7.1 了解信息安全常识（第二课时）（教案）2025-2026学年高教版中职信息技术基础模块（下册）

7.1 了解信息安全常识（第二课时）（教案） 课 题 7.1 了解信息安全常识（第二课时） 课型 新授课 主备人 集体备课时间 课时安排 教授人 授课班级 授课时间 教学目标 1. 知识与技能 · 了解信息系统安全风险的定义，能区分自然风险与人为风险两大类别的来源差异与辨识要点 · 掌握人为风险的细分类型（计算机病毒、网络攻击、系统漏洞、内部人为风险、软件风险），能识别各类风险的典型特征 · 了解信息系统安全风险评估的基本思路与方法 · 了解AI时代新型信息系统安全风险的形态与特征 2. 过程与方法 · 通过“模拟火警预警系统入侵事件”情境任务驱动，在真实风险场景中掌握信息系统安全风险的系统识别方法 · 通过“风险类型连连看”配对活动，将风险分类知识与真实场景进行匹配辨析 · 通过案例分析法和小组合作探究，培养风险识别、分类比较和评估的基本能力 3. 情感态度与价值观 · 提升安全风险防范意识，理解“风险识别是主动安全防护的第一步”——能准确识别和分类的风险就不再是不可预测的意外 · 增强对AI时代新型安全风险的敏感度和警觉性，理解AI既能增强安全防护能力、也能成为新型攻击载体的双重属性 · 了解《网络安全法》《数据安全法》《个人信息保护法》等法律法规在风险防范中的规制作用，树立依法防护的意识 教学重点 · 信息系统安全风险的分类框架：自然风险与人为风险的区分 · 人为风险的细分类型及典型特征（计算机病毒、网络攻击、系统漏洞、内部人为风险、软件风险） 教学难点 · 区分自然风险与人为风险的边界——特别是自然因素触发技术故障（如雷击导致设备损坏）与技术自身缺陷（如系统漏洞）之间的辨析 · 多源风险的复合研判——真实安全事件往往是多种风险叠加，学生需要建立从现象到致因的系统性分析框架 学习策略 情境教学法、任务驱动法、案例分析法、游戏化教学法、小组合作探究法、演示法 设计理念与创新点 1. 情境线+问题链联合驱动：延续第7单元“校园信息安全守护计划”线索，以“学校机房管理员向你求助——从上周开始机房不断出现各种异常事件”为核心情境，学生作为“安全审计员”逐一破解事件背后的风险真面目。各事件依次对应本课核心风险类别 2. 采用“汇—析—判—防”四步递进教学链：汇事件（数据化情境导入，建立全景概念）→析风险（逐层拆解自然风险与人为风险分类框架）→判类型（为6个机房安全事件逐项判定风险类型归属）→防未来（用风险评级矩阵制定安全加固策略），让教学过程从感知到分析到诊断到应对层层递进 3. 通过“6事件风险诊断挑战”+“39项细分风险连连看”双环核心任务，将风险分类知识转化为可操作、可验证的实战诊断 4. 融入2026年AI供应链攻击和新型攻击技术的案例，增强课堂的时代感和现实针对性 5. 合理融入课程思政，在风险识别中培养主动防范意识，在AI安全中强化独立判断力 教学过程 教学内容 教师活动 学生活动 设计意图 情境唤醒 投屏展示“学校机房管理员的一周记录”：这星期学校图书馆机房接连出现6起异常事件——①周一早上机房空调故障、温度过高导致两台服务器自动关机；②一名同学将U盘插到机房电脑拷贝课件后电脑运行变慢、文件目录开始不断多出乱码文件；③周三图书馆借阅系统页面上出现一行不属于本校管理员的留言：“系统漏洞已被发现，请限时联系”；④部分学生档案中的家长联系方式被陌生人打电话冒充辅导员索要验证码；⑤图书馆数据库服务器凌晨3点自动重启，重启过后所有学生的借阅记录消失不见；⑥一名学生对部分系统防御进行测试，成功绕过系统边界进入后台查阅了全部同班同学的成绩表。提问：“这6起事件，哪些是天灾（自然原因）？哪些是人为故意？人为故意中又有哪几种不同类型？” 阅读机房事件记录，快速在任务书上标注自己对每一个事件的风险来源猜想——每人独立完成第一轮猜测 “学校机房异常事件日志”情境——将本课5类人为风险和自然风险的典型案例整合为一份“学校机房一周异常事件日志”。6个事件各对应一种风险类型。学生以安全审计员的身份逐一诊断每个事件的风险归类，真实感的场景让抽象的理论知识落地于学生熟悉的环境中 明确任务 分发任务书：“信息系统安全风险就在我们的机房和每一个人的身边。今天我们要帮学校机房做一次全面安全审计——学会区分天灾和人祸、识别5种典型的人为风险、最终为机房量身定制一套安全加固方案。完成这些任务后，你们将是合格的‘信息系统安全审计员’。”展示学习目标 展示学习目标 查看任务书，明确学习目标 以实务任务驱动全课，增强学习的目的性和代入感 分类框架总览 讲解信息系统安全风险的两大类划分——自然风险（由于自然力作用或物理环境因素导致，如火灾、地震、洪水、雷击、断电、高温、潮湿等环境因素）。人为风险（由人的行为造成——又可分为故意行为和非故意行为——是非故意如误操作、疏忽、无知；故意如恶意攻击、盗窃、破坏、入侵）。展示分类框图并依次展开每大类下属的细分类型——人为风险共有5种典型类型：（1）计算机病毒（自行复制传播的恶意程序）→（2）网络攻击（外部恶意入侵手段）→（3）系统漏洞（软硬件/通信协议/管理流程中的脆弱点被利用）→（4）内部人为风险（非故意失误+管理缺陷）→（5）软件风险（逻辑错误/后门/不受检的第三方组件等软件质量缺陷）。逐一解读每一类的本质定性、典型案例和在框图中与自然风险的对应关系 在任务书上跟随分类框图逐一记录两大类别→五类人为风险的对应层级关系 建立风险分类的系统认知框架，为后续诊断做好准备 AI时代的风险新形态 在五种人为风险讲解完毕后提炼AI时代的新增变量——“当前的AI技术使这些传统风险变得更隐蔽和难识别。AI生成的钓鱼邮件在语法和文风上高度模仿目标对象真实领导的语言习惯导致传统‘看字识骗’的防御方法失效；AI驱动的自动化漏洞扫描大幅加快了对新上线系统的探测和攻击速度；以及AI自身系统正成为全新的攻击载体——2026年Xinference供应链投毒事件是首例大规模AI工具供应链安全事件” 在各风险表格中逐类补充AI时代带来的新增风险特征，将每个传统威胁类别和AI赋能后各自的“升级版”对应到同一行中形成对比 将传统风险认知与AI时代的新型风险态势打通，帮助学生在已知威胁分类框架中为每一类风险都建立新的变异点识别能力 39项细分风险连连看 发放任务书上的“39项细分风险连连看”配对卡，布置快速配对任务：“请各小组在2分钟内为卡上10个典型风险场景分别确定它们对应哪一类人为风险。必须在配对完成后为每个场景写一句话说明你的分类依据。”巡视各组配对进度 全组快速合作在配对卡上为每个场景连线分类并标注判断依据。进度最快且全部正确的前两组得分 “39项风险结构树+分项配对”——将教材覆盖的39项细分风险点以一张可视化的完整分类结构树一次性呈现给学生，不要求全部记忆，但帮助建立“系统安全风险的分类全景图”意识。配合十个典型风险场景的快速配对任务训练学生在具体事故描述中自主辨识和归类风险类型的能力 任务一：学校机房异常事件风险诊断——“诊一诊” 6事件诊断任务发布 将学生重新带回到导入环节的学校机房6个异常事件，布置最终诊断任务：“现在你们已经在刚才的讲解中遇到了所有必要的分类依据。请对照本课学到的风险分类框架，逐一为这6个事件鉴定风险类型并写出3步诊断理由——①事件属于自然风险还是人为风险？②如果是人为风险，具体属于五大类型中的哪一类？③是属于该类风险中的哪个具体风险项（参考39项风险结构树）？完成后组间交换诊断单并按标准答案互相核分。”巡视各组诊断和判定依据的撰写情况 诊断结果快速复盘 随机抽查1—2组口头发表对各事件的分类结果及判断依据。教师最后按事件序号逐一公布标准分类并解释每个事件的三个风险层面：事件①（→自然风险——空调故障导致服务器过热。注意：此处“热”属于机器物理环境的自然失效而非人为故意，与人为断电的区别是判定是否属于自然风险的核心辨析点）；事件②（→人为风险/计算机病毒——U盘传播病毒）；事件③（→人为风险/网络攻击——入侵系统并留信息）；事件④（→人为风险/内部人为风险——信息泄露）；事件⑤（→人为风险/系统漏洞——软件缺陷导致故障）；事件⑥（→人为风险/内部人为风险——恶意行为/越权查看） 按标准分类对照自己的诊断结果，记下判断错误的事件和致析原因。课后将全部事件的分类复盘整理在任务书的诊断记录页上 “6事件风险分类诊断”标准作答+互核——导入环节的6个机房事件在全课讲解结束时逐一被重新定位和分类，构成前后闭合的完整诊断闭环。标准复盘后各组统计分类正确的事件总数 任务二：第三方安全标准登录体验——“查一查” 漏洞查询任务发布 教师提出一个触发思考的问题——“你们刚才把机房事件⑤归为系统漏洞导致的故障。那么系统漏洞到底长什么样？它的危害有多大？”教师首先展示CVE Details或国家信息安全漏洞共享平台（CNVD）中已被公开的一条典型操作系统漏洞的具体记录页面——漏洞编号、影响范围、危害等级CVSS评分、攻击复杂度等基础参数的文本解读。演示完毕后布置查询任务：“请各小组在平台上选择一个最近三个月内发布的中等危险级别以上的系统漏洞，从漏洞描述和评分数据中找出以下答案并将其填入任务书——①该漏洞编号是什么？影响哪些操作系统？②危害等级是多少？③攻击者利用该漏洞能造成什么样的后果（泄露用户数据/系统崩溃/远程控制）？④官方是否已发布修复补丁？”巡视各组查询情况和数据提取准确性 按步骤在公开CVE或国家信息安全漏洞共享平台中筛选一条目标漏洞、读取关键参数和风险描述、讨论后在任务书上完成四项填空 公开漏洞库查询体验——将学生对信息系统风险的理解从教材文字拓展至可查阅的公开安全漏洞库，完成一次从“听讲”到“亲自在行业数据中查找证据”的半自主探究过渡，培养利用数字化工具追踪实时安全风险的意识 任务三：AI+风险应对策略设计——“创一创” 策略创建任务发布 发放任务书上的“风险评级矩阵创建卡”，布置综合策略创建任务：“基于本课已学的风险分类框架和诊断方法，为学校机房信息系统设计一套针对性的安全加固与风险应对方案——①从今天诊断的6个风险中选出最亟需处理的两项，并给出选择理由；②对选定的两项风险使用简明版的‘可能性-影响程度’风险评级矩阵评估其安全等级；③根据评级结果为每项风险制定3条具体的应对策略（技术类至少2条+管理类至少1条）。完成后各组在全班口头发表方案并交换策略卡互审。”巡视各组的策略创建进度和风险评级矩阵的绘制完整性 策略发表与互审 各组将策略卡传阅给下一组，接收组从“应对策略是否与该风险类型匹配”“是否区分了技术和管理两类措施”和“是否可直接被学校机房管理员执行”三个维度为传阅的策略表打分并附一行改进建议 各组评阅其他组的策略卡并给出简要反馈。教师抽选两条最具通用价值的优秀策略在全班展示并将其纳入班级安全知识墙 风险评级矩阵+多维应对策略设计——将风险识别、危害评估和应对策略整合为同一任务链。任务融合了7.1.1五大属性评估体系和本课风险分类框架，各组的综合策略方案也为7.2“掌握常用信息安全技术”预置了“策略→技术”的衔接路径 成果展示 选取2个小组代表上台投屏展示：①“39项细分风险连连看”的配对结果和分类理由（展示1—2个经典配对案例）；②学校机房6事件风险诊断的完整结果和判断逻辑；③为学校机房选定的两项最高风险应对评级矩阵及对应的安全加固策略 小组代表展示并讲解，其他小组认真倾听并在评价表中记录关键对比数据 锻炼表达与展示能力，促进组间经验交流和知识互补 多元评价 组织自评与互评，教师进行点评总结。重点评价——①两轮诊断的正确率和分类依据的充分性；②策略方案是否区分了技术类和管理类措施；③策略评级矩阵是否完成了可能性与影响度的初步估算。表扬诊断准确率最高、策略设计最完整的小组 进行自我评价和小组互评，填写评价记录 构建多维评价体系 板书设计 板书设计：7.1.2 识别信息系统安全风险 一、信息系统安全风险分类 自然风险：火灾/地震/洪水/雷击/断电/高温/潮湿/静电 人为风险（五大类）： ①计算机病毒 ②网络攻击 ③系统漏洞 ④内部人为风险 ⑤软件风险 二、诊断三步法 ①归类→自然or人为 ②锁定→人为风险五大类 ③定位→具体风险项（39项细分） 三、39项细分风险速查（部分） 计算机病毒类（6项）：引导区/文件型/宏/蠕虫/木马/勒索 网络攻击类（7项）：监听/端口扫描/后门/DDoS/DNS劫持/钓鱼 系统漏洞类（7项）：操作系统/网络协议/数据库/Web应用/弱密码 内部人为风险类（9项）：误操作/权限滥用/内部盗窃/社交工程 软件风险类（6项）：逻辑错误/后门/第三方漏洞/不受检代码 四、AI时代风险新特征 AI供应链投毒 / AI自动化漏洞扫描 / AI深度伪造社交工程骗术 教学反思 （课后填写） · 教学目标达成度分析 · 学生对信息技术发展历程的理解情况 · 小组讨论环节的参与度和效果 · 课程思政融入的自然度 · 改进措施与建议 学科网（北京）股份有限公司 学科网（北京）股份有限公司 学科网（北京）股份有限公司 $