信息安全法规与伦理道德调查分析

申请免费试用、咨询电话：400-8352-114

信息技术的发展带动了全球信息化的发展， 随着21 世纪社会信息化程度的日趋深化以及社会各行各业计算机应用的广泛普及， 计算机信息系统安全问题已成为当今社会的主要课题之一。随之而来的计算机犯罪也越来越猖獗， 它已对国家安全、社会稳定、经济建设以及个人合法权益构成了严重威胁。面对这一严峻势态， 为有效地防止计算机犯罪， 并在一定程度上确保计算机信息系统安全高效运作， 我们不仅要从技术角度采取一些安全措施； 还要在管理上采取一些安全手段， 因此， 制定和完善信息安全法律法规， 制定及宣传信息安全伦理道德规范、提高计算机信息系统用户及广大社会公民的职业道德素养以及建立健全信息系统安全调查制度和体系等显得非常重要， 为此， 以下就这几个方面进行了深入详尽的探讨。

1. 计算机犯罪的危害及其对社会的冲击

利用现代信息和电子通讯技术从事计算机犯罪活动已涉及到政治、军事、经济、科技文化卫生等各个领域。在计算机化程度较高的国家， 计算机犯罪已经形成了一定规模， 成为了一种严重的社会问题， 威胁着经济发展、社会稳定和国家安全。据不完全统计， 美国计算机犯罪造成的损失已达上万亿美元， 年损失几百亿美元， 平均每起损失90 万美元。原联邦德国每年损失95 亿美元。英国为25 亿美元， 且每40 秒钟就发生一起计算机诈骗案。亚洲地区的计算机犯罪问题也很严重， 如日本、新加坡等。我国在报纸上公开报导的计算机犯罪案件也已达数万起。这一切足以表明计算机犯罪已成为不容忽视的社会现象。各国政府、各级机构乃至整个社会都应积极行动起来， 打击和防患计算机犯罪。

2. 信息系统安全保护规范化与法制化

计算机信息系统安全立法为信息系统安全保护提供了法律的依据和保障， 有利于促进计算机产业、信息服务业和科学技术的发展。信息系统安全法律规范通常建立在信息安全技术标准和社会实际基础之上， 其目标在于明确责任， 制裁计算机违法犯罪， 保护国家、单位及个人的正当合法权益。

2.1 国内信息系统安全立法简况

早在1981 年， 我国政府就对计算机信息系统安全予以了极大关注。并于1983 年7 月， 公安部成立了计算机管理监察局， 主管全国的计算机安全工作。为提高和加强全社会的计算机安全意识观念， 积极推动和指导各有关方面的计算机安全治理工作，公安部于1987 年10 月推出了《电子计算机系统安全规范》。迄今为止， 我国已颁布的与计算机信息系统安全问题有关的法律法规主要还有以下这些： 于1986 年颁布的《治安管理处罚条例》和《标准化法》； 于1988 年颁布的《保守国家秘密法》； 于1991 年颁布的《计算机软件保护条例》； 于1992 年颁布的《计算机软件着作权登记办法》； 于1994 年颁布的《计算机信息系统安全保护条例》， 它是我国第一个计算机安全法规， 也是我国计算机安全工作的总纲[1]; 于1997 年颁布的《计算机信息网络国际联网管理暂行规定》和《计算机信息网络国际联网安全保护管理办法》；于1999 年制定并发布的《计算机信息系统安全保护等级划分准则》。

2.2 国外信息系统安全立法简况

发达国家关注计算机安全立法是从上世纪60 年代开始的。瑞典早在1973 年就颁布了《数据法》， 这是世界上首部直接涉及计算机安全问题的法规。随后， 丹麦等西欧各国都先后颁布了数据法或数据保护法。美国国防部早在上世纪80 年代就对计算机安全保密问题开展了一系列有影响的工作。针对窃取计算机数据和对计算机信息系统的种种危害， 1981 年成立了国家计算机安全中心， 1983 年美国国家计算机安全中心公布了可信计算机系统评价准则， 1986 年制定了计算机诈骗条例， 1987 年制定了计算机安全条例， 1999 年制定了信息技术安全评价通用准则（CC）, 2003 年美国国家安全局又发布了信息保障技术框架IATF4.0版本[2]。在亚洲， 日本政府对计算机信息系统安全也相当重视， 1984 年日本金融界成立了金融工业信息系统中心，1985 年制定了计算机安全规范， 1986 年成立了计算机安全管理协会， 1989 年日本警视厅又公布了《计算机病毒等非法程序的对策指南》。

3. 信息系统安全道德与宣传教育

计算机道德是用来约束计算机从业人员的言行， 指导其思想的一整套道德规范， 涉及到思想认识、服务态度、业务钻研、安全意识、待遇得失及公共道德等方面。长期以来， 由于计算机文化和技术发展的不平衡性， 人们的思想观念未能跟上计算机发展的需要。因此， 研究计算机道德的任务在于一方面通过宣传手段更新人们的思想观念， 使其逐步认识到对计算机信息系统的破坏活动亦是一种不道德、不符合现代社会伦理要求的行为； 另一方面通过建立健全切实可行的法律法规及行为规范准则， 使人们认识到计算机犯罪的非法性。

实践证明， 计算机职业道德建设应该从小处抓起、从早抓起， 各级教育部门应该将计算机道德教育列入德育教育的范畴，使其成为大众的普及课， 成为计算机课程体系中的必修课。随着社会信息化程度的日益提高， 计算机道德建设必将引起各国有关部门的高度重视。

4. 计算机信息系统安全调查

4.1 计算机安全调查的概念与系统方法

至今为止， 人们对计算机安全调查仍未形成统一的认识。各国对计算机安全调查存在着不同程度的认识和见解。计算机信息系统安全调查虽然包含着一定科学技术的成份， 但总体说来，它表现为信息安全管理方面的因素居多[3]。在西方一些计算机事业发达的国家， 信息系统安全调查通常指的是当某一部门或单位的计算机系统受到攻击时， 为挽救系统、尽量避免或减少因受攻击带来的损失， 负责信息安全的主管部门或组织往往会秘密地介入其中， 按照一定的法律程序且依靠一定的技术手段及管理方法对遭受攻击的系统进行跟踪调查分析， 从而找出作案嫌疑人、恢复或重建系统并追回损失。其最终目的是根据作案后留下的有效证据对被入侵的系统进行系统调查， 从而找出作案嫌疑人并追回损失； 同时， 通过调查发觉系统内新增的安全隐范和漏洞， 以求尽量减少日后系统被再次攻击的可能性。

计算机信息系统安全调查的实施是一个极富技巧性和艺术性的过程。开展调查时， 往往要讲究方式方法， 遵循一定的原则。通常在执行信息系统安全调查之前， 可以适当考虑Smith 的七步骤系统方法[4]。该方法内容如下： ①速度。在证据受到破坏之前， 必须迅速立案； ②秘密行动。调查必须秘密展开， 避免嫌疑犯发觉； ③系统安全。执行调查过程中应尽量避免系统受到更大损害； ④保护证据。执行调查时应采取一系列切实可行的措施保护证据； ⑤怀疑雇员。要大胆怀疑雇员， 大多数攻击行为均是由雇员实施的； ⑥提供报告。必须知晓如何拟就一份容易被别人看懂的报告； ⑦调查许可证。必要时可按相关法律程序准备并提供一份调查许可证。

4.2 计算机安全调查的一种实施方法

当信息系统中的一台或多台计算机遭到黑客侵入时， 为找出入侵原因及攻击者， 应立即对其进行安全调查。以下阐述了在执行计算机安全调查时所采用的一种方法。

系统被攻击后， 安全调查人员要立即到达案发现场， 分析系统日志及网络异常情况， 确定攻击开始的时间， 然后立即切断机器的网络连接。为使后续的安全检查中不破坏证据， 同时也应迅速建立一个“洁净室”, 该洁净室绝对不允许内外因素相互感染，它为安全调查人员检查不可信的文件和已感染机器提供了一套可信的工具和工作平台， 该工作平台也不会触发攻击者加入的任何傻瓜陷阱。待洁净室搭建完毕后， 立即将被攻击的机器搬进洁净室。然后在该机器上做一个备份磁盘， 备份应包括所有文件系统的完整备份、所有正在运行的进程列表备份以及所有监听网络连接的服务列表备份等。获取被攻击系统的所有信息后， 就立即关闭机器， 为安全起见， 通常最好的方法是直接拨下电源插头， 使机器停止运行， 因为这种关机方式不给计算机任何警告，从而可以绕过攻击者设下的种种陷阱。一旦机器被关闭， 就可在洁净室中将主硬盘从受感染的机器上移走， 并将其作为从硬盘装入洁净室的可信赖机器上， 但应将受损害的磁盘设为只读且将可信赖机器上的可信赖软件设为只读。接着就可以分析被感染的文件系统了， 通过周密调查分析确定初始入侵是怎样发生的以及新增加了哪些漏洞。在分析被感染文件系统时可采用多疑分析法及简单分析法等分析方法， 并将所有分析数据记录下来。若调查过程中发现现有的调查分析方法对任何新现象表现出缺陷， 就应果断退回去， 重新评价所有的已得结论[5]。

5. 结束语

随着网络应用的发展和普及， 计算机信息系统安全的重要性日益突出， 已经引起了社会各界的广泛关注， 国内外有关信息安全问题的研究力度也在不断加大， 面对这一格局， 各高等院校计算机与信息技术专业纷纷开始将信息安全纳入主修课程。信息安全不仅涉及以上所述的管理方面的内容， 而且还涉及密码理论、身份认证、访问控制、审计、安全脆弱性分析、入侵检测等技术层面的内容。作为计算机信息系统安全问题的基础和信息系统安全可靠运作的重要保障， 计算机信息安全法律法规、职业道德及安全调查等环节是密切联系， 不可分割的。为减少和有效避免计算机犯罪对计算机信息系统带来的巨大破坏和损失， 促使信息系统安全事业的进一步发展， 我们应该深入研究、正确认识和把握计算机安全法规、伦理道德及调查三者之间的关系。（万方数据）