1. 工信部：加強車聯網網路安全管理工作
【車家資訊】近日，工信部發布《關於加強車聯網(智能聯網汽車)網路安全的通知》(徵求意見稿)，要求加強車聯網(智能聯網汽車)網路安全管理，提升網路安全保障能力，推動車聯網(智能聯網汽車)行業標准健康發展。
以下是通知全文:
各省、自治區、直轄市工業和信息化主管部門，通信管理局，中國電信冊姿褲集團有限公司，中國移動通信集團有限公司，中國聯合網路通信集團有限公司，相關車聯網運營商，智能聯網汽車廠商:
為貫徹落實《中華人民共和國網路安全法》，落實《新能源汽車產業發展規劃(2021-2035年)》、《智能汽車創新發展戰略》和《車聯網(智能聯網汽車)產業行動計劃》，引導基礎電信企業、車聯網運營商、智能聯網汽車廠商加強車聯網(智能聯網汽車)網路安全管理，加快提升網路安全保障能力，推進車聯網。現將有關事項通知如下。
一是加強車聯網網路安全防護。
(1)保護車聯網網路設施和系統的安全。落實企業網路安全主體責任，建立車聯網網路安全管理制度和操作規程，確定網路安全負責人，定期開展合規性評價和風險評估，及時消除網路安全潛在風險。嚴格落實分級保護要求，加強網路設施和系統資產管理，合理劃分網路安全域，加強訪問控制管理，做好網路邊界安全防護，採取技術措施防範木馬病毒、網路攻擊、網路入侵等危害車聯網安全的行為。
(2)保證車聯網通信安全。建立企業車聯網身份認證和安全信任機制，加強車對車、車對路、車對雲、車對設備等場景的安全通信能力建設。，促進跨車輛、跨設施、跨企業的互認互通。加強商用密碼應用，開展商用密碼安全評估。
(3)開展車聯網安全監測預警。建立網路安全監測預警機制和技術手段，對智能聯網車輛和聯網系統進行運營安全監測、流量和行為監測分析，及時發現網路安全事件或異常預警安全狀態、惡意軟體傳播、網路通信異常、網路攻擊等異常行為，並按規定保存相關網路日誌至少6個月。
(4)做好車聯網安全應急處置工作。建立網路安全應急機制，制定網路安全事件應急預案。定期開展應急演練，及時應對安全威脅、網路攻擊、網路入侵等網路安全風險。一旦發生危及網路安全的事件，立即啟動應急預案，採取相應的補救措施，並按照《公共互聯網網路安全突發事件應急預案》向相關主管部門報告。
(5)做好車聯網安全防護分級和備案工作。根據車輛互聯網網路安全保護相關標准，對所屬網路設施和系統開展網路安全保護分級工作，並報省電信主管部門備案。對於新建的網路設施和系統，應在規劃設計階段確定網路安全防護等級。省級電信主管部門應當會同工業和信息化主管部門做好分級、備案和審核工作。
二是加強平台安全防護
(1)加強平台網路安全管理。採取必要的安全技術措施，加強智能聯網汽車、邊緣設備等平台的訪問安全，主機、數據存儲系統等平台設施的安全，微服務、資源管理、應用編程介面(API)訪問等平台應用的安全防護能力，防範網路入侵、數據竊取、遠程式控制制等安全風險。涉及在線數據處理和交易處理、信息服務等電信業務的，應當依法取得電信業務經營許可證。如果被認定為關鍵信息基礎設施，則需要執行國家關於關鍵信息基礎設施安全保護的相關規定。
(2)加強OTA服務安全和漏洞檢測評估。對OTA服務和軟體包進行網路安全檢測，及時發現服務和產品的安全漏洞。加強OTA服務的安全檢查能力，採取身份認證、加密傳輸等技術措施，確保傳輸環境和執行環境的網路安全。加強OTA服務全過程網路安全監測和應急響應，及時評估網路安全狀態，防範軟體篡改、破壞、泄露、病毒感染等網路安全風險。
(3)加強應用安全管理。建立車聯網(智能聯網汽車)應用開發、上線、使用和升級的安全管理體系，提高應用識別、通信安全和關鍵數據保護的安全能力。加強車聯網(智能聯網汽車)應用安全檢測，及時應對安全風險，防範惡意應用攻擊和傳播。
第三，確保數據安全
(1)加強數據安全管理。建立健全數據安全管理制度，建立健全許可權管理、監測預警、應急響應、投訴受理等保障措施，明確責任部門和責任人，加強人員教育培訓。建立數據資產管理台賬，實行數據分類分級管理，加強個人信息和重要數據保護。定期開展數據安全風險評估，加強隱患排查整治。
(2)提高數據安全的技術支撐能力。堅持「最小必要」原則收集數據，對數據全生命冊基周期採取有效的技術保護措施，防範數據泄露、損壞、丟失、篡改、誤用、濫用等風險。加強數據安全監測預警能力建設，提升異常流量分析、非法跨境傳輸監測、安州簡全事件追蹤溯源等水平。及時處置數據安全事件，向省電信主管部門、工業和信息化主管部門報告，配合相關監督檢查，並提供必要的技術支持。
(3)規范數據的開發、利用和共享。合理開發利用數據資源，防止使用自動決策技術處理數據時侵犯用戶隱私和知情權。明確數據共享、開發和利用的安全管理和責任要求，審查和評估數據合作夥伴的資質和能力，監督和管理數據共享的使用。
(4)加強數據出口安全管理。在中華人民共和國境內收集、生成的個人信息和重要數據，應當依法在境內存儲。因業務需要確需向境外提供數據的，應當通過數據出境安全評估並向省電信、工業、信息化等相關主管部門報告。省級電信主管部門應當會同工業和信息化主管部門做好數據備案、安全評估、監督檢查等工作。
四是加強安全漏洞管理
(一)建立安全漏洞管理機制。落實國家關於網路產品安全漏洞管理的相關規定，建立車聯網(智能聯網車)安全漏洞管理機制，明確漏洞發現、分析、修復的工作程序，加強漏洞管理資源投入，確保漏洞得到及時修復和合理披露。
(2)加強安全漏洞的收集。加強脆弱性風險主動監測、風險評估和技術驗證能力建設。建立漏洞信息接收渠道並保持開放，積極收集用戶、上下游供應商、網路安全企業、研究機構等發現的漏洞信息。，並加強與漏洞收集平台的協作。鼓勵建立脆弱性獎勵機制。
(3)加強安全漏洞協同處理。發現或獲悉企業網路設施、業務系統、智能聯網汽車產品存在漏洞後，應立即採取補救措施，並將漏洞信息報送工信部網路安全威脅與漏洞信息共享平台。加強上下游產品或零部件漏洞的協同處置。如果用戶需要採取軟體和固件升級等措施修復漏洞，應及時將漏洞風險和修復方法告知可能受到影響的用戶，並提供必要的技術支持。(編譯/汽車之家陳豪)
以上內容由車家上傳發布，查看原文。
百萬購車補貼
2. 簡述計算機的一般維護和安全使用措施
國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求，履行下列安全保護義務，保障網路免受干擾、破壞或者未經授權的訪問，防止網路數據泄露或者被竊取、篡改：
制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任；採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施。
採取監測、記錄網路運行狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不少於六個月；採取數據分類、重要數據備份和加密等措施；法律、行政法規規定的其他義務。
1、計算機管理實行「誰使用誰負責」的原則。愛護機器，了解並熟悉機器性能，及時檢查或清潔計算機及相關外設。
2、掌握工作軟體、辦公軟體和網路使用的一般知識。
3、無特殊工作要求，各項工作須在內網進行。存儲在存儲介質（優盤、光碟、硬碟、移動硬碟）上的工作內容管理、銷毀要符合保密要求，嚴防外泄。
4、不得在外網或互聯網、內網上處理涉密信息，涉密信息只能在單獨的計算機上操作。
5、涉及到計算機用戶名、口令密碼、硬體加密的要注意保密，嚴禁外泄，密碼設置要合理。
6、有無線互聯功能的計算機不得接入內網，不得操作、存儲機密文件、工作秘密文件。
7、非內部計算機不得接入內網。
8、遵守國家頒布的有關互聯網使用的管理規定，嚴禁登陸非法網站；嚴禁在上班時間上網聊天、玩游戲、看電影、炒股等。
9、堅持「安全第一、預防為主」的方針，加強計算機安全教育，增強員工的安全意識和自覺性。計算機進行經常性的病毒檢查，計算機操作人員發現計算機感染病毒，應立即中斷運行，並及時消除。確保計算機的安全管理工作。
10、下班後及時關機，並切斷電源。
(2)崗位網路安全操作規程擴展閱讀
網路產品、服務應當符合相關國家標準的強制性要求。網路產品、服務的提供者不得設置惡意程序；發現其網路產品、服務存在安全缺陷、漏洞等風險時，應當立即採取補救措施，按照規定及時告知用戶並向有關主管部門報告。
網路產品、服務的提供者應當為其產品、服務持續提供安全維護；在規定或者當事人約定的期限內，不得終止提供安全維護。網路產品、服務具有收集用戶信息功能的，其提供者應當向用戶明示並取得同意；涉及用戶個人信息的，還應當遵守本法和有關法律、行政法規關於個人信息保護的規定。
網路關鍵設備和網路安全專用產品應當按照相關國家標準的強制性要求，由具備資格的機構安全認證合格或者安全檢測符合要求後，方可銷售或者提供。國家網信部門會同國務院有關部門制定、公布網路關鍵設備和網路安全專用產品目錄，並推動安全認證和安全檢測結果互認，避免重復認證、檢測。
網路運營者為用戶辦理網路接入、域名注冊服務，辦理固定電話、行動電話等入網手續，或者為用戶提供信息發布、即時通訊等服務，在與用戶簽訂協議或者確認提供服務時，應當要求用戶提供真實身份信息。用戶不提供真實身份信息的，網路運營者不得為其提供相關服務。
國家實施網路可信身份戰略，支持研究開發安全、方便的電子身份認證技術，推動不同電子身份認證之間的互認。
網路運營者應當制定網路安全事件應急預案，及時處置系統漏洞、計算機病毒、網路攻擊、網路侵入等安全風險；在發生危害網路安全的事件時，立即啟動應急預案，採取相應的補救措施，並按照規定向有關主管部門報告。
開展網路安全認證、檢測、風險評估等活動，向社會發布系統漏洞、計算機病毒、網路攻擊、網路侵入等網路安全信息，應當遵守國家有關規定。
3. 網路安全法規定網路
法律主觀：
當下，中國已經全面進入互聯網時模配絕代，在我們享受著互聯網帶來的快捷、便利之時，也不可避免的經歷著發展帶來的陣痛。新實施的《網路安全法》如同一把利劍，填補了互聯網領域諸多法律空白。尤其是界定了關鍵問題有著重要的意義。網路安全的管理中，對於違背網路安全法的主題的處罰時不可忽視的一個重點。只有通過制定嚴厲科學的懲罰手段，才能夠為網路安全提供強有力的後盾保障。一．法律責任的法條規定1.第五十九條網路運營者不履行本法第二十一條、第二十五條規定的網路安全保護義務的，由有關主管部門責令改正，給予警告;拒不改正或者導致危害網路安全等後果的，處一萬元以上十萬元以下罰款，對直接負責的主管人員處五千元以上五萬元以下罰款。關賣核鍵信息基礎設施的運營者不履行本法第三十三條、第三十四條、第三十六條、第三十八條規定的網路安全保護義務的，由有關主管部門責令改正，給予警告;拒不改正或者導致危害網路安全等後果的，處十萬元以上一百萬元以下罰款，對直接負責的主管人員處一萬元以上十萬元以下罰款。2.第六十條違反本法第二十二條第一款、第二款和第四十八條第一款規定，有下列行為之一的，由有關主管部門責令改正，給予警告;拒不改正或者導致危害網路安全等後果的，處五萬元以上五十萬元以下罰款，對直接負責的主管人員處一萬元以上十萬元以下罰款：(一)設置惡意程序的;(二)對其產品、服務存在的安全缺陷、漏洞等風險未立即採取補救措施，或者未按照規定及時告知用戶並向有關主管部門報告的;(三)擅自終止為其產品、服務提供安全維護的。3.第六十一條網路運營者違反本法第二十四條第一款規定，未要求用戶提供真實身份信息，或者對不提供真實身份信息的用戶提供相關服務的，由有關主管部門責令改正;拒不改正或者情節嚴重的，處五萬元以上五十萬元以下罰款，並可以由有關主管部門責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照，對直接負責的主管人員和其他直接責任人員處一萬元以上十萬元以下罰款。4.第六十二條違反本法第二十六條規定，開展網路安全認證、檢測、風險評估等活動，或者向社會發布系統漏洞、計算機病毒、網路攻擊、網路侵入等網路安全信息的，由有關主管部門責令改正，給予警告;拒不改正或者情節嚴重的，處一萬元以上十萬元以下罰款，並可以由有關主管部門責令暫停相關業務、停業整頓、關閉網站、吊銷相關業務許可證或者吊銷營業執照，對直接負責的主管人員和其他直接責任人員處五千元以上五萬元以下罰款。5.第六十三條違反本法第二十七條規定，從事危害網路安全的活動，或者提供專門用於從事危害網路安全活動的程序、工具，或者為他人從事危害網路安全的活動提供技術支持、廣告推廣、支付結算等幫助，尚不構成犯罪的，由公安機關沒收違法所得，處五日以下拘留，可以並處五萬元以上五十萬元以下罰款;情節較重的，處五日以上十五日以下拘留，可以並處十萬元以上一百萬元以下罰款。單位有前款行為的，由公安機關沒收違法所得，處十萬元以上一百萬元以下罰款，並對直接負責的主管人員和其他直接責任人員依照前款規定處罰。違反本法第二十七條規定，受到治安管理處罰的人員，五年內不得從事網路安全管理和網路運營關鍵崗位的工作;受到刑事處罰的人員，終身不得從事網路安全管理和網路運營關鍵崗位的工作。二、《網路安全法》與《國家安全法》的關系1、《國家安全法》中設置有針對網路與信息安全保障的專門條款，如《國家安全法》第二十五條明確規定：國家建設網路與信息安全保障體系，提升網路與信息安全保護能力，加強網路和信息技術的創新研究和開發應用，實現網路和信息核心技術、關鍵基礎設施和重要領域信息系統及數據的安全可控;加強網路管理，防範、制止和依法懲治網路攻擊、網路入侵、網路竊密、散布違法有害信息等網路違法犯罪行為，維護國家網路空間主權、安全和發展利益。2、同時，《旦姿國家安全法》第五十九條規定：國家建立國家安全審查和監管的制度和機制，對影響或者可能影響國家安全的外商投資、特定物項和關鍵技術、網路信息技術產品和服務、涉及國家安全事項的建設項目，以及其他重大事項和活動，進行國家安全審查，有效預防和化解國家安全風險。3、值得注意的是，《網路安全法》第三十條建立了關鍵信息基礎設施運營者采購網路產品、服務的安全審查制度，其中規定：關鍵信息基礎設施的運營者采購網路產品或者服務，可能影響國家安全的，應當通過國家網信部門會同國務院有關部門組織的安全審查。從上述條款可以看出，網路安全保障的內容如涉及國家安全，基於維護國家網路空間主權、安全和發展利益，將受到《國家安全法》的規制和保護。4、在此方面，《國家安全法》對涉及國家安全事項的網路與信息安全保障做出了原則性的規定，而《網路安全法》作為網路安全管理方面的基礎性法律，具體指導相關規定的有效實施，充分體現了兩部法律在相關規定上的銜接。5、然而，《網路安全法》是保障網路空間安全的基本法，其與《國家安全法》都是由全國人大常委會制定的法律，因此二者在我國法律體系內處於同一法律位階，不存在上位法與下位法的關系。《網路安全法》的立法宗旨是「保障網路安全，維護網路空間主權和國家安全、社會公共利益，保護公民、法人和其他組織的合法權益，促進經濟社會信息化健康發展」。隨著我國經濟和社會信息化進程加快，國民經濟和社會發展對基礎信息網路和重要信息系統的依賴性越來越大，信息安全事關國家安全。在重要領域施行信息安全等級保護是我國保護計算機信息系統安全的重要舉措。
法律客觀：
《中華人民共和國網路安全法》第二十一條 國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求，履行下列安全保護義務，保障網路免受干擾、破壞或者未經授權的訪問，防止網路數據泄露或者被竊取、篡改： （一）制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任； （二）採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施； （三）採取監測、記錄網路運行狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不少於六個月； （四）採取數據分類、重要數據備份和加密等措施； （五）法律、行政法規規定的其他義務。
4. 如何進行網路安全宣傳教育
各級人民政府及其有關物皮部門應當組織開展經常性的網路安全宣傳教育，並指導、督促有關單位做好網路安全宣傳教育工作。
《中華人民共和國網路安全法》第十九條各級人民政府及其有關部門應當組織開展經常性的網路安全宣傳教育，並指導、督促有關單位做好網路安全宣傳教育工作。
大眾傳播媒介應當有針對性地面向社會進行網路安全宣傳教育。
第二十條國家支持企業和高等學校、職業學校等教育培訓機構開展網路安全相關教育與培訓，採取多種方式培養網路安全人才，促進網路安全人才交流。
第二十一條國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求，履行下列安全保護義務，保障網路免受干擾、破壞或者未經授權的訪問，防止網路數據泄露或者被竊取、篡改：
（一）制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任；
（二）採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施；
（三）採取監測、記錄網路運行歲拆狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不乎螞棗少於六個月；
（四）採取數據分類、重要數據備份和加密等措施；
（五）法律、行政法規規定的其他義務。
5. 網路安全責任制管理辦法
一、網路運營者開展經營和服務活動必須接受社會監督
【法律規定】網路安全法第九條規定，網路運營者開展經營和服務活動，必須遵守法律、行政法規，尊重社會公德，遵守商業道德，誠實信用，履行網路安全保護義務，接受政府和社會的監督，承擔社會責任。
【專家解讀】網路時代，社會治理模式正在從單純的政府監管向更加註重社會協同治理轉變;網路生態安全的復雜性也決定了做好網路安全工作不是某個機構、某個部門的事，而需要自上而下、全民參與。網路安全法明確了網路運營者應接受政府和社會的監督，將政府部門的監管執法、網路運營者的責任與社會公眾的監督治理有效對接。
二、發現個人信息被冒用有權要求網路運營者刪除
【法律規定】網路安全法第四十三條規定，個人發現網路運營者違反法律、行政法規的規定或者雙方的約定收集、使用其個人信息的，有權要求網路運營者刪除其個人信息;發現網路運營者收集、存儲的其個人信息有錯誤的，有權要求網路運營者予以更正。網路運營者應當採取措施予以刪除或者更正。
【專家解讀】中國互聯網協會發布的《2016中國網民權益保護調查報告》顯示，自2015年7月至2016年6月，我國網民因詐騙信息、個人信息泄露等遭受的經濟損失高達915億元。各類網路詐騙，尤其是精準詐騙，源頭都是個人信息泄露。
為保障網路信息依法有序自由流動，保護公民個人信息安全，防止公民個人信息被竊取、泄露和非法使用，網路安全法特別規定了公民個人信息保護的基本法律制度。通過舉報要求網路運營者及時刪除被冒用的個人信息，是公民加強個人信息保護的有力武器。
三、網路運營者應當建立舉報制度、公布舉報方式、及時受理舉報
【法律規定】網路安全法第四十九條規定，網路運營者應當建立網路信息安全投訴、舉報制度，公布投訴、舉報方式等信息，及時受理並處理有關網路信息安全的投訴和舉報。
【專家解讀】舉報是公眾參與網路空間治理最直接、最便捷的重要途徑。建立暢通、有效的舉報渠道，有利於提高網民參與網路治理的積極性。同時，廣大網民的舉報充分反映了互聯網安全領域的突出問題，也為政府部門行政執法提供了科學依據。
四、網路運營商的一般規定
第二十一條國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求，履行下列安全保護義務，保障網路免受干擾、破壞或者未經授權的訪問，防止網路數據泄露或者被竊取、篡改：
(一)制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任;
(二)採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施;
(三)採取監測、記錄網路運行狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不少於六個月;
(四)採取數據分類、重要數據備份和加密等措施;
(五)法律、行政法規規定的其他義務。
第二十四條網路運營者為用戶辦理網路接入、域名注冊服務，辦理固定電話、行動電話等入網手續，或者為用戶提供信息發布、即時通訊等服務，在與用戶簽訂協議或者確認提供服務時，應當要求用戶提供真實身份信息。用戶不提供真實身份信息的，網路運營者不得為其提供相關服務。
第二十五條網路運營者應當制定網路安全事件應急預案，及時處置系統漏洞、計算機病毒、網路攻擊、網路侵入等安全風險;在發生危害網路安全的事件時，立即啟動應急預案，採取相應的補救措施，並按照規定向有關主管部門報告。
第二十八條 網路運營者應當為公安機關、國家安全機關依法維護國家安全和偵查犯罪的活動提供技術支持和協助。
第二十九條 國家支持網路運營者之間在網路安全信息收集、分析、通報和應急處置等方面進行合作，提高網路運營者的安全保障能力。
第三十四條 除本法第二十一條的規定外，關鍵信息基礎設施的運營者還應當履行下列安全保護義務：
(一)設置專門安全管理機構和安全管理負責人，並對該負責人和關鍵崗位的人員進行安全背景審查;
(二)定期對從業人員進行網路安全教育、技術培訓和技能考核;
(三)對重要系統和資料庫進行容災備份;
(四)制定網路安全事件應急預案，並定期進行演練;
(五)法律、行政法規規定的其他義務。
第四十七條 網路運營者應當加強對其用戶發布的信息的管理，發現法律、行政法規禁止發布或者傳輸的信息的，應當立即停止傳輸該信息，採取消除等處置措施，防止信息擴散，保存有關記錄，並向有關主管部門報告。
第四十九條網路運營者應當建立網路信息安全投訴、舉報制度，公布投訴、舉報方式等信息，及時受理並處理有關網路信息安全的投訴和舉報。
網路運營者對網信部門和有關部門依法實施的監督檢查，應當予以配合。
6. 網路安全能幹嘛
網路安全的一個通用定義是指網路信息系統的硬體、軟體及其系統中的數據受到保護，不因偶然的或者惡意的破壞、更改、泄露，系統能連續、可靠、正常地運行，服務不中斷。網路安全簡單的說是在網路環境下能夠識別和消除不安全因素的能力。
網路安全在不同的環境和應用中有不同的解釋：
運行系統安全。包括計算機系統機房環境的保護，法律政策的保護，計算機結構設計安全性考慮，硬體系統的可靠安全運行，計算機操作系統和應用軟體的安全，資料庫系統的安全，電磁信息泄露的防護等。本質上是保護系統的合法操作和正常運行。網路上系統信息的安全。包括用戶口令鑒別、用戶存取許可權控制、數據存取許可權、方式控制、安全審計、安全問題跟蹤、計算機病毒防治和數據加密等。網路上信息傳播的安全。包括信息過濾等。它側重於保護信息的保密性、真實性和完整性。避免攻擊者進行有損於合法用戶的行為。本質上是保護用戶的利益和隱私。
網路安全的基本需求：可靠性、可用性、保密性、完整性、不可抵賴性、可控性、可審查性、真實性。
網路安全只要是指通過各種計算機、網路、密碼技術和信息安全技術，保護在公有通信網路中傳輸、交換和存儲信息的機密性、完整性和真實性，並對信息的傳播及內容具有控制能力，不涉及網路可靠性、信息可控性、可用性和互操作性等領域。
網路安全的主體是保護網路上的數據和通信的安全。數據安全性是一組程序和功能，用來阻止對數據進行非授權的泄漏、轉移、修改和破壞。通信安全性是一些保護措施，要求在電信中採用保密安全性、傳輸安全性、輻射安全性的措施，並依要求對具備通信安全性的信息採取物理安全性措施。
當今IT行業中，網路安全是最急需解決的重要問題之一：各種計算機安全和網路犯罪事件直線上升，病毒增長呈很高幅度，但是很多人仍沒有認識到這些潛在的威脅。
信息，信息資產以及信息產品對於我們的日常生活及整個社會的正常運轉是至關重要的，加強網路安全的必要性和重要性已不言而喻。保護網路中敏感信息免受各種攻擊，正是現在迫切需要解決的問題。
7. 計算機網路安全與防護技術相關知識
1、涉密網路保密建設和管理應遵循哪些基本原則u2/:b
根據國家有關規定，政務內網是涉密網路，是專門處理國家秘密和內部辦公信息的網路。黨和國家對涉密網路的保密建設和管理非常重視，制定了一系列方針政策、法律法規和標准規范。根據這些規定，涉密網路保密建設和管理應當遵循以下基本原則：$
（1）適度安全的原則。所謂「適度安全」是指與由於信息泄露、濫用、非法訪問或非法修改而造成的危險和損害相適應的安全。沒有絕對安全的信息系統（網路），任何安全措施都是有限度的。關鍵在於「實事求是」、「因地制宜」地去確定安全措施的「度」，即根據信息系統因缺乏安全性造成損害後果的嚴重程度來決定採取什麼樣的安全措施。國家保密技術規定對絕密級信息系統的機密、秘密級信息系統應當採取的安全措施分別提出了具體要求。6x)#gt
（2）按最高密級防護的原則。涉密信息系統處理多種密級的信息時，應當按照最高密級採取防護措施。kHo
（3）最小化授權的原則。一是涉密信息系統的建設規模要最小化，非工作所必需的單位和崗位，不得建設政務內風和設有內網終端；二是涉密信息系統中涉密信息的訪問許可權要最小化，非工作必需知悉的人員，不得具有關涉密信息的訪問許可權。jie
（4）同步建設，嚴格把關的原則。涉密信息系統的建設必須要與安全保密設施的建設同步規劃、同步實施、同步發展。要對涉密信息系統建設的全過程（各個環節）進行保密審查、審批、把關。N
要防止並糾正「先建設，後防護，重使用，輕安全」的傾向，建立健全涉密信息系統使用審批制度。不經過保密部門的審批和論證，有關信息系統不得處理國家秘密信息。7qR
（5）注重管理的原則。涉密信息系統的安全保密三分靠技術，七分靠管理。加強管理可以彌補技術上的不足；而放棄管理則再好的技術也不安全。要通過引進和培養計算機技術人員，使其盡快成為既懂「電子」又懂政務（黨務）、還懂「保密」的復合型人才，利用行政和技術手段的綜合優勢，實現對涉密信息在網路環境下的有效監管。同時，實現人員和技術的有機結合——健全制度，並利用技術手段保證制度的落實。|kn
&;溫農校友之家 -- 溫農人自己的網上家園 g4cB
2、涉密網路保密建設的基本措施有哪些？A
根據國家保密技術規定的要求，涉密信息系統的安全保密建設必須採取以下基本措施：C+8_f^
（1）存放安全。即保證涉密信息系統的機房設備和終端存放在安全可靠的地方，做到防火、防水、防震、防爆炸和防止外來人員進行物理上的盜取和破壞等，還要防止外界電磁場對涉密信息系統各個設備的電磁干擾，保證涉密信息系統的正常運行。TTr.
涉密信息系統的中心機房建設，在條件許可的情況下，應滿足國家《電子計算機機房設計規定規范》、《計算站場地技術條件》、《計算站場地安全要求》和要求。處理國家秘密信息的電磁屏蔽室的建設，必須符合國家保密標准BMB3的要求。處理秘密級、機密級信息的系統中心機房，應當彩有效的電子門控系統。處理絕密級信息和重要信息的系統中心機房的門控系統，還應採取IC卡或生理特徵進行身份鑒別，並安裝電視監視系統，且配備警衛人員進行區域保護。$Zey3
（2）物理隔離。即涉密信息系統（政務內網）要與政務外網和網際網路實行物理隔離。這是涉密信息系統免遭來自網際網路上的黑客攻擊和病毒侵擾的最有效措施。實現物理隔離，必須做到以下幾點：rr=
一是一個單位的政務內網和政務外網的機房要分別建設，相互物理隔離。隔離距離要符合國家保密標准BMB5的相關規定。>Gm
二是政務內網的布線要採用光纜或屏蔽電纜；如政務內、外網同時建設，可實行雙布線，政務外網的布線可以使用普通電纜或雙絞線；對已建網路要改造成政務內、外網兩個網路、單布線不可改變時，可以採用安裝安全隔離集線器的辦法，使客戶端微機不能同時與內、外網相通。h
三是客戶端的物理隔離可以採取以下方法解決：（A）安裝雙主板、雙硬碟的微機（如浪潮金盾安全電腦）；（B）對原的微機進行物理隔離改造，即增中一塊硬碟和一塊雙硬碟隔離卡（如中孚隔離卡）；（C）對客戶端微機只增加一塊單礓盤隔離卡等。"7
四是對單位與單位政務內網之間的信息傳輸，可採用以下方法解決：（A）利用各地政務內網平台提供的寬頻保密通道；（B）採用單獨交換設備和單獨鋪設線路，並安裝網路加密機；（C）使用面向連接的電路交換方式（如PSTN、ISDN、ADSL等）時，應採用認證和鏈路加密措施。採用的加密設備必須經國家密碼主管部門批准。Qq0
（3）身份鑒別。在用戶進入（即使用）涉密信息系統前，系統要對用戶的身份進行鑒別，以判斷該用戶是否為系統的合法用戶。其目的是防止非法用戶進入。這是系統安全控制的第一道防線。v6
身份鑒別一般採用3種方法：一是設置口令字；二是採用智能卡和口令字相結合的方式；三是用人的生物特徵等強認證措施，如指紋、視網膜等。6iFF=]
口令字的設置原理是：在信息系統中存放一張「用戶信息表」，它記錄所有的可以使用這個系統的用戶的有關信息，如用戶名和口令字等。用戶名是可以公開的，不同用戶使用不同的用戶名，但口令字是秘密的。當一個用戶要使用系統時，必須鍵入自己的用戶名和相應的口令字，系統通過查詢用戶信息表，驗證用戶輸入的用戶名和口令字與用戶信息表中的是否一致，如果一致，該用戶即是系統的合法用戶，可進入系統，否則被擋在系統之外。4Z-xF
根據國家保密規定，處理秘密級信息的系統口令長度不得少於8位，且口令更換周期不得長於30天；處理機密級信息的系統，口令長度不得少於10位，且口令更換周期不得長於7天；處理絕密級信息的系統，應當採用一次性口令。口令有組成應當是大小寫英文字母、數字、特殊字元中兩者以上的組合，而且口令必須加密存儲、加密傳輸，並且保證口令存放載體的物理安全。$
採用口令字進行身份鑒別，特別是成本低，實現容易，但使用管理很不方便，不宜記憶。YN
採用「智能卡+口令字」的方式進行身份鑒別，其特別是，口令字長度4位即可，便於用戶使用，增加了身份鑒別的安全性和可靠性，成本較高，一般涉密信息系統的身份鑒別在多採用這種方式。3
採用人的生理特徵進行身份鑒別，其特點是成本高，安全性好。國家保密規定要求，絕密級信息系統的身份鑒別應採用這種強認證方式。B
（4）訪問控制。經過身份鑒別進入涉密信息系統的合法用戶，需要對其訪問系統資源的許可權進行限制。訪問控制的任務就是根據一定的原則對合法用戶的訪問許可權進行控制，以決定他可以使用哪些系統資源，以什麼樣的方式使用。例如，在系統中，對於各種密級的文件，哪個用戶可以查閱，哪個用戶可以修改等。這是系統安全控制的第二道防線，它可以阻合法用戶對其許可權范圍以外的資源的非法訪問。設置訪問控制應遵循「最小授權原則」，即在應當授權的范圍內有權使用資源，非授權范圍內無權使用資源。88d
訪問控制可以分為自主訪問控制、強制訪問控制和角色控制等3種訪問控制策略。:Rk03*
自主訪問控制是指資源的擁有者有權決定系統中哪些用戶具有該資源的訪問許可權，以及具有什麼樣的訪問許可權（讀、改、刪等）。也就是說系統中資源的訪問許可權，由資源的所有者決定。]^`
強制訪問控制是指信息系統根據事先確定的安全策略，對用戶的訪問許可權進行強制性控制。它首先要分別定義用戶和信息資源的安全屬性；用戶的安全屬性為「所屬部門」和「可查閱等級」。用戶「所屬部門」是指用戶分管或所在的部門。用戶「可查閱等級」分為A、B、C三級（可以任意確定），其級別為A>B>C。信息資源的安全屬性分為「所屬部門」和「查閱等級」。信息「所屬部門」是指信息產生的部門。信息「查閱等級」可分為A、B、C三級（同上），其級別為A>B>C。強制訪問控制的規則是：僅當用戶安全屬性中的「可查閱等級」大於等於信息安全屬性中的「查閱等級」且用戶安全屬性中的「所屬部門」包含了信息安全屬性中的「所屬部門」時，用戶才能閱讀該信息；僅當用戶安全屬性中的「可查閱等級」小於等於信息安全屬性中的「查閱等級」，且用戶安全屬性中的「所屬部門」包含了信息安全屬性中的「所屬部門」時，用戶才能改寫該信息。*Dh
角色控制是指信息系統根據實際工作職責設置若干角色，不同用戶可以具有相同角色，在系統中享有相同的權力。當工作職責變動時，可按照新的角色進行重新授權。角色控制既可以在自主訪問控制中運用，也可以在強制訪問控制中運用。PVD
根據國家保密規定，涉密信息系統必須採用強制訪問控制策略。處理秘密級、機密級信息的涉密系統，訪問應當按照用戶類別、信息類別控制，處理絕密級信息的涉密系統，訪問控制到單個用戶、單個文件。x
（5）數據存儲加密。對涉密信息系統中存放的文件和數據進行加密，使這成為密文，用在用戶對其進行訪問（查詢、插入、修改）時，按其需要對數據實時進行加密/解密。這是系統安全控制的第三道防線。在系統的身份鑒別和訪問控制這兩道防線萬一遭到破壞或用戶繞過身份鑒別和訪問控制，通過其他途徑進入系統時，加密可以保護文件或數據的秘密性，並可發現數據的被修改。通俗地講，系統的身份鑒別與訪問控制的作用是「進不來」和「拿不走」，加密的作用是，即使拿走了也「看不懂」。~GOC;
採用什麼樣的密碼體制對數據進行加密，是密碼控制中的一個很關鍵的問題，要保證密碼演算法既有很強的密碼強度，又對系統的運行效率不致於有太大影響。現代密碼體制是將密碼演算法公開，而僅保持密鑰的秘密性，即一切秘密寓於密鑰之中。因此，必須對密鑰的生成、傳遞、更換和保存採取嚴格的保護措施。bpr!
根據國家保密規定，絕密級信息系統中的數據存儲應當採取加密措施。使用的加密演算法應當經過國家密碼主管部門的批准。";)l
（6）安全審計。審計是模擬社會檢察機構在信息系統中用來監視、記錄和控制用戶活動的一種機制，它使影響系統安全的訪問和訪問企圖留下線索，以便事後分析追查。主要的安全審計手段包括：設置審計開關、事件過濾、查詢審計日誌和違遠見事件報警等。T2hiV/
審計系統應當有詳細的日誌，記錄每個用戶的每次活動（訪問時間、地址、數據、程序、設備等）以及系統出錯和配置修改等信息。應保證審計日誌的保密性和完整性。)Z6r
按照國家保密規定，機密級以下的涉密信息系統應採用分布式審計系統，審計信息存放在各伺服器和安全保密設備上，用於系統審計員審查，審查記錄不得修改、刪除，審查周期不得長於30天。絕密級信息系統應當採用集中式審計系統，能夠對各級伺服器和安全保密設備中的審計信息收集、整理、分析匯編成審計報表，並能檢測、記錄侵犯系統的事件和各種違規事件，及時自動告警，系統審計員定期審查日誌的不得長於7天。</<f'g
（7）防電磁泄漏。涉密信息系統中涉密設備的安裝使用，應滿足國家保密標准BMB2的要求。對不符合BMB2要求的，必須採取電磁泄漏的防護措施。電磁泄漏的防護技術共有3種：電磁屏蔽室、低泄射設備和電磁干擾器。`x
根據國家有關規定，對處理絕密級信息的系統機房應當建設電磁屏蔽室，處理絕密級信息的計算機要安裝電磁屏蔽台，且電磁屏蔽室和電磁屏蔽台都要符合國家保密標准BMB3的要求。否則處理絕密級信息的計算機必須是符合國家公安和保密標准GGBB1的低泄射設備。P
處理秘密級、機密級信息的設備應當採取安裝電磁干擾器或採用低泄射設備等防電磁泄漏措施。所使用的干擾器應滿足國家保密標准BMB4的要求，即處理機密級以下（含機密級）信息的設備應當採用一級電磁干擾器；二級電磁干擾器用於保護處理內部敏感信息的設備和最小警戒距離大於等於100米處理秘密級信息的設備。#fp92'
&;溫農校友之家 -- 溫農人自己的網上家園 x
4、涉密網路保密管理應採取哪些基本措施？q-|Z)7
根據國家有關規定，涉密網路的保密管理應當採取以下基本措施：<
（1）明確安全保密責任，落實網路安全保密管理機構。JNe{p
要確定分管領導。該領導應當了解系統中的涉密信息及處理性質，了解保護系統所需要的管理、人事、運行和技術等方面的措施。U`j
成立網路安全保密管理機構。該機構應當由分管領導親自負責，成員包括保密員、系統管理員、系統安全員、系統審計員和操作員代表以及保安員等。其具體職責是，制定網路安全保密策略，包括技術策略和管理策略；制定、審查、確定保密措施；組織實施安全保密措施並協調、監督、檢查安全保密措施執行情況；組織開展網路信息安全保密的咨詢、宣傳和培訓等。rY
機構領導的主要任務是：對系統修改的授權；對特權和口令的授權；冥違章報告、審計記錄、報警記錄；制定並組織實施安全人員培訓計劃，以及遇到重大問題時及時報告單位主要領導和上級等。p
保密員的主要職責是，建立健全信息保密管理制度，監督、檢查網路保密管理及技術措施的落實情況，確定系統用戶和信息的安全屬性等。ovz]j}
系統管理員的主要職責是：負責系統及設備的安裝和維護，分配和管理用戶口令，落實防病毒措施，保證系統的正常運行。x
系統安全員的主要職責是，設置用戶和信息的安全屬性，格式化新介質，應急條件下的安全恢復，啟動與停止系統等。0<!
系統審計員的主要職責是，監督系統的運行情況，定期查看審計記錄，對系統資源的各種非法訪問事件進行分析、處理，必要時及時上報主管領導。OkP6u]
保安員的主要職責是，負責非技術性的、常規的安全工作，如場地警衛、驗證出入手續，落實規章制度等。"/4;uE
（2）制定系統安全計劃。Z_f;Wi
主要包括：lc:dF
一是制定系統規章。涉密信息系統安全保密制度有：系統和設備使用的安全保密規定，涉密介質的使用管理規定，物理安全管理制度，身份鑒別管理制度，訪問控制規則設置的規定，密鑰與密碼設備管理制度以及系統管理員、系統安全員、系統審計員、保密員和保安員的工作職責等。=aRY
二是制定培訓計劃。對新上崗人員進行培訓，培訓的內容應當包括：職業道德、系統各個崗位的新技術、操作規程和使用信息系統應當掌握的安全保密管理制度。對己在崗人員也要進行定期培訓，以不斷提高所有工作人員的工作能力和水平。I+%
三是加強人員管理。主要有3個方面：（A）人員審查，確保涉密信息系統每個用戶的安全可靠。審查內容包括個人經歷、社會關系、政治思想狀況、人品和職業道德等。（B）確定崗位和職責范圍。使每一位用戶按照自己的崗位和職權使用信息系統。（C）考核評價。對系統用戶的政治思想、業務水平、工作表現等要定期進行全面考核，並作出評價。對不適於接觸涉密信息系統的人員要及時調離。對提升、調動、離崗和退休人員，要收回所有證件、鑰匙、智能卡，檢查是否把全部手冊、文件或程序清單交回。有關人員離崗後，應更換口令和智能卡。7Pd
四是成立事故處理小組。制定應急計劃和處理預案，幫助用戶解決安全事故，向用戶定期通報有關信息系統薄弱環東和外來威脅的情況，定期檢測應急能力。gv9_TR
（3）制定評審安全措施。涉密信息系統建成後，要由涉密計算機網路測評中心對其進行安全保密性能的測評。由於信息系統的安全性將隨著時間的推移而發生變化，因此在對該信息系統進行重大修改時，要重新進行測評；即使沒有重大修改，至少每三年也要測評一次。&J2
（4）信息系統的授權使用。涉密信息系統的安全關系國家的安全和利益，因此，該系統必須經保密部門審批合格並書面授權，方能投入運行；如該系統做重大修改，須經保密部門重新審批、授權；至少每三年，涉密信息系統的使用要重新授權。UF@*
8. 中華人民共和國網路安全法規定網路運營者應當制定
《中華人民共和國網路安全法》規定網路運營者應當制定網路安全事件應急預案，及時處置系統漏洞、計算機病毒、網路攻擊、網路侵入等安全風險；在發生危害網路安全的事件時，立即啟動應急預案，採取相應的補救措施，並按照規定向有關主管部門報告。
國家實行網路安全等級保護制度。網路運營者應當按照網路安全等級保護制度的要求，履行下列安全保護義務，保障網路免受干擾、破壞或者未經授權的訪問，防止網路數據泄露或者被竊取、篡改：
1、制定內部安全管理制度和操作規程，確定網路安全負責人，落實網路安全保護責任；
2、採取防範計算機病毒和網路攻擊、網路侵入等危害網路安全行為的技術措施；
3、採取監測、記錄網路運行狀態、網路安全事件的技術措施，並按照規定留存相關的網路日誌不少於六個月；
4、採取數據分類、重要數據備份和加密等措施；
5、法律、行政法規規定的其他義務。
《中華人民共和國網路安全法》第二十九條 國家支持網路運營者之間在網路安全信息收集、分析、通報和應急處置等方面進行合作，提高網路運營者的安全保障能力。
有關行業組織建立健全本行業的網路安全保護規范和協作機制，加強對網路安全風險的分析評估，定期向會員進行風險警示，支持、協助會員應對網路安全風險。
第二十七條 任何個人和組織不得從事非法侵入他人網路、干擾他人網路正常功能、竊取網路數據等危害網路安全的活動；不得提供專門用於從事侵入網路、干擾網路正常功能及防護措施、竊取網路數據等危害網路安全活動的程序、工具；明知他人從事危害網路安全的活動的，不得為其提供技術支持、廣告推廣、支付結算等幫助。