安全风险标准分两个指标控制分别是啥？
Posted
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了安全风险标准分两个指标控制分别是啥？相关的知识，希望对你有一定的参考价值。
在一个企业中，诱发安全事故的因素很多，“安全风险评估”能为全面有效落实安全管理工作提供基础资料．并评估出不同环境或不同时期的安全危险性的重点，加强安全管理，采取宣传教育、行政、技术及监督等措施和手段，推动各阶层员工做好每项安全工作。使企业每位员工都能真正重视安全工作，让其了解及掌握基本安全知识，这样，绝大多数安全事故均是可以避的。这也是安全风险评估的价值所在。当任何生产经营活动被鉴定为有安全事故危险性时，便应考虑怎样进行评估工作，以简化及减少风险评估的次数来提高效率。安全风险评估主要由以下3个步骤所组成：识别安全事故的危害、评估危害的风险和控制风险的措施及管理。
安全事故
识别危害是安全风险评估的重要部分。若不能完全找出安全事故危害的所在，就没法对每个危害的风险作出评估，并对安全事故危害作出有效的控制。这里简单介绍如何识别安全事故的危害。
(1)危险材料识别---识别哪些东西是容易引发安全事故的材料，如易燃或爆炸性材料等，找出它们的所在位置和数量，处理的方法是否适当。
(2)危险工序识别---找出所有涉及高空或高温作业、使用或产生易燃材料等容易引发安全事故的工序，了解企业是否已经制定有关安全施工程序以控制这些存在安全危险的工序，并评估其成效。 参考技术A 在进行风险评价时，应考虑人、财产和环境等三个方面的可能性和严重程度的影响。可根据指南提供的风险评价准则和风险等级判定准则，其取值标准为常规数值。本厂结合实际制定了相应的标准值，以使风险分析判定更加准确。
1、风险分级
本指南把风险等级分为5级。见下表：

巨大
（很高）
重大
（高）
中度
（中）
轻度
（低）
忽略
（较低）
采用LEC法
E级
D级
C级
B级
A级
采用LS法
1级
2级
3级
4级
5级
危险色度
红色
橙色
黄色
蓝色
蓝色
2、风险等级判定
企业按照上述方法，在组织完成风险评价后，应当将分析内容或数据（取值）分别在《工作危害分析（JHA）评价表》和《安全检查分析（SCL）评价表》相应的栏目中补充描述，分别依据:D=L×E×C或R=L×S公式，完成D值或R值的计算，将计算取值分别填入记录。
再根据计算结果判定风险等级，填入记录“风险等级”栏目。
3、以下情形应直接确定为重大（D级\2级\橙色）风险：
以下情形为重大风险：
违反法律、法规及国家标准中强制性条款的；
发生过死亡、重伤、重大财产损失事故，或三次及以上轻伤、一般财产损失事故，且现在发生事故的条件依然存在的；
涉及危险化学品重大危险源的；
具有中毒、爆炸、火灾等危险的场所，作业人员在10人及以上的；
经风险评价确定为最高级别风险的。
作业条件危险性分析法（LEC）判断准则
表1 事故事件发生的可能性（L）判断准则
分值
事故、事件或偏差发生的可能性
10
完全可以预料。
6
相当可能；或危害的发生不能被发现（没有监测系统）；或在现场没有采取防范、监测、保护、控制措施；或在正常情况下经常发生此类事故、事件或偏差。
3
可能，但不经常；或危害的发生不容易被发现；现场没有检测系统或保护措施（如没有保护装置、没有个人防护用品等），也未作过任何监测；或未严格按操作规程执行；或在现场有控制措施，但未有效执行或控制措施不当；或危害在预期情况下发生。
1
可能性小，完全意外；或危害的发生容易被发现；现场有监测系统或曾经作过监测；或过去曾经发生类似事故、事件或偏差；或在异常情况下发生过类似事故、 参考技术B 根据风险管理理论，风险管理技术分为两类，分别是：
一类是控制型风险管理，一类是财务型风险管理。
风险管理的定义
风险管理当中包括了对风险的量度、评估和应变策略。理想的风险管理，是一连串排好优先次序的过程，使当中的可以引致最大损失及最可能发生的事情优先处理、而相对风险较低的事情则押后处理。
现实情况里，优化的过程往往很难决定，因为风险和发生的可能性通常并不一致，所以要权衡两者的比重，以便作出最合适的决定。
风险管理亦要面对有效资源运用的难题。这牵涉到机会成本(opportunity cost)的因素。把资源用于风险管理，可能使能运用于有回报活动的资源减低；而理想的风险管理，正希望能够花最少的资源去去尽可能化解最大的危机。 参考技术C 安全块钱标准指标控制分别是什么 我觉得应该是自身安全
软考信息安全&多媒体&标准化知识产权复习指南
1、信息安全
根据考试大纲，本章要求考生掌握以下几个方面的知识点。
（1）信息系统安全基础知识
（2）信息系统安全管理
（3）保障完整性与可用性的措施
（4）加密与解密机制基础知识
（5）风险管理（风险分析、风险类型、抗风险措施和内部控制）
（6）计算机安全相关的法律、法规基础知识
从历年的考试情况来看，本章的考点主要集中于加密解密技术、网络安全、计算机病毒等方面。
安全基础技术:
在软件设计师的考试中，经常会考到与安全相关的一些基础概念及技术原理，如：区分对称与非对称算法 ，什么情况下用哪种密钥加密解密 、信息摘要的用途等。下面将详细介绍这些相关技术。
- 对称加密
对称加密是指加密系统的加密密钥和解密密钥 相同，或者虽然不同，但从其中的任意一个可以很容易地推导出另一个。
对称加密算法的优点是：使用简单、加密解密快捷高效 ，其致命弱点是：加密强度不高、密钥分发困难。常见对称密钥加密算法包括：DES、3DES、RC-5、IDEA 。 - 非对称加密
前面提到了对称加密技术中的“对称”意思是加密与解密使用了同样的密钥。顾名思义，非对称加密技术中所使用的加密与解密密钥是不同的。并且不可能从任何一个推导出另一个。它的优点在于可以适应开放性的使用环境，可以实现数字签名与验证 。最常见的非对称密钥技术就是RSA。它的理论基础是数论中大素数分解，但如果使用RSA来加密大量的数据则速度太慢了，因此RSA广泛用于密钥的分发。
在非对称加密体系中，密钥是成对出现的，一对密钥包括一个公钥和一个私钥 。如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。
非对称加密算法的优点在于：解决了对称密钥加密强度不高及密钥分发困难 的问题，其缺点
是：加密速度极慢。所以非对称加密算法通常只对极小的数据量进行加密，如对信息摘要进行加
密，或用于加密对称密钥。常见非对称密钥加密算法：RSA、ECC 。 - Hash函数和信息摘要
Hash函数又称为杂凑函数、散列函数，它提供了这样的一种计算过程：输入一个长度不固定的字符串，返回一串定长的字符串（又称为Hash值），单向Hash函数用于产生信息摘要 。
信息摘要简要地描述了一份较长的信息或文件 ，它可以被看做是一份长文件的“数字指纹” ，信息摘要可以用于创建数字签名 。对于特定的文件而言，信息摘要是唯一的 ，而且不同的文件必将产生不同的信息摘要。常见的信息摘要算法包括MD5 （产生一个128位的输出，输入是以512位的分组进行处理的）和SHA（安全散列算法 ，也是按512位的分组进行处理，产生一个160位的输出）。它们可以用来保护数据的完整性 。 - 数字签名
数字签名是通过一个单向函数对要传送的报文进行处理 ，得到用以认证报文来源并核实报文是否发生变化 的一个字母数字串。它与数据加密技术一起构建起了安全的商业加密体系：传统的数据加密 是保护数据的最基本方法，它只能够防止第三者获得真实的数据 （数据的机密性），而数字签名 则可以解决否认、伪造、篡改和冒充的问题 （数据的完整性和不可抵赖性）。
数字签名可以使用对称加密技术实现，也可以使用非对称加密技术（公钥算法）实现。但如果使用对称加密技术实现，需要第三方认证，比较麻烦。因此现在通常使用的是公钥算法 。
整个数字签名应用过程很简单：
（1）信息发送者使用一单向散列函数对信息生成信息摘要 。
（2）信息发送者使用自己的私钥签名信息摘要 。
（3）信息发送者把信息本身和已签名的信息摘要 一起发送出去。
（4）信息接收者通过使用与信息发送者使用的同一个单向散列函数对接收的信息本身生成新的信息摘要 ，再使用信息发送者的公钥对信息摘要进行验证 ，以确认信息发送者的身份是否被修改过。如果接收者收到的信息是P（用E代表公钥、D代表私钥），那么要保留的证据就应该是：E发送者§，这也就证明了信息的确是“发送者”发出的。 - 数字证书
非对称加密技术的提出，解决了密钥传输的问题，但在实际应用过程中，我们遇到了一个新的问题：密钥只是一串数字或字符，并不能通过密钥得知它的主人是谁 。这样就产生了安全隐患，所以提出了数字证书的概念。
数字证书简单一点理解，就是密钥与身份信息的结合体 。数字证书的格式一般使用X.509国际标准。X.509是广泛使用的证书格式之一，X.509用户公钥证书是由可信赖的证书权威机构（CA——证书授权中心 ）创建的，并且由CA或用户存放在X.500的目录中。任何一个用户只要得到CA中心的公钥 ，就可以得到该CA中心为该用户签署的公钥 。每个用户的证书上都有CA中心用其私钥进行的数字签名 ，所以只需使用CA中心的公钥 便可验证数字证书的真伪。较通行的数字证书格式还有PGP。
网络安全:
网络安全知识是指与网络相关的一些安全性知识 ，包括：网络安全协议、常见的网络攻击、入侵检测技术、防火墙技术、VPN技术、漏洞扫描 等。
- 网络安全协议
互联网自上个世纪提出，至今不过区区几十年，但其发展速度之迅猛，让人始料不及。原本只作为资源共享而提出的互联网络，目前已是各类应用的基础平台。在此环境下，网络安全提到了一个前所未有的高度来看待。在软件设计师考试中，要求考生熟悉常见安全协议的工作层次，以及基本特性，他们的工作层次关系如图8-1所示。
（1）PGP协议
PGP（Pretty Good Privacy）是一个基于RSA公钥加密体系的邮件加密协议。可以用它对邮件保密以防止非授权者阅读 ，它还能对邮件加上数字签名从而使收信人可以确信邮件发送者 。除此之外PGP还可用于文件存储的加密。PGP承认两种不同的证书格式：PGP证书和X.509证书。
（2）SSL协议
SSL工作于传输层以上 （跨越了多个网络层次），用于在Internet上传送机密文件 。SSL协议由SSL记录协议、SSL握手协议和SSL警报协议组成。
SSL握手协议 被用来在客户与服务器真正传输应用层数据之前建立安全机制，当客户与服务器第一次通信时，双方通过握手协议在版本号、密钥交换算法、数据加密算法和Hash算法上达成一致 ，然后互相验证对方身份，最后使用协商好的密钥交换算法 产生一个只有双方知道的秘密信息，客户和服务器各自根据该秘密信息产生数据加密算法和Hash算法参数。
SSL记录协议根据SSL握手协议协商的参数，对应用层送来的数据进行加密、压缩、计算消息鉴别码，然后经网络传输层发送给对方。
SSL警报协议用来在客户和服务器之间传递SSL出错信息。
SSL协议是一个保证计算机通信安全的协议，对通信对话过程进行安全保护，其实现过程主要经过如下几个阶段：
1>接通阶段：客户机通过网络向服务器打招呼，服务器回应；
2>密码交换阶段：客户机与服务器之间交换双方认可的密码，一般选用RSA密码算法，也有的选用Diffie-Hellmanf和Fortezza-KEA密码算法；
3>会谈密码阶段：客户机器与服务器间产生彼此交谈的会谈密码；
4>检验阶段：客户机检验服务器取得的密码；
5>客户认证阶段：服务器验证客户机的可信度；
6>结束阶段：客户机与服务器之间相互交换结束的信息。
发送时信息用对称密钥加密，对称密钥用不对称算法加密，再把两个包绑在一起传送过去。接收的过程与发送正好相反，先打开有对称密钥的加密包，再用对称密钥解密。因此，SSL协议也可用于安全电子邮件。
（3）SET协议
SET（Secure Electronic Transaction，安全电子交易）协议向基于信用卡进行电子化交易的应用提供了实现安全措施的规则 。它是由Visa国际组织和MasterCard组织共同制定的一个能保证通过开放网络（包括Internet）进行安全资金支付的技术标准。SET在保留对客户信用卡认证的前提下，又增加了对商家身份的认证。由于设计较为合理，得到了诸如微软公司、IBM公司、Netscape公司等大公司的支持，已成为实际上的工业技术标准。
（4）IPSec协议
IPSec工作于网络层。它有两种加密方式：第一种，是将原IP数据包进行整体加密 （包括IP包头），然后产生新的IP包进行传送；第二种，是将原IP数据包中的数据取出来 ，加密，然后通过原IP包头信息产生新的IP头。区别在于一个是整体加密，另一个是数据加密。
（5）TLS协议
安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性 。该协议由两层组成： TLS 记录协议（TLS Record）和 TLS 握手协议（TLS Handshake）。较低的层为 TLS 记录协议，位于某个可靠的传输协议（例如 TCP）上面。 TLS 记录协议提供的连接安
全性具有两个基本特性：私有――对称加密用以数据加密（DES 、RC4 等）。对称加密所产生的密钥对每个连接都是唯一的，且此密钥基于另一个协议（如握手协议）协商。记录协议也可以不加密使用。
可靠――信息传输包括使用密钥的 MAC 进行信息完整性检查。安全哈希功能（ SHA、MD5 等）用于 MAC 计算。记录协议在没有 MAC 的情况下也能操作，但一般只能用于这种模式，即有另一个协议正在使用记录协议传输协商安全参数。
-
网络攻击
网络攻击有许多种类型，在此介绍两种常见攻击方式：DDoS攻击与ARP欺骗攻击 。
（1）DDoS攻击
DDoS是英文Distributed Denial of Service的缩写，意思是**“分布式拒绝服务”** 。DDoS攻击通过很多“肉鸡”（被攻击者入侵过或可间接利用的主机）向受害主机发送大量看似合法的网络包 ，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务 ，分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源 。这就好比有1000个人同时给你家里打电话，这时候你的朋友还打得进来吗？因此，拒绝服务攻击又被称之为“洪水式攻击”。拒绝服务攻击不能通过安装防火墙、更新杀毒软件等方式进行防治 。但可通过：限制源IP、关闭不必要的服务、限制同时打开的Syn半连接数目 、缩短Syn半连接的time out 时间等手段缓解。
（2）ARP欺骗攻击
ARP欺骗攻击：修改IP地址和MAC地址的映射关系 ，使发送给正确主机的数据包发送给另外一台由攻击者控制的主机 。ARP欺骗攻击得以实现，是因为ARP协议本身存在漏洞 。ARP协议用于维护计算机中的IP至MAC映射表 ，在局域网中，一台计算机与另一台计算机通信时，需要借助这个映射表，将目标IP转化为目标MAC 。而ARP欺骗攻击就是通过向局域网中各台主机发送伪造的网关报文，将网关IP与黑客主机的MAC对应起来 ，这样，局域网中主机要与网关通信时，实际数据包被发送至黑客主机 ，从而达到攻击的目的。 -
入侵检测
入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象 的技术，是一种用于检测计算机网络中违反安全策略行为 的技术。违反安全策略的行为有：入侵—非法用户 的违规行为；滥用—用户 的违规行为。入侵检测系统所采用的技术可分为特征检测与异常检测两种。
（1）特征检测。特征检测也称为误用检测，假设入侵者活动可以用一种模式来表示 ，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。
（2）异常检测。假设是入侵者活动异常于正常主体的活动 。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时 ，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。 -
防火墙
防火墙是网络安全的第一道门户，可以实现内部网（信任网络）和外部不可信任网络之间 ，或者是内部网不同网络安全区域之间的隔离与访问控制 ，保证网络系统及网络服务的可用性。狭义的防火墙是指安装了防火墙的软件或路由器系统，而广义的防火墙还包括整个网络的安全策略和安全行为。
根据防火墙组建结构的不同，可以分为屏蔽路由器、双穴主机、屏蔽主机防火墙、屏蔽子网防火墙四种基本结构，以及一些变体，下面则详细地说明了它们的优缺点与应用场合。
（1）包过滤 型防火墙
包过滤型防火墙工作于网络层 ，它对进出内部网络的所有信息进行分析 ，并按照一定的安全策略对进出内部网络的信息进行限制 。这种防火墙的优点是处理速度快、费用低、对用户透明。缺点是维护比较困难，只能阻止少部分IP欺骗 ，不支持有效的用户认证，日志功能有限，过滤规则增加会大大降低吞吐量，无法对信息提供全面控制。
（2）双宿网关 防火墙
双宿网关防火墙由一台至少装有两块网卡的堡垒主机 作为防火墙，位于内外网络之间，分别与内外网络相离 ，实现物理上的隔开。它有两种服务方式：一种是用户直接登录到双宿主机上；另一种是在双宿主机上运行代理服务器 。其安全性比屏蔽路由器高。但入侵者一旦得到双穴主机的访问权，内部网络就会被入侵，因此需具有强大的身份认证系统，才可以阻挡来自外部的不可信网络的非法入侵。
（3）屏蔽主机 防火墙
屏蔽主机防火墙是由包过滤型防火墙和双宿网关防火墙组合形成的一种防火墙，它强迫所有的外部主机与一个堡垒主机相连接 ，而不让它们直接与内部主机相连接。这种防火墙的优点是实现了网络层安全（包过滤）和应用层安全（代理） ，因此安全等级比屏蔽路由器要高。其缺点是堡垒主机可能被绕过 ，堡垒主机与其他内部主机间没有任何保护网络安全的东西存在，一旦被攻破，内网就将暴露。
（4）屏蔽子网 防火墙
屏蔽子网防火墙用了两个屏蔽路由器和一个堡垒主机 ，也称为**“单DMZ防火墙结构”** 。这种防火墙的结构的优点在于定义了“非军事区（DMZ）”网络后，支持网络层和应用层安全功能，在黑客攻破第一道防火墙，进入DMZ区后，只能对DMZ区进行破坏，无法影响到内部网络 ，所以这也是目前最安全的防火墙系统。 -
VPN
虚拟专用网（VPN）是企业网在因特网等公共网络上的延伸，它通过一个私有的通道在公共网络上创建一个安全的私有连接 。因此，从本质上说VPN是一个虚信道 ，它可用来连接两个专用网 ，通过可靠的加密技术方法保证其安全性 ，并且是作为一个公共网络的一部分存在的。实现VPN的关键技术主要有隧道技术、加解密技术、密钥管理技术和身份认证技术 。图8-2是一个VPN构成的原理示意图。
隧道技术 是VPN关键技术之一（此外还包括加解密技术、密钥管理技术和身份认证技术），它是一种数据封装协议，也就是将一种协议封装在另一种协议中传输，从而实现被封装协议对封装协议的透明性。根据其工作的层次可以分为以下两类。
二层隧道技术：包括PPP基础上的PPTP（点到点隧道协议）和L2F（二层转发协议）、L2TP（二层隧道协议）；
三层隧道技术：主要代表是IPSec（IP层安全协议，它是IPv4和IPv6的安全标准）、移动IP协议和虚拟隧道协议（VTP）。 -
漏洞扫描
漏洞扫描是指基于漏洞数据库，通过扫描等手段，对指定的远程或者本地计算机系统的安全脆弱性进行检测 ，发现可利用的漏洞 的一种安全检测（渗透攻击）行为。
漏洞扫描是对电脑进行全方位的扫描，检查你当前的系统是否有漏洞，如果有漏洞则需要马上进行修复，否则电脑很容易受到网络的伤害甚至被黑客借助于电脑的漏洞进行远程控制那么后果将不堪设想，所以漏洞扫描对于保护电脑和上网安全是必不可少的，而且需要每星期就进行一次扫描，一但发现有漏洞就要马上修复，有的漏洞系统自身就可以修复，而有些则需要手动修复。
人们往往使用漏洞扫描技术达到以下目的：
检查目标主机的存活状态（开/关机）；
检查目标主机的端口开放状态；
识别目标主机操作系统及其运行的服务程序的类型和版本；
根据已知漏洞信息，分析系统的脆弱点；
计算机病毒与木马：
计算机病毒与木马是信息系统安全的一个重要方面，因为如果计算机中了病毒或木马，这些恶意代码将对系统造成破坏。下面将详细介绍相关情况。
病毒与木马的概念
在计算机中，恶意代码主要分两类，即病毒与木马 。
病毒 ：一段可执行的程序代码 ，通过对其他程序进行修改，可以感染这些程序 ，使其含有该病毒程序的一个复制 。计算机病毒的生命周期包括4个阶段：潜伏期（不做任何事，等待激活事件，并非所有病毒都有该阶段），繁殖阶段（也就是传染阶段，开始复制复本），触发阶段（也就是开始执行破坏性工作的阶段），执行阶段（功能完成）。
木马 ：实质上是一个网络客户端/服务器程序 ，是一种基于远程控制的黑客工具 。其主要特征包括：不需要服务端用户的允许就能够获得系统的使用权 ；程序体积十分小，执行时不会占太多的资源；执行时很难停止它的活动，并且不会在系统中显示出来；一次启动后就会自动加载在系统的启动区，在每次启动时能够自动运行；一次执行后会通过更换文件名之类的方法来隐藏自己；实现服务端用户无法显示执行的动作。木马通常由服务器端和客户端组成 ，服务器端将运行在被控制的主机中 ，而客户端则是攻击者用来远程控制的主要工具 。
-
病毒的分类
病毒的分类，有多种方式，从应考的角度，需要掌握以下类型：
系统引导型病毒 ：又称开机型病毒，是藏匿和感染硬盘的第一个扇区 ，即平常我们所说的引导扇区。引导型病毒籍由引导动作而侵入内存。
文件型病毒：文件型病毒通常寄生在可执行档（如 .COM，.EXE等） 中。当这些文件被执行时，病毒的程序就跟着被执行。
目录型病毒：这一类型病毒通过装入与病毒相关的文件进入系统 ，而不改变相关文件，它所改变的只是相关文件的目录项。
蠕虫病毒：蠕虫病毒是一种常见的计算机病毒。它是利用网络进行复制和传播 ，传染途径是通过网络和电子邮件 。最初的蠕虫病毒定义是因为在DOS环境下，病毒发作时会在屏幕上出现一条类似虫子的东西，胡乱吞吃屏幕上的字母并将其改形。蠕虫病毒是自包含的程序（或是一套程序），它能传播自身功能的拷贝或自身（蠕虫病毒）的某些部分到其他的计算机系统中（通常是经过网络连接）。
宏病毒：一种寄存在Office系统文档或模板的宏中 的计算机病毒。一旦打开这样的文档，其中的宏就会被执行，于是宏病毒就会被激活，转移到计算机上，并驻留在Normal模板上。从此以后，所有自动保存的文档都会“感染”上这种宏病毒，而且如果其他用户打开了感染病毒的文档，宏病毒又会转移到他的计算机上。 -
病毒种类命名
一种病毒都有自己的名称，从名称我们通常可以判断出该病毒的类型。
（1）系统病毒
系统病毒的前缀为：Win32、PE、Win95、W32、W95等。这些病毒的一般共有的特性是可以感染windows操作系统的 *.exe 和 *.dll 文件，并通过这些文件进行传播。
（2）蠕虫病毒
蠕虫病毒的前缀是：Worm。这种病毒的共有特性是通过网络或者系统漏洞进行传播 ，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件）等。
（3）木马病毒、黑客病毒
木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack。QQ消息尾巴木马：Trojan.QQ3344，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW.60。
（4）脚本病毒
脚本病毒的前缀是：Script。脚本病毒的共有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。
（5）宏病毒
宏病毒也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Excel其中之一。如：Macro.Word.WhiteScreen、美丽莎（Macro.Melissa）。
（6）后门病毒
后门病毒的前缀是：Backdoor。该类病毒的共有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。
（7）病毒种植程序病毒
这类病毒的共有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手（Dropper.Worm.Smibag）等。
（8）破坏性程序病毒
破坏性程序病毒的前缀是：Harm。这类病毒的共有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。
（9）玩笑病毒
玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的共有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girl ghost）病毒。
（10）捆绑机病毒
捆绑机病毒的前缀是：Binder。这类病毒的共有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。
关于病毒与木马，考生除了解以上基本内容外，还应该关注最近最为著名的病毒或木马的主要特征，以前考试曾多次以当时最流行病毒为]题。如2007年“熊猫烧香”病毒盛行，所以在2007年5月的软件设计师考试中考到了“机器中熊猫烧香病毒的症状”。
2、多媒体
多媒体主要是指文字、声音和图像等多种表达信息的形式和媒体，它的出现大大丰富了计算机应用的表现力。本知识点考查分值较少，本章将对常考的两个知识点进行分析。根据考试大纲，本章要求考生掌握以下几个方面的知识点。
（1）多媒体系统基础知识。
（2）简单图形的绘制，图像文件的处理方法。
（3）音频和视频信息的应用。
（4）多媒体应用开发过程。
从历年的考试情况来看，本章的考点主要集中于：多媒体基础概念、多媒体相关计算及常见多媒体标准。
多媒体基础概念 部分涉及：声音和图像 的相关概念以及在此基础之上的一些参数计算问题。
1．声音频率的概念
声音的基本属性中，包括：音量、音调、音色和声音带宽（声音信号的频率范围） 。
考试中需要掌握的是常见声音的频率范围 ：
● 人耳能听到的音频范围：20Hz～20kHz（低于20Hz的是次声波，高于20KHz的是超声波）。
● 人的说话声音频范围：300～3400Hz。
● 乐器的音频范围： 20Hz～20kHz。
2．图形和图像的区别
● 图形又被称为矢量图，而图像被称为位图。
● 图形是用一系列计算机指令来描述和记录的图的信息。
● 图形用数学的公式来记录信息。
● 图像是用位图的点阵来记录信息，用离散的点来记录整幅图。
● 图像放大到一定倍数的时候会产生失真。
3．彩色空间
（1）RGB彩色空间：它是计算机彩色显示器所采用的彩色空间，也是目前用得最多的彩色空间。通过Red、Green、Blue三个彩色分量的不同比例，在显示屏幕上可以合成所需要的任意颜色，所以不管多媒体系统采用什么形式的彩色空间表示，最后的输出一定要转换成RGB彩色空间表示。
（2）YUV彩色空间 ：在现代彩色电视系统中常采用的彩色空间，基优点是占用带宽小，可与黑白电视兼容。
（3）CMY与CMYK彩色空间。印刷时采用的彩色空间 。基色是青（Cyan）、品红（Magenta）、黄（Yellow）、黑（blacK）。
4．图像文件大小计算
图像文件是采用点阵（像素）来描述的，而在存储时也是针对点阵进行描述的。而每个点阵，我们将采用n位来表示其颜色（可以表示2位数种颜色），位数越高可以表示的色彩也就越丰富 。
（1）知道像数，位数求图像文件大小
每个像素为16位，图像为1600′1200像素，求容量：1600′1200′16¸8=3,840,000B
注：16位，可以表示216种颜色，即65535种颜色；也就是每个点需要2个Byte（16¸8）。
（2）知道像数，色数求图像文件大小
1600′1200像素，256色的图像，求容量：1600′1200′log2(256)¸8=1,920,000B
注：256，是28，因此每个点需要8位，即1Byte。
5．声音文件大小计算
在计算机中，要存储声音信息就必须对其数字化 ，通常需要经过采样、量化和编码三个步骤 ：
采样 ：在模拟音频信号转换为数字音频信号时，每隔一个时间间隔就在模拟声音的波形上取一个幅度值 。这个间隔时间称为采样频率 。常用的采样频率为8KHz（电话音质）、22.05KHz（FM广播音质）、44.1KHz（CD音质）、48KHz（DVD Audio或专业领域），频率越高音质越好。尼奎斯特定理规定：为了确保音频基本不失真，音频的采样频率应至少为最高音频频率的2倍 。例如人的说话声音频范围是300～3400Hz，现在对人的说话声音进行采样，为了基本不失真，采样频率至少为：6800Hz，所以电话的采样频率为8KHz，这就是按略高于声音最高频率2倍来测算的。
量化 ：用数字来表示音频幅度时，把某一幅度范围内的电压用一个数字 表示，这个量化的级别通常用位来表示（划分为2位数个级别），位数越高音质越好 。
编码 ：将声音数据写成计算机的数据格式。在没有压缩之前，存储每秒钟声音所需的存储容量可由下式估算出：文件的字节数=采样频率(Hz)×量化/采样位数(位)×声道数 ÷8（得到的结果单位是字节）
6．视频文件大小计算
视频文件其实就是连续的图像，因此在计算时只需要计算每帧图像所需的存储容量，然后乘以每秒的帧数，再乘以时间即可。
文件的字节数=每帧图像容量(Byte)×每秒帧数×时间
而每帧图像的容量的计算与前面说的图像文件大小计算的方法一样。
多媒体标准部分：
多媒体标准部分主要是考查编码标准，例如：H.261、H.263、JPEG、JPEG2000与MPEG标准族 以及常见音频格式与标准。在此，考生需要掌握这些标准的最核心特点。
3、知识产权
本节将就 保护期限、侵权判定、知识产权 归属3个知识点涉及的各类法律法规进行总结。
1．保护期限
本知识点在于正确区分出不同知识产权的保护期限。知识产权的保护是有时间性的 ，表10-1是对各种知识产权的保护期限的总结。
对于前四项可以这样记忆：软件产品是作品的一种，公民拥有的为死后50年 ，单位拥有的为发表后50年 ；但公民的署名权、修改权（对于非软件作品还有保护作品完整权）是永远保护的 。
2．知识产权人确定
本知识点在于正确判断知识产权的归属 问题。通常情况下，谁拥有知识产权是显而易见的，但一旦涉及是在职完成、合作完成、委托完成、自然转让（公民知识产权人死亡后，在保护期内的知识产权根据继承法确定归属；单位知识产权人倒闭后，由承担其义务的组织拥有其知识产权）、专利及商标申请时都会有一些易混淆的点。表10-2对这些情况进行了总结。
除此之外，还有一个小知识点：如果遇到作者不明 的情况，那么作品原件的所有人可以行使除署名权以外的著作权 ，直到作者身份明确。
3．侵权判断
本知识点在于能够正确根据具体的场景判断是否存在侵权现象 。是否侵犯了知识产权的判断通常也是显而易见的，但是有一些比较特殊的情况，是考生很容易混淆和出错的。
以下作品也是受著作权保护的：口述作品（包括即兴的演说、授课、法庭辩论等以口头语言形式表现的作品）、摄影作品、示意图。
对于作品而言，以下行为是不侵权的 ：个人学习，介绍或评论时引用，在各种形式的新闻报道中引用，学校教学与研究及图书馆陈列用的少量复制，执行公务使用，免费表演已发表作品，将汉字作品翻译成为少数民族文字，改为盲文出版。
对于作品而言，公开表演、播放是需要另外授权的 。例如：在商场公开播放正版的音乐、VCD也是侵权行为。而且版权人对作品还享有保护作品完整权，这点也是不容忽视的。
对于软件产品而言，要注意保护只是针对计算机软件和文档，并不包括开发软件所用的思想、处理过程、操作方法或数学概念 等。另外，以学习、研究所做的少量复制与修改，为保护合法获得的产品所做的少量复制也不侵权。
若国家出现紧急状态或者非常情况时，可以为了公共利益强制实施发明专利、实用新型专利的许可 。最后还要提醒考生，在侵权判断的题目中，如果给出的条件没有明确说明双方的约定情况 ，且答案中出现“是否侵权，应根据甲乙双方协商情况而定” 时，通常这才是正确答案。
标准化知识
根据考试大纲，本章要求考生掌握以下知识点：
标准化意识，标准化组织机构，标准的内容、分类、代号与编号规定，标准制订过程
国际标准、国家标准、行业标准、企业标准
代码标准、文件格式标准、安全标准、互联网相关标准、软件开发规范和文档标准、基于构件
的软件标准
标准化概述
标准化是一门综合性学科，其工作内容极为广泛，可渗透到各个领域。标准化工作的特征包括横向综合性、政策性和统一性。
1.什么是标准
为在一定的范围内获得最佳秩序，对活动或其结果规定共同的和重复使用的规则、导则或特性的文件，称为标准。该文件经协商一致制定并经一个公认机构的批准。标准应以科学、技术和经验的综合成果为基础，以促进最佳社会效益为目的。
2.什么是标准化
为在一定的范围内获得最佳秩序，对实际的或潜在的问题制定共同的和重复使用的规则的活动，称为标准化。它包括制定、发布及实施标准的过程。标准化的重要意义是改进产品、过程和服务的适用性，防止贸易壁垒，促进技术合作。
3.标准化的实质和目的是什么
"通过制定、发布和实施标准，达到统一"是标准化的实质。"获得最佳秩序和社会效益"则是标准化的目的。
4.标准化的对象是什么
在国民经济的各个领域中，凡具有多次重复使用和需要制定标准的具体产品，以及各种定额、规划、要求、方法、概念等，都可称为标准化对象。标准化对象一般可分为两大类：一类是标准化的具体对象，即需要制定标准的具体事物；另一类是标准化总体对象，即各种具体对象的总和所构成的整体，通过它可以研究各种具体对象的共同属性、本质和普遍规律。
5.标准化的基本原理是什么
标准化的基本原理通常是指统一原理、简化原理、协调原理和最优化原理。
统一原理就是为了保证事物发展所必需的秩序和效率，对事物的形成、功能或其他特性，确定适合于一定时期和一定条件的一致规范，并使这种一致规范与被取代的对象在功能上达到等效。统一原理包含以下要点。统一是为了确定一组对象的一致规范，其目的是保证事物所必需的秩序和效率。统一的原则是功能等效，从一组对象中选择确定一致规范，应能包含被取代对象所具备的必要功能。
统一是相对的、确定的一致规范，只适用于一定时期和一定条件，随着时间的推移和条件的改变，旧的统一就要由新的统一所代替。
简化原理就是为了经济有效地满足需要，对标准化对象的结构、形式、规格或其他性能进行筛选提炼，剔除其中多余的、低效能的、可替换的环节，精炼并确定出满足全面需要所必要的高效能的环节，保持整体构成精简合理，使之功能效率最高。简化原理包含以下几个要点。
简化的目的是为了经济，使之更有效地满足需要。
简化的原则是从全面满足需要出发，保持整体构成精简合理，使之功能效率最高。所谓功能效率系指功能满足全面需要的能力。
简化的基本方法是对处于自然状态的对象进行科学的筛选提炼，剔除其中多余的、低效能的、可替换的环节，精炼出高效能的能满足全面需要所必要的环节。简化的实质不是简单化而是精炼化，其结果不是以少替多，而是以少胜多。
协调原理就是为了使标准的整体功能达到最佳，并产生实际效果，必须通过有效的方式协调好系统内外相关因素之间的关系，确定为建立和保持相互一致，适应或平衡关系所必须具备的条件。
协调原理包含以下要点。
协调的目的在于使标准系统的整体功能达到最佳并产生实际效果。
协调对象是系统内相关因素的关系以及系统与外部相关因素的关系。相关因素之间需要建立相互一致关系（连接尺寸），相互适应关系（供需交换条件），相互平衡关系（技术经济招标平衡，有关各方利益矛盾的平衡），为此必须确立条件。
协调的有效方式有：有关各方面的协商一致，多因素的综合效果最优化，多因素矛盾的综合平衡等。
按照特定的目标，在一定的限制条件下，对标准系统的构成因素及其关系进行选择、设计或调整，使之达到最理想的效果，这样的标准化原理称为最优化原理。
6.标准化的主要作用是什么
标准化的主要作用表现在以下10个方面。
标准化为科学管理奠定了基础。所谓科学管理，就是依据生产技术的发展规律和客观经济规律对企业进行管理，而各种科学管理制度的形式，都以标准化为基础。
促进经济全面发展，提高经济效益。标准化应用于科学研究，可以避免在研究上的重复劳动；应用于产品设计，可以缩短设计周期；应用于生产，可使生产在科学的和有秩序的基础上进行；应用于管理，可促进统一、协调、高效率等。
标准化是科研、生产、使用三者之间的桥梁。一项科研成果，一旦纳入相应标准，就能迅速得到推广和应用。因此，标准化可使新技术和新科研成果得到推广应用，从而促进技术进步。
标准的层次
1.国际标准
国际标准是指由国际联合机构制定和公布，提供各国参考的标准。目前，世界上有许多个国际和区域性组织在制定标准或技术规则，其中最大的是国际标准化组织（International StandardsOrganization,ISO）、国际电工委员会（IEC）和国际电信联盟（ITU）。ISO、IEC、ITU标准均为国际标准。此外，被ISO认可、收入KWIC索引中的其他25个国际组织制定的标准，也视为国际标准。
2.国家标准
国家标准是指由政府或国家级的机构制定或批准，适用于全国范围的标准，例如。GB:中华人民共和国国家标准，由国家质量监督检验检疫总局批准，国家标准化管理委员会公布。
ANSI（American National Standards Institute）：美国国家标准协会标准。FIPS-NBS（Federal Information Processing Standards,National Bureau of Standards）：美国国家标准局联邦信息处理标准。 BS（British Standard）：英国国家标准。 JIS（Japanese Industrial Standard）：日本工业标准。
3.行业标准
行业标准是指由行业机构、学术团体或国防机构制定，并适用于某个业务领域的标准，如。 IEEE（Institute of Electrical and Electronics Engineers）：美国电气和电子工程师学会标准。 GJB:中华人民共和国国家军用标准，由国防科学技术工业委员会批准，适合于国防部门和军队。
DOD-STD（Department Of Defense STanDards）：美国国防部标准，适用于美国国防部
门。MIL-S（MILitary Standards）：美国军用标准，适用于美国军队内部。
4.企业标准
企业标准是指一些大型企业或机构，由于工作需要制定的适用于本企业或机构的标准。
以上是关于安全风险标准分两个指标控制分别是啥？的主要内容，如果未能解决你的问题，请参考以下文章