精品课件-物流信息系统-第9章ppt.ppt

SCMSCM第第9 9章章 物流信息系统的安全和控制物流信息系统的安全和控制学学习习目目标标0101了解信息系统安全的内涵与划分了解信息系统安全的内涵与划分0202了解信息系统安全防护的基本内容了解信息系统安全防护的基本内容0303了解计算机犯罪的涵义及防范措施了解计算机犯罪的涵义及防范措施0404了解计算机病毒的涵义及预防措施了解计算机病毒的涵义及预防措施本章目录本章目录1 1物流信息系统面临的威胁物流信息系统面临的威胁2 23 34 45 5物流信息系统的控制方法物流信息系统的控制方法物流信息系统的监理物流信息系统的监理物流信息系统的安全性物流信息系统的安全性本章小结本章小结第一节第一节第一节第一节 物流信息系统面临的威胁物流信息系统面临的威胁物流信息系统面临的威胁物流信息系统面临的威胁CONTENTSCONTENTS1 1信息系统所面临的威胁与攻击信息系统所面临的威胁与攻击2 2造成信息系统威胁的原因造成信息系统威胁的原因1.1.1.1.1988198819881988年，一个称为年，一个称为年，一个称为年，一个称为“蠕虫蠕虫蠕虫蠕虫”的电脑病毒诞生。的电脑病毒诞生。的电脑病毒诞生。的电脑病毒诞生。2.2.2.2.1991199119911991年，在年，在年，在年，在“海湾战争海湾战争海湾战争海湾战争”中，美军第一次将计算机病毒用于实战。中，美军第一次将计算机病毒用于实战。中，美军第一次将计算机病毒用于实战。中，美军第一次将计算机病毒用于实战。3.3.3.3.1996199619961996年，首次出现针对微软公司年，首次出现针对微软公司年，首次出现针对微软公司年，首次出现针对微软公司OfficeOfficeOfficeOffice的的的的“宏病毒宏病毒宏病毒宏病毒”。4.4.4.4.1998199819981998年，出现针对年，出现针对年，出现针对年，出现针对Windows 95/98Windows 95/98Windows 95/98Windows 95/98系统的病毒。系统的病毒。系统的病毒。系统的病毒。5.5.5.5.2001200120012001年，一种名为年，一种名为年，一种名为年，一种名为“红色代码红色代码红色代码红色代码”的病毒在美国大面积蔓延。的病毒在美国大面积蔓延。的病毒在美国大面积蔓延。的病毒在美国大面积蔓延。6.6.6.6.2003200320032003年，年，年，年，“2003200320032003蠕虫王蠕虫王蠕虫王蠕虫王”病毒在亚洲、美洲和澳大利亚等地迅速传播。病毒在亚洲、美洲和澳大利亚等地迅速传播。病毒在亚洲、美洲和澳大利亚等地迅速传播。病毒在亚洲、美洲和澳大利亚等地迅速传播。7.7.7.7.2005200520052005年年年年-2008-2008-2008-2008年，计算机病毒年，计算机病毒年，计算机病毒年，计算机病毒/木马处于一种高速木马处于一种高速木马处于一种高速木马处于一种高速“出新出新出新出新”的状态。的状态。的状态。的状态。8.8.8.8.2010201020102010年，中国互联网年，中国互联网年，中国互联网年，中国互联网 新增了两大类木马：绑架型木马、网购木马。新增了两大类木马：绑架型木马、网购木马。新增了两大类木马：绑架型木马、网购木马。新增了两大类木马：绑架型木马、网购木马。9.9.9.9.2012201220122012年，网站用户信息成为黑客窃取的重点。年，网站用户信息成为黑客窃取的重点。年，网站用户信息成为黑客窃取的重点。年，网站用户信息成为黑客窃取的重点。造造造造成成成成信信信信息息息息系系系系统统统统威威威威胁胁胁胁的的的的原原原原因因因因0101黑客攻击黑客攻击0202管理的欠缺管理的欠缺0303软硬件的软硬件的“漏洞漏洞”和后门和后门0404信息战信息战定义定义1 1组成组成2 2影响因素影响因素5 5等级划分等级划分4 4第二节第二节第二节第二节 物流信息系统的安全性物流信息系统的安全性物流信息系统的安全性物流信息系统的安全性管理措施管理措施3 3信信信信息息息息系系系系统统统统安安安安全全全全的的的的定定定定义义义义信息系统安全是指组成信息系统的硬件、软件和数据资源的安全。信息系统信息系统安全是指组成信息系统的硬件、软件和数据资源的安全。信息系统信息系统安全是指组成信息系统的硬件、软件和数据资源的安全。信息系统信息系统安全是指组成信息系统的硬件、软件和数据资源的安全。信息系统安全保护的基本内容是：保障计算机及其相关的和配套的设备、设施安全保护的基本内容是：保障计算机及其相关的和配套的设备、设施安全保护的基本内容是：保障计算机及其相关的和配套的设备、设施安全保护的基本内容是：保障计算机及其相关的和配套的设备、设施(含网络含网络含网络含网络)的的的的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护信息系统的安全运行。同时，避免计算机信息系统受到自然和人为因素的破坏、信息系统的安全运行。同时，避免计算机信息系统受到自然和人为因素的破坏、信息系统的安全运行。同时，避免计算机信息系统受到自然和人为因素的破坏、信息系统的安全运行。同时，避免计算机信息系统受到自然和人为因素的破坏、更改或泄漏系统中的信息资源，从而保证信息系统能够连续正常运行。更改或泄漏系统中的信息资源，从而保证信息系统能够连续正常运行。更改或泄漏系统中的信息资源，从而保证信息系统能够连续正常运行。更改或泄漏系统中的信息资源，从而保证信息系统能够连续正常运行。信息系统安全实际包含两部分内容，一是指信息系统安全实际包含两部分内容，一是指信息系统安全实际包含两部分内容，一是指信息系统安全实际包含两部分内容，一是指信息系统自身的安全信息系统自身的安全信息系统自身的安全信息系统自身的安全，二是指对，二是指对，二是指对，二是指对信息系统的安全保护。信息安全是信息系统安全的核心问题，计算机单机安全和信息系统的安全保护。信息安全是信息系统安全的核心问题，计算机单机安全和信息系统的安全保护。信息安全是信息系统安全的核心问题，计算机单机安全和信息系统的安全保护。信息安全是信息系统安全的核心问题，计算机单机安全和网络安全是确保信息安全的重要条件和保证，计算机单机安全、网络安全和信息网络安全是确保信息安全的重要条件和保证，计算机单机安全、网络安全和信息网络安全是确保信息安全的重要条件和保证，计算机单机安全、网络安全和信息网络安全是确保信息安全的重要条件和保证，计算机单机安全、网络安全和信息安全三者之间是紧密联系、不能割裂的。安全三者之间是紧密联系、不能割裂的。安全三者之间是紧密联系、不能割裂的。安全三者之间是紧密联系、不能割裂的。一、一、一、一、信信信信息息息息系系系系统统统统安安安安全全全全的的的的组组组组成成成成（一）（一）（二）（二）信息系统中的实体安全信息系统中的实体安全（三）（三）信息系统中的软件安全信息系统中的软件安全法律制度与道德规范法律制度与道德规范二、二、二、二、法律法律法律法律与道与道与道与道德规德规德规德规范范范范制定和完善信息安全法律法规制定和完善信息安全法律法规1 1建立和完善企业内部管理制度建立和完善企业内部管理制度2 2制定及宣传信息安全伦理道德规范制定及宣传信息安全伦理道德规范3 3制制制制定定定定和和和和完完完完善善善善信信信信息息息息安安安安全全全全法法法法律律律律法法法法规规规规1987198719871987年年年年10101010月公安部推出了月公安部推出了月公安部推出了月公安部推出了电子计算机系统安全规范电子计算机系统安全规范电子计算机系统安全规范电子计算机系统安全规范；1986198619861986年颁布了年颁布了年颁布了年颁布了治治治治安管理处罚条例安管理处罚条例安管理处罚条例安管理处罚条例和和和和标准化法标准化法标准化法标准化法；1988198819881988年颁布了年颁布了年颁布了年颁布了保守国家秘密法保守国家秘密法保守国家秘密法保守国家秘密法；1991199119911991年年年年颁布了颁布了颁布了颁布了计算机软件保护条例计算机软件保护条例计算机软件保护条例计算机软件保护条例；1992199219921992年颁布了年颁布了年颁布了年颁布了计算机软件著作权登记办法计算机软件著作权登记办法计算机软件著作权登记办法计算机软件著作权登记办法；1994199419941994年颁布了年颁布了年颁布了年颁布了计算机信息系统安全保护条例计算机信息系统安全保护条例计算机信息系统安全保护条例计算机信息系统安全保护条例；1997199719971997年颁布了年颁布了年颁布了年颁布了计算机信息网计算机信息网计算机信息网计算机信息网络国际联网管理暂行规定络国际联网管理暂行规定络国际联网管理暂行规定络国际联网管理暂行规定和和和和计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法；1999199919991999年制定并发布了年制定并发布了年制定并发布了年制定并发布了计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则；2004200420042004年年年年9 9 9 9月，公月，公月，公月，公安部会同国家保密局、国家密码管理局和国务院信息办联合出台了安部会同国家保密局、国家密码管理局和国务院信息办联合出台了安部会同国家保密局、国家密码管理局和国务院信息办联合出台了安部会同国家保密局、国家密码管理局和国务院信息办联合出台了关于信息安关于信息安关于信息安关于信息安全等级保护工作的实施意见全等级保护工作的实施意见全等级保护工作的实施意见全等级保护工作的实施意见；2007200720072007年年年年6 6 6 6月，公安部发布了月，公安部发布了月，公安部发布了月，公安部发布了信息安全等级保护管信息安全等级保护管信息安全等级保护管信息安全等级保护管理办法理办法理办法理办法。1 1 1 1安全管理制度的建立与实施，是实现信息系统安全的重要保证。其包括管理安全管理制度的建立与实施，是实现信息系统安全的重要保证。其包括管理安全管理制度的建立与实施，是实现信息系统安全的重要保证。其包括管理安全管理制度的建立与实施，是实现信息系统安全的重要保证。其包括管理制度的制定、管理人员的安全教育培训、管理制度的落实以及管理人员职责的检制度的制定、管理人员的安全教育培训、管理制度的落实以及管理人员职责的检制度的制定、管理人员的安全教育培训、管理制度的落实以及管理人员职责的检制度的制定、管理人员的安全教育培训、管理制度的落实以及管理人员职责的检查等方面的内容。查等方面的内容。查等方面的内容。查等方面的内容。在信息系统安全保护工作中，人是最重要的因素，任何管理制度和安全措施在信息系统安全保护工作中，人是最重要的因素，任何管理制度和安全措施在信息系统安全保护工作中，人是最重要的因素，任何管理制度和安全措施在信息系统安全保护工作中，人是最重要的因素，任何管理制度和安全措施都要通过人去落实。这方面的主要措施有：建立健全的安全管理规章制度、人员都要通过人去落实。这方面的主要措施有：建立健全的安全管理规章制度、人员都要通过人去落实。这方面的主要措施有：建立健全的安全管理规章制度、人员都要通过人去落实。这方面的主要措施有：建立健全的安全管理规章制度、人员调离的安全管理制度、设备和数据管理制度、人员的安全管理制度以及软件开发调离的安全管理制度、设备和数据管理制度、人员的安全管理制度以及软件开发调离的安全管理制度、设备和数据管理制度、人员的安全管理制度以及软件开发调离的安全管理制度、设备和数据管理制度、人员的安全管理制度以及软件开发人员、系统管理人员与业务操作人员必须严格分开等管理制度，只有建立、健全人员、系统管理人员与业务操作人员必须严格分开等管理制度，只有建立、健全人员、系统管理人员与业务操作人员必须严格分开等管理制度，只有建立、健全人员、系统管理人员与业务操作人员必须严格分开等管理制度，只有建立、健全企业内部管理制度，信息系统才可能顺利运行，信息系统的安全才能得到保障。企业内部管理制度，信息系统才可能顺利运行，信息系统的安全才能得到保障。企业内部管理制度，信息系统才可能顺利运行，信息系统的安全才能得到保障。企业内部管理制度，信息系统才可能顺利运行，信息系统的安全才能得到保障。信信信信息息息息系系系系统统统统中中中中的的的的实实实实体体体体安安安安全全全全2 2 2 2计算机道德是用来约束计算机从业人员的言行、指导其思想的一整套道德规计算机道德是用来约束计算机从业人员的言行、指导其思想的一整套道德规计算机道德是用来约束计算机从业人员的言行、指导其思想的一整套道德规计算机道德是用来约束计算机从业人员的言行、指导其思想的一整套道德规范，涉及到思想认识、服务态度、业务钻研、安全意识、待遇得失及公共道德等范，涉及到思想认识、服务态度、业务钻研、安全意识、待遇得失及公共道德等范，涉及到思想认识、服务态度、业务钻研、安全意识、待遇得失及公共道德等范，涉及到思想认识、服务态度、业务钻研、安全意识、待遇得失及公共道德等方面。研究计算机道德的任务一方面要通过宣传手段更新人们的思想观念，使其方面。研究计算机道德的任务一方面要通过宣传手段更新人们的思想观念，使其方面。研究计算机道德的任务一方面要通过宣传手段更新人们的思想观念，使其方面。研究计算机道德的任务一方面要通过宣传手段更新人们的思想观念，使其逐步认识到对计算机信息系统的破坏活动也是一种不道德、不符合现代社会伦理逐步认识到对计算机信息系统的破坏活动也是一种不道德、不符合现代社会伦理逐步认识到对计算机信息系统的破坏活动也是一种不道德、不符合现代社会伦理逐步认识到对计算机信息系统的破坏活动也是一种不道德、不符合现代社会伦理要求的行为；另一方面要通过建立健全切实可行的法律法规及行为规范准则，使要求的行为；另一方面要通过建立健全切实可行的法律法规及行为规范准则，使要求的行为；另一方面要通过建立健全切实可行的法律法规及行为规范准则，使要求的行为；另一方面要通过建立健全切实可行的法律法规及行为规范准则，使人们认识到计算机犯罪的非法性。人们认识到计算机犯罪的非法性。人们认识到计算机犯罪的非法性。人们认识到计算机犯罪的非法性。制制制制定定定定及及及及宣宣宣宣传传传传信信信信息息息息安安安安全全全全伦伦伦伦理理理理道道道道德德德德规规规规范范范范3 3 3 3信息信息信息信息系统系统系统系统实体实体实体实体安全安全安全安全运营环境的安全运营环境的安全1 1运行设备的安全运行设备的安全2 2运行媒体的安全运行媒体的安全3 3运行环境的安全是指对计算机系统所在的环境有一定的要求，重要计算机机运行环境的安全是指对计算机系统所在的环境有一定的要求，重要计算机机运行环境的安全是指对计算机系统所在的环境有一定的要求，重要计算机机运行环境的安全是指对计算机系统所在的环境有一定的要求，重要计算机机房应远离易燃、易爆和有害气体等各种危险物品；机房要有防火、防水、防静电房应远离易燃、易爆和有害气体等各种危险物品；机房要有防火、防水、防静电房应远离易燃、易爆和有害气体等各种危险物品；机房要有防火、防水、防静电房应远离易燃、易爆和有害气体等各种危险物品；机房要有防火、防水、防静电以及防电磁干扰等措施；还需要对机房的湿度和温度进行限制，保证设备能够持以及防电磁干扰等措施；还需要对机房的湿度和温度进行限制，保证设备能够持以及防电磁干扰等措施；还需要对机房的湿度和温度进行限制，保证设备能够持以及防电磁干扰等措施；还需要对机房的湿度和温度进行限制，保证设备能够持续运行；机房应有监控系统，以便对系统的运行、操作环境实施监控及监视。续运行；机房应有监控系统，以便对系统的运行、操作环境实施监控及监视。续运行；机房应有监控系统，以便对系统的运行、操作环境实施监控及监视。续运行；机房应有监控系统，以便对系统的运行、操作环境实施监控及监视。运运运运行行行行环环环环境境境境的的的的安安安安全全全全1 1 1 1由于计算机设备是由电子元器件组成的，各个部件有着不同的使用寿命，因由于计算机设备是由电子元器件组成的，各个部件有着不同的使用寿命，因由于计算机设备是由电子元器件组成的，各个部件有着不同的使用寿命，因由于计算机设备是由电子元器件组成的，各个部件有着不同的使用寿命，因而要防止元器件老化引起的偶然事故；机房和电源、通信设备应有防雷措施，重而要防止元器件老化引起的偶然事故；机房和电源、通信设备应有防雷措施，重而要防止元器件老化引起的偶然事故；机房和电源、通信设备应有防雷措施，重而要防止元器件老化引起的偶然事故；机房和电源、通信设备应有防雷措施，重要系统要配备不间断电源要系统要配备不间断电源要系统要配备不间断电源要系统要配备不间断电源(UPS)(UPS)(UPS)(UPS)等。同时，机房应有防盗措施以防止硬件设备的失等。同时，机房应有防盗措施以防止硬件设备的失等。同时，机房应有防盗措施以防止硬件设备的失等。同时，机房应有防盗措施以防止硬件设备的失窃和人为破坏造成的信息系统运行基础崩溃以及软件和数据的泄露。窃和人为破坏造成的信息系统运行基础崩溃以及软件和数据的泄露。窃和人为破坏造成的信息系统运行基础崩溃以及软件和数据的泄露。窃和人为破坏造成的信息系统运行基础崩溃以及软件和数据的泄露。运运运运行行行行设设设设备备备备的的的的安安安安全全全全2 2 2 2运运运运行行行行媒媒媒媒体体体体的的的的安安安安全全全全3 3 3 3做好记录的分类管理，提高媒做好记录的分类管理，提高媒体的存储效率体的存储效率0202规范媒体的日常管理，提高信规范媒体的日常管理，提高信息存储的质量息存储的质量0303媒体安全媒体安全0101信息信息信息信息系统系统系统系统软件软件软件软件安全安全安全安全操作系统的安全操作系统的安全1 1数据库系统的安全数据库系统的安全2 2通信网络的安全通信网络的安全3 3其他安全因素其他安全因素4 4操作系统本身存在的结构体制上的缺陷、操作系统的无口令进入、操作系统的操作系统本身存在的结构体制上的缺陷、操作系统的无口令进入、操作系统的操作系统本身存在的结构体制上的缺陷、操作系统的无口令进入、操作系统的操作系统本身存在的结构体制上的缺陷、操作系统的无口令进入、操作系统的DebugDebugDebugDebug和和和和WizardWizardWizardWizard功能以及操作系统提供的网络文件系统功能以及操作系统提供的网络文件系统功能以及操作系统提供的网络文件系统功能以及操作系统提供的网络文件系统(Network File System(Network File System(Network File System(Network File System，NFS)NFS)NFS)NFS)服务等都导致了计算机信息系统存在安全隐患。服务等都导致了计算机信息系统存在安全隐患。服务等都导致了计算机信息系统存在安全隐患。服务等都导致了计算机信息系统存在安全隐患。提高操作系统安全的常用保护措施有：提高操作系统安全的常用保护措施有：提高操作系统安全的常用保护措施有：提高操作系统安全的常用保护措施有：（1 1 1 1）给系统经常打补丁）给系统经常打补丁）给系统经常打补丁）给系统经常打补丁（2 2 2 2）慎用系统管理员账号）慎用系统管理员账号）慎用系统管理员账号）慎用系统管理员账号（3 3 3 3）禁用不必要的服务）禁用不必要的服务）禁用不必要的服务）禁用不必要的服务（4 4 4 4）恰当地设置目录和文件权限）恰当地设置目录和文件权限）恰当地设置目录和文件权限）恰当地设置目录和文件权限（5 5 5 5）正确地配置端口）正确地配置端口）正确地配置端口）正确地配置端口操操操操作作作作系系系系统统统统的的的的安安安安全全全全1 1 1 1数据库系统通常由数据库和数据库管理系统两部分组成。数据库系统是诸多数据库系统通常由数据库和数据库管理系统两部分组成。数据库系统是诸多数据库系统通常由数据库和数据库管理系统两部分组成。数据库系统是诸多数据库系统通常由数据库和数据库管理系统两部分组成。数据库系统是诸多信息系统的重要组成部分，数据库系统的任何破坏、修改或者不能及时地提供服信息系统的重要组成部分，数据库系统的任何破坏、修改或者不能及时地提供服信息系统的重要组成部分，数据库系统的任何破坏、修改或者不能及时地提供服信息系统的重要组成部分，数据库系统的任何破坏、修改或者不能及时地提供服务都会给使用者带来严重的问题，因此，保护数据库系统的安全至关重要。数据务都会给使用者带来严重的问题，因此，保护数据库系统的安全至关重要。数据务都会给使用者带来严重的问题，因此，保护数据库系统的安全至关重要。数据务都会给使用者带来严重的问题，因此，保护数据库系统的安全至关重要。数据库系统的安全主要是保证数据的独立性、完整性、保密性和可用性，防止数据被库系统的安全主要是保证数据的独立性、完整性、保密性和可用性，防止数据被库系统的安全主要是保证数据的独立性、完整性、保密性和可用性，防止数据被库系统的安全主要是保证数据的独立性、完整性、保密性和可用性，防止数据被非法访问，甚至被篡改或破坏。非法访问，甚至被篡改或破坏。非法访问，甚至被篡改或破坏。非法访问，甚至被篡改或破坏。保证数据库系统安全的安全技术：保证数据库系统安全的安全技术：保证数据库系统安全的安全技术：保证数据库系统安全的安全技术：（1 1 1 1）数据库的访问控制数据库的访问控制数据库的访问控制数据库的访问控制（2 2 2 2）审计跟踪审计跟踪审计跟踪审计跟踪（3 3 3 3）数据库加密数据库加密数据库加密数据库加密（4 4 4 4）数据库的恢复数据库的恢复数据库的恢复数据库的恢复数数数数据据据据库库库库系系系系统统统统的的的的安安安安全全全全2 2 2 2计算机通信网络安全是指根据网络特性通过相应的安全技术和措施，防止计计算机通信网络安全是指根据网络特性通过相应的安全技术和措施，防止计计算机通信网络安全是指根据网络特性通过相应的安全技术和措施，防止计计算机通信网络安全是指根据网络特性通过相应的安全技术和措施，防止计算机通信网络中的数据遭到破坏，防止非特权用户窃取服务。为了防止计算机通算机通信网络中的数据遭到破坏，防止非特权用户窃取服务。为了防止计算机通算机通信网络中的数据遭到破坏，防止非特权用户窃取服务。为了防止计算机通算机通信网络中的数据遭到破坏，防止非特权用户窃取服务。为了防止计算机通信网络遭到自然或人为破坏，确保网络正常运行，需采取各种安全技术措施，具信网络遭到自然或人为破坏，确保网络正常运行，需采取各种安全技术措施，具信网络遭到自然或人为破坏，确保网络正常运行，需采取各种安全技术措施，具信网络遭到自然或人为破坏，确保网络正常运行，需采取各种安全技术措施，具体如下。体如下。体如下。体如下。通通通通信信信信网网网网络络络络的的的的安安安安全全全全3 3 3 30101信息加密技术信息加密技术020203030404认证技术认证技术访问控制技术访问控制技术防火墙技术防火墙技术影响网络环境下的信息安全还有一个很重要的因素，即信息安全产业的发展影响网络环境下的信息安全还有一个很重要的因素，即信息安全产业的发展影响网络环境下的信息安全还有一个很重要的因素，即信息安全产业的发展影响网络环境下的信息安全还有一个很重要的因素，即信息安全产业的发展问题。众所周知，保证网络环境下的信息安全涉及很多信息安全产品和服务，如问题。众所周知，保证网络环境下的信息安全涉及很多信息安全产品和服务，如问题。众所周知，保证网络环境下的信息安全涉及很多信息安全产品和服务，如问题。众所周知，保证网络环境下的信息安全涉及很多信息安全产品和服务，如防火墙、安全操作系统、相应的信息安全软件等。如果一个国家的信息安全产品防火墙、安全操作系统、相应的信息安全软件等。如果一个国家的信息安全产品防火墙、安全操作系统、相应的信息安全软件等。如果一个国家的信息安全产品防火墙、安全操作系统、相应的信息安全软件等。如果一个国家的信息安全产品都是依靠国外进口，那么就很难保证该国一些涉及国家经济安全的信息的安全应都是依靠国外进口，那么就很难保证该国一些涉及国家经济安全的信息的安全应都是依靠国外进口，那么就很难保证该国一些涉及国家经济安全的信息的安全应都是依靠国外进口，那么就很难保证该国一些涉及国家经济安全的信息的安全应用。如果出口国完全掌握着信息安全产品的核心技术，就很容易侵入进口国的网用。如果出口国完全掌握着信息安全产品的核心技术，就很容易侵入进口国的网用。如果出口国完全掌握着信息安全产品的核心技术，就很容易侵入进口国的网用。如果出口国完全掌握着信息安全产品的核心技术，就很容易侵入进口国的网络系统，得到进口国的机密信息。例如，我国现在还没有自己的络系统，得到进口国的机密信息。例如，我国现在还没有自己的络系统，得到进口国的机密信息。例如，我国现在还没有自己的络系统，得到进口国的机密信息。例如，我国现在还没有自己的CPUCPUCPUCPU和操作系统，和操作系统，和操作系统，和操作系统，目前大面积使用国外的目前大面积使用国外的目前大面积使用国外的目前大面积使用国外的CPUCPUCPUCPU和操作系统，类似微软公司视窗系统的和操作系统，类似微软公司视窗系统的和操作系统，类似微软公司视窗系统的和操作系统，类似微软公司视窗系统的“NSANSANSANSA密钥密钥密钥密钥”就就就就可能负面影响我国的信息安全。可能负面影响我国的信息安全。可能负面影响我国的信息安全。可能负面影响我国的信息安全。其其其其他他他他安安安安全全全全因因因因素素素素4 4 4 4表表9-1 9-1 影响信息系统安全的主要因素影响信息系统安全的主要因素影响因素影响因素具体表现具体表现自自然然及及不不可可抗抗拒拒因因素素地震、火灾、水灾、风暴以及社会暴力或战争等，这些因素将直接地危害信息系统实体的安全硬件及物理因素硬件及物理因素系统硬件及环境的安全可靠，包括机房设施、计算机主体、存储系统、辅助设备、数据通信设施以及信息存储介质的安全性软件因素软件因素软件的非法删改、复制与窃取将使系统的软件受到损失，并可能造成泄密。计算机网络病毒也是以软件为手段侵入系统进行破坏的数据因素数据因素数据信息在存储和传递过程中的安全性，这是计算机犯罪的主攻核心，是必须加以安全和保密的重点人为及管理因素人为及管理因素涉及工作人员的素质、责任心，以及严密的行政管理制度和法律、法规，以防范人为的主动因素直接对系统安全所造成的威胁电磁波因素电磁波因素计算机系统及其控制的信息和数据传输通道，在工作过程中都会产生电磁波辐射，在一定地理范围内用无线电接收机很容易检测并接收到，这就有可能造成信息通过电磁波辐射而泄漏。另外，空间电磁波也可能对系统产生电磁波干扰，影响系统正常运行其他因素其他因素系统安全一旦出现问题，能将损失降到最小，把产生的影响限制在许可地范围内，保证迅速有效地回复系统运行的一切因素三、影响信息安全的三、影响信息安全的三、影响信息安全的三、影响信息安全的因素因素因素因素我国的信息系统等级我国的信息系统等级划分标准划分标准A A美国的信息系统安全美国的信息系统安全等级划分标准等级划分标准B B四、信息系统安全的四、信息系统安全的等级划分等级划分第一级，用户自主保护级第一级，用户自主保护级第一级，用户自主保护级第一级，用户自主保护级本级的计算机信息系统可信计算机，通过隔离用户与数据，使用户具备自主安全保护的能力。本级的计算机信息系统可信计算机，通过隔离用户与数据，使用户具备自主安全保护的能力。它具有多种形式的控制能力，能够对用户实施访问控制，即为用户提供可行的手段，保护用它具有多种形式的控制能力，能够对用户实施访问控制，即为用户提供可行的手段，保护用户和用户组信息，避免其他用户对数据的非法读写与破坏。户和用户组信息，避免其他用户对数据的非法读写与破坏。第二级，系统审计保护级第二级，系统审计保护级第二级，系统审计保护级第二级，系统审计保护级与用户自主保护级相比，本级的计算机信息系统可信计算机实施了力度更细的自主访问控制，与用户自主保护级相比，本级的计算机信息系统可信计算机实施了力度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。第三级，安全标记保护级第三级，安全标记保护级第三级，安全标记保护级第三级，安全标记保护级本级的计算机信息系统可信计算机具有系统审计保护级的所有功能；此外，还需提供有关安本级的计算机信息系统可信计算机具有系统审计保护级的所有功能；此外，还需提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述，具有准确地标记输出全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述，具有准确地标记输出信息的能力，以及消除通过测试发现的任何错误。信息的能力，以及消除通过测试发现的任何错误。（一）我国的信息系统等级划分标准（一）我国的信息系统等级划分标准（一）我国的信息系统等级划分标准（一）我国的信息系统等级划分标准第四级，结构化保护级第四级，结构化保护级第四级，结构化保护级第四级，结构化保护级本级的计算机信息系统可信计算机建立于一个明确定义的形式化安全策略模型之上，它要求将本级的计算机信息系统可信计算机建立于一个明确定义的形式化安全策略模型之上，它要求将第三级系统中的自主和强制访问控制扩展到所有主体和客体上；此外，还要考虑隐蔽通道。本第三级系统中的自主和强制访问控制扩展到所有主体和客体上；此外，还要考虑隐蔽通道。本级的计算机信息系统可信计算机必须结构化为关键保护元素和非关键保护元素，其接口也必须级的计算机信息系统可信计算机必须结构化为关键保护元素和非关键保护元素，其接口也必须明确定义，使其设计与实现能经受更充分的测试和更完整的复审。本级的计算机信息系统可信明确定义，使其设计与实现能经受更充分的测试和更完整的复审。本级的计算机信息系统可信计算机加强了鉴别机制，支持系统管理员和操作员的职能，提供可信设施管理，增强了配置管计算机加强了鉴别机制，支持系统管理员和操作员的职能，提供可信设施管理，增强了配置管理控制。理控制。第五级，访问验证保护级第五级，访问验证保护级第五级，访问验证保护级第五级，访问验证保护级本级的计算机信息系统可信计算机满足访问监控器需求。访问监控器能够仲裁主体对客体的全本级的计算机信息系统可信计算机满足访问监控器需求。访问监控器能够仲裁主体对客体的全部访问。访问监控器本身是抗篡改的；必须足够小，能够分析和测试。本级的计算机信息系统部访问。访问监控器本身是抗篡改的；必须足够小，能够分析和测试。本级的计算机信息系统可信计算机支持安全管理员职能；扩充审计机制，当发生与安全相关的事件时发出信号；提供可信计算机支持安全管理员职能；扩充审计机制，当发生与安全相关的事件时发出信号；提供系统恢复机制。系统恢复机制。已颁布的信息安全产品等级标准有：已颁布的信息安全产品等级标准有：已颁布的信息安全产品等级标准有：已颁布的信息安全产品等级标准有：GB/T20272-2006GB/T20272-2006信息安全技术操作系统安全技术要求、信息安全技术操作系统安全技术要求、GB/T20008-2005GB/T20008-2005信息安全技术操作系统信息安全技术操作系统安全评估准则、安全评估准则、GB/T20273-2006GB/T20273-2006信息安全技术数据库管理系统安全技术要求、信息安全技术数据库管理系统安全技术要求、GB/T20009-2005GB/T20009-2005信息安全技术数据库管理系统安全评估准则、信息安全技术数据库管理系统安全评估准则、GB/T20011-2005GB/T20011-2005信息安全技术路由器安全评估准信息安全技术路由器安全评估准则、则、GB/T20010-2005GB/T20010-2005信息安全技术包过滤防火墙评估准则等。信息安全技术包过滤防火墙评估准则等。美国对于信息系统安全等级划分的相关标准，是美国国防部于美国对于信息系统安全等级划分的相关标准，是美国国防部于19851985年公布的年公布的可信计算可信计算机系统评价标准机系统评价标准(TCSEC)(TCSEC)，将计算机信息系统划分为，将计算机信息系统划分为D D、C1C1、C2C2、BlBl、B2B2、B3B3和和A1A1七个由低七个由低到高的安全等级。其中，到高的安全等级。其中，D D级是指没有安全保护或保护能力极弱的计算机信息系统；级是指没有安全保护或保护能力极弱的计算机信息系统；A1A1级是级是保护性能极高、目前的技术条件难以达到的安全等级，称为验证设计级；其他五个等级分别保护性能极高、目前的技术条件难以达到的安全等级，称为验证设计级；其他五个等级分别是是C1C1级级自主安全保护级，自主安全保护级，C2C2级级受控存取保护级，受控存取保护级，B1B1级级安全保护级，安全保护级，B2B2级级结结构化保护级和目前计算机信息系统所能达到的最高等级，构化保护级和目前计算机信息系统所能达到的最高等级，B3B3级级安全域级，这五个与我国安全域级，这五个与我国的划分标准较为类似。的划分标准较为类似。（二）美国的信息系统安全等级划分标准（二）美国的信息系统安全等级划分标准（二）美国的信息系统安全等级划分标准（二）美国的信息系统安全等级划分标准B BC CA A为保证信息系统为保证信息系统为保证信息系统为保证信息系统的各种设备及环的各种设备及环的各种设备及环的各种设备及环境设施的安全而境设施的安全而境设施的安全而境设施的安全而采取的措施。采取的措施。采取的措施。采取的措施。在信息系统内部在信息系统内部在信息系统内部在信息系统内部采用技术手段，采用技术手段，采用技术手段，采用技术手段，防止对系统资源防止对系统资源防止对系统资源防止对系统资源非法使用和对信非法使用和对信非法使用和对信非法使用和对信息资源的非法存息资源的非法存息资源的非法存息资源的非法存取操作。取操作。取操作。取操作。为确保资源共享情为确保资源共享情为确保资源共享情为确保资源共享情况下信息的安全，况下信息的安全，况下信息的安全，况下信息的安全，即使是合法用户进即使是合法用户进即使是合法用户进即使是合法用户进入系统，其所使用入系统，其所使用入系统，其所使用入系统，其所使用的资源及使用程度的资源及使用程度的资源及使用程度的资源及使用程度也应受到一定的限也应受到一定的限也应受到一定的限也应受到一定的限制，即进行存取控制，即进行存取控制，即进行存取控制，即进行存取控制的授权。制的授权。制的授权。制的授权。网络防火墙技术网络防火墙技术网络防火墙技术网络防火墙技术措施是保证企业措施是保证企业措施是保证企业措施是保证企业计算机网络不受计算机网络不受计算机网络不受计算机网络不受黑客攻击的一种黑客攻击的一种黑客攻击的一种黑客攻击的一种控制性质的网络控制性质的网络控制性质的网络控制性质的网络安全措施。安全措施。安全措施。安全措施。D D系统实体安全系统实体安全管理措施管理措施系统的技术性系统的技术性安全措施安全措施存取授权控制存取授权控制措施措施网络防火墙技术网络防火墙技术措施措施信信信信息息息息系系系系统统统统的的的的安安安安全全全全管管管管理理理理措措措措施施施施五、五、五、五、第三节第三节第三节第三节 物流信息系统的控制方法物流信息系统的控制方法物流信息系统的控制方法物流信息系统的控制方法CONTENTSCONTENTS1 1信息系统的控制方法信息系统的控制方法2 2计算机犯罪的控制方法计算机犯罪的控制