評估電力信通機房安全風險

萬燕珍+余彬

隨著信息化進程的不斷推進和深入，信息系統(tǒng)在電力系統(tǒng)應用的廣度和深度不斷拓展，電力企業(yè)信息系統(tǒng)應用逐漸集中部署，信通機房成為承載大量網(wǎng)絡設備、安全設備、電力供應設備、信息線纜等通訊設施的基礎單元。這些信息基礎設施極具重要性，決定著電力信息系統(tǒng)的整體安全性和持續(xù)運行能力，以信通機房為單位，考察信息基礎設施的外在威脅、自身弱點及潛在的影響，能夠量化評估信息通訊基礎設施整體安全性，是確定信息安全需求的一個重要途徑，具有一定實用性和實踐意義。

目前，在國際國內流行著各種各樣的評估體系標準，如《GB18336/ISO1540-信息技術安全性評估準則》、《GBT20274-信息系統(tǒng)安全保障評估框架》、《GBT 20984-2007 信息安全技術信息安全風險評估規(guī)范》，國網(wǎng)公司也發(fā)布了相應的規(guī)范、指南，如《國家電網(wǎng)公司信息安全風險評估實施細則》。顯而易見，信息系統(tǒng)的風險“因環(huán)境而異”，并不存在一種放之四海而皆準的評估體系。就區(qū)縣級電力企業(yè)的現(xiàn)狀而言，大多數(shù)的故障并非突然產生，往往是線路、設備甚至是管理上的一些隱患沒有被發(fā)現(xiàn)，久而久之便演化成了可見的故障。傳統(tǒng)的信息安全評估（指標）體系大而全，缺乏針對性和可操作性，依據(jù)此類評估（指標）體系進行評估，往往費時費力，準確性和實用性較差。

構建適宜評價體系

為彌補傳統(tǒng)風險評估方法的不足，真正做到及時有效的風險評估與控制，筆者以信通機房為單位，參考和裁剪安全評估國際標準和企業(yè)標準，并加入能反映信通機房信息基礎設施特點的特色指標，構建適應縣級電力企業(yè)信息化環(huán)境的評估指標體系，將其細化規(guī)整為七類評估指標，分別是信通機房安全管理制度、信通機房安全管理機構、人員安全管理、信通機房物理防護、信通光纜設備安全、信通網(wǎng)絡安全、信通機房運行維護。每個指標根據(jù)其重要性賦予其一定的分數(shù)，將所有指標分數(shù)相加后，即得最終的評估得分，并由分數(shù)確定風險等級，等級越高，風險就越大。風險評估結果確定后，根據(jù)風險等級作出相應規(guī)模的應對措施，并由專業(yè)人員分析各項指標，提出風險控制的具體方式，及時控制風險，保障信息網(wǎng)絡安全。

明確風險管理目標

建立風險評估指標體系的目的是依據(jù)該指標體系進行風險的量化分析和管理，因此在建立指標體系之前，首先應設立風險管理的目標：

監(jiān)控安全狀況。識別信通機房的自身弱點、潛在威脅，使安全評估者能對整個系統(tǒng)狀況有正確評估，尤其是在故障或安全事件的前期，能夠預警可能帶來嚴重后果的系統(tǒng)脆弱點，有效提高系統(tǒng)的安全防護能力和持續(xù)運行能力。

預測風險趨勢。當前的各種入侵檢測和安全防御系統(tǒng)只能提供過去和當前的安全事件數(shù)據(jù)，而網(wǎng)絡安全風險評估更注重在這些安全事件數(shù)據(jù)上進行相關風險的預測和實時計算，并依據(jù)計算結果評價系統(tǒng)風險，明確系統(tǒng)未來安全狀態(tài)。

指導安全防護。以適度安全為目標，根據(jù)安全風險評估結果制定最優(yōu)的網(wǎng)絡安全策略及安全解決方案，加強網(wǎng)絡系統(tǒng)安全技術體系（如部署防火墻、審計心痛、運行監(jiān)控心痛、數(shù)據(jù)備份系統(tǒng)等）的建設，從而達到網(wǎng)絡系統(tǒng)的“適度安全”。

分步驟實施評估過程

資產評估。信息資產是指信通機房內有價值并需要保護的信息基礎設施對象。結合信通機房的實際情況，主要包含：機房物理環(huán)境、網(wǎng)絡線路、網(wǎng)絡設備、安全設備等，通過調查和掃描，得到必要的資產信息。

安全威脅評估。信息系統(tǒng)面臨的威脅包括地震、火山爆發(fā)等非人為威脅，以及網(wǎng)絡攻擊、誤操作、非授權訪問等人為威脅。在信息安全風險評估中，威脅評估分為威脅識別和威脅賦值兩部分內容，由于每一個信息系統(tǒng)運行環(huán)境都千差萬別，因此無法對每一種具體威脅的可能性大小、影響大小進行定義。在此，可以利用企業(yè)已有的入侵防御系統(tǒng)，獲取一定時間段內的入侵審計記錄，進行潛在威脅定量分析，對潛在的威脅進行賦值。主要是通過對威脅發(fā)生的可能性和造成后果的嚴重性來對其進行高、中、低這三個等級的賦值。

安全弱點評估。脆弱性評估主要包括管理、技術和運維三方面內容。脆弱性評估過程是對信息系統(tǒng)中存在的可被威脅利用的管理和運維缺陷、技術漏洞分析與發(fā)現(xiàn)，并確定脆弱性被利用威脅的難易程度（賦值）的過程。在本實踐過程中，結合信通機房安全評估指標體系，脆弱性的獲取方式包含以下幾種：工具掃描、人工分析、滲透測試、安全審計、網(wǎng)絡架構分析等。首先使用軟件工具掃描評估范圍內的網(wǎng)絡設備和網(wǎng)絡應用服務。其次由安全專家根據(jù)經(jīng)驗、對關鍵設備存在的安全性，合理性，使用效率等方面的問題進行分析而得出結論。主要評估信通機房內的網(wǎng)絡設備、網(wǎng)絡拓撲、安全設備、光纜線路等。

現(xiàn)有安全措施分析。列出每項信息資產已經(jīng)具有的安全措施、有效的安全服務和安全控制手段，分析其安全策略，考慮其計劃實施的安全措施，對其現(xiàn)有的和計劃實行的安全措施的強弱程度進行賦值。對資產安全措施進行賦值主要是根據(jù)對信息資產的機密性、完整性和可用性方面的綜合因素，賦予等級。同時將對所評估得信息資產目前所采取的所有信息安全保護措施進行評估。對各個安全措施的針對性、有效性、集成特性、標準特性、可管理特性、可規(guī)劃特性等方面進行評價。

風險綜合分析。針對各信通機房，綜合信息資產列表，弱點和威脅，已有的安全控制手段，對信息網(wǎng)絡進行分析，從而得出每項信息資產的風險值，并結合本階段中的資產評估、漏洞和脆弱性分析、威脅分析、當前安全措施分析等各個方面的評估情況，形成一個綜合性的風險評估分析，并對所評估的信息資產的風險給出評價和評級，并給出解決措施建議。

通過以上幾個方面對信息網(wǎng)絡進行分析，從影響信通機房安全的諸多因素中摒棄不必要的因素，筆者將一些真實影響網(wǎng)絡信息安全的因素整合成一套評估指標體系，并給每個指標賦予一定的分值，對風險做了基本的量化。該評估指標體系分為七個板塊，分別為信通機房安全管理制度（10分）、信通機房管理機構（10分）、人員安全管理（10分）、信通機房物理防護（24分）、通信光纜設備安全（18分）、信通網(wǎng)絡安全（32分）、信通機房運行維護（26分），滿分共計130分。按照評估所得分數(shù)，將風險分為三個等級，低于90分的作為緊急風險處理，介于90分至110分的為一般風險，110分至130之間為正常風險。根據(jù)所界定的風險等級，可以通過評估體系的具體打分情況定位到風險產生的具體位置，并采取相應的手段進行風險控制。

信息系統(tǒng)安全風險評估對確保信息安全具有非常重要的意義。傳統(tǒng)的信息安全評估（指標）體系大而全，其檢查點是針對完整的信息系統(tǒng)環(huán)境而設置，數(shù)量龐大，缺乏可操作性，依據(jù)此類評估（指標）體系進行評估，往往費時費力，也很難反映特定的信息系統(tǒng)環(huán)境（例如信通機房）的實際安全狀況。而本文提出的風險評估體系是符合公司實際情況的評估體系。實踐表明，該指標體系具有較好的實用性。

當然，本研究也存在一些不足之處：一是風險關聯(lián)分析不足；二是風險量化評估不夠全面；三是智能化的決策支持較弱。智能化的決策支持是未來風險評估發(fā)展的趨勢和最終目標，針對這些不足，筆者希望能通過以后的研究加以改進。

（作者單位：國網(wǎng)浙江杭州市蕭山區(qū)供電公司）