论文部分内容阅读
摘要：，在分析电力信息安全存在的风险和需求的基础上，针对电力信息化建设的特点，本文就从目前电力信息安全的现状与需求，及其存在的安全问题，提出如何建立电力信息安全保障体系及保证电力信息化安全的技术措施。
关键词：电力信息化；安全保障体系；
1关于电力信息化及其建设模式特点
电力信息化是由电力信息基础设施(PII)和信息化应用系统部分组成。计算机信息网络及其通信网络是电力信息化的基础，各类电力信息资源的开发利用是电力信息化的核心。电力企业信息化是指各类电力企业在电力生产和经营、管理和决策、研究和开发、市场和营销等各方面应用信息技术，建设应用系统和网络，通过对信息和知识资源的有效开发和利用，调整和重构企业组织结构和业务模式，服务企业发展目标，提高企业竞争力的过程。企业信息化包括生产过程自动化和管理信息化两方面内容。生产型企业信息化的重点在于生产过程中供应链的调配与优化，如发电厂的重点是生产过程自动化：商业销售型企业，则利用信息系统进行订单管理、客户关系管理、营销管理，与合作伙伴进行协作交流，如供电企业的重点是营销自动化：无论哪类企业，其信息化的共同之处就是应具备办公自动化、共享信息查询、业务数据处理、电子邮件等基本功能即信息网扣安全保障体系的建立，如防病毒系统，防火墙系统、入侵检测系统、存储备份系统等。现针对不同类型的电力企业，探讨在电力信息化的建设特点。
2电力信息安全现状与需求
2.1电力信息安全内涵
电力信息安全是指电力主营业务系统及企业信息安全，保障不被未经授权者访问、利用和修改，为合法用户提供安全、可信的信息服务，保证信息和信息系统的机密性、完整性、可用性、真实性和不可否认性。
2.2电力信息安全存在的问题
1)信息安全意识薄弱。信息安全由于无法量化、未发生重大事故等原因，往往被忽视，不少单位的网络与系统基本处于不设防状态；另外，电力企业IT用户由于不了解安全威胁的严峻形势和当前的安全现状，在使用个人计算机、应用系统、网络时只关注易用性，忽视了安全性。
2)信息安全保障工作没有常态化。信息安全保障工作以检查为主，如电监会、上级公司的安全检查，信息安全领导小组、工作组只在有信息安全事件发生时发挥作用，没有形成常态化的工作机制。
3)信息安全运作机制不完善。主要体现在业务连续性计划不完备、业务系统开发交付环节缺乏安全测试和对测试数据的管理、信息文档管理不规范等。
4)短板现象显著。电力企业办公地理位置分散(如供电所、营业厅)，不同片区的IT运行维护(以下简称运维)、安全管理缺乏规范，在信息化建设落后的地方，由于受经济、技术水平等因素限制，往往存在信息安全短板。
5)系统安全设计不足。业务系统建设时缺乏安全设计方案，造成系统存在sql注入、跨占脚本攻击、无详细的审计日志、身份认证信息强度不足、软件容错性差等问题。
2.3信息安全保障需求
电力企业信息安全面临的风险有病毒木马、非法篡改信息、信息泄露、服务瘫痪，应对风险安全保障需求可分为信息安全管理和信息安全技术2大类 。
信息安全管理需求包括信息安全评估、安全策略规划、制度规范和实施细则制订、安全管理组织建立、信息安全培训、信息安全运行管理、安全监控、应急响应和恢复、安全监督审计等方面；信息安全技术需求主要是通用信息安全技术手段(或安全服务)，如身份认证、访问管理、加密、防恶意代码、加固、监控、审核跟踪和备份恢复等。
3建立安全的电力信息保障体系
3.1信息安全策略
信息安全策略应由安全决策层制定并进行宣传，可从省级电网层面制定公司安全策略，各地市级供电局负责贯彻落实。电力信息安全策略的制定应结合国家信息安全等级保护政策，以提升企业整体防病毒、防篡改、防攻击、防泄密、防瘫痪能力为基础，并结合自身信息化建设水平。
3.2信息安全管理
对比信息安全保障框架，电力企业在信息安全管理方面亟待加强，集中体现在以下几个方面：虽然建立了信息安全管理组织，但并没有有效运转；公司员工仍认为信息安全是某一个IT部门的事，包括信息技术部内部部分管理人员，没有树立起全员信息安全意识；部分安全职责不明确或不履行职责，对安全管理制度置之不理；缺乏有效的安全通报考核机制；没有建立起风险管理控制机制；信息安全管理体系没有形成计划、实施、检查、处理闭环。
1)信息安全组织方面，应建立安全决策机构、管理机构、执行机构和督察机构。安全决策机构应由省级电网公司成立，并至少每年召开信息安全工作会议，通报电力信息安全现状和安全规划；督察机构可抽调企业内部各单位信息安全业务骨干组成，至少每个月对信息安全状况进行检察和上报；明确各级信息安全岗位职责，使安全管理组织真正运转起来。
2)安全风险管理是对企业残余风险的管理控制，防止风险发生。实施信息安全风险管理流程优化，控制变化带来的风险，确保风险受控，实施年度风险管理审核机制， 由安全督察机构实施风险审核。
3)电力信息安全保障应引入PDCA闭环管理思想，建立安全监察评价机制和信息安全考核评价指标，通过对信息安全政策、标准、规章制度、措施执行情况的检查及借助信息技术手段分析信息安全情况，不断优化安全管理运作过程。
信息系统运维部门对系统安全风险最清楚，但运维人员通常怕担责任，受批评，增加工作量，参与风险排查的积极性不高，故应调动一线运维人员排查风险的积极性，在各信息系统的管理维护部门内部建立风险排查机制，每个月进行排查，提交月报；安全管理人员与各信息系统的管理维护部门联合组织专题排查；安全督察机构每年进行强制性抽样检查，形成部门主动排查为主，专家年度安全检察为补充的安全监察机制。安全考核评价应结合安全监察，至少每年1次，先由各单位或机构根据自查情况进行自评估，之后由安全督察机构根据自评估结果，对部分部门实施强制性抽样检查，以保障安全考核评价的客观性。另外，必须根据安全考核结果进行通报和奖励。
3.3保证电力信息安全的技术措施
身份认证和访问控制可通过公钥基础设施(publickeyinfrastructure，PKI)技术进行统一管理，建立省电网级认证授权中心，提供目录服务、身份管理、认证管理、访问管理等功能。实现主机系统、网络设备、安全设备、应用系统等的统一身份认证管理。对营销、财務等系统中的机密数据，应使用加解密、数字签名、消息认证码等手段进行保护，提高系统服务和数据访问的抗抵赖性。目前，电力企业多数系统通信过程都未采取加密、数字签名等安全措施，加之企业内网未实施有效的准入控制，这给电力信息安全造成巨大风险，必须尽快梳理各类信息的机密属性，整体规划，对应用系统进行升级改造，并实施内网准入机制。
电力管理信息大区网络内部应建立病毒预防、检测、隔离和清除机制，预防未知病毒入侵，迅速隔离被感染的主机，识别并清除网内的已知病毒。
加固是指对信息系统安全领域受保护的对象进行自身安全加固的保护，内容主要包括安全漏洞扫描、渗透性测试、对象补丁的获取和实施安全、关闭不必要的服务和防止拒绝服务的攻击5部分。针对终端安全，应由省级电网公司建立统一的桌面操作系统安全补丁管理体系、建立规范的桌面计算机系统软件管理体系、建立完善的桌面计算机系统资产管理体系、建立严格的软件监控管理体系、建立有效的桌面办公安全管理规范和技术规范等。针对主机安全，需搭建统一的补丁测试环境，对电力典型业务系统进行补丁测试，建立统一的补丁测试、更新机制，建立主机平台配置技术规范等。
监控和审计可提高信息的安全性，提高问题发生时的反应速度，有效预防安全问题的发生。应进行统一规划，建立IT监控平台。目前广东电网等省级电网公司都已经开始实施监控平台的建设。
备份恢复技术主要包括备份技术、冗余技术、容错技术和不间断电源保护4个方面的内容。备份恢复与容灾中心具有关联性，建立容灾中心的单位应每年至少进行一次灾备恢复的演练，没有容灾中心的单位应将营销、生产、财务等核心数据定期进行异地备份，并定期进行备份恢复演练，提升应对自然灾害的能力。
4结束语
电力企业信息安全不能单纯依靠静态保护和技术手段或管理措施，必须结合企业实情，研究分析信息安全保障体系框架及各要素间的联系，建立一套先进、实用、高效的信息安全保障体系。结合自身现状，分步骤实施，以确保电力信息系统安全、可靠、稳定、高效地运行。
关键词：电力信息化；安全保障体系；
1关于电力信息化及其建设模式特点
电力信息化是由电力信息基础设施(PII)和信息化应用系统部分组成。计算机信息网络及其通信网络是电力信息化的基础，各类电力信息资源的开发利用是电力信息化的核心。电力企业信息化是指各类电力企业在电力生产和经营、管理和决策、研究和开发、市场和营销等各方面应用信息技术，建设应用系统和网络，通过对信息和知识资源的有效开发和利用，调整和重构企业组织结构和业务模式，服务企业发展目标，提高企业竞争力的过程。企业信息化包括生产过程自动化和管理信息化两方面内容。生产型企业信息化的重点在于生产过程中供应链的调配与优化，如发电厂的重点是生产过程自动化：商业销售型企业，则利用信息系统进行订单管理、客户关系管理、营销管理，与合作伙伴进行协作交流，如供电企业的重点是营销自动化：无论哪类企业，其信息化的共同之处就是应具备办公自动化、共享信息查询、业务数据处理、电子邮件等基本功能即信息网扣安全保障体系的建立，如防病毒系统，防火墙系统、入侵检测系统、存储备份系统等。现针对不同类型的电力企业，探讨在电力信息化的建设特点。
2电力信息安全现状与需求
2.1电力信息安全内涵
电力信息安全是指电力主营业务系统及企业信息安全，保障不被未经授权者访问、利用和修改，为合法用户提供安全、可信的信息服务，保证信息和信息系统的机密性、完整性、可用性、真实性和不可否认性。
2.2电力信息安全存在的问题
1)信息安全意识薄弱。信息安全由于无法量化、未发生重大事故等原因，往往被忽视，不少单位的网络与系统基本处于不设防状态；另外，电力企业IT用户由于不了解安全威胁的严峻形势和当前的安全现状，在使用个人计算机、应用系统、网络时只关注易用性，忽视了安全性。
2)信息安全保障工作没有常态化。信息安全保障工作以检查为主，如电监会、上级公司的安全检查，信息安全领导小组、工作组只在有信息安全事件发生时发挥作用，没有形成常态化的工作机制。
3)信息安全运作机制不完善。主要体现在业务连续性计划不完备、业务系统开发交付环节缺乏安全测试和对测试数据的管理、信息文档管理不规范等。
4)短板现象显著。电力企业办公地理位置分散(如供电所、营业厅)，不同片区的IT运行维护(以下简称运维)、安全管理缺乏规范，在信息化建设落后的地方，由于受经济、技术水平等因素限制，往往存在信息安全短板。
5)系统安全设计不足。业务系统建设时缺乏安全设计方案，造成系统存在sql注入、跨占脚本攻击、无详细的审计日志、身份认证信息强度不足、软件容错性差等问题。
2.3信息安全保障需求
电力企业信息安全面临的风险有病毒木马、非法篡改信息、信息泄露、服务瘫痪，应对风险安全保障需求可分为信息安全管理和信息安全技术2大类 。
信息安全管理需求包括信息安全评估、安全策略规划、制度规范和实施细则制订、安全管理组织建立、信息安全培训、信息安全运行管理、安全监控、应急响应和恢复、安全监督审计等方面；信息安全技术需求主要是通用信息安全技术手段(或安全服务)，如身份认证、访问管理、加密、防恶意代码、加固、监控、审核跟踪和备份恢复等。
3建立安全的电力信息保障体系
3.1信息安全策略
信息安全策略应由安全决策层制定并进行宣传，可从省级电网层面制定公司安全策略，各地市级供电局负责贯彻落实。电力信息安全策略的制定应结合国家信息安全等级保护政策，以提升企业整体防病毒、防篡改、防攻击、防泄密、防瘫痪能力为基础，并结合自身信息化建设水平。
3.2信息安全管理
对比信息安全保障框架，电力企业在信息安全管理方面亟待加强，集中体现在以下几个方面：虽然建立了信息安全管理组织，但并没有有效运转；公司员工仍认为信息安全是某一个IT部门的事，包括信息技术部内部部分管理人员，没有树立起全员信息安全意识；部分安全职责不明确或不履行职责，对安全管理制度置之不理；缺乏有效的安全通报考核机制；没有建立起风险管理控制机制；信息安全管理体系没有形成计划、实施、检查、处理闭环。
1)信息安全组织方面，应建立安全决策机构、管理机构、执行机构和督察机构。安全决策机构应由省级电网公司成立，并至少每年召开信息安全工作会议，通报电力信息安全现状和安全规划；督察机构可抽调企业内部各单位信息安全业务骨干组成，至少每个月对信息安全状况进行检察和上报；明确各级信息安全岗位职责，使安全管理组织真正运转起来。
2)安全风险管理是对企业残余风险的管理控制，防止风险发生。实施信息安全风险管理流程优化，控制变化带来的风险，确保风险受控，实施年度风险管理审核机制， 由安全督察机构实施风险审核。
3)电力信息安全保障应引入PDCA闭环管理思想，建立安全监察评价机制和信息安全考核评价指标，通过对信息安全政策、标准、规章制度、措施执行情况的检查及借助信息技术手段分析信息安全情况，不断优化安全管理运作过程。
信息系统运维部门对系统安全风险最清楚，但运维人员通常怕担责任，受批评，增加工作量，参与风险排查的积极性不高，故应调动一线运维人员排查风险的积极性，在各信息系统的管理维护部门内部建立风险排查机制，每个月进行排查，提交月报；安全管理人员与各信息系统的管理维护部门联合组织专题排查；安全督察机构每年进行强制性抽样检查，形成部门主动排查为主，专家年度安全检察为补充的安全监察机制。安全考核评价应结合安全监察，至少每年1次，先由各单位或机构根据自查情况进行自评估，之后由安全督察机构根据自评估结果，对部分部门实施强制性抽样检查，以保障安全考核评价的客观性。另外，必须根据安全考核结果进行通报和奖励。
3.3保证电力信息安全的技术措施
身份认证和访问控制可通过公钥基础设施(publickeyinfrastructure，PKI)技术进行统一管理，建立省电网级认证授权中心，提供目录服务、身份管理、认证管理、访问管理等功能。实现主机系统、网络设备、安全设备、应用系统等的统一身份认证管理。对营销、财務等系统中的机密数据，应使用加解密、数字签名、消息认证码等手段进行保护，提高系统服务和数据访问的抗抵赖性。目前，电力企业多数系统通信过程都未采取加密、数字签名等安全措施，加之企业内网未实施有效的准入控制，这给电力信息安全造成巨大风险，必须尽快梳理各类信息的机密属性，整体规划，对应用系统进行升级改造，并实施内网准入机制。
电力管理信息大区网络内部应建立病毒预防、检测、隔离和清除机制，预防未知病毒入侵，迅速隔离被感染的主机，识别并清除网内的已知病毒。
加固是指对信息系统安全领域受保护的对象进行自身安全加固的保护，内容主要包括安全漏洞扫描、渗透性测试、对象补丁的获取和实施安全、关闭不必要的服务和防止拒绝服务的攻击5部分。针对终端安全，应由省级电网公司建立统一的桌面操作系统安全补丁管理体系、建立规范的桌面计算机系统软件管理体系、建立完善的桌面计算机系统资产管理体系、建立严格的软件监控管理体系、建立有效的桌面办公安全管理规范和技术规范等。针对主机安全，需搭建统一的补丁测试环境，对电力典型业务系统进行补丁测试，建立统一的补丁测试、更新机制，建立主机平台配置技术规范等。
监控和审计可提高信息的安全性，提高问题发生时的反应速度，有效预防安全问题的发生。应进行统一规划，建立IT监控平台。目前广东电网等省级电网公司都已经开始实施监控平台的建设。
备份恢复技术主要包括备份技术、冗余技术、容错技术和不间断电源保护4个方面的内容。备份恢复与容灾中心具有关联性，建立容灾中心的单位应每年至少进行一次灾备恢复的演练，没有容灾中心的单位应将营销、生产、财务等核心数据定期进行异地备份，并定期进行备份恢复演练，提升应对自然灾害的能力。
4结束语
电力企业信息安全不能单纯依靠静态保护和技术手段或管理措施，必须结合企业实情，研究分析信息安全保障体系框架及各要素间的联系，建立一套先进、实用、高效的信息安全保障体系。结合自身现状，分步骤实施，以确保电力信息系统安全、可靠、稳定、高效地运行。