淺談電力系統信息安全

杜曉東 邢永恒

摘 要：電力行業是國家必不可缺的基礎行業之一，隨著通訊、工業控制和服務器的不斷融入，電力系統自動化成為主流，電力系統的運行環境更加復雜，對電網的安全穩定運行要求也越來越高，電力系統信息安全成為影響電網穩定運行的一項重要指標，電力系統信息安全受到國家及電力行業極大的重視。建立健全電力系統信息安全管理制度，進一步完善安全防范技術措施，從而提高電力系統信息安全整體防護水平成為電力企業面臨的首要問題。本文主要針對電力企業信息系統安全存在的問題和解決措施進行了闡述分析。

關鍵詞：電力系統；信息安全；問題；措施

1 電力企業信息安全管理現狀

電力系統信息安全管理是一個比較復雜的過程，不僅包含了電力生產方面，而且還涉及到電力傳輸、電力分配和使用等各個環節，雖然國家和電力企業對電力系統信息安全非常重視，投入了不少財力、物力、人力來進行電力系統信息安全的研究，但依然存在著不少問題。

2 電力系統信息安全現狀及存在的安全問題

2.1 電力信息系統網絡結構和邊界存在安全風險

目前許多電廠仍然存在網絡結構不合理的問題，如防火墻選型不合理，需使用三層交換機的環境卻選用了二層交換機，只能通過現有應用系統來解決安全問題。

另外，還有一部分電力企業內網信息系統通過VPN接入外網的方式實現信息遠傳，也就是內網信息系統未能與外網實現真正意義上的物理分離，且配備的安全防護設備不全，存在內部數據信息安全隱患，如電力辦公自動化系統（OA系統）、ERP系統、MIS系統、企業網站、檔案管理系統、郵件系統等，這些內部信息系統一旦與互聯網互通，就面臨著巨大的網絡安全威脅，如電力公司或電廠內部網站被篡改、敏感機密信息被竊取等，為了避免此類問題的發生，全國電力系統實現內外網物理分離行動勢在必行。

2.2 惡意代碼等網絡攻擊形勢嚴峻

惡意代碼攻擊目前已成為信息系統入侵最主要的手段之一。通過入侵，擾亂、篡改計算機程序，網絡黑客不僅入侵國家重要機構、個人計算機系統，近年來入侵趨勢逐步向電力系統靠攏，入侵主要手段統稱為惡意代碼（Malicious Codes）攻擊，通過惡意代碼竊取和篡改重要信息，擾亂電力系統正常運行。

惡意代碼主要包括計算機病毒（Virus）、蠕蟲（Worm）、木馬程序（Trojan Horse）、后門程序（Backdoor）、邏輯炸彈（Logic Bomb）等等。惡意代碼問題無論從政治上、經濟上，還是軍事上，都成為信息安全面臨的首要問題。

只有通過深入研究和掌握惡意代碼的機理，知己知彼，從根本上防患于未然，才能在防范惡意代碼入侵問題上取得先決之機。

2.3 操作系統存在安全風險

操作系統、數據庫系統和各種應用系統所存在安全風險，目前不少電力企業使用的工控系統的操作系統仍然是以Windows系列操作系統為主，Windows操作系統是大家最熟知的系統，存在大量已知和未知的漏洞，尤其是微軟公司已經淘汰了的XP系統、Windows2003等系統，系統漏洞具有很大的被不法分子充分利用和開發的空間，入侵者通過利用這些漏洞非法獲得管理權限，篡改服務，盜取重要信息，電力系統操作系統更新換代的時代已然來臨。

2.4 日常信息傳遞存在安全風險

無論是電力企業或其他行業，都需要和外部的單位進行密切的聯系和溝通，電力行業最重要的信息傳遞是與電網公司和調度中心，信息涉密程度很高，目前許多信息數據仍然需要通過互聯網來傳輸，傳輸過程中，面臨著各種安全風險，例如被非法用戶截取，被不法分子利用，導致企業機密的泄露；數據被非法篡改，造成數據混亂、信息錯誤，導致工作失誤等。不法分子還有可能會假扮冒充其他合法身份，向電力企業發送虛假信息或通知，制造混亂局面，擾亂正常秩序，給電力企業帶來不可挽回的損失。

2.5 信息安全管理不規范，管理人員安全意識薄弱

目前電力企業中，至少一半以上的企業存在的安全管理通病，存在管理制度不健全，制度執行不到位的現象，缺少專職信息安全管理人員，存在外部PC、U盤隨意接入、安全防護措施不健全、病毒庫不能實現定期離線更新、系統不能同步升級補丁程序等問題，原因是管理者沒有充分意識到風險的所在，未能引起重視，一旦出現惡意代碼感染或網絡攻擊等現象，現有的安全防護措施根本不足以抵御。

3 提高電力信息系統安全需采取的措施

3.1 加強培訓教育，提高安全意識

電力系統信息安全管理工作中，無論管理還是落實，都離不開人，同時信息安全最容易出現漏洞的地方也在于此，加強對人員的教育培訓就成為必不可少的環節，從管理層到基層，都需要接受系統的培訓，加強安全風險意識和技術水平，只有這樣才能更加直接的防范電力系統信息安全問題，減少誤操作帶來的風險，為進一步提高電力系統信息的安全性提供保障。

3.2 建立健全專項管理制度，責任到人

建立健全電力信息安全管理體系，從管理機制到管理制度的編制都需要電力企業各級領導親自參與進來，同時抓好落實，將信息安全責任落實到各級部門和個人，明確責任人，各盡職責，確保電力系統信息安全管理機構、人員、職能、責任“四到位”， 確保電力監控系統安全防護體系完整可靠。

3.3進一步完善安全防范措施

機房等基礎設施要做好防竊、防火、防水、防破壞等物理安全防護措施；

電力監控系統安全防護應滿足《電力監控系統安全防護規定》（國家發改委令2014年第14號令）及配套方案，，制定數據網絡安全防護實施方案和網絡安全隔離措施，分區合理、隔離措施完備、可靠；

所有業務功能要按照安全分區的原則，分為實時控制區、非控制生產區、生產管理區、管理信息區四個安全工作區；

配置滿足安全要求的防火墻、縱向隔離等安全保護設施，并且選用的關鍵設備要經過國家相關部門的安全檢測；

加強移動介質的管理，電力企業應選用專用的移動介質進行數據拷貝等工作，同時還應做好電力系統信息安全應急預案的編制和定期演練工作，提高全員的應急處置能力。

4 結語

電力系統信息安全在未來的發展中將會是一個長期需要解決的問題，隨著以太網技術在電力系統中的普及，如何使電力系統信息安全得到保障，將會是國家相關機構和電力企業面臨的首要問題，解決電力系統信息安全問題，不僅需要研究和采取有效的防范措施，引進先進的信息安全技術，更需要我們電力企業在信息安全日常管理中給予足夠的重視，加強制度建設和人員管理，責任落實到人，同時聘請專家對員工開展信息安全專業知識培訓，不斷提高員工信息安全意識、技術水平和應急能力，通過群策群力，查漏洞、補短板，不斷完善電力信息系統的安全性，更好的保障電力系統的安全穩定局面。

參考文獻：

[1] 國務院.關于大力推進信息化發展和切實保障信息安全的若干意見（國發[2012]23號）.

[2] 國家電力監管委員會.電力二次系統安全防護規定（電監會5號令）[S].2004 .

[3] 國家電力監管委員會.關于印發電力二次系統安全防護總體方案等安全防護方案的通知（電監安全[2006]34號文）[S].

[4] 鄒春明，鄭志千，劉智勇，陳良漢，陳敏超.電力二次安全防護技術在工業控制系統中的應用[J].電網技術，2013（11）：02-04.