电力信息系统数据安全防护

二炮后勤部：聂元铭 92117部队：朱卫国 刘世栋

电力信息系统数据安全防护

二炮后勤部：聂元铭 92117部队：朱卫国 刘世栋

电力行业作为国民经济的基础产业，是一切电子设备正常运行的基础，特别是随着用电的普及、电气化程度的不断提高、电子设备的日益增多，电力行业对国计民生影响逐渐增大，在我国能源产业中占有越来越大的比重。随着信息技术的快速发展，电力系统也已进入数字时代，并逐步演变成一个复杂的信息系统，电力系统信息化基础设施逐步完善，电力生产、调度自动化系统应用更加成熟，电力营销管理系统也得到广泛应用，管理信息系统的建设与应用逐渐推进，电力信息系统已经成为电力系统稳定运行的基础，其信息安全直接关系到电力系统的安全运行，关系到社会的稳定、繁荣以及企业的生存和发展。

为了保证电力系统的安全高效运行，必须保证电力信息系统的安全性，本文对电力信息系统面临的安全风险及威胁进行了分析，结合当前信息安全发展趋势，重点阐述了数据安全对于电力系统信息安全的重要性，研究了电力信息系统中的数据安全防护机制。

电力信息系统的安全需求

1.电力信息系统安全问题及威胁

电力信息系统发展带来的信息安全、网络安全、数据安全乃至国家安全问题十分突出，美国已将电力系统作为未来网络战攻击目标之一，由于保密原因，许多电力信息系统遭受攻击的事件未曾报道，为加强电力系统信息安全，美国总统奥巴马上任伊始就批准了一项保障电力系统信息安全的研究计划。我国也在加强电力信息系统安全方面的研究工作，制定了相关政策，各电力企业也将信息安全作为安全生产的一部分并制定了各类信息安全预案，但总体来看，电力信息系统安全基础相对比较薄弱，从目前情况分析，电力信息系统存在的主要问题包括两个方面：一是普遍缺乏统一的安全管理体系和安全规划，缺乏统一的规章制度和安全策略；二是缺乏完整的技术防护体系，目前各电力信息系统己经采用了一些安全防护措施，但是相对于日益复杂多变的信息安全形势，安全措施的采用还是不足的，存在严重的风险和安全威胁。从技术方面上分析，电力信息系统所面临的安全威胁可分为以下两种：

（1）对网络中各类设备的威胁；这类威胁对网络设备、计算机设备、工业控制设备进行远程控制、非法使用甚至破坏，使设备不能按正常工作、拒绝服务或者被植入后门，导致电力系统正常业务出现错误甚至中断。造成这类威胁的原因主要包括网络结构设计不合理，设备存在安全漏洞、病毒的侵害以及人员的恶意攻击等。

（2）对电力系统中的数据进行威胁，出现数据被截取、篡改或者破坏。对数据的威胁可能存在于数据的存储、处理和传输整个过程中，这类威胁的原因主要包括人员的非授权访问，操作系统、数据库系统或者应用系统设计缺陷造成信息泄露、人员的恶意攻击，管理人员的素质风险等。从信息安全发展趋势来看，信息安全防护的核心都将归终于数据安全，因此对于电力行业而言，保护电力数据安全是电力信息安全核心内容。

2.电力信息系统数据安全

电力信息系统面向电力企业，按照应用领域不同，可以分为三类：生产控制系统、行政管理系统和市场营销系统，其数据内容按照领域可以分为与生产过程相关的数据、办公数据以及市场营销方面的数据。电力信息系统数据安全隐患主要体现在数据存储、传输的安全性和真实性上，通常电力信息系统数据安全至少需要解决以下问题：

（1）保证电力数据的完整性，以防止电力系统各类数据不被修改；

（2）保证电力敏感数据的保密性，例如：电力系统中的供电信息在传输途中不被非法截获；

（3）保障电力数据的可用性：保证电力各类数据能够被授权人员访问。

在实际电力信息系统应用环境中，电力系统将电力设备、业务应用软件、计算机设备在网络环境下组成一个有机整体，电力系统的数据安全防护不可能依靠某种单一的安全技术就能得到解决，必须在综合分析电力系统整体安全需求的基础上构筑一个完整的数据安全服务体系。

电力信息系统数据安全防护策略

数据安全是电力信息系统安全的焦点，如何确保数据安全，成为数据管理上的难点和关键点。电力信息系统数据安全面向具体行业，实现安全目标应以密码学、访问控制、网络安全等信息安全的理论和方法为基础，建立相应的数据安全防护策略，其目的是为了解决电力部门如何保护自己的数据的安全性、完整性和可用性。确保电力企业数据安全不是简单的设置防火墙、安装杀毒软件、使用最新的补丁程序修补最近发生的漏洞或者进行数据备份等，而是一个系统的、动态的过程，也是一个与时俱进的过程。

1.建立一体化安全防护机制

电力行业信息安全保障体系应充分满足电力行业当前及未来发展需求，以“信息保障”为中心，以“深度防御”和“综合防范”为指导，以“信息安全风险分析”为手段，以“信息安全管理”为重点，从人员、技术、管理等方面提供安全保障能力，从数据本身、数据存储、数据传输、数据处理等方面出发，构建一体化的安全防护机制，满足电力数据的保密性、完整性、可用性等安全需求。

2.加强数据存储环境的安全

电力行业数据通常存在于各类业务系统中，这些系统数据的存储环境主要包括操作系统和数据库系统。操作系统是连接计算机硬件与上层软件之间用户的桥梁，操作系统的安全性是至关重要的，为了减少操作系统的安全漏洞或隐患，需要对操作系统予以合理配置、管理和监控；在数据库系统中，电力行业所涉及的数据库密级更高、实时性更强，因此有必要根据其特殊性完善安全策略，保证数据库中的数据不会被有意的攻击或无意的破坏，不会发生数据的外泄、丢失和毁损，即实现了数据库系统安全的完整性、保密性和可用性。

3.对敏感数据本身进行防护

对于电力行业部门，各类操作系统和数据库系统提供的安全控制措施只能满足一般的数据库应用，而难以完全保证其数据的安全性。当前基于内网安全、终端安全和数据安全的方式在不同程度上对各类数据进行了保护，但对于敏感的数据内容，需要采用对加密的方式对数据进行保护，同时要对数据本身及其运行支持系统进行备份和对数据运行的硬件环境进行备份。

4.加强数据交换的安全设计

针对数据交换过程中数据完整性、数据保密性、不可抵赖性等问题，需要采用身份认证、数据传输的端到端加密、线路加密以及更强的应用层协议进行综合防护。实现对用户的统一管理，统一授权，防止未经授权的用户非法使用系统资源，实现对发送的数据自动加密，作为不可阅读和不可识别的数据穿过互联网，采用VPN等手段对线路加密，以及采用更强的应用层协议对数据包进行深入分析，按照特征数据进行匹配跟踪，并可以通过终止所跟踪的可疑会话来实时检测和阻止各种非法攻击对网络的入侵。

电力信息系统的数据安全防护体系

当前，随着电力行业信息化的快速发展，云计算、物联网、移动互联网等新技术也逐渐应用到电力行业，电力系统承载的数据内容呈几何级数增长，如何保障这些数据的安全成为电力系统必须面对的重要问题。

1.电力信息系统数据安全体系

通过分析影响电力信息系统数据安全的因素，从数据安全评估、数据安全技术体系、数据安全管理体系等方面构建电力系统数据安全防护体系框架。

图1 电力信息系统数据安全防护体系框架

其中在数据安全技术体系中，与数据安全密切相关的技术主要包括数据中心建设、数据加解密技术以及对数据资源的访问控制技术等内容，本文重点分析这三方面的技术内容。

2.电力信息系统数据存储环境建设

保证计算机信息系统各种设备的物理安全是整个信息系统安全的前提，对于电力系统数据而言，电力系统数据存储环境建设是保障数据物理安全的前提，必须首先研究存储环境安全技术，再保障硬件系统的安全，进一步保证硬件上运行的操作系统安全，最终实现数据的安全。电力系统数据存储宜采用数据中心存储方式进行，通过对重要系统数据进行集中管理，可以保障数据环境的物理安全，数据中心通过系统硬件支撑平台的虚拟化，统一共享软硬件基础设施，实现信息资源的充分共享，通过整合、优化基础设施，采用服务器集群、服务器动态负荷均衡、网络存储整合和虚拟化等国际前沿信息技术，形成灵活的IT硬件基础架构。在建设方面，可按照电力行业级别分别建立不同级别的数据中心，形成全面的以数据层面为基础，面向各级信息系统，实现网络、系统、主机、数据自上而下的全面的信息安全体系，促进企业信息安全保障水平，保障电力企业的业务信息安全和系统服务安全，促进电力企业信息化建设IT基础架构灵活化、存储管理集中化、数据备份自动化、数据管理全面化、信息安全一体化的发展。同时对数据中心应进行严格管理，配备防盗、防火、防水等设施，应当安装监控系统、监控报警装置等。建立严格的设备运行日志，记录设备运行状况。要规范操作规程，确保计算机系统的安全、可靠运行。

3.电力信息系统数据加解密技术

信息加密是一种行之有效的技术保护措施，是一种主动的防卫措施。通过某种加密算法将数据变换成只有经过密钥后才可读的密码来加以保护。信息加密包括两方面的要求，一个是对数据保密性要求，使未经授权的非法访问即使得到数据也难以解密;另一个是对通信保密性要求，防止用户通信数据篡改、通信数据插入、通信数据重用等非法操作。现代密码算法不仅可以实现加密，还可实现数字签名、鉴别等功能，有效地对抗截取、非法访问、破坏数据的完整性、冒充、抵赖、重演等威胁，因此密码技术是数据安全的核心技术之一。常见的数据加密算法有DES算法、RSA算法、IDEA算法、DSA算法等。

4.电力信息系统身份认证体系构建

对数据安全、可靠、有效地存取是数据安全的关键，身份认证技术是主要的实现手段，用户认证目的是验证用户身份、访问请求的合法性，可有效地防止冒充和非法访问等威胁。对电力行业而言，由于组织机构相对比较严密，分层明确，可以考虑采用公钥基础设施(PKI:Public Key Infrastructure)构建身份认证体系，建立电力系统的网络信任机制，并通过数字证书的方式为每个合法的电力用户提供一个合法身份的证明。PKI从技术上解决了电力网络上的身份认证、信息完整性和抗抵赖等安全问题，在保障电力应用系统的认证性、机密性、完整性、不可否认性中发挥着重要作用。电力行业PKI由于行业需求，一般为适应不同级别信息安全的需要，CA证书间需要相互交叉验证。但交叉认证易造成信任链混乱，对于具有大量职员的电力行业，必须采取措施，严格管理交叉认证，根据CA认证关系图应能明确判断出各行为主体间的相互关系。

结语

数据安全作为电力信息系统中的核心资产，具有重要的地位，必须采用强有力的措施保证其安全性，确保能为用户提供更为精细的服务，但信息安全是动态的、整体的，安全总会随着用户网络现况的变化而变化，电力系统完整的安全解决方案还必须包括长期的、与项目相关的信息安全服务，必须建立健全信息安全组织保证体系、各种安全管理制度和培训机制，进行动态的安全评估，及时发现信息系统中最新的安全网络，并采取风险控制措施，不断完善信息安全体系的建设。