师：同学们，今天我们来学习高中一年级教科版信息技术必修二第四单元信息系统安全管理。通过学习，我们要了解信息系统安全的管理范围和措施，能根据机构安全策略选择合适信息技术，针对实际情况进行信息系统安全设置，树立安全技术与管理结合的意识。
首先，机房信息系统安全运行要求达99.99%，机房信息部是如何做到的呢？下面请同学们观看新闻报道《保障机场信息系统安全运行的幕后英雄》。
在机场，有个岗位虽未直接服务旅客，但正因他们，我们才能看到机场大屏信息、听到广播通知、用上免费无线网络。这看似高科技范畴，实则是机场信息部技术保障人员的工作，他们不仅耗费技术，还挺费体力。咱们来认识其中一位叫赵鑫的小伙子，他在首都机场T3航站楼工作。
CA在机场显示屏的航班信息、登机口的语音广播，这些常见场景背后，是一个7×24小时不间断值班的团队在默默保障。赵鑫就是其中一员。今天是1月13号，首都机场已进入春运。每个值班日，赵鑫的工作都从早会开始。他说，平日里机场每天有2000多架次航班起降，运送旅客20多万人次，一旦信息系统出问题，就会导致旅客滞留。
（电话声）“欸，你好，信息部f岛小号是吧？好的，请留下您的电话。”
1分钟电话响应，5分钟到达现场，这是信息部的承诺。接到报修电话，赵鑫拿上检测设备就出发了。“有什么问题？”
“刚才报修就是这个直抵岛的一台设备有问题，我来测一下线缆是不是正常，这个信息点可能有故障，我们所有信息点都是一备一的，所以要切换到备份信息点上，这台终端就可以使用了。”
自助值机系统、安检系统，甚至机场免费Wifi，这些纵横交错的信息网络，都离不开赵鑫和同事们的检修维护。赵鑫说，整个T3航站楼有近150个机房，2000多段光缆，4万多个信息点。按要求，整个系统安全运行时间要达99.99%。为此，夜班工作人员每天都要对大量线路进行巡检，一遍下来要走6 - 8公里。虽辛苦，但大家都习惯了。
信息部技术保障人员靠什么保障信息系统无故障率达99.99%呢？靠的是规范管理。他们24小时不间断值班，夜间巡检，每个人都熟悉设备操作与管理，所以能做到1分钟响应，5分钟到达现场解决问题。这包含两个关键要素：完备的管理制度和落实制度的人。
经研究，信息系统安全事件发生原因主要有三方面：一是信息设备使用人员认识不足，统计显示，70%的信息系统安全事件由此造成；二是操作不当，信息使用人员图省事或误操作，未正确使用信息设备导致安全事件；三是不法分子恶意攻击，利用信息系统漏洞攻击，使设备使用人员丧失主导权，造成安全事件。这些人为因素造成的信息系统安全风险，可通过管理降低，但不能消除。这就需要制定相应管理制度。学校机房都有管理制度，有的贴墙上，有的设为同学电脑桌面，同学们有没有仔细研读呢？下面我们探讨一下机房管理制度，这些规章制度对哪些人群提出管理要求，又有什么作用？请同学们互相讨论。
这些规章制度是用来规范教职员工、学生的操作和使用行为，能有效降低系统安全风险。下面请同学们探讨，学校机房规章制度能降低哪些风险发生的可能性？完成表格4.3.1。
我们一起来完成表格内容：不能随意使用U盘及移动硬盘，否则会增加病毒传播风险；机房不能带入水及饮料，若带入放在电脑旁，不小心打翻会增加电路短路风险；不能随意删改计算机系统配置文件，误操作删除会增加计算机系统不能正常运行风险。很多安全事件和安全隐患都因管理不当造成，所以必须理解和重视管理。那怎样建立信息系统安全管理体系呢？有哪些可参照标准？由国际标准组织（简称ISO）与国际电工委员会（简称IEC）制定的信息安全管理标准ISO IEC 27002《信息技术 安全技术 信息安全管理体系实践准则》，是国际公认的最佳实践与评价标准。下面我们通过学习这个标准来探讨机房管理制度。
首先了解信息系统安全管理涉及哪些内容，请同学们上网查资料，记录在表4.3.2中。我们一起来完成：
根据风险评估结果、法律法规要求、组织业务运作自身需要，制定信息安全方针与策略。
建立信息安全组织，明确信息安全的角色与职责。
进行信息资产管理，确定信息资产和信息处置设施相关资产清单，制定信息资产相关管理制度。
保障人力资源安全，包括任用前筛选、任用中管理职责、任用终止或变化职责。
确保信息系统的物理和环境安全，明确保护包括敏感或关键信息和信息处理设施的安全区域，确保只有授权人员可进入；妥善安置及保护设备，减少环境威胁与危害，减少未经授权访问机会。
保障信息系统的通讯和操作安全，明确操作程序和职责，防护恶意软件破坏，做好备份，记录用户活动、意外和信息安全事件日志，保留并定期评审，及时修补技术漏洞，管理和控制网络，保护系统和应用程序信息。
实施访问控制，建立访问控制策略，并根据业务和安全要求评审。
做好信息系统的获取、开发和保持，包括信息系统安全要求、开发和支持过程中的安全测试、数据保护、保持供应关系安全。
制定信息安全事件发生时的管理办法。
进行业务持续性管理，保证不利情况下信息安全和信息安全管理的连续性，如危机或灾难时保障业务系统持续安全运行。
开展符合性检查，依据策略、程序、标准和法律法规，对安全措施实施情况进行检查。比如确保遵守知识产权和使用专有软件产品相关法律法规和合同要求，确保按相关法律法规要求保护个人身份信息隐私。
下面请同学们根据ISO IEC 27000系列标准对物理和环境安全、访问控制、通讯和操作安全内容的描述，对学校机房规章制度进行核查和评价，完成下面表格。我们一起来填写：不能随意使用U盘及移动硬盘，属于访问控制要求；机房不能带入水及饮料，属于保障物理和环境安全；不得随意删改计算机系统配置文件，属于通讯和操作安全。
有了管理制度，还需人来落实，再完备的制度，执行人不按要求实施也是一纸空文。因此，信息系统安全要重视人员管理，高度重视人员安全问题。为降低内部员工人为带来的差错、盗窃、欺诈以及滥用设施风险，加强内部人员管理主要包括以下几方面：对工作申请者实施背景检查；签订雇佣合同和保密协议；加强在职人员安全管理；严格控制人员离职程序，立即撤销离职者访问权限。
信息系统安全与校园安全防护类似，按事前、事中、事后划分，信息系统安全管理分事先防御、实时监测和事后响应三个阶段。下面的管理措施分别属于哪个阶段？请将序号填入表格对应位置并举例。我们一起来完成表格内容。