“如果一个人看的时间太长，他很可能会睡着。”——弗朗西斯·培根

“最大的错误，我认为，是不意识到自己有任何错误。”——托马斯·焦罗

13.1 绪论：物理安全与信息安全的交织

如今，许多安全工程师都将重点放在电子系统上，但物理安全绝不容忽视。从公司整体风险管理角度来看，墙壁和锁具是不可或缺的组成部分。其次，由于更容易向具备电气工程或计算机科学背景的人传授物理安全的基础知识，因此物理安全与逻辑安全之间的互动通常由系统人员负责。此外，您经常需要为客户的安装提供意见，这些安装可能由缺乏系统理解的承包商建造。您需要能够提供知情且外交的建议。

许多信息安全机制如果遭到物理访问者的破坏，无论是在工厂、运输途中还是安装前，都可能失效。许多机械锁最近已被“开锁技巧”（bumpkeying）彻底攻破，而它们的制造商似乎对能够迅速绕过这些漏洞的产品知之甚少。此外，许多正在取代它们的电子锁也容易受到攻击，原因要么是使用了已被破解的密码学（如Mifare Classic），要么是机械和数字组件的集成不佳。

物理安全很大程度上是常识，但其中存在一些非显而易见的复杂性，并且近年来技术也取得了显著进步。犯罪预防方面有许多来自犯罪学和建筑学的实用理念，这些理念有时可以应用于系统设计。而且，关于入侵警报系统，有一个非常有趣的案例研究。

例如，要破解一个入侵警报系统，只需使其停止工作，甚至只需说服保安认为它不可靠即可。这为分布式拒绝服务（DoS）攻击提供了一个新的视角。正如我们所见到的军事通信系统旨在强制执行保密和记录保存，而记录完整性系统则旨在维护记录的真实性一样，监控系统需要可靠的可用性。如果我的银行保险库里有小偷，我并不关心其他人是否知道这件事（因此我不担心保密），也不关心是谁告诉我这件事（因此真实性不是主要问题），但我非常关心尝试告知我的信息不会被阻止。历史上，关于计算机安全的研究大约90%集中在保密性、9%集中在真实性，以及1%集中在可用性。然而，实际攻击和公司信息安全支出往往恰恰相反，可用性投入甚至超过了保密性和真实性总和。而入侵警报系统，无疑是能教我们可用性的最佳例子。

第一部分：信息安全意识与保密常识——守护数字世界的基石

案例一：老王与“安全”的陷阱

老王是某小型企业的办公室主任，负责公司的日常运营和安全管理。他一直认为，公司最重要的安全措施就是安装了一套“最先进”的防盗报警系统。这套系统包括门窗传感器、红外探测器和声光报警器，并且还连接了远程监控中心。老王对此信心满满，认为这足以保护公司财产的安全。

然而，就在上个月，公司遭遇了一次“入侵”。虽然报警系统响了，但窃贼却成功地从公司电脑中盗走了大量客户数据。事后调查显示，窃贼并没有通过破坏门窗或绕过报警系统进入办公室，而是利用了老王一个“好心办坏事”的习惯。

老王为了方便员工使用，在公司网络上设置了一个共享文件夹，存放着客户的联系方式和交易记录。他认为这样做可以提高工作效率，方便员工随时访问数据。然而，他没有意识到，这个共享文件夹并没有设置合适的权限控制，任何员工都可以随意访问和复制其中的数据。

窃贼利用这个漏洞，通过一个看似正常的邮件附件，将恶意代码注入到公司网络中，从而获取了对共享文件夹的访问权限，并成功地窃取了客户数据。

这次事件让老王意识到，仅仅依靠物理安全措施是不够的。信息安全同样重要，而且往往比物理安全更容易被忽视。他开始学习信息安全知识，了解了数据加密、访问控制、安全意识培训等重要概念。

知识科普：物理安全与信息安全的区别与联系

• 物理安全：指的是保护物理资产免受未经授权的访问、破坏或盗窃。常见的措施包括门窗、锁具、监控摄像头、警报系统等。
• 信息安全：指的是保护信息免受未经授权的访问、使用、披露、破坏或修改。常见的措施包括密码保护、防火墙、数据加密、安全意识培训等。
• 联系：物理安全和信息安全是相互关联的。例如，物理安全可以防止未经授权的物理访问，从而降低信息泄露的风险。而信息安全可以防止通过网络或其他方式窃取或破坏信息，从而保护物理资产的安全。

为什么物理安全和信息安全都重要？

• 物理安全：保护公司财产、员工安全、业务连续性。
• 信息安全： 保护客户数据、商业机密、企业声誉。

该怎么做？

• 建立完善的物理安全体系，包括门窗、锁具、监控摄像头、警报系统等。
• 建立完善的信息安全体系，包括密码保护、防火墙、数据加密、安全意识培训等。
• 定期进行安全评估和漏洞扫描，及时发现和修复安全问题。

不该怎么做？

• 忽视物理安全和信息安全的重要性。
• 设置不安全的密码。
• 随意下载和打开不明来源的文件。
• 在公共场所使用不安全的 Wi-Fi 网络。

案例二：小李与“安全”的疏忽

小李是某电商公司的客服代表，负责处理客户的投诉和咨询。他每天需要访问大量的客户数据，包括客户的姓名、地址、电话号码、信用卡信息等。

为了方便工作，小李习惯性地将客户数据保存在自己的电脑上，并且没有设置任何密码保护。他还经常将客户数据通过电子邮件发送给同事，以便进行协作。

然而，有一天，小李的电脑被黑客入侵，客户数据被窃取。黑客利用小李的电脑访问了公司的内部网络，并下载了大量的客户数据。

这次事件让小李意识到，即使是看似无害的行为，也可能带来严重的后果。他开始学习信息安全知识，了解了数据保护的重要性。

知识科普：数据保护的重要性与方法

• 数据保护：指的是保护数据免受未经授权的访问、使用、披露、破坏或修改。
• 数据保护的重要性：
  • 保护客户隐私。
  • 保护商业机密。
  • 维护企业声誉。
  • 遵守法律法规。
• 数据保护的方法：
  • 设置强密码。
  • 启用双因素认证。

  

  • 定期备份数据。
  • 使用数据加密。
  • 限制数据访问权限。
  • 安全地处理和销毁数据。

为什么数据保护如此重要？

• 数据泄露可能导致客户隐私泄露、经济损失、法律责任等。
• 数据泄露可能损害企业声誉，影响客户信任。

该怎么做？

• 设置强密码，并定期更换。
• 启用双因素认证，增加账户安全性。
• 定期备份数据，以防止数据丢失。
• 使用数据加密，保护数据安全。
• 限制数据访问权限，只允许必要的人员访问数据。
• 安全地处理和销毁数据，防止数据泄露。

不该怎么做？

• 使用弱密码。
• 不启用双因素认证。
• 不定期备份数据。
• 不使用数据加密。
• 随意共享数据。
• 不安全地处理和销毁数据。

案例三：老张与“安全”的误解

老张是某银行的柜员，负责处理客户的存取款业务。他一直认为，银行的安全系统非常完善，几乎不可能被攻破。

然而，有一天，银行的系统遭到了一次攻击，客户的账户信息被窃取。攻击者利用漏洞，绕过了银行的防火墙和入侵检测系统，并成功地获取了对银行内部网络的访问权限。

攻击者利用这些权限，窃取了大量的客户账户信息，包括客户的姓名、地址、电话号码、银行卡号、密码等。

这次事件让老张意识到，即使是最先进的安全系统，也可能存在漏洞。他开始学习信息安全知识，了解了安全防护的重要性。

知识科普：安全防护体系的重要性与组成

• 安全防护体系：指的是保护信息系统和数据的综合性体系，包括物理安全、网络安全、应用安全、数据安全、人员安全等。
• 安全防护体系的组成：
  • 物理安全：保护物理资产免受未经授权的访问、破坏或盗窃。
  • 网络安全：保护网络免受未经授权的访问、使用、披露、破坏或修改。
  • 应用安全： 保护应用程序免受漏洞攻击。
  • 数据安全：保护数据免受未经授权的访问、使用、披露、破坏或修改。
  • 人员安全： 保护人员免受安全威胁。
• 安全防护体系的重要性：
  • 保护信息系统和数据的安全。
  • 保护客户隐私。
  • 维护企业声誉。
  • 遵守法律法规。

为什么安全防护体系如此重要？

• 安全威胁日益复杂和多样化，需要综合性的安全防护体系来应对。
• 安全漏洞可能导致数据泄露、业务中断、经济损失等。

该怎么做？

• 建立完善的安全防护体系，包括物理安全、网络安全、应用安全、数据安全、人员安全等。
• 定期进行安全评估和漏洞扫描，及时发现和修复安全问题。
• 加强安全意识培训，提高员工的安全意识。
• 及时更新安全软件和系统。
• 定期备份数据，以防止数据丢失。

不该怎么做？

• 忽视安全防护体系的重要性。
• 不定期进行安全评估和漏洞扫描。
• 不加强安全意识培训。
• 不及时更新安全软件和系统。
• 不定期备份数据。

结论：信息安全意识与保密常识——守护数字世界的基石

从老王、小李和老张的故事中，我们可以看到，信息安全的重要性不容忽视。即使是看似简单的操作，也可能带来严重的后果。因此，我们每个人都应该提高信息安全意识，学习安全知识，养成良好的安全习惯。只有这样，我们才能更好地保护自己和企业的安全，守护数字世界的基石。

在昆明亭长朗然科技有限公司，我们不仅提供标准教程，还根据客户需求量身定制信息安全培训课程。通过互动和实践的方式，我们帮助员工快速掌握信息安全知识，增强应对各类网络威胁的能力。如果您需要定制化服务，请随时联系我们。让我们为您提供最贴心的安全解决方案。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898