《信息安全概论》教学大纲
一、课程基本信息
1.课程名称：信息安全概论（Introduction to Information Security）
2.课程管理：信息科学学院
3.教学对象：计算机科学与技术专业
4.教学时数：总时数36学时，其中理论教学36学时，实验实训0学时。
5.课程学分：2
6.课程性质：专业必修
7.课程衔接：
（1）先修课程一：计算机网络技术
重要知识点：计算机组成原理，TCP/IP协议，路由和交换设备,网络编程技术，计算机网络操作系统
（2）先修课程二：软件工程
重要知识点：网络编程，面向对象程序设计与开发，数据库技术（3）后续课程：
1）网络安全技术
涉及本课程的知识点：信息安全技术理论，信息系统安全设计原理。
二、课程简介
《信息安全概论》课程是学生在学习网络安全技术课程的前置课程，本课程着力使学生理解信息完全保障方法和技术之间的相互关系,进而使学生掌握信息安全策略的制定与实现手段的关系,为学生后续学习信息防御系统的工程和风险管理决策提供了理论基础。
信息安全是一个快速发展的领域，政府和企业对专业人员的需求量巨大。信息安全也是一个在过去十年中从基于理论的学科转变为基于经验的学科的领域。针对信息安全领域的快速发展，本课程采用的案例教学的方法并启发诱导学生将理论与实践相结合，从身边学起，由浅入深，融会贯通。
有鉴于此，本课程将围绕以下三方面内容开展教学：
1)讲解信息安全领域的方法和技术原理。
2)讲解信息安全策略的制定依据和技术实现手段，防御的逻辑、层级、费效比。
3)讲解新兴信息安全实践标准、技术和案例。
三、教学内容及要求
第一讲：课程导论
（一）教学目标
通过介绍课程内容、课程地位和作用、课程教学体系，使学生掌握课程内容，了解数字信息安全领域涉及的诸多知识要点，以及学习信息安全理论与技术的方法等。
（二）教学内容及要求
第一节课程的基本信息和简介
要点：课程的简介，课程的地位，信息安全的概念，技术发展的特点；
第二节课程的教学体系
要点：课程的学习内容和教学安排。
（三）教学重点与难点
本节重点：信息安全的宏观概念和微观概念，广义安全与狭义安全的关联与区别。
本节难点：广义安全与狭义安全的联系与区别，抽象与具象的关系。
（四）教学方法与手段
课堂讲授。
（五）教学时数 2 学时。
第二讲：信息安全需求调研
（一）教学目标
通过本节课的学习，力求使学生理解：
1）信息安全保障到底是技术问题还是管理问题；
2）组织可能面临的信息安全威胁；
3）信息安全需求调研的目的和方法。
（二）教学内容
本节课，教师带领学生研究信息安全分析设计过程背后的业务驱动因素。通过检查某个特定组织和技术安全需求，提出了一个原则概念是信息安全主要是管理问题还是技术问题？换个问题是：信息安全领域的最佳实践是不是及仅在考虑业务需求后应用安全技术就可以了呢？
本节课还将研究一个组织可能面临的各种网络安全威胁，并介绍该组织在开始安全规划过程时可以使用的威胁排序方法（以便为其分配相对优先级）。本节课还研究这些安全威胁可能导致的攻击类型，以及这些攻击是如何影响组织的信息系统。
本节课将讨论信息安全的关键原则，如：机密性，完整性，可用性，认证和识别，授权，问责制和隐私，并在讨论的基础上总结出信息安全保障的概念和原则，进行安全需求调研的目的和方法。
教学要求：通过这一讲的教学，要求学生掌握
1）信息安全保障工作中的“人防”和“技防”的关系；
2）组织可能面临的信息安全威胁有哪些；
3）信息安全需求调研的目的和方法是如何制定的。
（三）教学重点与难点
本节重点：信息安全的定义，攻击类型和风险。
本节难点：广义与侠义信息安全的关系。
（四）教学方法与手段
演示、课堂讲授、提问研讨、课堂练习、作业点评。
（五）教学时数2学时
第三讲：信息安全领域的法律和道德问题
（一）教学目标
本节课通过向学生讲解信息安全领域的基本法律知识和道德问题，帮助学生获得甄别互联网违法和不道德内容和行为的能力，在设计和管理信息系统时，法律和道德问题同样是重要的考量内容之一，学生应当掌握合理的尺度并具有向权威专业机构获得建议和援助的渠道和能力。
（二）教学内容
法律和道德问题是信息安全领域的敏感和重要的问题，学生应当掌握相关的法律底线和道德标准，这是设计信息安全方案、管理信息系统和采用信息安全技术手段的基本考量点。
这一堂课将着重探讨信息安全领域的几个关键法律，并详细介绍了实施者的计算机伦理安全和道德操守。同时，也需要向学生讲解当今互联网常见的一些法律和道德问题以及促进道德和法律责任的专业权威组织。
教学要求：通过这一堂课的教学，要求学生
1.掌握信息安全相关法律知识和道德层面的焦点；
2.设计和管理信息系统时的法律和道德考量；
3.互联网立法和执法机构以及获得专业建议的渠道。
（三）教学重点与难点
本节重点：信息安全法律和道德问题。
本节难点：区分法律和道德的界限。
（四）教学方法与手段
课堂讲授、案例教学、提问研讨、课堂练习、作业点评。
（五）教学时数2学时
第四讲：信息安全风险防控
（一）教学目标
本节课通过讲解信息安全风险防控方案的制定过程，使学生掌握信息安全风险防控方案的制定步骤，及其包含的策略、方法和技术手段等内容。此外，学生还将掌握信息安全风险分析和趋势研判的方法。
（二）教学内容
调研某一信息化组织的当前状态及其与信息安全的关系是设计信息安全解决方案的前期准备工作。本节课将讲解通过描述进行基础信息安全评估进而确定安全威胁和信息化资产保全的方案，并讲解确定信息安全保障优先级的程序，以及采用哪些控制措施以保护这些信息化资产免受威胁的程序。本节课还将介绍各种类型的风险控制机制并确定执行步骤，以及风险管理在操作层面可被定义为识别，评估和降低风险至可接受水平的三个过程，并采取有效的控制措施以维持该风险水平。本节课最后将讨论风险分析和各种可行性分析的方法。
教学要求：通过这一节的教学，要求学生：
1.掌握信息安全风险防控方案的内容和制定步骤；
2.熟知执行风险防控方案的过程；
3.理解信息安全风险的分析方法；
4.了解信息化资产的定义和范畴，信息安全风险防控的保护对象。
（三）教学重点与难点
本节重点：风险防控方案的内容和制定步骤，执行方案的过程。
本节难点：风险防控的意义和保护策略。
（四）教学方法与手段
课堂讲授、案例教学、演示视频、提问研讨、课堂练习、作业点评。
（五）教学时数2学时
第五讲：信息安全规划
（一）教学目标
本节课力图使学生掌握通用信息安全模型和框架，不同安全策略级别的内容和范围。此外，本节课学生将被引导深入探讨支持业务可持续发展、灾难恢复和事件响应的方案规划过程步骤和打造全方位立体信息安全体系的方法。
（二）教学内容
本节课将向学生讲解通用安全模型和框架，他们均来自于审查了最佳业务实践和长期的检验，并向学生介绍安全策略的发展。本节课将向学生详细介绍每个安全策略级别的主要组件、范围和目标受众策略。本节课还将介绍军事和私人私密数据分类方案，以及安全教育培训和意识普及的实施策略。本节课探讨了支持业务可持续发展、灾难恢复和事件响应的方案规划过程步骤，以及如何借助外部力量打造牢固的信息安全体系。
教学要求：通过本节课的教学，要求学生：
1.掌握几种通用信息安全模型和框架；
2.了解信息安全模型和框架的由来和发展趋势；
3.掌握制作信息安全策略附属的培训和意识普及方案的方法；
4.理解全方位立体安全体系的概念和构建方法。
（三）教学重点与难点
本节重点：通用信息安全模型和框架，打造立体安全体系的方法。
本节难点：信息安全模型和框架的差异化应用，构建立体安全体系的考量要点。（四）教学方法与手段
课堂讲授、案例视频、提问研讨、课堂练习、作业点评。
（五）教学时数2学时
第六讲：网络安全技术：防火墙和VPN
（一）教学目标
本节课介绍了网络安全技术中两种最基本的技术应用：防火墙和VPN，通过对这两种最基本技术的学习，学生要学会基本的技术原理和应用场景，理解防火墙的策略制定的原理，学会架通VPN网络的方法，理解动态安全的概念和巡查工作的内容。
（二）教学内容
本节课将向学生介绍网络隔离技术的配置和使用，隔离那些来自不安全的信息系统的流量。本节探讨了各种网络隔离技术的定义，如：防火墙技术和防火墙所依赖的体系架构的分类，以及部署案例。此外，本节课还将讨论相关的防火墙策略和规则，以及正确配置和使用防火墙的方法。最后，本节课将讲解VPN技术以及该技术的特点、各种VPN的应用案例。
教学要求：通过这一节的教学，要求学生
1.掌握防火墙工作的原理和制定防火墙策略的方法；
2.掌握VPN网络的工作原理和隧道安全机制；
3.理解动态安全概念和风险隐患排查方法。
（三）教学重点与难点
本节重点：网络防火墙和VPN的工作原理及应用案例。
本节难点：防火墙策略制定和隐患排查方法。
（四）教学方法与手段
课堂讲授、课堂讨论、案例探讨、课堂练习、作业点评。
（五）教学时数2学时
第七讲：网络安全技术：入侵检测和防御、访问控制
（一）教学目标
本节课通过讲解入侵检测和防御以及网络访问控制技术，力图使学生掌握这些关键技术的原理和部署实施条件，学生将了解到信息安全系统评估的一系列工具以及使用方法。学生将掌握网络身份验证和访问控制技术的机理和应用条件，了解不同技术之间的特点、差异和应用场景。
（二）教学内容
本节课将讲解入侵检测的概念和原理，以及预防、检测、响应和从入侵中恢复所需的一系列技术。介绍入侵检测和预防系统（IDPS）- 主机IDPS、网络IDPS和应用IDPS以及它们各自的配置和用途。作为入侵检测和防御技术的内容之一 - “密封罐”区域的设立是为了吸引攻击者进入诱饵系统或简单地识别攻击者进入这些诱饵区域，“密封罐”区域包括：蜂蜜网和填充细胞系统。本节还将介绍追溯系统，该系统旨在追踪攻击者的真实情况,诱骗诱饵系统的攻击者的地址。此外，本节将讲解安全专业人员用于检查信息系统当前安全状态的一些重要工具，并识别任何系统中可能存在的潜在漏洞或弱点，评估整体安全态势。最后，本节将讲解网络访问控制设备以及生物识别领域的新技术,这些技术都是网络身份识别的重要技术。
教学要求：通过这一节的教学，要求学生：
1.理解入侵检测（IDS）和入侵防御（IPS）的工作原理和区别；
2.了解“密封罐”区域设置的原因和工作机理；
3.了解溯源系统的工作原理；
4.掌握常见的网络访问控制技术和身份识别技术。
（三）教学重点与难点
本节重点：入侵检测和防御技术，互联网溯源技术，访问控制和身份识别技术。
本节难点：入侵检测和防御技术，溯源技术，访问控制和身份识别技术。
（四）教学方法与手段
课堂讲授、教学视频、提问研讨、课堂练习、作业点评。
（五）教学时数2学时
第八讲：密码学
（一）教学目标
本节通过介绍现代密码学、通信安全加密协议、针对密码的攻击和防御方法等一系列知识，力图使学生掌握密码学的发展历史和关键的数学技术，使学生熟知常用的几种安全加密协议的技术特点和原理，帮助学生掌握常见的针对密码系统的攻击手段和防御措施。
（二）教学内容
本节课将介绍现代密码学的基础，以及这些密码系统的体系结构和部署条件。本节课还将介绍现代密码学的发展历史，并讲解起关键作用的各种密码系统。此外，本节课将讲解构成密码系统的关键数学技术，如：散列函数、矩阵、数组等，通过对比传统的对称加密系统与更现代的非对称加密系统,探讨安全性与性价比的问题，介绍非对称系统作为公钥加密系统基础的作用。本节课还将介绍安全通信中使用的基于加密的协议，如：SHTTP，SMIME，SET，SSH等。最后，本节课讲解隐写术及其作为隐藏信息的有效手段，介绍专门针对密码系统的信息安全攻击手段和防御措施。
教学要求：通过这一节的教学，要求学生：
1.掌握现代密码学的原理和数学基础；
2.了解常见的通信安全加密协议；
3.对比对称加密和非对称加密的差异；
4.了解针对密码系统的常见攻击手段和防御办法。
（三）教学重点与难点
本节重点：密码学的数学原理，非对称加密技术的原理，密码攻击和防御
本节难点：密码学数学原理，密码攻击和防御
（四）教学方法与手段
课堂讲授、视频演示、提问研讨、课堂练习。
（五）教学时数2学时
第九讲：物理安全
（一）教学目标
本节课通过介绍考虑物理安全的诸多要素，力图训练学生具备物理安全的全局观和细节洞察能力，训练学生具有统筹设计和部署物理安全的思路和能力。
（二）教学内容
物理安全是信息安全的最基础要件和最重要部分，物理安全包括：物理设施的管理，物理访问控制、监管环境控制。设计物理安全的过程是一个全面和周密细致的过程，包括特殊情况和偶发情况在内的诸多音素均需考虑在内，本节课将以保障一个安全数据中心的物理安全为例，深入讲解设计一个信息系统的物理防护时需要考虑的物理安全威胁和因应措施。
（三）教学重点与难点
本节重点：构建综合的物理安全防护，设计高性价比的物理安全方案。
本节难点：物理安全方案的有效性和合理性。
（四）教学方法与手段
课堂讲授、教学视频、课堂讨论、案例学习。
（五）教学时数 2学时
第十讲：实施信息安全
（一）教学目标
本节介绍了实施安全中的诸多细节问题，力图使学生掌握实施安全的规划工作的内容，引入外包力量参与项目实施时的安全考虑，学生还将掌握变更管理在实施安全中的解决方法。
（二）教学内容
本节课将重点讲解信息安全实施的关键领域包括实施信息安全的靶心模型，以及信息安全计划的各个组成部分的外包工作的额度。此外，本节课还将介绍实施信息安全中的变更管理，计划改进以及业务连续性的额外规划工作。
教学要求：通过这一节的教学，要求学生：
1.理解实施安全的工作内容；
2.掌握变更管理和计划改进工作与实施安全的关系；
（三）教学重点与难点
本节重点：实施安全的工作内容，实施安全与业务可持续性的关系。
本节难点：实施安全与业务可持续性的关系。
（四）教学方法与手段
案例教学、课堂讲授、教学视频、提问研讨、课堂练习。
（五）教学时数 2学时
第十一讲：人员安全
（一）教学目标
本节课通过讲解人员和信息系统安全的关系和影响，力图使学生了解人员对信息系统安全的重要性，安全策略中不同角色的人员是如何被定义的，以及如何分配相应的权限。
（二）教学内容
本节课将介绍信息安全系统的人员因素：安全人员和人员安全。合理安排审查人员的问题，岗位特点和人员配置的关系，人员安排的策略和做法的实施方案。本节课还将讲解人员因素对信息安全策略的影响，固定员工、非固定员工和外部业务合作伙伴对信息系统安全性的影响。
教学要求：通过这一节的教学，要求学生
1.了解人员因素对信息系统安全的影响；
2.了解信息系统安全中人员角色的定义和赋予相应的权限。
（三）教学重点与难点
本节重点：定义人员角色并赋权，安全人员与人员安全的关系。
本节难点：人员因素对信息系统安全的影响。
（四）教学方法与手段
课堂讲授、视频演示、案例教学、提问研讨、课堂练习。
（五）教学时数 2学时
第十二讲:信息系统安全运维
（一）教学目标
本节课讲解了信息系统安全运维工作的内容，力图使学生理解该项工作所包含的诸多内容，如：风险管理、渗透测试、漏洞分析和数字取证技术等。
（二）教学内容
本节课将介绍维护信息系统安全所须执行的持续性计划和评估审核工作，包括：风险分析、风险评估和衡量要素，涵盖了互联网渗透测试到无线网络风险评估内容，探讨了加固信息安全系统所需的各种漏洞分析技术和数字取证技术。
教学要求：通过这一节的教学，要求学生
1.理解信息系统安全运维工作的内容与实施过程；
2.了解风险管理、渗透测试、漏洞分析、数字取证和加固方案制定方法。
（三）教学重点与难点
本节重点：理解信息系统安全运维工作的内容与实施过程；信息系统安全加固方法。
本节难点：信息系统安全加固方法。
（四）教学方法与手段
课堂讲授、视频演示、案例教学、提问研讨、课堂练习。
（五）教学时数 2学时
第十三讲：方案设计 - 信息系统安全需求调研分析（一）教学目标
学生小组通过已经掌握的方法，完成目标系统的需求调研分析。
（二）教学内容
1. 介绍目标系统情况；
2. 讲解需求调研步骤；
3. 小组讨论；
4. 完成调研报告。
教学要求：通过这一节的教学，要求学生具备完成安全需求调研分析的工作。
（三）教学重点与难点
本节重点：理解目标系统的安全需求。
本节难点：综合分析和表达能力。
（四）教学方法与手段
课堂讲授、小组讨论、团队作业。
（五）教学时数 2学时
第十四讲：案例研究 - 制定风险防控方案（一）教学目标
学生小组通过已经掌握的方法，完成目标系统的风险防控方案的制定。
（二）教学内容
1. 介绍目标系统情况；
2. 讲解制定方案的步骤；
3. 小组讨论；
4. 完成方案。
教学要求：通过这一节的教学，要求学生具备制定风险防控方案的能力。
（三）教学重点与难点
本节重点：理解目标系统的风险和隐患。
本节难点：全面分析，周密细致，洞察力和表达能力。
（四）教学方法与手段
课堂讲授、小组讨论、团队作业。
（五）教学时数 2学时
第十五讲：方案设计 - 制定安全规划方案（一）教学目标
学生小组通过已经掌握的方法，完成对目标系统的安全规划方案的制定。
（二）教学内容
1. 介绍目标系统情况；
2. 讲解制定方案的步骤；
3. 小组讨论；
4. 完成方案。
教学要求：通过这一节的教学，要求学生具备制定安全规划方案的能力。
（三）教学重点与难点
本节重点：理解信息安全规划的诸要素和目标信息系统的特点。
本节难点：综合分析，条理清晰，层次分明,表达能力。
（四）教学方法与手段
课堂讲授、小组讨论、团队作业。
(五)教学时数 2学时
第十六讲：方案设计 - 制定信息系统安全运维方案（一）教学目标
学生小组通过已经掌握的方法，完成对目标系统的安全运维方案的制定。
（二）教学内容
1. 介绍目标系统情况；
2. 讲解制定方案的步骤；
3. 小组讨论；
4. 完成方案。
教学要求：通过这一节的教学，要求学生具备制定安全运维方案的能力。
（三）教学重点与难点
本节重点：理解信息系统安全运维的诸要素和目标信息系统的特点。
本节难点：综合分析，结合实际，主次分明,表达能力。
（四）教学方法与手段
课堂讲授、小组讨论、团队作业。
(五) 教学时数 2学时
第十七讲：复习
（一）教学目标
复习本课程所讲授各知识要点。
（二）教学内容
1. 知识点串讲；
2. 圈定考试范围和复习提纲；
3. 介绍考试形式和题型。
(三) 教学时数 2学时
第十八讲：期末考查
考查形式：机考笔试
时长：2课时
四、课程时数分配表
五、考核方式
理论课：平时作业20%；考勤20%；期末考查60%。
六、建议教材及教学参考书
1．教材及参考书
1)自编教材
2)《信息安全工程》严承华等（2017）清华大学出版社
3)《网络信息安全工程技术与应用分析》(2016) 潘霄等清华大学出版社
4)Elementary Information Security 3rd edition by Richard E. Smith (2019)
5)Breaking IN: A Practical Guide to Starting a Career in Information Secur ity by Ayman Elsawah
(2019)
6)Introduction To Information Security: A Security for Information by Amit Kumar Giri (2019)