INFO5990-Week8-Lecture-Summary
一、本周整体框架
Week 8 Lecture 的主题是 Security Management — Part 1（安全管理第一部分），是整个信息安全模块的基础导论，为 Week 9/10 的 Part 2（框架、标准、应急计划）打底。本周回答的核心问题是：什么是安全、组织为什么脆弱、有哪些网络犯罪与威胁，以及个人对自己的数据享有哪些权利。
本周讲义按以下议程（Agenda）展开：
- Introduction（导论：什么是安全、为何需要安全管理）
- Threats and Vulnerabilities（威胁与脆弱性）
- Cybercrimes（网络犯罪）
- Security Threats and Organisational Challenges（安全威胁与组织挑战）
- Information Security（信息安全与 CIA）
核心逻辑链：
先理解安全的三大维度（物理 / 数字 / 运营）与 CIA 三元组 → 再认识组织脆弱性的来源（人、技术、组织、物理、流程），其中用户往往是最薄弱环节 → 进而了解攻击者发起的各类网络犯罪（身份盗窃、黑客入侵、数据泄露、恶意软件、钓鱼、DDoS、APT 等）与防范措施 → 把威胁归纳为五大类别并分析让安全更难的因素 → 最后落到个人在数字时代对其数据享有的七项权利。
为什么需要安全管理？（真实案例）
讲义用几个真实泄露事件说明安全管理的紧迫性：新西兰最大的医疗门户泄露，超过 100 万患者记录（姓名、化验结果、临床记录）被泄露；2025 年一次勒索软件攻击波及 38 个国家，暴露了 25,000 多名儿童、家长与员工的个人数据；2024 年 Snowflake 的一次安全疏漏让攻击者访问了数十个客户环境，波及 Ticketmaster 等公司、暴露超过 5 亿条客户记录。
二、What is Security（安全的定义与三大维度）
安全（Security） 是保护信息系统（包括硬件、软件、网络与数据）免遭未授权访问、误用、中断或破坏的实践。IT 安全有三个维度：
| 维度 | 含义 | 目标 |
|---|---|---|
| 物理安全（Physical Security） | 保护支撑 IT 的有形基础设施 | 防止资产被盗窃、损坏或物理篡改 |
| 数字 / 信息安全（Digital / Information Security） | 保护数据与数字系统免遭网络威胁 | 维护数据的机密性、完整性与可用性（CIA） |
| 运营安全（Operational Security） | 通过流程、人员与政策保护系统 | 降低由人为错误、内部威胁或薄弱流程导致的风险 |
三、Information Security（信息安全与 CIA）
信息安全（Information Security，简称 InfoSec） 是保护任何形式（数字、物理或口头）的信息，使其免遭未授权访问、使用、披露、中断、修改或破坏的实践。其核心是确保数据保持：
- 机密的（Confidential）： 只有授权的人或系统可以访问。
- 完整的（Integrity-protected）： 信息准确、可靠，未被不当篡改。
- 可用的（Available）： 信息与系统在需要时可访问。
这正是贯穿整个安全模块的 CIA 三元组，是后续所有框架、标准与控制措施的出发点。
四、Understanding Vulnerabilities（脆弱性的来源）
脆弱性（Vulnerability）是系统中可被威胁利用的弱点。讲义把导致脆弱性的因素分为五类：
| 类别 | 典型来源 |
|---|---|
| 人为因素（Human） | 弱密码与密码复用、落入钓鱼/社会工程、缺乏意识与培训、内部威胁（恶意或疏忽的员工） |
| 技术因素（Technological） | 未打补丁的软件与过时系统、配置错误（防火墙/云存储/数据库）、弱加密或缺乏加密、硬/软件的零日漏洞 |
| 组织因素（Organisational） | 缺乏清晰的政策与治理、事件响应规划不足、监控与审计不足、过度依赖未经审查的第三方供应商 |
| 物理 / 环境因素（Physical / Environmental） | 不安全的机房或数据中心、设备被盗或被篡改、自然灾害（洪水/火灾/地震）、断电或冗余不足 |
| 流程与运营因素（Process / Operational） | 访问控制不当（权限过多）、糟糕的补丁/变更管理流程 |
最大的安全威胁——用户
尽管有各种技术防护，人往往是安全中最薄弱的一环。再强的防火墙、加密与监控，也可能因用户的失误或疏忽而被绕过。用户成为威胁的原因包括：
- 人为错误： 把敏感信息发错收件人、配置错误、误删数据。
- 糟糕的密码习惯： 弱密码、跨账户复用、与他人共享凭据。
- 钓鱼与社会工程： 上当于设计好的邮件/电话/消息、点击恶意链接或下载受感染附件。
- 内部威胁： 心怀不满的员工故意滥用访问权限。
讲义以 TJX 数据泄露调查 作为典型案例，说明薄弱的安全实践如何酿成大规模泄露。
五、Cyber-Crimes（网络犯罪）
网络犯罪（Cybercrimes） 是涉及互联网、计算机、网络或数字设备的犯罪活动——以信息系统、数据或数字通信为攻击目标。它们可针对个人、组织或政府，往往利用技术漏洞或人性弱点，防范需要技术控制 + 政策 + 用户意识的组合。
讲义列举了八类网络犯罪及其防范措施：
| # | 网络犯罪 | 含义 | 关键防范措施 |
|---|---|---|---|
| 1 | 身份盗窃与欺诈（Identity Theft & Fraud） | 窃取他人个人信息（姓名、税号、信用卡、登录凭据）以实施欺诈 | 强且唯一的密码 + MFA、定期监控账户、谨慎分享个人信息、销毁前粉碎敏感文件、安装杀毒/反恶意软件 |
| 2 | 骚扰与网络霸凌（Harassment & Cyberbullying） | 通过数字平台反复进行恐吓、威胁或造成情感/声誉伤害 | 制定可接受使用政策与上网行为规范、监控平台并提供举报机制、用户培训、法律法规（如澳大利亚反网络骚扰法） |
| 3 | 黑客与未授权访问（Hacking & Unauthorised Access） | 未经许可访问系统/网络/数据/账户，或以未授权方式使用合法访问 | 强密码策略 + 强制 MFA、最小权限与 RBAC、安全意识培训（钓鱼演练）、供应商风险评估、WAF 与输入校验、传输/静态加密 |
| 4 | 数据泄露（Data Breaches） | 敏感、受保护或机密信息被未授权访问、披露或窃取 | 传输/静态加密、强访问控制（最小权限、RBAC）、安全意识培训、补丁与漏洞管理、持续监控与审计、关键数据备份并测试恢复 |
| 5 | 恶意软件（Malware） | 蓄意破坏、扰乱、窃取或非法访问系统/网络/数据的软件 | 安装并更新杀毒/反恶意软件、及时打补丁、用户安全上网培训、防火墙与 IDS、定期安全备份、限制不必要的管理员权限 |
| 6 | 钓鱼与社会工程（Phishing & Social Engineering） | 操纵或欺骗人去泄露机密信息或执行危及安全的操作；攻击者利用的是人的心理而非仅技术漏洞 | 用户意识与培训、MFA（使被盗凭据不足以登录）、邮件与网页过滤拦截恶意内容 |
| 7 | DDoS 攻击（Distributed Denial of Service） | 用来自多个分布式来源的海量流量压垮目标，使合法用户无法访问；目的是中断而非窃取数据（有时作为其他攻击的烟幕） | 流量清洗中心、限流与上游过滤（ISP 协作）、谨慎设限的自动扩缩、负载均衡与跨区域冗余、集中日志/SIEM/实时流量监控 |
| 8 | 高级持续威胁（Advanced Persistent Threats, APT） | 长期、有针对性的攻击，入侵者潜伏在网络中长期不被发现，通常针对知识产权、财务数据或政府机密等高价值资产 | 持续网络监控、异常检测与终端检测、修补已知缺口、详尽的检测/遏制/修复计划、最小权限 + 网络分段 + MFA |
六、Security Threats & Organisational Challenges（安全威胁与组织挑战）
6.1 安全威胁的五大类别
安全威胁（Security Threats）是可能危及信息或系统机密性、完整性或可用性的潜在事件或行为，可以是蓄意的、意外的或自然的，主要分为五类：
- 人为类（Human-based）： 由人故意或无意造成的威胁。
- 技术类（Technical）： 利用硬件、软件或网络漏洞的威胁。
- 物理类（Physical）： 针对支撑 IT 的有形基础设施的威胁。
- 运营类（Operational）： 由薄弱流程、政策或运营失误引发的威胁。
- 外部类（External）： 来自组织直接控制之外的威胁。
6.2 使组织脆弱的因素
组织因技术、人为、运营与环境因素的组合而易受攻击：人为（缺乏安全意识/培训、弱密码习惯、疏忽与失误）；技术（过时/未打补丁的软件、遗留系统与现代安全标准不兼容）；运营（弱访问控制、权限过多、事件响应与恢复计划不足）；物理（设施未受保护、灾难恢复规划差）；外部（第三方/供应商漏洞、法规变化导致不合规、市场压力下为省成本/赶时间而在安全上偷工减料）。
6.3 让安全更难的因素
IT 安全不只是技术问题，而是复杂、动态且多维的。让保护系统与数据越来越难的因素包括：技术快速变化、攻击日益复杂、人为因素、IT 环境复杂、监管与合规压力、资源约束，以及不断演化的威胁态势。
七、Individual Rights of Data（个人数据的七项权利）
在数字时代，人们对其个人数据（任何能识别身份的信息，如姓名、邮箱、生物特征、财务信息）享有特定权利。这些权利受 GDPR、CCPA、澳大利亚 Privacy Act 1988 等法律保护，也体现了更广泛的伦理原则：
- 被告知权（Right to be informed）： 个人必须知道其数据如何被收集、存储、使用与共享；组织须提供清晰的隐私通知（而非藏在小字里）。
- 访问权（Right of access）： 个人可请求访问组织持有的、关于自己的个人数据；IT 系统须支持便捷及时的数据访问请求。
- 更正权（Right to rectification）： 数据不准确或不完整时，个人有权更正。
- 删除权 / 被遗忘权（Right to erasure）： 当数据不再为收集目的所需、用户撤回同意、或数据是非法收集时，个人可请求删除（例外：法律、合同或公共利益所需的数据）。
- 限制处理权（Right to restrict processing）： 个人可限制其数据被处理的方式（例如暂停营销邮件但保留账户）。
- 数据可携带权（Right to data portability）： 个人可请求以结构化、机器可读的格式（如 CSV、JSON）获取数据，以便在服务商之间迁移（如换银行、换电信运营商）。
- 与自动化决策和画像相关的权利： 个人可反对直接营销以及基于"合法利益/公共任务"的处理；除非组织能证明有压倒性的正当理由，否则必须停止处理。
八、End of Lecture Questions（课后复习问题与参考答案）
在 IT 语境下定义安全，并解释其三大维度。 安全是保护信息系统（硬件、软件、网络、数据）免遭未授权访问、误用、中断或破坏的实践，三大维度是物理安全（保护有形资产）、数字/信息安全（保护数据与系统、维护 CIA）和运营安全（通过流程、人员与政策降低风险）。
什么是安全管理，为何对 IT 组织重要？ 安全管理是系统性地识别、评估并缓解信息资产风险的实践；它能防止数据泄露与运营中断、确保合规、保护声誉与客户信任，真实案例（如百万级病历泄露）说明了其必要性。
列举至少五项导致组织脆弱性的因素。 缺乏安全意识/培训、弱密码习惯、未打补丁/过时系统、弱访问控制（权限过多）、事件响应计划不足、第三方供应商漏洞等。
描述 CIA 三元组并各举一个实际例子。 机密性——只有授权医生能查看患者病历；完整性——交易记录不被未授权篡改；可用性——网银在高峰期仍可访问。
区分钓鱼与社会工程。 社会工程是操纵人以泄露机密信息或执行危及安全的操作的总称；钓鱼是社会工程的一种具体形式，通过邮件、消息或网站诱骗用户交出敏感数据。钓鱼属于社会工程的子集。
解释 DDoS 攻击与 APT 的区别。 DDoS 用海量流量压垮目标，目的是中断服务，通常短促且喧闹；APT 是长期、隐蔽、有针对性的入侵，潜伏不被发现以窃取高价值资产，目的是持续渗透与窃取。
九、Case Study：医疗机构勒索软件事件
9.1 背景
一家中型医疗机构近期遭受网络攻击：一名员工点击了钓鱼邮件中的链接，导致勒索软件被安装到多台医院服务器上。这造成患者记录暂时不可用，部分敏感患者数据被泄露，攻击者要求支付赎金以解密文件。
9.2 案例讨论问题
- 指出受影响的 CIA 三元组要素并解释如何受影响。
- 讨论导致此次泄露的人为、技术与运营因素。
- 提出至少五项本可缓解此次攻击的预防措施。
- 检测到攻击后，组织应立即采取哪些事件响应步骤？
- 攻击后组织必须处理哪些法律与伦理考量？
参考思路： CIA 全部受损——可用性（病历不可用）、机密性（数据被泄露）、完整性（文件被加密篡改）；人为因素是点击钓鱼链接、技术因素是缺乏邮件过滤/终端防护、运营因素是缺乏备份与事件响应计划；预防措施包括安全意识培训、MFA、邮件过滤、及时打补丁、最小权限、离线/不可变备份；立即步骤为隔离受感染服务器、保存取证证据、启动 IRT、从干净备份恢复；法律伦理上须依法在规定时限内做数据泄露通报（如 Privacy Act/GDPR）、通知受影响患者、并权衡是否支付赎金（一般不建议）。
十、考试速查表（Quick Reference）
安全的三大维度
物理安全（有形资产）/ 数字·信息安全（数据与系统，维护 CIA）/ 运营安全（流程、人员、政策）。
CIA 三元组
机密（只授权可访问）/ 完整（准确、未被篡改）/ 可用（需要时可访问）。
脆弱性五类来源
人为 / 技术 / 组织 / 物理·环境 / 流程·运营——其中用户是最薄弱的一环。
八类网络犯罪
身份盗窃、骚扰与网络霸凌、黑客与未授权访问、数据泄露、恶意软件、钓鱼与社会工程、DDoS、APT。
安全威胁五大类别
人为 / 技术 / 物理 / 运营 / 外部。
个人数据七项权利
被告知、访问、更正、删除（被遗忘）、限制处理、数据可携带、与自动化决策/画像相关的权利（受 GDPR、CCPA、Privacy Act 1988 保护）。
关键区分
- 钓鱼 ⊂ 社会工程：钓鱼是社会工程的一种具体形式。
- DDoS vs APT：DDoS 求"中断"、短促喧闹；APT 求"潜伏窃取"、长期隐蔽。