师：同学们好，今天我们继续学习第四单元信息系统安全。之前主要从用户、个人和技术角度出发，今天换个角度。先看三个示例。2017 年 2 月，GitLab 一位系统管理员在修复数据库时误执行数据库目录删除命令，致大量数据被删，网站被迫下线。上海某大学信息班主任防范意识薄弱，随意将密码告知熟识学生，导致密码公开，大量学生个人资料可随意查看。2008 年 11 月，国外一位 IT 员工被辞退 5 个月后，侵入公司邮件系统并修改设置，使公司邮件无法正常收发。据他自己说，发现账户仍能使用，且公司无任何安全措施。这三起安全事故虽人为造成，但无关技术手段，更多体现管理员信息安全意识薄弱和公司管理漏洞。今天主题就是信息系统安全管理。

　　一个信息系统包含诸多因素，像各类人员、硬件、软件、供电设备，甚至温度、湿度调节设备等，而所有设备都由人安装、使用和维护，所以系统中最关键的是人的因素。据统计，所有信息安全事故中，70%是使用人员对信息设备认识不足引起，其次是操作不当和不法分子恶意攻击等。从案例也能看到，不法分子攻击常利用管理漏洞。那么站在管理角度，该采取什么措施避免人为犯错呢？大家思考一下。

　　相信同学们有很多想法。实际生活中，成熟系统首先会建立科学健全的管理制度，规范人们行为，减少犯错几率。同学们上课的机房墙上就挂有机房安全管理制度。现在进行第一个活动，研究课件资料中的机房安全管理制度，思考哪些条款能减少人为因素导致的故障，能否进一步完善，并完成教材上表格 4.3.1 的填空。

　　同学们完成得怎么样了？这份制度除维持上课纪律及法律法规的几个条款外，几乎都与人员管理和机房安全有关。来看表格例子，为什么机房不能随便使用 U 盘及移动硬盘？对，是防止病毒传播，因为移动存储设备是电脑病毒主要载体。机房内为什么不能带入水和饮料？因为水和饮料若不小心泼洒，可能损坏电脑硬件，甚至破坏机房电路系统。同学们还有补充吗？老师再补充，为什么两个上机人员不能随便更换座位？这是为防止出现事故无法定人定责，关键是提高设备使用者责任意识。为什么上机完毕要断电关窗？是为防止没老师时，突发恶劣天气或学校电路问题损坏机房设备。

　　我们看到这份机房安全管理制度主要针对机房使用者行为进行约束和引导，这就是机房管理全部内容吗？其实不然，科学管理除考虑单位自身情况，还需按国家和行业标准。我国采用的网络安全标准是 ISO IEC 27000 系列，现在请同学们查阅其中的 27002 标准，即信息技术安全技术信息安全使用规则。

　　同学们查阅得怎么样？估计大部分同学第一次打开会不知所措，因为内容复杂，感觉看不懂，内容多、条目多、专业术语多，对信息管理要求广泛、严格、细致、专业。下面重点关注管理范围，完成教材上表格 4.3.2 的填空。该部分内容在文件开头，除教材上几项外，还有组织安全资产的分类与控制、业务持续性管理和符合性。这只是 11 个大类，还有 39 个子类别。按这份标准要求，信息系统管理不能仅规定使用者不能做什么，而应是所有安全行为的行动指南。最基本要求是能对事前、事中、事后三个阶段制定相应措施，即事先防御、实时监测和事后响应。现在参考教材上表 4.3.3，从信息安全事件发生不同阶段进一步分析机房安全管理制度，思考能否进一步完善。

　　以防止病毒为例，制度中第七条严禁携带 U 盘、移动硬盘，严禁登录不健康网站，这属于事先防御。第 8 条上机期间发生任何异常情况，如机器故障、网络故障、病毒现象等，有义务和责任向机房人员报告，这属于实时监测。但制度中没发现事后响应条款。所以可以添加，比如一旦发现病毒或相关症状，立即对相关设备或电脑全面检测、杀毒，没收相关物品，对学生进行思想和安全教育。