20. 信息系统安全管理的组织机构及其职能

　　信息系统安全管理机构的作用

　　1） 制定安全计划，制定应急救灾措施

　　信息系统安全管理机构的构成及职能P207

　　1）安全机构

　　A. 安全审查机构

　　B. 安全决策机构

　　C. 更高主管领导

　　D. 系统主观领导

　　E. 安全管理机构

　　2）管理机构

　　A. 安全管理人员

　　B. 安全审计人员

　　C. 报安人员

　　D. 系统管理人员

　　3）安全人员的管理

　　A. 人员审查和录用

　　B. 确定岗位和职责范围

　　C. 定期培训

　　D. 工作评价

　　E. 人事档案管理

　　21. 信息系统进行安全管理的原则和主要内容

　　***信息系统进行安全管理的原则：

　　1）多人负责原则

　　2）任期有限原则

　　3）职责分离原则

　　***信息系统进行安全管理的主要内容：

　　1）同一性检查

　　2）用户使用权限检查

　　3）建立运行日志

　　***安全管理的实现，应做好如下工作：

　　1）确定系统的安全等级和安全管理的范围

　　2）限制数据的提供

　　3）建立科学的机房管理制度

　　4）协助用户用好计算机

　　22. 计算机犯罪的定义，类型和危害程度

　　***特征： 1）犯罪方法新

　　2）作案时间短

　　3）不留痕迹

　　4）内部工作人员犯罪的比例在增加

　　5）犯罪区域广

　　6）利用保密制度不健全和存取机制不严的漏洞作案

　　***在我国的分类：

　　1）非法侵入计算机信息系统罪

　　2）破坏计算机信息系统罪

　　***计算机犯罪产生的动机：

　　1）利用计算机贪污，挪用款项

　　2）滥用计算机，用计算机提供的服务做非法的事情

　　3）为了达到某中目的，修改计算机的数据

　　4）把计算机网络做为攻击的对象，绕过网络中的安全机制而侵入

　　5）为使系统瘫痪而有预谋的破坏软硬件及有关设备

　　6）窃取计算机中的机密信息作为情报

　　***计算机犯罪产生和发展的手段：

　　1）计算机资产吸引了犯罪分子的注意，使常规犯罪转向计算机犯罪

　　2）计算机系统的安全技术落后于计算机技术和计算机应用的水平；

　　3）管理水平跟不上发展的需要，知识缺乏，方法落后，凭经验和习惯办事；

　　4）计算机系统本身存在不安全因素，各个环节和界面都有发生人为干预和破坏的可能性；

　　5）现有的法律跟不上计算机技术的发展，不能适应计算机犯罪；

　　6）只看到计算机应用的好处，却不看到隐藏的安全问题和可能的损失，不原在安全机制上花钱。

　　***计算机犯罪的手段：

　　1）数据破坏 2）特洛伊木马术 3）香肠术 4）逻辑炸弹

　　5）陷阱术 6）寄生术 7）超级冲杀 8）异步攻击

　　9）废品利用 10）计算机病毒 11）伪造证件

　　***计算机犯罪危害：主要集中于机密信息系统和金融信息系统

　　***计算机犯罪的防范措施：

　　1）数据输入控制

　　2）通信控制

　　3）数据处理控制

　　4）数据存储控制

　　5）访问控制

　　6）信用卡，磁卡，存折控制