电网企业网络安全内部审计的实践与创新

蒋城颖 金潇 蒋锦霞

[摘要]国网浙江省电力有限公司信息通信分公司从顺查网络安全宣贯学习、抽查网络安全专业技术队伍、逆查信息系统及终端管控和分析网络安全态势感知及创新技术防范水平四方面入手，突出制度、技术队伍和管控体系三个亮点建设，全面评估公司网络安全总体态势和风险状况，防范管理过程中的廉政风险，提高网络安全管理水平。

[关键词]电网企业 网络安全 内部审计 创新

目前，电网企业正经受前所未有的网络安全考

验。为此，国网浙江省电力有限公司信息通信分公司（以下简称公司）通过内部审计开展网络安全管控提升的创新尝试，实现管理模式精细化转变，深化公司网络与信息安全队伍建设，持续强化信息安全蓝队技术防范水平，满足重大保电要求，真正从实效上促进和改善企业的管理效能。

一、四个方面措施

内部审计紧紧围绕预期目标开展工作，做到全员推广与技术创新齐头并进，安全技术措施与管理规划相互同步，人员建设及技术装备双向落实，具体包括四个方面的措施。

（一）顺查网络安全宣贯学习

以责任人为对象开展内部审计，确保全体员工认真学习《中华人民共和国网络安全法》，核实是否开展网络安全宣传周活动，是否发放前沿安全技术宣传资料、播放安全防护宣传片、开展病毒防护案例警示教育展、开展攻防演练、应急处置等技能演示，是否解答员工关心的安全防护问题，切实提高全员的网络安全意识。

（二）抽查网络安全专业技术队伍

以规则为对象，对制度、计划、任务、标准、流程等的执行过程及结果进行审计。核实网络安全蓝队工作制度、蓝队阶梯培养计划和蓝队信息安全技术培训，是否针对漏洞扫描器及十五大管理型漏洞的检测及加固方案进行专业技术培训及实操练习，是否积极提供网络安全防护典型经验。

（三）逆查信息系统及终端管控

以信息系统为对象，对存货、固定资产和系统运营维护情况进行审计。全面梳理公司内外网信息系统和终端接入的整体情况，了解核实网络与信息系统防攻击、防篡改、防病毒、防瘫痪、防窃密能力，按照“谁主管谁负责，谁运行谁负责，谁使用谁负责，管业务必须管安全”的原则，开展内外网信息系统和终端的专项检查工作。核实是否全面完成内外网系统的风险评估和安全测评，核实提升信息系統账号权限认证和弱口令整改能力，核实是否加快终端准入控制及身份认证系统建设，是否实现终端管理的可控、能控、在控，杜绝非法接入。

（四）分析网络安全态势感知及创新技术防范水平

借助网络安全分析室，核实网络安全分析室的人员、场地、技术装备和配套保障，通过采用业界先进的各类系统工具、平台，核实是否有效拓展信息安全防护范围，实现全方位、无死角的信息安全监控和防御；利用工具、平台使信息安全防护工作由“隐形化”向“可视化”转变，实现信息安全防护策略的动态下发，助力内部审计分析。

二、三个亮点建设

随着企业管理体制改革、转换经营机制和完善法人治理结构的推进，内部审计不断融入电网企业安全生产和经营管理等活动中，推动公司党风廉政建设和反腐败工作的开展。在深入开展公司网络安全审计过程中，突出以下三个亮点建设，确保内部审计取得实效。

（一）推动全面、实用、细致的制度建设

一是促进制度建设全面。制度贯穿网络安全管控提升各方面，涵盖信息安全蓝队技术队伍建设、网络安全技术防范措施、网络安全技术装备、管控提升费用支出情况、网络安全教育培训情况以及考核情况。

二是助推制度内容实用。为确保制度的内容真正有利于提升网络安全管控，业务部门在修订过程中多次组织运维机构和地区信通公司等专家进行讨论，吸取各部门、各单位在项目管理中的优秀经验及有效做法，使制度更具实用性、可操作性和针对性。

三是保障制度落实精细。各项网络安全的规章制度均经公司领导、各部门、各单位专家评审讨论后确定，具有约束力和执行力。根据个人工作开展情况，时常在例会上学习重温，对照评点，做到温故知新，并通过流程绩效评价定期监督制度执行情况。

（二）推动有组织、有纪律、懂专业的技术队伍建设

一是推进信息安全蓝队体制提升，组建网络安全分析室。完善“制防、物防、人防、技防”四个层面，建立“四维”防御体系（如图1所示），修编并完善一系列蓝队队伍管理规章制度，建立健全工作机制，常态化开展网络安全监测、分析、预警工作。以网络安全分析室为抓手，统一调度本单位蓝队开展信息安全内控相关工作，实现“统一监测、统一预警、统一指挥”。

二是将视野扩展到组织外部，制定蓝队阶梯培养计划，完善蓝队成员信息。加强信息安全蓝队成员的选拔工作，向基层单位、直属单位覆盖延伸，努力推进人才梯队建设，在蓝队选拔技术能力强，工作能力突出的成员作为核心骨干人员。地市、县公司通过选拔或推荐的方式组建蓝队第二梯队，作为预备队员，正常参与蓝队常态化工作和培训交流，成熟一个发展一个。同时，有效推动建立蓝队成员基础信息台账，对蓝队成员的技术能力和工作能力进行全面评估和记录，完善蓝队成员团队贡献度、培训证书、获得荣誉等信息。

三是助力打造“浙电蓝”品牌，持续扩大“浙电蓝”的影响力。内部审计期间共申报26个典型经验，其中《防火墙无法显示视频的问题分析及处理典型经验》《北信源桌面管控系统与Win7兼容性问题分析及处理典型经验》《反向隔离装置高速模式性能问题分析及处理》等3个典型经验被国网肯定并推广。

（三）推动完备、实用、高效的管控技术体系建设

在充分依托公司现有技术手段的基础上，从技术装备和分析平台两方面对技术支撑部分进行加固补强，完成渗透测评平台、白盒代码检测系统、内控检查工具及脆弱性分析平台的建设，并整合内外网安全可视化平台进行多信息源整合展现，有利于内部审计掌握情况。

一是打造全天候全方位网络安全态势感知。感知网络安全态势是内部审计必须掌握的最基础的工作，要建立统一高效的网络安全风险报告机制、情报共享机制、研判处置机制，结合大数据挖掘分析，准确把握网络安全风险发生的规律、动向和趋势。

二是增强网络空间未知威胁防御能力。强化基于行为识别攻击检测技术，构建不依赖签名特征的威胁分析防护体系，对潜在的未知攻击行为能够准确识别，并进行有效分析和验证。

三是实现漏洞库、特征库、知识库全面化。通过主动探索网络安全工作薄弱点，在安全加固的过程中提升隐患发现能力。

（作者单位：国网浙江省电力有限公司信息通信分公司，邮政编码： 310007，电子邮箱：6608764@qq.com）