下列关于系统建设网络安全

① 问几个关于网络安全的问题

41 B错，口令保存时，加有盐值 （salt）43 B错，会造成弱口令 46 A错， ARP表会定时更新
44 、45题 不熟悉，

② 中华人民共和国网络安全法中明确提出了等级保护的相关建设要求包括

2015年6月，第十二届全国人大常委会第十五次会议初次审议了《中华人民共和国网络安全法（草案）》。网络安全法草案于2015年7月6日至2015年8月5日在中国人大网上全文公布，并向社会公开征求意见。2016年11月7日，十二届全国人大常委会第二十四次会议经表决，通过了《中华人民共和国网络安全法》。2017年6月1日起正式施行。其中对网络安全等级保护制度作了明确规定。

第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密等措施；

（五）法律、行政法规规定的其他义务。

条文解读：

一、网络安全等级保护制度

网络安全等级保护制度是我国现行的网络安全领域的一项重要制度。1994年国务院制定的《计算机信息系统安全保护条例》规定:计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法由公安部会同有关部门制定。2007年公安部等部门制定的《信息安全等级保护管理办法》规定,信息系统的安全保护等级根据信息系统在国家安全、经济建设、社会生活中的重要程度,信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定,分为五级,从第一级至第五级的保护要求渐次提高,并规定了每个等级的范围、信息系统运营者的义务及应对措施等。公安部和标准化主管部门制定了相关标准,明确了网络安全等级定级标准、程序以及各个方面的具体要求。网络安全法总结实践经验,对该制度的名称作了调整,改为网络安全等级保护制度,对其主要内容作了规定。国务院有关部门将逐步完善相关配套规定,确保网络安全等级保护制度落到实处。

二、网络安全等级保护制度的主要内容

网络安全等级保护制度的主要内容可以分为技术类安全要求和管理类安全要求两大类。技术类安全要求主要从物理安全、网络安全、主机安全、应用安全和数据安全几层面提出,通过在信息系统中部署软硬件并正确配置其安全功能来实现;管理类安全要求主要从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理几个方面提出,通过控制各种角色的活动,从政策、制度、规范、流程以及记录等方面作出规定来实现。本条根据网络安全等级保护制度,对网络运营者的安全保护义务作了基本规定,主要包括以下几个方面:

1.制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全保护责任。内部安全管理制度是网络运营者制定的有关网络安全管理组织架构、人员配备、行为规范、管理责任的规则；操作规程是网络运营者制定的有关人员在操作设备或办理业务时应当遵守的程序或者步骤。网络运营者应当依照法律、行政法规及网络安全等级保护制度的规定,制定内部安全管理制度和操作规程,细化并落实安全管理义务,根据不同保护等级设置安全管理机构、安全管理人员、安全主管、安全管理负责人等,并明确相关机构和人员的职责。安全管理制度和操作规程规定的每一项具体制度、每一个操作步骤都应当有具体的责任人,哪个环节出了责任事故都要有相应的人员负责。

2.采取防范危害网络安全行为的技术措施。网络运营者应当依照法律、行政法规及网络安全等级保护制度的规定,切实采取技术防范措施,从技术上防范计算病和网络攻击、网络侵入等网络安全风险。例如,安装防病毒软件,防范计算机病毒;安装网络身份认证系统、网络入侵检测系统、网络风险审计系统等,防范网络攻击、侵入；安装自动报警系统,当检测到安全风险时自动报警等。

3.配备相应的硬件和软件监测、记录网络运行状态、网络安全事件,按照规定留存相关网络日志。网络日志是对网络信息系统的用户访问、运行状态、系统维护等情况的记录,对于追溯非法操作、未经授权的访问,并维护网络安全以及调查网络违法犯罪活动具有重要作用。我国相关行政法规和标准对网络日志的留存及其期限作了规定，一些国家的法律也对留存网络日志作了规定。网络安全法根据维护网络安全的需要,借鉴有关国家的做法,对网络日志留存及留存的期限作了规定。同时,考虑到网络日志的种类较多,哪些需要按照本条规定留存不少于六个月,需要根据维护网络安全的实际来确定,因此,本条规定,网络运营者应当按照规定留存相关的网络日志不少于六个月。

4.采取数据分类、重要数据备份和加密等措施。数据分类就是按照某种标准,例如重要程度,对数据进行区分、归类。数据备份就是为防止系统故障或者其他安全事件导致数据丢失,而将数据从应用主机的硬盘或阵列复制、存储到其他存储介质。数据加密就是通过加密算法和密钥将明文数据转变为密文数据,从而实现数据的保密性。网络运营者应当依照本法和有关法律、行政法规以及网络安全等级保护制度的规定，采取数据分类、重要数据备份和加密措施，保护网络数据安全。

5.网络运营者的其他义务。除了本法规定的义务外，网络运营者还应当履行其他有关法律、行政法规规定的网络安全保护义务。

③ 计算机网络安全与防护技术相关知识

1、涉密网络保密建设和管理应遵循哪些基本原则u2/:b
根据国家有关规定，政务内网是涉密网络，是专门处理国家秘密和内部办公信息的网络。党和国家对涉密网络的保密建设和管理非常重视，制定了一系列方针政策、法律法规和标准规范。根据这些规定，涉密网络保密建设和管理应当遵循以下基本原则：$
（1）适度安全的原则。所谓“适度安全”是指与由于信息泄露、滥用、非法访问或非法修改而造成的危险和损害相适应的安全。没有绝对安全的信息系统（网络），任何安全措施都是有限度的。关键在于“实事求是”、“因地制宜”地去确定安全措施的“度”，即根据信息系统因缺乏安全性造成损害后果的严重程度来决定采取什么样的安全措施。国家保密技术规定对绝密级信息系统的机密、秘密级信息系统应当采取的安全措施分别提出了具体要求。6x)#gt
（2）按最高密级防护的原则。涉密信息系统处理多种密级的信息时，应当按照最高密级采取防护措施。kHo
（3）最小化授权的原则。一是涉密信息系统的建设规模要最小化，非工作所必需的单位和岗位，不得建设政务内风和设有内网终端；二是涉密信息系统中涉密信息的访问权限要最小化，非工作必需知悉的人员，不得具有关涉密信息的访问权限。jie
（4）同步建设，严格把关的原则。涉密信息系统的建设必须要与安全保密设施的建设同步规划、同步实施、同步发展。要对涉密信息系统建设的全过程（各个环节）进行保密审查、审批、把关。N
要防止并纠正“先建设，后防护，重使用，轻安全”的倾向，建立健全涉密信息系统使用审批制度。不经过保密部门的审批和论证，有关信息系统不得处理国家秘密信息。7qR
（5）注重管理的原则。涉密信息系统的安全保密三分靠技术，七分靠管理。加强管理可以弥补技术上的不足；而放弃管理则再好的技术也不安全。要通过引进和培养计算机技术人员，使其尽快成为既懂“电子”又懂政务（党务）、还懂“保密”的复合型人才，利用行政和技术手段的综合优势，实现对涉密信息在网络环境下的有效监管。同时，实现人员和技术的有机结合——健全制度，并利用技术手段保证制度的落实。|kn
&;温农校友之家 -- 温农人自己的网上家园 g4cB
2、涉密网络保密建设的基本措施有哪些？A
根据国家保密技术规定的要求，涉密信息系统的安全保密建设必须采取以下基本措施：C+8_f^
（1）存放安全。即保证涉密信息系统的机房设备和终端存放在安全可靠的地方，做到防火、防水、防震、防爆炸和防止外来人员进行物理上的盗取和破坏等，还要防止外界电磁场对涉密信息系统各个设备的电磁干扰，保证涉密信息系统的正常运行。TTr.
涉密信息系统的中心机房建设，在条件许可的情况下，应满足国家《电子计算机机房设计规定规范》、《计算站场地技术条件》、《计算站场地安全要求》和要求。处理国家秘密信息的电磁屏蔽室的建设，必须符合国家保密标准BMB3的要求。处理秘密级、机密级信息的系统中心机房，应当彩有效的电子门控系统。处理绝密级信息和重要信息的系统中心机房的门控系统，还应采取IC卡或生理特征进行身份鉴别，并安装电视监视系统，且配备警卫人员进行区域保护。$Zey3
（2）物理隔离。即涉密信息系统（政务内网）要与政务外网和因特网实行物理隔离。这是涉密信息系统免遭来自因特网上的黑客攻击和病毒侵扰的最有效措施。实现物理隔离，必须做到以下几点：rr=
一是一个单位的政务内网和政务外网的机房要分别建设，相互物理隔离。隔离距离要符合国家保密标准BMB5的相关规定。>Gm
二是政务内网的布线要采用光缆或屏蔽电缆；如政务内、外网同时建设，可实行双布线，政务外网的布线可以使用普通电缆或双绞线；对已建网络要改造成政务内、外网两个网络、单布线不可改变时，可以采用安装安全隔离集线器的办法，使客户端微机不能同时与内、外网相通。h
三是客户端的物理隔离可以采取以下方法解决：（A）安装双主板、双硬盘的微机（如浪潮金盾安全电脑）；（B）对原的微机进行物理隔离改造，即增中一块硬盘和一块双硬盘隔离卡（如中孚隔离卡）；（C）对客户端微机只增加一块单礓盘隔离卡等。"7
四是对单位与单位政务内网之间的信息传输，可采用以下方法解决：（A）利用各地政务内网平台提供的宽带保密通道；（B）采用单独交换设备和单独铺设线路，并安装网络加密机；（C）使用面向连接的电路交换方式（如PSTN、ISDN、ADSL等）时，应采用认证和链路加密措施。采用的加密设备必须经国家密码主管部门批准。Qq0
（3）身份鉴别。在用户进入（即使用）涉密信息系统前，系统要对用户的身份进行鉴别，以判断该用户是否为系统的合法用户。其目的是防止非法用户进入。这是系统安全控制的第一道防线。v6
身份鉴别一般采用3种方法：一是设置口令字；二是采用智能卡和口令字相结合的方式；三是用人的生物特征等强认证措施，如指纹、视网膜等。6iFF=]
口令字的设置原理是：在信息系统中存放一张“用户信息表”，它记录所有的可以使用这个系统的用户的有关信息，如用户名和口令字等。用户名是可以公开的，不同用户使用不同的用户名，但口令字是秘密的。当一个用户要使用系统时，必须键入自己的用户名和相应的口令字，系统通过查询用户信息表，验证用户输入的用户名和口令字与用户信息表中的是否一致，如果一致，该用户即是系统的合法用户，可进入系统，否则被挡在系统之外。4Z-xF
根据国家保密规定，处理秘密级信息的系统口令长度不得少于8位，且口令更换周期不得长于30天；处理机密级信息的系统，口令长度不得少于10位，且口令更换周期不得长于7天；处理绝密级信息的系统，应当采用一次性口令。口令有组成应当是大小写英文字母、数字、特殊字符中两者以上的组合，而且口令必须加密存储、加密传输，并且保证口令存放载体的物理安全。$
采用口令字进行身份鉴别，特别是成本低，实现容易，但使用管理很不方便，不宜记忆。YN
采用“智能卡+口令字”的方式进行身份鉴别，其特别是，口令字长度4位即可，便于用户使用，增加了身份鉴别的安全性和可靠性，成本较高，一般涉密信息系统的身份鉴别在多采用这种方式。3
采用人的生理特征进行身份鉴别，其特点是成本高，安全性好。国家保密规定要求，绝密级信息系统的身份鉴别应采用这种强认证方式。B
（4）访问控制。经过身份鉴别进入涉密信息系统的合法用户，需要对其访问系统资源的权限进行限制。访问控制的任务就是根据一定的原则对合法用户的访问权限进行控制，以决定他可以使用哪些系统资源，以什么样的方式使用。例如，在系统中，对于各种密级的文件，哪个用户可以查阅，哪个用户可以修改等。这是系统安全控制的第二道防线，它可以阻合法用户对其权限范围以外的资源的非法访问。设置访问控制应遵循“最小授权原则”，即在应当授权的范围内有权使用资源，非授权范围内无权使用资源。88d
访问控制可以分为自主访问控制、强制访问控制和角色控制等3种访问控制策略。:Rk03*
自主访问控制是指资源的拥有者有权决定系统中哪些用户具有该资源的访问权限，以及具有什么样的访问权限（读、改、删等）。也就是说系统中资源的访问权限，由资源的所有者决定。]^`
强制访问控制是指信息系统根据事先确定的安全策略，对用户的访问权限进行强制性控制。它首先要分别定义用户和信息资源的安全属性；用户的安全属性为“所属部门”和“可查阅等级”。用户“所属部门”是指用户分管或所在的部门。用户“可查阅等级”分为A、B、C三级（可以任意确定），其级别为A>B>C。信息资源的安全属性分为“所属部门”和“查阅等级”。信息“所属部门”是指信息产生的部门。信息“查阅等级”可分为A、B、C三级（同上），其级别为A>B>C。强制访问控制的规则是：仅当用户安全属性中的“可查阅等级”大于等于信息安全属性中的“查阅等级”且用户安全属性中的“所属部门”包含了信息安全属性中的“所属部门”时，用户才能阅读该信息；仅当用户安全属性中的“可查阅等级”小于等于信息安全属性中的“查阅等级”，且用户安全属性中的“所属部门”包含了信息安全属性中的“所属部门”时，用户才能改写该信息。*Dh
角色控制是指信息系统根据实际工作职责设置若干角色，不同用户可以具有相同角色，在系统中享有相同的权力。当工作职责变动时，可按照新的角色进行重新授权。角色控制既可以在自主访问控制中运用，也可以在强制访问控制中运用。PVD
根据国家保密规定，涉密信息系统必须采用强制访问控制策略。处理秘密级、机密级信息的涉密系统，访问应当按照用户类别、信息类别控制，处理绝密级信息的涉密系统，访问控制到单个用户、单个文件。x
（5）数据存储加密。对涉密信息系统中存放的文件和数据进行加密，使这成为密文，用在用户对其进行访问（查询、插入、修改）时，按其需要对数据实时进行加密/解密。这是系统安全控制的第三道防线。在系统的身份鉴别和访问控制这两道防线万一遭到破坏或用户绕过身份鉴别和访问控制，通过其他途径进入系统时，加密可以保护文件或数据的秘密性，并可发现数据的被修改。通俗地讲，系统的身份鉴别与访问控制的作用是“进不来”和“拿不走”，加密的作用是，即使拿走了也“看不懂”。~GOC;
采用什么样的密码体制对数据进行加密，是密码控制中的一个很关键的问题，要保证密码算法既有很强的密码强度，又对系统的运行效率不致于有太大影响。现代密码体制是将密码算法公开，而仅保持密钥的秘密性，即一切秘密寓于密钥之中。因此，必须对密钥的生成、传递、更换和保存采取严格的保护措施。bpr!
根据国家保密规定，绝密级信息系统中的数据存储应当采取加密措施。使用的加密算法应当经过国家密码主管部门的批准。";)l
（6）安全审计。审计是模拟社会检察机构在信息系统中用来监视、记录和控制用户活动的一种机制，它使影响系统安全的访问和访问企图留下线索，以便事后分析追查。主要的安全审计手段包括：设置审计开关、事件过滤、查询审计日志和违远见事件报警等。T2hiV/
审计系统应当有详细的日志，记录每个用户的每次活动（访问时间、地址、数据、程序、设备等）以及系统出错和配置修改等信息。应保证审计日志的保密性和完整性。)Z6r
按照国家保密规定，机密级以下的涉密信息系统应采用分布式审计系统，审计信息存放在各服务器和安全保密设备上，用于系统审计员审查，审查记录不得修改、删除，审查周期不得长于30天。绝密级信息系统应当采用集中式审计系统，能够对各级服务器和安全保密设备中的审计信息收集、整理、分析汇编成审计报表，并能检测、记录侵犯系统的事件和各种违规事件，及时自动告警，系统审计员定期审查日志的不得长于7天。</<f'g
（7）防电磁泄漏。涉密信息系统中涉密设备的安装使用，应满足国家保密标准BMB2的要求。对不符合BMB2要求的，必须采取电磁泄漏的防护措施。电磁泄漏的防护技术共有3种：电磁屏蔽室、低泄射设备和电磁干扰器。`x
根据国家有关规定，对处理绝密级信息的系统机房应当建设电磁屏蔽室，处理绝密级信息的计算机要安装电磁屏蔽台，且电磁屏蔽室和电磁屏蔽台都要符合国家保密标准BMB3的要求。否则处理绝密级信息的计算机必须是符合国家公安和保密标准GGBB1的低泄射设备。P
处理秘密级、机密级信息的设备应当采取安装电磁干扰器或采用低泄射设备等防电磁泄漏措施。所使用的干扰器应满足国家保密标准BMB4的要求，即处理机密级以下（含机密级）信息的设备应当采用一级电磁干扰器；二级电磁干扰器用于保护处理内部敏感信息的设备和最小警戒距离大于等于100米处理秘密级信息的设备。#fp92'
&;温农校友之家 -- 温农人自己的网上家园 x
4、涉密网络保密管理应采取哪些基本措施？q-|Z)7
根据国家有关规定，涉密网络的保密管理应当采取以下基本措施：<
（1）明确安全保密责任，落实网络安全保密管理机构。JNe{p
要确定分管领导。该领导应当了解系统中的涉密信息及处理性质，了解保护系统所需要的管理、人事、运行和技术等方面的措施。U`j
成立网络安全保密管理机构。该机构应当由分管领导亲自负责，成员包括保密员、系统管理员、系统安全员、系统审计员和操作员代表以及保安员等。其具体职责是，制定网络安全保密策略，包括技术策略和管理策略；制定、审查、确定保密措施；组织实施安全保密措施并协调、监督、检查安全保密措施执行情况；组织开展网络信息安全保密的咨询、宣传和培训等。rY
机构领导的主要任务是：对系统修改的授权；对特权和口令的授权；冥违章报告、审计记录、报警记录；制定并组织实施安全人员培训计划，以及遇到重大问题时及时报告单位主要领导和上级等。p
保密员的主要职责是，建立健全信息保密管理制度，监督、检查网络保密管理及技术措施的落实情况，确定系统用户和信息的安全属性等。ovz]j}
系统管理员的主要职责是：负责系统及设备的安装和维护，分配和管理用户口令，落实防病毒措施，保证系统的正常运行。x
系统安全员的主要职责是，设置用户和信息的安全属性，格式化新介质，应急条件下的安全恢复，启动与停止系统等。0<!
系统审计员的主要职责是，监督系统的运行情况，定期查看审计记录，对系统资源的各种非法访问事件进行分析、处理，必要时及时上报主管领导。OkP6u]
保安员的主要职责是，负责非技术性的、常规的安全工作，如场地警卫、验证出入手续，落实规章制度等。"/4;uE
（2）制定系统安全计划。Z_f;Wi
主要包括：lc:dF
一是制定系统规章。涉密信息系统安全保密制度有：系统和设备使用的安全保密规定，涉密介质的使用管理规定，物理安全管理制度，身份鉴别管理制度，访问控制规则设置的规定，密钥与密码设备管理制度以及系统管理员、系统安全员、系统审计员、保密员和保安员的工作职责等。=aRY
二是制定培训计划。对新上岗人员进行培训，培训的内容应当包括：职业道德、系统各个岗位的新技术、操作规程和使用信息系统应当掌握的安全保密管理制度。对己在岗人员也要进行定期培训，以不断提高所有工作人员的工作能力和水平。I+%
三是加强人员管理。主要有3个方面：（A）人员审查，确保涉密信息系统每个用户的安全可靠。审查内容包括个人经历、社会关系、政治思想状况、人品和职业道德等。（B）确定岗位和职责范围。使每一位用户按照自己的岗位和职权使用信息系统。（C）考核评价。对系统用户的政治思想、业务水平、工作表现等要定期进行全面考核，并作出评价。对不适于接触涉密信息系统的人员要及时调离。对提升、调动、离岗和退休人员，要收回所有证件、钥匙、智能卡，检查是否把全部手册、文件或程序清单交回。有关人员离岗后，应更换口令和智能卡。7Pd
四是成立事故处理小组。制定应急计划和处理预案，帮助用户解决安全事故，向用户定期通报有关信息系统薄弱环东和外来威胁的情况，定期检测应急能力。gv9_TR
（3）制定评审安全措施。涉密信息系统建成后，要由涉密计算机网络测评中心对其进行安全保密性能的测评。由于信息系统的安全性将随着时间的推移而发生变化，因此在对该信息系统进行重大修改时，要重新进行测评；即使没有重大修改，至少每三年也要测评一次。&J2
（4）信息系统的授权使用。涉密信息系统的安全关系国家的安全和利益，因此，该系统必须经保密部门审批合格并书面授权，方能投入运行；如该系统做重大修改，须经保密部门重新审批、授权；至少每三年，涉密信息系统的使用要重新授权。UF@*

④ 网络安全知识有哪些

1. 物理安全

   网络的物理安全是整个网络系统安全的前提。在校园网工程建设中，由于网络系统属于弱电工程，耐压值很低。因此，在网络工程的设计和施工中，必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害；考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；考虑布线系统和绝缘线、裸体线以及接地与焊接的安全；必须建设防雷系统，防雷系统不仅考虑建筑物防雷，还必须考虑计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有，地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获；高可用性的硬件；双机多冗余的设计；机房环境及报警系统、安全意识等，因此要注意这些安全隐患，同时还要尽量避免网络的物理安全风险。

2. 网络结构

   网络拓扑结构设计也直接影响到网络系统的安全性。假如在外部和内部网络进行通信时，内部网络的机器安全就会受到威胁，同时也影响在同一网络上的许多其他系统。透过网络传播，还会影响到连上Internet/Intranet的其他的网络；影响所及，还可能涉及法律、金融等安全敏感领域。因此，我们在设计时有必要将公开服务器（WEB、DNS、EMAIL等）和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。

3. 系统的安全

   所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。恐怕没有绝对安全的操作系统可以选择，无论是Microsoft 的Windows NT或者其它任何商用UNIX操作系统，其开发厂商必然有其Back-Door。因此，我们可以得出如下结论：没有完全安全的操作系统。不同的用户应从不同的方面对其网络作详尽的分析，选择安全性尽可能高的操作系统。因此不但要选用尽可能可靠的操作系统和硬件平台，并对操作系统进行安全配置。而且，必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。

4. 应用系统

   应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。

5. ——应用系统的安全是动态的、不断变化的。

   应用的安全涉及方面很多，以Internet上应用最为广泛的E-mail系统来说，其解决方案有sendmail、Netscape Messaging Server、SoftwareCom Post.Office、Lotus Notes、Exchange Server、SUN CIMS等不下二十多种。其安全手段涉及LDAP、DES、RSA等各种方式。应用系统是不断发展且应用类型是不断增加的。在应用系统的安全性上，主要考虑尽可能建立安全的系统平台，而且通过专业的安全工具不断发现漏洞，修补漏洞，提高系统的安全性。

6. 应用的安全性涉及到信息、数据的安全性。

   信息的安全性涉及到机密信息泄露、未经授权的访问、 破坏信息完整性、假冒、破坏系统的可用性等。在某些网络系统中，涉及到很多机密信息，如果一些重要信息遭到窃取或破坏，它的经济、社会影响和政治影响将是很严重的。因此，对用户使用计算机必须进行身份认证，对于重要信息的通讯必须授权，传输必须加密。采用多层次的访问控制与权限控制手段，实现对数据的安全保护；采用加密技术，保证网上传输的信息（包括管理员口令与帐户、上传信息等）的机密性与完整性。

7. 管理风险

   管理是网络中安全最最重要的部分。责权不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。

8. 建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。一旦上述的安全隐患成为事实，所造成的对整个网络的损失都是难以估计的

⑤ 网络安全等级保护制度

关于网络安全等级的保护制度是：规范计算机系统安全建设和使用的标准以及管理办法。安全工作的整个流程分为五个环节，包括定级、备案、建设整改、等级测评、监督检查，网络安全等级保护制度是国家网络安全的基本制度、基本国策网络安全等级保护是党中央、国务院决定在网络安全领域实施的基本国策。
法律依据
《中华人民共和国网络安全法》 第二十一条
国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密等措施；

（五）法律、行政法规规定的其他义务。

⑥ 规定网络安全等级保护指导思想原则和要求