。应该让外部伙伴意识到其责任和必须遵守的规定责任和必须遵守的规定 在与第三方签订协议时特别提出信息安全方面的要求，在与第三

29、方签订协议时特别提出信息安全方面的要求，特别是访问控制要求特别是访问控制要求 对第三方实施有效的监督，定期对第三方实施有效的监督，定期ReviewReview服务交付服务交付是一路电还是两路电？是一路电还是两路电？两路电是否一定是两个输电站？两路电是否一定是两个输电站？有没有有没有UPS？UPS能维持多久？能维持多久？有没有备用发电机组？有没有备用发电机组？备用发电机是否有充足的油料储备？备用发电机是否有充足的油料储备？另一个与物理安全相关的案例另一个与物理安全相关的案例情况是这样的情况是这样的 聪明的张三想出了妙计聪明的张三想出了妙计 问题出在哪里问题出在哪里 总结教训总结教训 物理安全非常

30、关键！物理安全非常关键！关于物理安全的建议关于物理安全的建议67关于口令的一些调查结果关于口令的一些调查结果什么样的口令是比较脆弱的？什么样的口令是比较脆弱的？口令安全建议口令安全建议从一点一滴做起！从一点一滴做起！从自身做起！从自身做起！72IT安全问题1、一般情况下，个人计算机在（ ） 分钟的非活动状态里要求自动激活屏幕锁定 A、5分钟 B、10分钟C、15分钟 D、30分钟73IT安全问题2、下列说法错误的是( )A、个人计算机操作系统必须设置口令。 B、在每天工作结束时，将便携电脑妥善保 管，如锁入文件柜。 C、离开自己的计算机时，必须激活具有密码保护的屏幕保护程序。 D、为方便第二天

31、工作，下班后可以不用关闭计算机。74IT安全问题3、口令要求至少（ ）更换一次 A、3个月 B、6个月 C、1年 D、可以一直使用一个口令 ，不用修改。75IT安全问题4、下列关于个人计算机的访问密码设置要求，描述错误的是（ ）：A、密码要求至少设置8位字符长。B、为便于记忆，可将自己生日作为密码。C、禁止使用前两次的密码 D、如果需要访问不在公司控制下的计算机系统，禁止选择在公司内部系统使用的密码作为外部系统的密码。 76IT安全问题5、下列关于外网使用说法错误的是（ ）：A、外网只能从分公司一点接入。B、地市公司或管理部门为方便外网使用，可自己向电信申请开通ADSL外网接入。C、外网接入须

32、经过防火墙以加强安全防护。D、只使用有授权访问的服务。不要尝试访问未经授权的互联网系统或服务器端口 。77IT安全问题6、用upload账户通过分公司85服务器上传文件文件，描述错误的是（ ） A、需保密的文件上传前应该做加密处理。B、在对方下载后立即从FTP服务器上删除自己所传文件。C、不可将分公司FTP服务器当作自己重要数据文件的备份服务器。D、上传后的文件可以不用处理，一直放到分公司FTP服务器上。78IT安全问题7、关于个人计算机数据备份描述错误的是（）A、备份的目的是有效保证个人计算机内的重要信息在遭到损坏时能够及时恢复。B、个人计算机数据备份是信息技术部的事情，应由信息技术部负责完

33、成。C、员工应根据个人计算机上信息的重要程度和修改频率定期对信息进行备份。D、备份介质必须要注意防范偷窃或未经授权的访问。 79IT安全问题8、关于电子邮件的使用，描述错误的是（ ）A、不得散发可能被认为不适当的，对他人不尊重或提倡违法行为的内容；B 、可以自动转发公司内部邮件到互联网上；C 、禁止使用非CPIC 的电子邮箱，如YAHOO，AOL，HOTMAIL 等交换CPIC公司信息；D、非CPIC 授权人员禁止使用即时通讯软件，如MSN 交换CPIC 公司信息。 80IT安全问题9、下列关于病毒防护描述错误的是（ ）A、个人工作站必须安装统一部署的防病毒软件，未经信息技术部批准不得擅自安装

34、非本公司指定的防病毒软件。 B、如果从公共资源得到程序（比如，网站，公告版），那么在使用之前需使用防病毒程序扫描。C、在处理外部介质之前应用防病毒软件扫描。D、个人计算机上安装了防病毒软件即可，不用定期进行病毒扫描。81IT安全问题10、位于高风险区域的移动计算机，例如，在没有物理访问控制的区域等应设屏幕锁定为（ ）分钟，以防止非授权人员的访问；A、5分钟 B、10分钟C、15分钟 D、30分钟82IT安全问题11、关于数据保存，说法错误的是（ ）A、将重要数据文件保存到C盘或者桌面。B、定期对重要数据文件用移动硬盘或光盘进行备份。C、将重要数据文件保存到C盘外的其它硬盘分区。83IT安全问题

35、12、关于代码权限管理规定说法错误的是（）A、非在编人员不能加代码，试用期员工可加代码。 B、为方便工作，同事之间的代码可以相互借用。C、出单和理赔操作员经培训、考试合格才能申请权限 。D、人员离职后，人员代码及相应权限应立即予以清理。84IT安全问题13、使用者必须向分公司信息技术部提出书面申请并得到书面确认后方可安装的软件属于以下哪一类（） A：I 类 B：II类 C：III类 D：IV类85IT安全问题14、下列关于笔记本使用规范描述错误的是（）A、笔记本应该设置硬盘保护密码以加强安全保护；B、在旅行中或在办公室之外的地方工作时 要尽可能将便携电脑置于个人的控制之下。C、如果便携电脑或公

36、司的机密信息被偷，丢失，必须及时报告给公司的安全部门和你的上级主管。D、单位笔记本可以带回家供娱乐使用，例如玩游戏等。问题一15、在旅行中或出差时等办公室之外的地方使用便携电脑，以下哪一种使用方式不符合公司的安全规定：A、乘飞机旅行时，将便携电脑放在托运的行李中；B、外出时将便携电脑锁在酒店保险柜里；C、如果便携电脑被偷或丢失，报告给公司当地的安全部门和你的上级主管；D、在候机室或者飞机上看影片。86问题二16、以下哪一种是正确的使用公司电脑的方式：A、公司上网需要申请，自己买张移动上网卡接入电脑上Internet；B、要给客户发保险产品信息，使用Hotmail发送过去；C、习惯使用Adobe Photoshop编辑软件，但公司的电脑没有安装，自己买张盗版光盘自行安装；D、定期把自己电脑的文档备份在移动硬盘上；87问题三17、以下哪一项不是太保信息安全等级的分类：A、公共信息；B、内部信息；C、敏感信息；D、秘密信息；88谢谢