信息技术安全与网络安全防护手册（执行版）.docxVIP

信息技术安全与网络安全防护手册（执行版）

第1章基础认知与风险识别

1.1信息安全基本概念与术语

信息安全是指保护信息系统及其数据、网络免受未经授权的访问、使用、披露、破坏、修改或销毁，确保信息可用性和完整性的过程。其核心目标包括保密性、完整性、可用性和不可否认性，任何偏离这些原则的行为均被视为安全威胁。术语“CIA三角”是信息安全领域的基石，即保密性（Confidentiality）确保信息仅对授权方可见；完整性（Integrity）保证数据在存储或传输过程中未被篡改；可用性（Availability）确保授权用户在需要时能获取数据。这三个要素缺一不可，共同构成了信息安全保护的三角模型。

数据分类分级是风险评估的前提，通常依据敏感程度将数据分为绝密、机密、秘密、内部公开、公开五个等级。例如，员工身份证号属于内部公开级，而国家秘密则属于绝密级，不同等级对应不同的保护策略和存储介质要求。攻击者利用社会工程学手段实施诈骗是常见的威胁模型，通过伪装成权威人员诱导受害者泄露密码或钓鱼。例如，攻击者发送一封看似来自银行的通知邮件，声称账户被盗需立即转账，一旦受害者并输入密码，攻击者即可完全掌控账户。漏洞是指系统或应用中存在的缺陷，如未修补的远程代码执行漏洞或弱密码策略。这些漏洞若被利用，攻击者即可绕过防火墙或入侵内部网络，导致服务器被接管或关键业务数据泄露，例如某企业因未