Management Information Systems: Managing the Digital Firm

第 8 章 保护信息系统 (Securing Information Systems)

---

8-1 🔓 信息系统为何易受攻击、出错和滥用？ (Why are information systems vulnerable to destruction, error, and abuse?)

安全与控制的定义

• 安全 (Security)：指用于防止信息系统被未经授权的访问、更改、盗窃或物理损坏的策略、程序和技术措施。
• 控制 (Controls)：是确保组织资产安全、记录准确可靠以及运营遵守管理标准的方法、策略和组织程序。

系统为何脆弱

• 互联性：当大量数据以电子形式存储并通过通信网络互联时，系统在网络的多个接入点都可能受到攻击。客户端的用户、网络传输过程、公司服务器以及后台系统都存在漏洞。
• 互联网的脆弱性：互联网作为一个开放的公共网络，比内部网络更脆弱。电子邮件、即时消息 (IM) 和点对点 (P2P) 文件共享程序是恶意软件和未经授权访问的常见渠道。
• 无线安全挑战：Wi-Fi 和蓝牙网络很容易被窃听者入侵。黑客可以通过“战争驾驶 (war driving)”（驾车经过建筑物探测无线网络）等方式，利用嗅探器 (sniffer) 程序拦截网络流量，从而获得访问权限。
• 软件漏洞：软件中存在隐藏的缺陷或错误（Bugs）是不可避免的。黑客可以利用这些漏洞，尤其是在软件供应商意识到问题之前就利用的“零日漏洞 (zero-day vulnerabilities)”，对系统进行攻击。

恶意软件 (Malware)

恶意软件包括多种威胁，主要有：

• 计算机病毒 (Computer Virus)：一种依附于其他软件程序或数据文件的流氓软件程序，通常在用户不知情的情况下执行。
• 蠕虫 (Worm)：一种独立的计算机程序，能通过网络从一台计算机自我复制到另一台计算机，无需依附于其他文件。
• 特洛伊木马 (Trojan Horse)：一种表面上看起来无害，但实际上会执行非预期操作的软件程序。它本身不复制，但常被用作引入病毒或其他恶意代码的途径。
  • 勒索软件 (Ransomware) 是一种常见的特洛伊木马，它通过控制用户的计算机或加密文件来勒索金钱。
  • SQL 注入攻击 (SQL injection attacks) 利用 poorly 编码的 Web 应用漏洞，将恶意 SQL 代码注入公司系统。
• 间谍软件 (Spyware)：秘密安装在计算机上以监控用户网页浏览活动并推送广告的程序。
  • 键盘记录器 (Keyloggers) 是一种恶性间谍软件，它记录用户在计算机上的每一次按键，以窃取密码、信用卡号等敏感信息。

黑客与计算机犯罪

• 黑客 (Hacker)：指意图未经授权访问计算机系统的人。有犯罪意图的黑客通常被称为“破解者 (cracker)”。
• 黑客活动：
  • 欺骗 (Spoofing)：通过使用虚假的电子邮件地址或伪装成他人来隐藏真实身份。
  • 嗅探 (Sniffing)：使用窃听程序监控通过网络传输的信息。
  • 拒绝服务攻击 (Denial-of-Service, DoS)：黑客向网络服务器发送数千个虚假请求，使其崩溃并无法为合法用户提供服务。
  • 分布式拒绝服务攻击 (Distributed Denial-of-Service, DDoS)：利用大量受感染的计算机（组成一个僵尸网络 Botnet）同时发起 DoS 攻击，威力更大。
• 计算机犯罪：指任何涉及计算机技术知识的违法行为。
• 身份盗窃 (Identity Theft)：冒名顶替者获取他人的关键个人信息（如社保号、信用卡号）以冒充他人。
  • 网络钓鱼 (Phishing)：建立虚假网站或发送看似合法的电子邮件，诱骗用户提供机密个人数据。鱼叉式网络钓鱼 (Spear phishing) 是一种更具针对性的形式。
  • 邪恶双胞胎 (Evil twins)：伪装成可信 Wi-Fi 网络的虚假无线网络，以窃取登录用户的密码或信用卡信息。
  • 网址嫁接 (Pharming)：即使用户输入了正确的网址，也会将用户重定向到虚假的网页。
• 内部威胁：员工
  • 公司的内部员工是严重的安全威胁来源。用户知识的缺乏是网络安全漏洞的最大原因。
  • 社会工程 (Social engineering)：通过欺骗手段诱使员工泄露密码或其他机密信息。

---

8-2 💼 安全与控制的商业价值 (What is the business value of security and control?)

• 保护有价值的资产：公司拥有极其宝贵的信息资产（如商业秘密、客户数据、财务计划）。缺乏安全和控制可能导致这些资产泄露或损毁，给公司带来毁灭性打击，甚至导致法律责任。
• 法律与法规要求：
  • 全球各地的政府法规要求公司必须认真对待安全和控制。例如，欧盟的 GDPR、美国的 HIPAA（医疗信息）、Gramm-Leach-Bliley 法案（金融服务）和萨班斯-奥克斯利法案 (Sarbanes-Oxley Act)（财务报告准确性）都对数据保护、隐私和内部控制提出了严格要求。
• 电子证据与计算机取证：
  • 在法律诉讼中，大量的证据以数字形式存在。公司有法律义务根据“证据开示”请求提供这些数据。
  • 计算机取证 (Computer forensics) 是指以可在法庭上作为证据的方式，科学地收集、检验、验证、保存和分析计算机存储介质中的数据。

---

8-3 🏢 安全与控制的组织框架 (What are the components of an organizational framework for security and control?)

有效的安全与控制需要一个组织层面的框架。

• 信息系统控制：
  • 一般控制 (General Controls)：管理整个组织信息技术基础设施中计算机程序的设计、安全和使用，以及数据文件的安全。
  • 应用控制 (Application Controls)：针对每个特定应用（如工资单）的控制措施，包括输入控制、处理控制和输出控制，以确保数据处理的准确和完整。
• 风险评估 (Risk Assessment)
  • 目的：确定公司资产的价值、漏洞点、问题发生的可能性以及潜在的损失，从而决定最具成本效益的控制措施。
  • 方法：评估特定活动或流程在没有适当控制下的风险水平，并计算预期年度损失。
• 安全策略 (Security Policy)
  • 内容：由一系列陈述组成，对信息风险进行排序，确定可接受的安全目标，并明确实现这些目标的机制。
  • 可接受使用策略 (Acceptable Use Policy, AUP)：定义了公司信息资源和计算设备的可接受使用方式。
• 灾难恢复计划与业务连续性计划
  • 灾难恢复计划 (Disaster Recovery Planning)：制定在计算和通信服务中断后恢复这些服务的计划，主要关注技术问题。
  • 业务连续性计划 (Business Continuity Planning)：关注在灾难发生后，公司如何恢复业务运营。它通过业务影响分析来识别关键业务流程和系统。
• 审计的角色
  • 信息系统审计 (Information Systems Audit)：检查公司整体的安全环境以及管理各个信息系统的控制措施，以评估其有效性。

---

8-4 🛡️ 保护信息资源的最重要工具与技术 (What are the most important tools and technologies for safeguarding information resources?)

企业可利用多种技术来保护其信息资源。

• 身份管理与认证
  • 身份管理 (Identity Management)：自动化跟踪所有用户及其系统权限的流程。
  • 认证 (Authentication)：确认一个人是其所声称的身份。方法包括：
    • 密码 (Passwords)：最常见但也是最薄弱的认证方式。
    • 令牌 (Tokens)：一种证明单一用户身份的物理设备。
    • 智能卡 (Smart Card)：一种包含访问权限芯片的卡片。
    • 生物识别认证 (Biometric Authentication)：使用个人独特的生理特征（如指纹、虹膜、声音）进行认证。
    • 双因素认证 (Two-factor Authentication)：通过多步过程验证用户，通常需要两种身份证明方式（如一张银行卡和一个 PIN 码）。
• 防火墙、入侵检测系统与反恶意软件
  • 防火墙 (Firewall)：一种控制进出网络流量的硬件和软件组合，防止未经授权的用户访问专用网络。
  • 入侵检测系统 (Intrusion Detection Systems)：在企业网络最脆弱的点部署全时监控工具，以检测和阻止入侵者。
  • 反恶意软件 (Anti-malware Software)：防止、检测和清除包括病毒、蠕虫、特洛伊木马在内的恶意软件。
  • 统一威胁管理 (Unified Threat Management, UTM)：将防火墙、VPN、入侵检测等多种安全工具整合到单一设备中的综合安全管理产品。
• 加密与公钥基础设施
  • 加密 (Encryption)：将明文或数据转换为除发送方和预期接收方外任何人都无法读取的密文的过程。
  • 加密方法：
    • 对称密钥加密：发送方和接收方使用相同的密钥进行加密和解密。
    • 公钥加密：使用一对数学上相关的密钥：一个共享的“公钥”和一个保密的“私钥”。
  • 数字证书 (Digital Certificates) 与 公钥基础设施 (PKI)：使用一个可信的第三方——证书颁发机构 (CA)——来验证用户的身份，并颁发包含用户公钥的数字证书，以保护在线交易的安全。
• 区块链 (Blockchain)
  • 一种分布式数据库技术，通过密码学将交易记录在一个由数字“区块”组成的链上。
  • 每个区块都连接到前后区块，使得篡改变得极为困难。它无需中央权威机构即可创建和验证交易。
• 确保系统可用性
  • 容错计算机系统 (Fault-tolerant computer systems)：包含冗余的硬件、软件和电源组件，可提供持续、不间断的服务，以避免停机 (Downtime)。
• 云与移动平台的安全
  • 云安全：在云计算中，数据保护的责任仍由数据所有者公司承担。公司需要与云服务商签订包含安全条款的服务水平协议 (SLA)。
  • 移动安全：公司需要制定移动设备安全策略，并使用移动设备管理 (MDM) 工具来监控、管理和保护设备。

---

8-5 💼 MIS 如何助力我的职业生涯 (How will MIS help my career?)

学习 MIS 对于希望从事 IT 安全和合规性相关工作的求职者非常有帮助。

• 掌握安全基础知识：MIS 提供了关于身份管理、认证、数据完整性和其他 IT 安全系统的基础知识，这对于“身份访问管理支持专员”等职位至关重要。
• 理解合规性要求：MIS 课程涵盖了审计和合规控制的概念，这对于确保公司遵守法律法规和内部政策至关重要。
• 熟悉企业工具：学习 MIS 能够让你了解像 Windows Active Directory 这样的企业目录服务，以及它们在身份管理系统中的作用。
• 培养沟通能力：安全岗位需要与技术人员和非技术人员进行有效沟通。MIS 培养了这种跨职能沟通的能力。
• 注重细节和流程：数据完整性测试、维护用户角色和权限等工作需要极高的细心和流程管理能力，这些都是 MIS 学习过程中强调的重点。