電網核心業務可信身份認證應用研究

劉迪, 郭瑞祥, 李玉, 范葉平, 楊德勝

(1.國網信通產業集團公司 研發中心， 北京100031;2.國網信通產業集團公司 安徽繼遠軟件有限公司， 合肥 230088)

0 引言

(1) 可信身份戰略已上升到國家高度[1-4]。網絡違法犯罪、信息安全等問題頻發高發，使得人員身份可認證、人員行為可溯源、可追究等成為迫切需要研究解決的課題，《中華人民共和國網絡安全法》明確規定國家實施網絡可信身份戰略，要求網絡運營者應當采取技術措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。

(2) 身份認證技術前景廣闊[5]。隨著移動互聯發展，遠程開戶、遠程核身的推廣將改變現有的服務模式，可信身份認證技術在電網領域可謂前景廣闊。此外，可信身份認證在安防、社舍、商業領域都有相關應用場景，據預測報告，未來三年內國內有希望形成銷售額過百億元的市場模塊。分析人士表示，可信身份認證應用范圍的擴大疊加政府采購的強推進，將促進可信身份認證子行業持續高景氣發展，值得關注。

(3) 公司在可信身份認證的基礎與愿望。作為公安部第一研究所授權的互聯網可信身份認證首批國企試點單位，通過示范建設為可信身份認證技術在國網全面應用奠定了基礎[6-8]。

通過可信身份認證技術全面、深入應用到國家電網公司安全體系中，構建權威、共享的可信網絡身份認證體系，為所有人包括員工、合作伙伴和客戶提供真實身份校驗，識別網絡中人與行為軌跡，提升國家電網公司信息安全管理水平。

1 必要性分析

國家電網公司作為國資委下屬大型央企，公司的兩個網絡安全定位：一是國家將公司網絡和信息系統列為關鍵信息基礎設施；二是公安部將公司列為網絡安全重點保衛單位。針對當前形勢和要求，國家電網公司將網絡安全意識統一到國家有關法律的高度。

網絡安全邊界持續擴大和網絡接入用戶不斷增多，新形勢下可信身份認證管理是關鍵。網絡安全邊界持續擴大。公司信息化應用由內網為主向內外網協同轉變，接入方式由有線向無線演變，移動終端大量接入，電子商城、充電樁等新業務也在不斷拓展，衍生出新的網絡邊界。公司網絡安全防線持續擴大,安全防控難度陡增。網絡接入用戶不斷增多。公司和社會在網絡空間上建立了廣泛的聯系，特別是智能電表和自動繳費的業務應用，使用戶大量增加。用戶接入網絡所帶來的權限、內容、數據、操作等各類安全風險不斷擴大，安全責任的落實更加復雜，《網絡安全法》也對保障客戶信息安全提出了嚴格要求。在此形勢下，需要嚴格落實網絡中的用戶實名制管理，可信身份認證是網絡安全管理第一道關口。

可信身份認證為健全“一體化、扁平化、實戰化”的網絡攻防體系的提供最基礎的技術支撐。國家電網公司實施“一體化、扁平化、實戰化”的網絡攻防體系，明確要求各單位要建立實時監測、應急處置、事件報告、協同聯動的保障機制，為公司經營生產以及重要活動保電提供安全保障。在人員管理與響應方面，需要“一盤棋”統籌考慮，人的行為和身份需要在網絡與物理世界中，協同指揮。

構建權威、共享的分級分類可信身份認證體系，將全面提升國家電網整體安全管理水平。安全管理主要體現在：技術安全風險、人為惡意攻擊和安全管理薄弱三個層面，人的因素最為復雜，也是信息安全所面臨的最大威脅,要避免以上安全威脅，亟需建立安全穩定的可信系統、降低人為攻擊的風險，從源頭進行預防和控制，確保信息網絡和重要信息系統的實體安全、運行安全、信息資產安全和人員安全。促進各行業各單位依法、規范、安全、高效運行和健康發展。

2 總體思路與目標

2.1 總體思路

以人員身份管理為核心，研究網絡的人與行為，并與物理世界中的對象進行識別、認證、授權和管理，實現人員身份可管可控，構建國家電網公司網絡空間可信身份認證體系及配套技術支撐平臺。實現對電力互聯網網絡空間各參與要素真實身份認證，相關行為可溯源、可追究，將互聯、共享、互信的電力互聯網可信身份應用于各類人員安全管理場景中，為電力行業生產經營安全護航。

2.2 總體目標

識別和驗證人在現實生活和網絡空間的身份的真實性和合法性，提供基于可信身份認證的自然人“實人、實名、實證”的權威身份驗證與授權，解決現有身份常常被盜用和冒用的問題，重點解決人的安全性管理問題，為反恐、反違章、反欺詐等提供技術支撐，確保身份可信、權限受約、行為可控的網絡安全目標。

建設目標：通過生物識別技術，建立一套多級人員身份庫，為不同應用場景提供身份認證服務，為電網核心業務提供真實身份校驗服務，為用戶身份、身份審計、信息傳輸、取證和責任認定方面提供完整的身份認證服務，其中一級是指以身份證為法律基礎的公安部可信身份認證平臺應用，二級是指國家電網公司內部應用。

建設成效：解決實名認證、人證合一的問題，在保護用戶隱私信息的同時，有效解決現有電網核心業務應用身份認證模式中易被“盜用”“冒用”難題，實現公司網絡空間用戶可信的、安全的集中管控。

3 需求分析與系統設計

3.1 需求分析

(1) 基建領域：電網基建現場人員可信安全管控

現階段電網基建工程現場管理對人的約束力不足，缺乏對人員身份安全的管理，施工人員身份信息不明確，存在用工不規范的情況，導致電力施工過程中出現安全問題時，卻不能準確定位責任人。特別是電網工程從業人員不斷增長，受施工企業承載能力限制，工程分包常態化開展，分包人員數量及流動性不斷增大，對工程建設現場的人員身份安全管理提出了更大挑戰。

(2) 營銷領域：智能營業廳窗口業務人員可信身份認證

智能營業廳窗口業務人員主要依靠人工方式對現場人員和身份證證件進行辨別，效率低下，且缺乏精確的數據支持，存在很大安全隱患。

(3) 營銷領域：無人值守智能營業廳自助業務辦理人員可信身份認證

為了緩解電力營業廳人流大的問題，利用可信身份認證技術，快速識別自助業務辦理用電業務人員身份信息，提高業務辦理的速度。

(4) 運檢領域：現場巡檢人員可信全過程管控

目前電網巡檢移動作業人員可信身份管控技術支撐手段尚未建立，導致管理人員對移動巡檢作業現場工作的監督和人員身份管控力度薄弱，主要存在以下問題：

1) 移動作業路線≠線路走向：當期系統只能事后提交移動作業巡視結果，無法對移動作業人員的行動軌跡進行記錄，不能保證移動作業人員的到位率。

2) 移動作業人員≠設備主人：系統無法識別攜帶移動終端進行人員真實身份，設備主人不一定能掌握所轄設備真實情況。

(5) 運檢領域：變電站人員可信安全管控

目前變電站(無人值守變電站)人員出入管理方式往往不能確保登記人員真實性，存在很大安全隱患。隨著我國電網調度自動化的提高，變電站的無人值守運行是當今電力系統的發展趨勢。無人值班變電站站內不設置固定的運行維護值班崗位，利用可信身份認證技術實現對無人值守變電站的遠程視頻監控，并對到現場的檢修人員進行身份識別、認證，然后從遠程實現門禁開啟與關閉操控。

(6) 后勤領域：人員可信可視后勤保障

當前電網后勤人員安全管控主要采用手工登記的方式，手工對人員工作證件等材料進行一一核實，效率低下，且無法準確辨別持證人和證件是否人證合一，存在很大安全隱患，出現安全問題時不能快速定位到不法人員信息。

(7) 安監領域：重大活動保障人員可信安全管控

電網每年承擔大量重大活動保電任務，保電人員身份首先必須要通過政審。在保電期間需要核對人員身份，實現實人實名實證，目前主要通過人工核查保電人員身份，具有較大的工作量，且效率低下；同時在變電站、核心機房、指揮中心、移動巡檢等重點區域，保電期間需要到崗到位到人。

(8) 信通領域：信通運維人員可信安全管理

當前信通運維人員管控主要采用刷卡和人工登記方式，刷卡缺乏持證人現場信息，且無法準確辨別持證人和證件是否人證合一，存在很大安全隱患；人工方式檢查證件信息不僅效率低下，且可信度低。因此，現階段運維管理對人的約束力不足，缺乏對人員身份安全的管理，運維人員身份信息不明確，導致管理人員對運維現場工作的監督和人員身份管控力度薄弱，無法確保運維人員到崗到位到人，出現安全問題時，卻不能準確定位責任人。

(9) 信通領域：信通研發人員可信安全管理

目前信通研發人員可信安全管控支撐技術手段尚未建立，導致管理人員對研發現場工作的監督和人員身份管控力度薄弱，無法確保每個進出人員身份可信，針對研發安全重點區域缺乏可信人員實時布控，不能保證每個接觸研發安全重點區域人員身份真實可信，研發安全設備缺少上機輔助身份識別驗證，無法對研發人員行為做到安全管控。

3.2 通用身份認證模型設計

通過從共性特征提煉、通用策略和流程設計以及微應用可信服務設計3個方面開展研究，構建可信身份認證通用模型，實現不同業務安全需求的可信身份認證服務。如圖1所示。

圖1 通用身份認證模型實現過程

具體過程如下：

(1) 共性特征提煉：基于自頂向下和自底向上雙向結合方法識別出電網核心業務可信身份認證典型應用業務場景，采用交叉分類法等對典型應用業務場景身份認證功能進行分類劃分，提煉出電網核心業務可信身份認證需求的共性特征和個性特征。

(2) 通用策略和流程設計：依據電網核心業務可信身份認證共性功能需求，設計基于區塊鏈簽名認證的身份管理、基于多維度融合的身份識認證別、基于大數據異常行為分析的授權與安全管理組成的可信身份認證通用策略和流程，建立通用可信身份認證業務應用模型。

(3) 微應用可信服務研發：依托通用模型，以法定身份證件為根，開展可信基礎、可信支撐、可信服務、可信應用和服務用戶5個層次的微應用可信服務架構設計，研發電網核心業務身份認證、授權管理、安全審計、行為分析等可信服務，提供標準化和定制化可信身份認證服務模式。

3.3 典型應用場景分析

(1) 基建現場人員可信安全管控

通過在施工現場入口設置人員可信身份認證終端+移動可信身份認證終端身份認證方式，實現人員閘機、車輛道閘聯動控制，確保進出人員實人實名實證、到崗到位到人。對每一個工程參建人員、關鍵區域進行立體式可信安全布防，實現基建現場全員、全方位、全過程的身份、行為安全管控。

綜合可信身份認證、北斗定位、視頻分析、數據分析等技術運用，構建1套評價3重防控技術支撐體系,實現基建現場實時安全態勢感知、動態預警，全員、全方位、全過程的風險管控，通過安全評價與績效管理，形成工程安全閉環管理，如圖2所示。

(2) 現場巡檢人員可信全過程管控

通過移動設備+移動應用可信登錄+北斗定位身份認證方式，實現移動端用戶的設備主人與作業人員可信身份認證，實現移動巡檢現場作業的可控、能控和在控，見圖3所示。

(3) 可信+外包管理

通過生物特征高安全級別認證技術，實現對外包人員的管理，建立外包從業人員身份檔案庫，包括人員的基本信息、資質、專業技能等，對外包人員真實身份進行權威認證，并可實現對人員的到崗、到位的監管，如圖4所示。

(4) 重大活動保障人員可信安全管控

通過設置門禁通道+可信身份認證終端兩種方式實現人員身份認證，實現可信認證、風險控制、預警聯動，提升活動工作風險控制水平，見圖5所示。

(5) 智能營業廳窗口業務人員可信身份認證

基于生物識別技術和證件識別技術，快速準確地實現窗口業務人員身份證照片和現場人像采集照片的比對，并反饋比對結果。并與公安部可信身份認證服務平臺對接，為自助業務辦理人員提供“實名+實人+實證”認證服務，見圖6所示。

圖2 基建現場人員可信安全管控

圖3 現場巡檢人員可信全過程管控

圖4 可信+外包管理

綜合可信身份認證和大數據分析技術，建立電力客戶精準識別模型，構建立體化、多層次、多視角的可信客戶全景畫像，實現對電力客戶特征的精細刻畫，實現快速精準識別VIP、大客戶，實現客戶智能分析，提升智能營業廳客戶差異化、優質化服務，提高客戶滿意度，如圖7所示。

圖5 重大活動保障人員可信安全管控

圖6 客戶身份核查

圖7 客戶精準識別

(6) 人員可信可視后勤保障

對出入辦公大樓人員進行分級、分類管理。設員工通道、訪客通道。員工通過生物特征身份識別，實現無卡出入；訪客可通過自助終端實現訪客自助登記，系統自動通過短信、電話方式發送，替代人工接待，提高工作效率。訪客在辦公區域內行為軌跡可全程跟蹤，如圖8所示。

(7) 研發安全人員可信認證管控

對于不同安全等級的研發區域，采用可信終端和行為追蹤結合的方式實現人員身份認證，確保研發安全。對于重點研發區域，基于三重可信身份防護方式實施布控，確保研發區域人員身份可信、身份授權、行為可控，如圖9所示。

圖8 人員可信可視后勤保障

圖9 研發安全人員可信認證管控

4 總結

通過研究電網核心業務可信身份認證通用模型，開展電網核心業務可信身份認證多場景應用功能設計，形成一個“云+端”的認證服務+多種組合認證+多場景應用的可信身份認證模式的解決方案，研究設計滿足不同安全要求、適用于不同安全策略的可信身份認證服務，將可信身份認證模式無縫與電網核心業務對接，并可根據實際需求自由組合識別模式，實現多重安全等級的認證機制。