电网企业信息安全防护体系建设

葛元鹏，蔡晓明，周 晟，黄泰宁

(1.国网福建省电力有限公司信息通信分公司，福建福州 350003;2.国网信通亿力科技有限责任公司，福建福州 350003)

随着电网企业信息化的不断深入、网络与信息系统安全问题性成为企业现代化管理的重点。电网作为国家基础设施行业，电网安全关系到国家安全，更易成为攻击目标，离线攻击、APT攻击、暗链攻击等攻击手段不断出现，如何构建企业信息安全的信防护体系，是电网企业面临的课题。

1 电网企业信息安全防护需求

信息安全的总需求是边界安全、网络安全、主机安全、终端安全、应用安全和数据安全的最终目标，是确保信息机密性、完整性、可用性、可控性和抗抵赖性，以及企业对信息资源的控制［1］。2009年福建公司开展了等级保护工作，结合今年福建公司安全防护体系建设和等保测评成果，证明信息安全防护重点在于管理。现代企业管理实践也证明，任何工作均是3分技术，7分管理。电网企业信息安全工作也不例外，技术只是最基本的手段，规范、科学的管理才是发展根本的保障［2］。

2 信息安全防护体系设计

2.1 信息安全防护体系总体框架

在对多种信息安全防护体系进行研究分析后，参照ISO/27001信息安全管理标准，根据国家电网公司电网信息安全等级保护“双网双机、分区分域、等级防护、多层防御”原则，提出电网企业的信息安全防护体系框架，如图1所示。

电网企业信息安全防护体系建设可从管理和技术层面进行［3］。该体系框架根据规划设计、开发测试、实施上线、运行维护、系统使用和废弃下线6个环节的信息系统生命周期特征制定全过程安全管理;从物理、边界、网络、主机、终端、应用、数据7个方面制定全方位的技术防护措施。

图1 信息安全防护体系总体框架

2.2 信息安全防护管理体系设计

电网企业信息安全在信息系统建设、运行、维护、管理的全过程中，任何一个环节的疏漏均有可能给信息系统带来危害。根据信息系统全生命周期，从规划设计、开发测试、实施上线、运行维护、系统使用和废弃下线6个环节，设计覆盖信息安全管理、运行、监督、使用职责的安全管控流程［3－4］。

图2 信息安全防护管理体系框架

2.2.1 网络与信息系统安全管理

网络与信息系统是企业现代化管理的重点。由于网络与信息系统的动态性、复杂性和脆弱性，建立健全的信息安全管理体系已成为了保障网络与信息系统安全的重要手段。网络与信息系统的安全管理依照国家电网公司制定的《国家电网公司信息网络运行管理规程(试行)》，遵循信息安全等级保护“双网双机、分区分域、等级防护、多层防御 ”的原则。

2.2.2 人员安全管理与岗位职责管理

安全问题的特点为“3分技术、7分管理”，而管理的核心是人，对于人员安全管理与岗位职责管理其主要包含如下管理内容:(1)岗位职责。制定岗位责任书，明确各岗位信息安全责任。(2)持证上岗。安全工作人员持证上岗。(3)保密管理。与员工签订保密协议，并定期进行检查与考核。(4)安全培训。对员工进行定期安全培训。(5)离职管理。对离岗离职人员账号、权限及信息资产进行清理和移交。

2.2.3 全过程安全管理

(1)系统规划设计安全管理的主要内容包括:1)分析和确认系统安全需求。2)确定系统安全保护等级并备案。3)制定安全防护方案并进行评审。

(2)系统研发安全管理的主要内容包括:1)制订研发安全管理机制，确保开发全过程信息安全。2)加强开发环境安全管理，与实际运行环境及办公环境安全隔离。3)严格按照安全防护方案进行安全功能开发并定期进行审查。4)定期对研发单位环境和研发管理流程进行安全督查。

(3)系统实施与上线安全管理的主要内容包括:1)严格按照设计方案对网络、主机、数据库、应用系统等进行安全配置。2)严格遵循各项操作规程，避免误操作。3)组织安全测评机构进行上线环境安全测评。4)及时对系统试运行期间发现的安全隐患进行整改。

(4)系统运行维护安全管理的主要内容包括:1)遵循运维安全规程，执行各项运维操作。2)对系统安全运行状况进行实时监控，及时采取预警和应急处置措施。3)定期进行安全风险评估、等级保护测评与整改。4)建立系统漏洞补丁的安全测试、分发和安装管理机制。5)根据数据重要性进行数据备份，并定期进行恢复测试。

(5)系统使用安全管理的主要内容包括:1)终端准入控制，对各种移动作业、采集、专控等终端进行安全测评。2)终端外联控制，禁止终端跨网络接入。3)系统账号和权限管理，对系统使用人员及其权限进行严格管理。4)终端使用管理，防止终端交叉使用、用户越权访问等。5)终端数据存储、处理时的安全保护。6)对移动存储介质的安全管理。7)终端维修管理，由运维机构统一处理。8)终端下线、报废时的安全管理，对终端数据进行安全处理。

(6)系统废弃下线安全管理的主要内容包括:1)评估系统下线对其它系统的安全性影响，制定下线方案并进行评审。2)系统下线前对重要数据进行备份和迁移。3)系统下线后对不再使用的数据与存储介质进行销毁或安全处理。4)系统下线后及时进行备案。

2.2.4 系统测试评估安全机制与评价考核

信息系统建成后必须经过试运行并对系统的安全性、可靠性和应急措施进行全面测试，测试和试运行通过后方可投入正式运行，信息安全风险评估包括资产评估、威胁评估、脆弱性评估、现有安全措施评估、风险计算和分析、风险决策和安全建议等评估内容。安全管理机制的主要内容包括:事件管理、安全督查、等保管理、备案管理，应急管理等。

3 信息安全防护体系

电网企业信息安全防护体系的设计［5］，主要从物理、边界、网络、主机、终端、应用、数据7个方面进行，遵循环境分离、安全分域、网络隔离、终端准入、补丁加固、数据分级、安全接入、基线配置、应用审计、密钥应用等技术原则，辅以相应的技术措施实现全面的安全防护［6］。

图3 信息安全防护技术体系框架

3.1 物理安全

物理环境分为室内物理环境和室外物理环境，根据设备部署安装位置的不同，选择相应的防护措施。室内机房物理环境安全需满足对应信息系统安全等级的等级保护物理安全要求，室外设备物理安全需满足国家要求。具体安全措施如下:(1)机房分区、门禁等准入控制。(2)设备物理安全需满足国家对于防盗、电气、环境、噪音、电磁、机械结构、铭牌、防腐蚀、防火、防雷、电源等要求。(3)机柜/机箱应避免可能造成的人身安全隐患，符合安装设备的技术需求。(4)机柜/机箱外应设有警告标记，并能进行实时监控，在遭受破坏时能及时通知监控中心。(5)研发场所分离并采取准入控制

3.2 边界安全

边界安全防护目标是使边界的内部不受来自外部的攻击，同时也用于防止恶意的内部人员跨越边界对外实施攻击，或外部人员通过开放接口、隐蔽通道进入内部网络;在发生安全事件前期能够通过对安全日志及入侵检测事件的分析发现攻击企图，安全事件发生后可以提供入侵事件记录以进行审计追踪。

3.3 网络安全

网络环境安全防护的目标是防范恶意人员通过网络对网络设备和业务系统进行攻击和信息窃取，在安全事件发生前可以通过集中的日志审计、入侵检测事件分析等手段，以及对信息内外网网络、终端以及防护设备等安全状态的感知和监测，实现安全事件的提前预警;在安全事件发生后可以通过集中的事件审计系统及入侵检测系统进行事件追踪、事件源定位，及时制定相应的安全策略防止事件再次发生;并能实现事后审计，对恶意行为和操作的追查稽核、探测入侵、重建事件和系统条件，生成问题报告。

3.4 主机安全

主机系统安全的目标是采用信息保障技术确保业务数据在进入、离开或驻留服务器时保持可用性、完整性和保密性，采用相应的身份认证、访问控制等手段阻止未授权访问，采用主机防火墙、入侵检测等技术确保主机系统的安全，进行事件日志审核以发现入侵企图，在安全事件发生后通过对事件日志的分析进行审计追踪，确认事件对主机的损害程度以进行后续处理。

3.5 终端安全

终端安全防护目标是确保智能电网业务系统终端、信息内外网办公计算机终端以及接入信息内、外网的各种业务终端的安全。目前重点终端类型包括:(1)配电网子站终端。(2)信息内、外网办公计算机终端。(3)移动作业终端。(4)信息采集类终端。对于各种终端，需要根据具体终端的类型、应用环境以及通信方式等选择适宜的防护措施。

3.6 应用安全

按照国家信息安全等级保护的要求，根据确定的等级，部署身份鉴别及访问控制、数据加密、应用安全加固、应用安全审计、剩余信息保护、抗抵赖、资源控制、等应用层安全防护措施。

3.7 数据安全

对数据的安全防护分为数据的灾难恢复、域内数据接口安全防护和域间数据接口安全防护。域内数据接口是指数据交换发生在同一个安全域的内部，由于同一个安全域的不同应用系统之间需要通过网络共享数据，而设置的数据接口;域间数据接口是指发生在不同的安全域间，由于跨安全域的不同应用系统间需要交换数据而设置的数据接口。

4 结束语

目前电网企业信息安全防护工作正逐步规范，但由于其动态性和复杂性等特点，以及信息化工作职能定位、功能划分还需在实践中不断完善等原因，信息安全防护工作尚存在诸多问题。本文通过对电网信息安全防护体系的构建，有效解决了由于信息系统规模扩大所带来的信息系统安全性维护问题。

［1］ 赵泽茂，吕秋云，朱芳．信息安全技术［M］．西安:西安电子科技大学出版社，2009．

［2］ 江龙才．电网企业信息安全防护体系研究与应用［C］．合肥:安徽省电机工程学会第一届电力安全论坛，2008．

［3］ 刘金长，赖征田，杨成月，等．面向智能电网的信息安全防护体系建设［J］．电力信息化，2010(9):13－16．

［4］ 董春辉．一种信息安全防护体系［J］．电信工程技术与标准化，2010(2):30－32．

［5］ 许魏．电力系统信息安全防护关键技术研究［J］．技术与市场，2012(10):67，69．

［6］ 曹斌．企业信息安全防护体系的构筑［J］．网络安全技术与应用，2001(7):37－38．