電力系統信息安全防護體系問題研究

北京國電通網絡技術有限公司 王 鵬 王志鵬 尹 帥 郭 鵬

電力系統信息安全防護體系問題研究

北京國電通網絡技術有限公司 王 鵬 王志鵬 尹 帥 郭 鵬

【摘要】隨著互聯網對經濟社會方方面面的滲透，網絡信息安全的重要性日益凸顯，網絡傳播給國家安全與社會穩定帶來了前所未有的新問題與新挑戰。近期，網絡與信息安全已經上升到一個國家戰略，政府對網絡安全問題的重視已達到前所未有的程度。同樣，在電網企業中，信息安全作為生產自動化和管理信息化深入推進的重要保障，其基礎性、全局性、全員性作用日益增強，對電網安全有著重大影響。

【關鍵詞】信息安全防護體系；風險評估；信息安全隱患；應急預案

信息安全管理是信息安全防護體系建設的重要內容，也是完善各項信息安全技術措施的基礎，而信息安全管理標準又是信息安全管理的基礎和準則，因此要做好信息安全防護體系建設，必須從強化管理著手，首先制定信息安全管理標準。電力系統借鑒ISO27000國際信息安全管理理念，并結合公司信息安全實際情況，制訂了信息安全管理標準，明確了各單位、各部門的職責劃分，固化了信息系統安全檢測與風險評估管理、信息安全專項檢查與治理、信息安全預案管理、安全事件統計調查及組織整改等工作流程，促進了各單位信息安全規范性管理，為各項信息安全技術措施奠定了基礎，顯著提升了公司信息安全防護體系建設水平。

1.電力系統信息安全防護目標

規范、加強公司網絡和信息系統安全的管理，確保信息系統持續、穩定、可靠運行和確保信息內容的機密性、完整性、可用性，防止因信息系統本身故障導致信息系統不能正常使用和系統崩潰，抵御黑客、病毒、惡意代碼等對信息系統發起的各類攻擊和破壞，防止信息內容及數據丟失和失密，防止有害信息在網上傳播，防止公司對外服務中斷和由此造成的電力系統運行事故，并以此提升公司信息安全的整體管理水平。

2.信息安全防護體系建設重點工作

電力系統信息安全防護體系建設應遵循“強化管理、標準先行”的理念。下面，結合本公司信息安全防護體系建設經驗，對信息安全防護體系建設四項重點工作進行闡述。

2.1 信息系統安全檢測與風險評估管理

信息管理部門信息安全管理專職根據年度信息化項目綜合計劃，每年在綜合計劃正式下達后，制定全年新建應用系統安全檢測與風險評估計劃，確保系統上線前符合國網公司信息安全等級保護要求。 應用系統在建設完成后 10個工作日內，按照《國家電網公司信息系統上下線管理辦法》要求進行上線申請。 由信息管理部門信息安全管理專職在接到上線申請 10個工作日內， 組織應用系統專職及業務主管部門按照《國家電網公司信息安全風險評估實施指南》對系統的安全性進行風險評估測試，并形成評估報告交付業務部門。 對應用系統不滿足安全要求的部分， 業務部門應在收到評估報告后 10個工作日內按照《國家電網公司信息安全加固實施指南（試行）》進行安全加固，加固后 5個工作日內，經信息管理部門復查，符合安全要求后方可上線試運行。應用系統進入試運行后，應嚴格做好數據的備份、保證系統及用戶數據的安全，對在上線后影響網絡信息安全的，信息管理部門有權停止系統的運行。

2.2 信息安全專項檢查與治理

信息管理部門信息安全管理專職每年年初制定公司全年信息安全專項檢查工作計劃。檢查內容包括公司本部及各基層單位的終端設備、網絡設備、應用系統、機房安全等。 信息安全專職按照計劃組織公司信息安全督查員開展信息安全專項檢查工作，對在檢查中發現的問題，檢查后 5 個工作日內錄入信息安全隱患庫并反饋給各相關單位，隱患分為重大隱患和一般隱患，對于重大隱患，信息安全專職負責在錄入隱患庫 10 個工作日內組織制定重大隱患治理方案。 各單位必須在收到反饋 5 個工作日內對發現的問題制定治理方案， 并限期整技信息部信息安全專職。信息管理部門安全專職對隱患庫中所有隱患的治理情況進行跟蹤，并組織復查，對未能按期完成整改的單位，信息安全專職 10 個工作日內匯報信息管理部門負責人， 信息管理部門有權向人資部建議對其進行績效考核。

2.3 信息安全應急預案管理

信息管理部門信息安全管理專職每年 年初制定公司全年信息安全應急預案編制、演練及修訂計劃，并下發給各單位。各單位信息安全專職按照計劃組織本單位開展相關預案的制定，各種預案制定后 5 個工作日內交本部門主要負責人審批，審批通過后 5 個工作日內報信息管理部門信息安全專職。各單位信息安全專職負責組織對系統相關人員進行應急預案培訓，并按年度計劃開展預案演練。 根據演練結果，10 個工作日內組織對預案進行修訂。各單位信息安全預案應每年至少進行一次審查修訂， 對更新后的內容， 需在 10 個工作日內經本部門領導審批，并在審批通過后 5 個工作日內報信息管理部門備案。

2.4 安全事件統計、調查及組織整改

信息管理部門信息安全專職負責每月初對公司本部及各基層單位上個月信息安全事件進行統計。 各系統負責人、各單位信息安全管理專職負責統計本系統、單位的信息安全事件，并在每月 30 日以書面形式報告信息管理部門信息安全專職， 對于逾期未報的按無事件處理。 出現信息安全事件后 5 個工作日內，信息管理部門信息安全專職負責組織對事件的調查，調查過程嚴格按照《國家電網公司信息系統事故調查及統計規定（試行）》執行，并組織開展信息系統事故原因分析，堅持“四不放過”原則，調查后 5 個工作日內組織編寫事件調查報告。調查、分析完成后 10 個工作日內組織落實各項整改措施。信息安全事件調查嚴格執行《國家電網公司網絡與信息系統安全運行情況通報制度》制度。

3.評估與改進

通過執行“強化管理、標準先行”的信息安全防護體系建設理念和實施電力公司信息安全管理標準， 明確了各項工作的“5W1H”。使信息管理部門和各部門及下屬各單位的接口與職責劃分進一步清晰，有效協調了相互之間的分工協作。 并通過 ITMIS 系統進行對上述流程進行固化，在嚴格執行國網公司、省公司各項安全要求的基礎上簡化了工作流程， 搭建了信息安全防護建設工作的基礎架構，實現了信息安全防護建設工作的體系化。同時在標準的 PDCA四階段循環周期通過管理目標、職責分工，管理方法，管理流程、考核要求，文檔記錄 6 種管理要素對信息系統安全檢測與風險評估管理、信息安全專項檢查與治理、信息安全預案管理、安全事件統計調查及組織整改4 項管理內容進行持續改進，使信息安全防護體系建設工作的質量有了質變提升。 在信息安全防護建設工作的基礎架構搭建完成后，下一步將重點完善信息安全防護體系中技術體系建設，管理與技術措施并舉，構建堅強信息安全防護體系。

4.結論

信息安全工作是一項系統工程，“攻擊”與“防范”、“威脅”與“脆弱性”之間經常此消彼長，不斷發展。健全電力公司信息安全防護基礎體系，必須從管理和技術兩方面入手，夯實物理安全、網絡安全、系統安全、應用安全、數據安全和用戶安全。以安全區域劃分、系統等級保護、安全邊界防護、訪問控制技術、主動監控措施、安全通報機制和應急響應體系為手段，多方面構筑全方位、多層次的安全防護體系，初步實現網絡與信息系統全方位、細粒度的安全管理，做到“安全風險可控制，內部操作可審計，措施執行可度量，安全管理精細化，運行維護主業化”。實現企業信息安全防御的重點從“以網絡層防護為主”轉向為“網絡和應用防護并舉”，從“以防外為主”轉向為“防內防外并舉”的二個轉變。其中，信息外網以“防攻擊、防泄露”為主，信息內網以“強內控，防外聯”為主，實現信息內外網的深度安全防護，確保應用系統的安全穩定運行，保障電網企業信息安全。

參考文獻

［1］李文武，游文霞，王先培.電力系統信息安全研究綜述［J］.電力系統保護與控制，2011，39（10）∶140-146.

［2］苗新，張愷，田世明等.支撐智能電網的信息通信體系［J］.電網技術，2009，33（17）∶8-13.

作者簡介：

王鵬（1983—），男，吉林四平人，雙學士，主要從事：電力信息化及通信工程研究。

王志鵬（1990—），男，河北秦皇島人，學士，主要從事：電力信息化及通信工程研究。