电力信通机房安全风险评估研究

王尚章 李爱民

（国网安徽省电力公司滁州市城郊供电公司 安徽滁州 239000）

电力信通机房安全风险评估研究

王尚章 李爱民

（国网安徽省电力公司滁州市城郊供电公司 安徽滁州 239000）

在电力事业不断发展的今天，我国的电力系统对信息系统和计算机网络系统具有越来越大的依赖程度，在这种情况下如何能够有效的保障电力信通机房的安全性变得越来越重要，这也属于电力信通机房安全风险评估工作必须要解决的一个问题。基于此，本文与当前电力系统信息化建设的现状相结合，对电力信通机房安全风险评估的方式和策略进行了分析和介绍。

电力；信通机房；安全风险评估

引言

作为与国计民生密切相关的重要行业，电力行业有效地推动了我国社会经济的快速发展。现在人们对电力具有越来越高的需求，在这一背景下，电力行业的通信的安全性也变得越来越高。然而因为受到很多原因的影响，导致我国的电力行业通信安全仍然面临着较大的威胁。安全风险评估是提升电网整体安全水平的的重要措施，为了保障电力信通机房的安全性，就必须要高度重视对信通机房的安全风险评估工作。

1 电力信息通信安全风险评估的背景

电力信息通信安全风险评估主要是指以信息安全标准为根据科学的评估信息通信系统本身以及其对信息进行存储、传输和处理的可用性、完整性和机密性。在我国信息技术和通信技术不断发展的今天，在技术层面通信和信息两个专业具有越来越高的趋同性，通信技术开始从基层逐渐的延伸到应用层，而信息技术开始从顶层逐渐的扩展到传输层。现阶段，电力通信的主流就是融合的信息通信技术，信息通信架构和业务也由于技术的融合而开始逐渐地融合[1]。

信息通信平台是坚强智能电网的支撑，坚强智能电网主要手段就是智能控制，其囊括了电力系统中的各个环节，能够使业务流、信息流和电力流实现高度的一体化融合，因此其对信息通信的安全性和支撑能力的要求也变得越来越高。现阶段，电网通信安全受到了非常严重的威胁，根据相关的统计显示，在奥运期间北京对数量众多的来自于互联网的非正常访问进行了监测和拦截；电监会和供电企业在上海世博会期间受到了很多的高风险攻击。

现阶段，我国的电网公司基本上实现了信息通信组织业务和架构的融合，由于信息通信业务需求和电力生产管理模式的变化，使得信息通信安全风险评估面临着越来越大的压力。再加上现阶段移动互联网、物联网、云计算以及大数据等相关的信息通信新技术的应用，极大地威胁到了电力信息通信安全。电力系统信息通信安全性在信息、通信融合的背景下具有了越来越广泛的含义，其除了包括业务应用、信息通信设备和信息安全之外，还包括基础设施、管理措施等相关的工作。总而言之，电力信息通信安全风险评估属于一个全覆盖、整体性和系统性的工作。

2 电力信通机房安全风险评估的有效对策

2.1 建立健全安全风险评估体系

为了能够对传统风险评估方法存在的缺陷进行弥补，及时有效的评估与控制风险，就必须要建立健全安全风险评估体系。将信通机房作为研究对象，对安全评估企业标准和国际标准进行参考，同时纳入可以将信通机房信息基础设施特点反映出来的特色指标，从而构建与电力企业信息化环境相适应的安全风险评估指标体系，并且对其进行进一步的细化，总共包括七大类，也就是信通机房运行维护系统、网络安全系统、光缆设备安全、信通机房物理防护、人员安全管理、信通机房安全管理机构、信通机房安全管理制度等[2]。以每个指标的重要性为根据设置合适的分值，全部指标分数的总和就是最终的安全风险评估得分。工作人员可以分数将风险等级确定下来，越高等级就表明具有越大的风险。在确定风险评估结果之后，以风险等级为根据采用有效的应对措施，同时由专业人员对各项指标进行分析，并且将风险控制的具体方式提出来，对风险进行及时控制，最终使信通机房信息网络的安全性得到保障。图1为安全风险评估内容。

2.2 制定明确的风险管理目标

图1 安全风险评估内容

建立健全风险评估指标的最为主要的目的就是以该指标体系作为依据量化分析和管理安全风险，所以在将指标体系制定出来之前，要先将风险管理的目标设定好。风险管理目标主要包括以下内容：①监控安全状况。监控安全状况主要是对信通机房的潜在威胁和自身的弱点进行准确识别，从而让安全评估者正确地评估整个系统的状况，特别是在发生安全事件和故障的前期，通过对系统脆弱点的预警能够使系统的持续运行的安全防护能力获得极大的提升[3]。②预测风险趋势：传统的安全防御系统和入侵检测系统只是可以将当前和过去的安全事件数据提供出来，而网络安全风险评估则能够以这些安全事件数据为根据预测和实时计算相关的风险，并且以计算结果为根据对系统进行评价，从而将系统的安全状态明确下来。③指导安全防护：指导安全防护的目标就是适度安全，以安全风险评估结果为根据将最优的安全解决方案和网络安全对策制定出来，不断的强化建设网络系统安全技术体系的水平，确保网络系统实现适度安全。

2.3 对安全风险评估过程进行分步骤实施

①资产评估：在系统的信通机房内需要保护的各种有价值的信息基础设施对象就是所谓的信息资产。与电力信通机房的实际情况相结合，笔者认为，其资产主要包括安全设备、网络设备、网络线路、机房物理环境等，利用相应的扫描和调查等方式就可以获得必要的资产信息[4]。②安全威胁评估：信通机房主要面临的风险包括两个方面，一方面是包括火山爆发、地震等在内的各种非人为的威胁；另一方面是包括非授权访问、误操作和网络攻击等在内的各种人为威胁。威胁在信息安全风险评估工作中被划分为两个部分，也就是威胁识别和威胁赋值。通过已有的入侵防御系统能够收集入侵审计记录，并且定量分析潜在的威胁，最终针对潜在的威胁进行合理的赋值。③安全弱点评估：脆弱性评估主要包括三个方面，也就是运维、技术和管理。脆弱性评估过程实际上就是分析和发现存在于信息系统中的各种技术漏洞、运维缺陷，同时将脆弱性被利用的难易程度确定下来。在建立信机房安全风险评估工作中，与安全评估指标体系相结合，明确各种安全措施的强弱程度，并且评估各个安全措施的可规划特性、可管理特性、标准特性、集成特性、有效性和针对性等[5]。④风险综合分析。将各个信通机房作为研究对象，对已有的安全控制手段、存在的弱点和威胁、信息资产列表进行综合，从而量化风险。电力信通机房安全风险评估工作可以划分为七个板块，分别为信通机房运行维护系统、网络安全、通信光缆设备安全、信通机房物理防护、人员安全管理、信通机房管理机构、信通机房安全管理制度等，上述板块的分值分别为26分、32分、18分、24分、10分、10分和10分，130分为满分。以评估所得的分数为根据对风险等级进行划分，其中的紧急风险为低于90分的风险，一般风险为90～110分的风险，正常风险为110～130分之间的风险。以所界定的风险等级为根据，利用评估体系的具体打分情况就能够对形成风险的具体位置进行准确定位，同时利用相应的措施做好风险控制工作。图2为安全风险评估过程示意图。

图2 安全风险评估过程示意图

3 结语

在保障电力信息安全的工作中信息系统安全风险评估发挥了十分重要的作用，原来的信息安全评估体系过于大而全，其检查点的设置依据就是完整的信息系统环境，具有可操作性比较差、数量庞大等一系列的不足。在本文中提出的电力系统机房安全风险评估体系，与当前电力系统的安全风险情况相适应，而且实用性非常高，值得在类似信通机房的安全保障工作中予以推广和应用。

[1]褚尧.基于二维码的机房安全管理系统的研究[J].知识经济，2014（20）.

[2]龚新平.同城数据中心站点选择关键技术研究[J].冶金自动化，2016（03）.

[3]王 宇，贺蓉.电力信息机房环境安全监控系统的架设[J].科技传播，2016（11）.

[4]喻冠华.信息通信机房标准化建设浅析[J].通讯世界，2016（10）.

[5]范家锐.关于信息化设备机房改造设计的探讨[J].广播电视信息，2016（05）.

TM73

A

1004-7344（2016）23-0056-02

2016-8-3