鐵路行業信息安全管理面臨的挑戰及對策探討

史天運

（中國鐵道科學研究院 電子計算技術研究所， 北京 100081）

安全管理

鐵路行業信息安全管理面臨的挑戰及對策探討

史天運

（中國鐵道科學研究院 電子計算技術研究所， 北京 100081）

隨著鐵路行業信息化程度不斷提高，信息安全風險日益成為影響行業核心業務的重要因素。本文從鐵路行業安全管理現狀入手，分析行業信息安全管理面臨的挑戰，探討如何通過管理機構及多維管理制度的建設，結合信息安全綜合管理平臺，制定符合鐵路行業的信息安全風險防范措施和管理辦法。

鐵路信息化；信息安全；安全管理；綜合管理平臺

隨著信息系統在鐵路應用范圍的不斷擴大、功能的不斷強大、網絡覆蓋的不斷延伸、開放性與互聯性的不斷增強以及技術復雜性的不斷提升，信息網絡和信息系統自身的缺陷、脆弱性以及來自內外部的安全威脅等所帶來的信息安全風險日益凸顯，并且日趨多樣化和復雜化，傳統的安全管理方式已不適應信息安全保障要求，必須采取先進的管理理念和科學的管理方法。

鐵路信息安全管理是運用科學的理論和方法制定有效管控和處置措施，加強安全風險過程控制，強化應急處置，使安全風險可能造成的后果降低到可以接受的程度。實施鐵路行業信息安全管理既是系統安全穩定運行的內在需要，也是保障鐵路運輸安全和正常秩序的必然要求。

1 鐵路信息安全管理面臨的挑戰

1.1 行業信息安全等級保護標準體系缺乏

信息安全等級保護制度是我國信息安全保障工作的基本制度，開展信息安全等級保護工作是保護我國信息化健康發展、維護基礎信息網絡與重要信息系統安全的根本保障。目前，鐵路信息系統安全建設和管理的目標不明確；信息安全保障工作的重點不突出；信息安全監督管理缺乏依據和標準，監管體系尚待完善。如何在信息安全等級保護相關國家標準的基礎上，研究適合鐵路信息系統安全等級保護的行業標準，提出一套完整的等級保護行業標準體系是鐵路行業信息安全管理工作面臨的重要挑戰。

1.2 信息安全運行維護管理體系不健全

鐵路信息安全事故絕大多數由管理手段缺失或執行不到位導致，因此信息系統的安全運維管理是鐵路安全生產的重要環節。鐵路行業系統的運營及生產安全的管理思想比較落后，與鐵路信息化建設和發展速度嚴重脫節，管理手段還主要依靠人員意識和單純的手工式作業，缺乏行之有效的安全運行維護管理體系。主要表現在：維護人員操作無依據、執行不到位；應急預案可操作性差，應急演練欠缺，應急處置效果不佳；系統運行監測監控手段缺乏，網絡監管不夠。

1.3 安全管理措施缺乏有效執行力

鐵路行業系統日趨商業化，面臨的信息安全風險和挑戰更加嚴峻，信息系統的網絡邊界防護及準入控制等措施是否完備且有效執行，是行業面臨的重要挑戰。對已發布的規章制度的執行力不強，對各類存儲介質或外部接入設備的管理和準入控制措施執行不到位，如出口準入控制、客戶端準入控制、服務器準入控制、網絡準入控制方面規章制度不完善；另外，系統網絡邊界防護措施、系統之間安全隔離措施、互聯網接入安全防護措施、重要數據傳輸及存儲的安全管理措施不夠具體，缺乏實效性。

1.4 安全檢查工作缺乏持續性和針對性

鐵路行業信息安全檢查工作一直都作為一個常態化的管理機制運行，在一定時間間隔內定期或不定期開展，但大部分單位對檢查工作認識不足，需要動用技術力量對系統進行掃描、滲透并部署采集設備時，各單位普遍有畏難情緒，運行維護部門又擔心會影響正常的業務使用。總體來看，檢查工作本身所能提供的信息有限，從而無法真實并準確反應單位信息系統及信息安全現狀，也就無法對系統進行有針對性的信息安全加固及整改。

2 應對措施

建立良好的信息安全管理模式是鐵路信息系統安全穩定運行的根本保障，有利于鐵路行業信息系統的發展。針對上述鐵路信息安全管理面臨的挑戰，建立鐵路行業信息安全管理新模式，結合鐵路行業現有組織管理架構，借鑒已有的信息安全管理制度，明確信息安全工作的地位、目標、原則以及策略，從組織管理、制度及應急管理、運行維護管理和等級保護管理幾個方面來深入考慮和分析，采用體系化管理方式保障信息系統的安全穩定運行。

2.1 健全組織管理機構

信息安全組織管理方面，建立并逐步健全一套自上而下的安全組織機構，成立鐵路信息系統安全管理領導機構，作為系統安全管理的常設組織。同時，采用分層結構，以適應鐵路行業鐵路總公司、鐵路局、站段3級管理機制。組織架構如圖1所示。

圖1 鐵路信息系統安全管理組織結構

鐵路總公司領導機構作為全路信息系統安全管理的常設領導機構，負責制定全路信息系統安全管理制度及辦法，發布鐵路信息系統安全防護技術的標準，制定安全管理制度。區域安全管理機構主要職責有：負責各鐵路局的信息安全管理中心的日常管理工作，及時與安全專家協商討論安全執行方案，執行安全響應中心制定的具體安全策略，定期向上級匯報信息安全管理相關工作，下設多個安全管理決策小組和管理執行小組，管理執行小組主要負責監督和協調鐵路局下設各車站的信息安全管理執行工作。車站級信息安全執行分組包括安全監督員、安全檢查員、安全執行員3類安全工作人員。

2.2 強化制度建設及工作流程管理

2.2.1 管理制度

鐵路信息系統安全不僅要強化系統建設，更要做好內部安全管理建設，具體要做好以下工作：

（1）建立專門的安全防御組織：針對鐵路信息系統整體安全，鐵路總公司應成立專門的機構，負責網絡的安全管理和應急響應。鐵路局、基層站段相應的部門，對鐵路基礎網實施自頂向下的實時監控與管理。

（2）建立健全安全保密制度：各部門應制定嚴格的安全保密條例，杜絕不必要的人員接觸和了解鐵路核心網絡設備與技術，防止敏感信息泄露。對有權了解、處理關鍵信息的內部人員制定更嚴格、更詳細的安全責任制度，明確個人在信息安全方面應該承擔的職責以及發生責任事故后的處罰。

（3）建立健全數據安全保護措施：針對鐵路核心業務系統的關鍵數據，需要建立完備的本地和異地備份制度，同時，采用雙機備份、物理隔離的技術方案，定時增量備份。

（4）定期實施漏洞掃描和系統補丁升級：系統管理人員需定期對網絡進行掃描，以檢測和評估網絡漏洞。檢測范圍包括所有的網絡設備和終端設備，同時掃描網絡內所有主機系統的配置及安全漏洞。

（5）定期實施計算機安全檢查：針對處理關鍵數據的計算機，應建立完善的日志，記錄所有與安全有關的事件。安全日志不僅要完整的記錄安全事件，而且需要具備防篡改、抗抵賴功能。

2.2.2 標準制度

以信息安全相關管理和技術規范及不同層次的信息安全制度為重點，構建科學嚴謹、有效適用、系統規范的信息安全管理標準制度體系。制定相應的技術標準、作業辦法等，明確工作標準，流程，落實管理責任，規范作業行為。按照信息安全風險管理的要求，對各項管理規章制度進行全面的清理和完善，不斷加強鐵路信息安全標準制度體系建設，使鐵路信息安全風險管理工作制度化、規范化和標準化。

2.2.3 工作流程管理

信息安全管理流程包括信息安全培訓工作流程、信息安全運行維護工作流程、信息安全風險控制流程、信息安全應急處置流程、信息安全監督檢查與改進流程等各項管理工作流程。應根據工作實際情況，建立健全、持續改進、推廣應用先進的信息安全管理工作流程，使鐵路信息安全管理和運行維護工作專業化、標準化、規范化。

2.3 建立信息安全運行維護管理體系

2.3.1 安全風險管理

鐵路信息系統安全管理中心采用風險評估的方法，分析和評估系統的風險源和安全威脅源，并根據各類信息資產的重要程度和價值，選擇適當的控制措施減緩風險。鐵路局要組織建立安全風險管理體系，進行信息資產風險評估和風險處理。

從理論上，風險只能降低或減少而不能完全消除。選擇控制措施的原則是既能使鐵路信息系統受到與其價值和保密等級相符的保護，將其所受的風險降低到可接受的水準，又能使所需要的費用在預算范圍之內，使鐵路行業能夠保持良好的競爭力和成功運作的狀態。另外，系統的風險是動態的，風險評估活動應定期進行，特別是在系統的核心功能及技術發生重大變化和內外環境發生重大變化時，風險評估應重新進行。

2.3.2 安全運行維護

鐵路信息系統安全運行維護管理依托安全管理中心實現系統的安全運行維護。鐵路總公司信息系統安全管理中心運行維護平臺可實現對系統中的網絡、主機、安全系統、數據庫、中間件、存儲備份設備和應用系統的可視、可控、可管理，協助運行維護人員監控系統和及時發現問題。各鐵路局安全管理部門運行維護人員應通過使用運行維護平臺，積極開展運行維護管理工作，實現鐵路局安全監管監察部門與鐵路總公司安全運行維護工作的有效連接。對各地區安全管理部門能夠處理的事件，按照路局區域內管理流程執行，并定時向鐵路總公司安全管理中心上報故障情況并提交運行維護處理單。

2.3.3 安全應急響應

鐵路信息系統安全應急響應體系的建立應做好以下5個階段工作。

（1）保護階段：制定應急反應工作流程計劃、確定預警和報警的方法、建立備份的體系和流程、建立安全的系統、進行應急反應事件處理的預演。

（2）預警與報警：識別和發現各種安全的緊急事件。在緊急情況發生前，產生安全的預警報告，在緊急情況發生時，產生安全警報給應急反應中心。應急反應中心將根據事件的級別，采取相應措施。

（3）牽制與反饋：在確認緊急事件發生的情況下，應急反應中心將根據預先制定的反應計劃，進入應急反應流程。同時，應急反應系統本身將根據預先制定的規則，采取相應的措施，把緊急事件的影響降到最小。

（4）消除階段：對于系統內部病毒，應該采用最新的病毒專殺工具清除。對于系統的外部入侵和非法授權訪問等，應該通過專用的漏洞掃描工具發現系統存在哪些漏洞，然后采用相應的手段消除漏洞安全隱患。對于入侵攻擊或超量訪問要采用有效的攔截和限量訪問措施，使系統資源處于可控范圍。

（5）恢復階段：在數據或者系統被破壞，無法修復的情況下，應進行系統的恢復，且恢復要依據預先制定的恢復流程嚴格進行。

2.3.4 安全策略優化

制定有效的安全策略，當原有安全策略無法滿足現有系統的安全需求時，要結合實際情況對系統安全管理策略進行調整優化，以適應新的安全管理制度。制定出符合鐵路信息系統的安全管理策略，以確保系統的信息安全保密性為主，采用多層次保護、最小授權、綜合保護和嚴格管理等措施。

2.3.5 安全檢查審計

安全檢查審計依托安全管理平臺，通過對鐵路信息系統中相關信息的收集、分析和報告，判定現有系統安全控制手段的有效性，檢查系統的誤用和濫用行為，統計系統的安全事件，并按照安全事件的影響和危害程度進行等級劃分，從而驗證當前安全策略的合規性，為以后的歸納總結，安全系統的進一步改善提供依據。安全管理平臺根據從專項的日志審計產品、終端審計產品、數據庫審計產品和應用審計產品中收集上來的信息進行關聯分析，進行審計規則匹配，發現違規行為并進行告警和響應。

通過安全審計與安全管理平臺的融合，使得安全審計體系的建設與安全管理平臺的建設目標達成了一致，有助于鐵路信息系統整體安全體系的形成和完善，并通過對安全事件的分析，把握系統安全威脅的發展趨勢，形成日報告或周報告進行定期安全信息通報，為系統的安全策略優化提供決策性指導。

2.4 建立等級保護管理制度

為切實做好信息安全管理工作，鐵路行業需要借助等級保護這一安全抓手，將等級保護與信息安全日常管理緊密結合，將信息安全管理全面納入鐵路運輸安全生產管理體系，按照“誰主管誰負責、誰運行誰維護”和屬地化管理原則，逐級落實信息安全責任，建立地方與總公司信息化發展相適應的信息安全監督管理機制。同時，為了在縱向上實現對等級保護的控制，鐵路行業主管部門在國家文件政策指導下，應制定符合本行業安全需求的等級保護行業標準、行業等級保護實施方法等文件，用以指導本行業的等級保護工作，保障鐵路運輸及生產安全管理。

2.5 建設鐵路信息安全綜合管理平臺

為保證鐵路信息安全等級保護工作的有序展開，需要建設信息安全綜合管理平臺，旨為鐵路總公司及下屬單位開展與信息安全管理相關工作的綜合工作平臺，功能將覆蓋鐵路總公司及其下屬單位的信息安全管理工作的主要內容，并支持公安部等級保護管理工作。平臺主要提供以下3類功能：（1）以信息系統定級、備案、整改、測評和檢查等規定步驟為主線，實現等級保護工作任務的下發、執行、進度監控和督辦；（2）風險管理、應急管理、安全檢查和事故通報等專項管理功能；（3）日常辦公的綜合管理、培訓教育、標準管理等。

3 結束語

鐵路行業信息安全問題更多來源于內部，這就不僅要在安全性技術上下功夫，而且更應該從信息安全管理模式和方法上入手。本文從組織管理、制度及應急管理、運行維護管理和等級保護管理幾個方面詳細探討了如何健全和強化管理制度，并通過建立信息安全綜合管理平臺，實現信息安全工作的規范化管理，促進信息安全管理工作的常態化發展，最終實現鐵路信息系統統一、規范、監管和完善的信息安全運用。

鐵路行業各單位、各部門要進一步提高對鐵路信息安全重要性和開展信息安全管理工作必要性的認識，切實增強做好信息安全工作的自覺性和主動性，努力掌握先進的管理方法，準確把握信息安全風險管理的重點和關鍵，科學推進鐵路信息安全管理工作的有序開展。

[1] 祝詠升，張 彥.鐵路信息系統安全管理中心的設計[J]. 中國鐵路，2012（10）：24-28.

[2] 鐵路總公司.關于印發《鐵路信息安全風險管理實施意見》的通知（鐵信息62號）[Z].北京：中國鐵路總公司，2013.

[3] 王令朝.創建鐵路信息安全管理及其標準體系的探討[J].鐵道技術監督，2010，38（7）：1-5.

[4] 朱文生，陳 篤.淺論銀行業信息安全管理面臨的挑戰及對策[J].中國金融電腦，2014（2）：71-74.

[5] 李益文.煙草行業信息安全運維管理體系建設的思考[J].信息網絡安全，2009（2） .

責任編輯 方 圓

Challenges and countermeasures of railway information security management

SHI Tianyun
( Institute of Computing Technologies, China Academy of Railway Sciences, Beijing 100081, China )

As the informatization constantly improved, information security risk was increasingly becoming an important factor affecting the key business of railway. On the basis of the current situation of railway information security management, the paper analyzed the challenges of information security management, discussed prevention measures and management methods of railway information security risk by means of constructing regulatory agency and institution, combined with integrated management platform of information security.

railway informatization; information security; security management; integrated management platform

U29-39

A

1005-8451（2015）02-0001-04

2014-10-08

史天運，研究員。