電力交易信息安全管理建設(shè)分析

周睿 黃康乾

隨著信息技術(shù)的發(fā)展，信息化已成為企業(yè)轉(zhuǎn)型升級必不可少的一項重要舉措。但同時信息化也面臨著潛在的信息安全問題。本文通過對電網(wǎng)技術(shù)發(fā)展趨勢的研究，總結(jié)了人為失誤、計算機系統(tǒng)威脅等六方面的網(wǎng)絡(luò)安全威脅，嚴(yán)重影響企業(yè)信息化進程。因此，保障企業(yè)信息安全，構(gòu)建信息安全體系架構(gòu)成為信息化過程中的重要議題。

一、企業(yè)信息化安全管理現(xiàn)狀分析

（一）企業(yè)信息化安全領(lǐng)域

我國企業(yè)信息化安全水平仍處于初步發(fā)展階段，整體安全架構(gòu)系統(tǒng)還不成熟，按照安全內(nèi)容，可以將信息化安全分為物理、應(yīng)用、網(wǎng)絡(luò)和管理四大領(lǐng)域。

物理安全是保護計算機網(wǎng)絡(luò)設(shè)備、設(shè)施及其他媒體免遭地震、水災(zāi)等不可抗力及人為操作失誤導(dǎo)致的破壞過程；應(yīng)用安全是指主機系統(tǒng)上應(yīng)用軟件層面的安全；網(wǎng)絡(luò)安全是保障信息網(wǎng)絡(luò)安全穩(wěn)定的血管和運輸通道；管理安全是企業(yè)整體信息化管理水平的體現(xiàn)，包括建立規(guī)范標(biāo)準(zhǔn)的信息系統(tǒng)安全管理制度、落實各項安全節(jié)點的責(zé)任。

（二）企業(yè)信息化安全評估

通過調(diào)查研究，本文從風(fēng)險控制、安全管理和安全技術(shù)三方面評估案例企業(yè)信息化安全水平與國際標(biāo)準(zhǔn)和國家等保三級要求的差距。

在風(fēng)險控制方面，主要存在12個風(fēng)險控制點，并按照風(fēng)險發(fā)生概率和影響力，分為特大風(fēng)險、重大風(fēng)險和一般風(fēng)險。

在安全管理方面，本文參照國際標(biāo)準(zhǔn)組織制定的ISMS相關(guān)安全控制點進行評估，發(fā)現(xiàn)電力企業(yè)有6個方面與國際標(biāo)準(zhǔn)存在一定差距。在信息安全策略上，管理者對信息安全方針的評審、批準(zhǔn)、發(fā)布與傳達(dá)不到位；在信息安全組織上，組織架構(gòu)不完善，職責(zé)界定不清晰，與特定利益團隊聯(lián)系不密切；在資產(chǎn)管理上，信息資產(chǎn)編制沒有進行全生命周期跟蹤，資產(chǎn)使用規(guī)則執(zhí)行不佳；在供應(yīng)商管理上，未形成良好的管理機制，未定期監(jiān)測、審查供應(yīng)商的服務(wù)，針對供應(yīng)商服務(wù)變更調(diào)整信息安全工作的周期較長；在信息安全事件管理上，管理職責(zé)和程序不清晰，難以快速響應(yīng)信息安全事件，報告安全弱點，透徹分析事故原因；在業(yè)務(wù)連續(xù)性管理上，沒有制定配套的管理措施，定期的信息安全連續(xù)性控制核實不到位，在不利情況下的效力水平?jīng)]有達(dá)到相應(yīng)標(biāo)準(zhǔn)。

在安全技術(shù)方面，本文發(fā)現(xiàn)案例企業(yè)安全技術(shù)使用率較高，已經(jīng)達(dá)到定義級標(biāo)準(zhǔn)，但與國家等保三級安全技術(shù)框架仍存在災(zāi)備建設(shè)、身份認(rèn)證、訪問控制、內(nèi)容安全、安全運營五方面的差距。

總的來看，中國電力企業(yè)在電力交易信息化過程中，已經(jīng)初步具備保障信息安全的能力。但在運維管理、安全控制和災(zāi)備建設(shè)等關(guān)系重大的風(fēng)險控制方面，仍然有待提升。

二、企業(yè)信息化安全架構(gòu)設(shè)計原則梳理

（一）設(shè)計原則與目標(biāo)

綜合考慮電力企業(yè)在交易信息化過程中面臨的安全問題及國家政策的相關(guān)規(guī)定，信息化安全架構(gòu)需要符合以下六個原則。一是合規(guī)性原則，企業(yè)信息化安全架構(gòu)應(yīng)符合國家信息安全保障體系的總體要求，符合國家信息安全等級保護等相關(guān)制度要求。二是可持續(xù)性原則，應(yīng)該綜合考量信息現(xiàn)狀和未來需求，建立滿足全生命周期管理的安全保障架構(gòu)。三是整體性原則，全面考慮各方面的安全問題，綜合運用技術(shù)手段和管理手段進行安全防護。四是可實施性原則，要求信息安全架構(gòu)能夠落地實施。五是先進性原則，安全體系架構(gòu)設(shè)計要具有一定的前瞻性，考慮技術(shù)發(fā)展趨勢，滿足業(yè)務(wù)發(fā)展需求。最后是針對性原則，應(yīng)該根據(jù)企業(yè)自身結(jié)構(gòu)、網(wǎng)絡(luò)和業(yè)務(wù)特點，有針對性地提供安全防護措施。

結(jié)合安全架構(gòu)設(shè)計原則，基于風(fēng)險評估和需求分析，企業(yè)信息安全架構(gòu)應(yīng)該達(dá)到以下目標(biāo)：在保密性上，要剛性遵循等保三級要求，確保交易信息不會泄漏給非授權(quán)用戶或?qū)嶓w；在完整性上，基于ISO27001信息安全管理體系，構(gòu)建智能化安全體系，確保交易信息不會被篡改，并保持信息內(nèi)、外部一致性，保障業(yè)務(wù)持續(xù)發(fā)展；在可用性上，圍繞電力市場的敏感、實時、互聯(lián)等特點，以短平快速建設(shè)為主，分步實施的大建設(shè)為輔助，確保設(shè)計全面可實施。

（二）基于安全架構(gòu)愿景的智能安全視圖

加德納安全自適應(yīng)架構(gòu)是國際主流認(rèn)可的安全架構(gòu)指導(dǎo)方案，其提出的自適應(yīng)四階段防御系統(tǒng)闡述了信息安全架構(gòu)的四個關(guān)鍵能力：防御能力、檢測能力、回溯能力、預(yù)測能力。

智能安全視圖基于加德納自適應(yīng)安全架構(gòu)要求，能夠有效幫助企業(yè)建立可持續(xù)的信息化安全架構(gòu)。安全戰(zhàn)略將基于業(yè)務(wù)要求、安全標(biāo)準(zhǔn)和合規(guī)要求進行整體規(guī)劃，使安全戰(zhàn)略可以直接有效地對各層級提供向?qū)А０踩珔f(xié)同可以聯(lián)系身份認(rèn)證、訪問控制、內(nèi)容安全、響應(yīng)恢復(fù)和審計跟蹤等流程，有效協(xié)調(diào)安全信息框架的一致性運行。安全威脅管理，包括對外部病毒和惡意攻擊以及內(nèi)部操作失誤等威脅的管理，能夠建立合適的進入認(rèn)證機制和漏洞識別和修復(fù)制度，定期檢查系統(tǒng)運行狀況，培養(yǎng)用戶安全意識。綜合上述模塊，將各類安全情報集中分析，實時高效的尋找信息系統(tǒng)運行中的各類安全狀況，反饋回安全信息管理。最后，構(gòu)建主動防御能力，保護核心資產(chǎn)、擴展資產(chǎn)。

三、建設(shè)企業(yè)信息化安全架構(gòu)策略分析

（一）信息化安全架構(gòu)功能分類

針對電力企業(yè)在交易業(yè)務(wù)中存在的信息化管理風(fēng)險，結(jié)合前沿安全信息架構(gòu)設(shè)計原理，相關(guān)企業(yè)可以按照以下七個安全功能分類進行信息安全架構(gòu)的搭建。

1、戰(zhàn)略、變革和風(fēng)險

戰(zhàn)略有助于確定電力交易信息安全的整體方向，指引安全路線圖的設(shè)計和開發(fā)，確保業(yè)務(wù)目標(biāo)與結(jié)果相一致。變革能夠根據(jù)所述業(yè)務(wù)需求對企業(yè)進行改造，使企業(yè)信息安全架構(gòu)可以適應(yīng)內(nèi)外部環(huán)境變化，促進安全防護變革。企業(yè)也應(yīng)當(dāng)進行風(fēng)險的識別與分析，并將分析結(jié)果應(yīng)用到安全治理、合規(guī)管理和業(yè)務(wù)連續(xù)性管理當(dāng)中。

2、安全運營

安全運營是為了交易信息安全功能有效運行而進行的日常管理、維護和執(zhí)行的管理活動，包括運行監(jiān)控、安全控制和安全事件管理：一是企業(yè)信息化活動中生成、傳輸、存儲、分析和處理安全日志的過程；二是升級管理和安全補丁管理的過程；三是識別適用合規(guī)需求，評估合規(guī)狀態(tài)，維護所需合規(guī)性的過程；四是應(yīng)對企業(yè)事故和自然災(zāi)害，對業(yè)務(wù)至關(guān)重要的技術(shù)、數(shù)據(jù)和基礎(chǔ)設(shè)備的恢復(fù)和使其保護連續(xù)運行的過程、政策和流程。

3、身份與訪問管理

身份和訪問管理有效協(xié)調(diào)交易中心業(yè)務(wù)環(huán)境中的人員、角色、訪問權(quán)限和需求。安全信息框架應(yīng)給核心資源或擴展資源設(shè)置適當(dāng)?shù)脑L問權(quán)限，以身份和憑證作為執(zhí)行規(guī)則，以確保正確的人員在適當(dāng)?shù)臅r間獲得合適的資源，從而提高安全性和工作效率。

4、網(wǎng)絡(luò)空間安全

網(wǎng)絡(luò)空間安全使信息化業(yè)務(wù)能通過智能安全功能來檢測、評估和應(yīng)對威脅，從而處理業(yè)務(wù)高級威脅，包括主動響應(yīng)檢測到的威脅并啟動緩解流程的威脅管理、檢測、評估和描述可能導(dǎo)致安全漏洞被利用的危險項的脆弱性管理和安全事件發(fā)生后進行補救和經(jīng)驗總結(jié)的事件管理。

5、數(shù)據(jù)安全

數(shù)據(jù)安全使信息化企業(yè)能夠根據(jù)業(yè)務(wù)需求管理和保護自身的保密數(shù)據(jù)和信息。首先是密碼，關(guān)注數(shù)據(jù)轉(zhuǎn)換的原理、方法和隱藏語義內(nèi)容，防止未經(jīng)授權(quán)的使用和修改。其次是通過關(guān)注敏感信息的位置、分類和監(jiān)測來阻止數(shù)據(jù)丟失。第三是對存儲數(shù)據(jù)和業(yè)務(wù)流程的訪問和使用進行保護，支持安全數(shù)據(jù)的部署和管理。

6、軟件和應(yīng)用安全

軟件和應(yīng)用安全可以確定安全開發(fā)和保護自定義應(yīng)用和商業(yè)應(yīng)用。對于電力交易信息系統(tǒng)來說，該功能可以為基于Web的應(yīng)用程序提供充足的措施來保護不受攻擊和外部威脅，通過各種不同的技術(shù)和業(yè)務(wù)實踐來減少對移動應(yīng)用的攻擊風(fēng)險，保護其不受未經(jīng)授權(quán)的瀏覽、篡改或修改的影響，并從整個安全開發(fā)生命周期出發(fā)，通過可重復(fù)和可測量的過程確保應(yīng)用程序或軟件具有彈性和可靠性，有助于避免在應(yīng)用程序開發(fā)完成后造成缺陷。

7、基礎(chǔ)設(shè)施安全

基礎(chǔ)設(shè)施安全用于保護信息化業(yè)務(wù)的基礎(chǔ)，包括網(wǎng)絡(luò)、平臺和終端。網(wǎng)絡(luò)安全依賴于多層保護，由多個組件構(gòu)成，包括網(wǎng)絡(luò)架構(gòu)和安全軟件，以及硬件和設(shè)備，此機制防止任何未授權(quán)的訪問、誤用、修改或拒絕網(wǎng)絡(luò)本身。平臺安全則用于保護底層平臺免遭攻擊。終端安全應(yīng)要求所有終端設(shè)備在允許訪問網(wǎng)絡(luò)資源前必須遵守特定規(guī)則。

（二）安全架構(gòu)與安全愿景的匹配

1、戰(zhàn)略、變革和風(fēng)險匹配

信息化安全需要基于電力交易需求、行業(yè)標(biāo)準(zhǔn)和合規(guī)性，從頂層對企業(yè)信息化策略和發(fā)展方向提供指導(dǎo)，并能夠有效的對電力交易安全運營做出積極反應(yīng)。以此為愿景，戰(zhàn)略、變革和風(fēng)險領(lǐng)域的功能設(shè)計有助于確定信息安全戰(zhàn)略方向，基于交易及業(yè)務(wù)要求進行轉(zhuǎn)型變更，通過風(fēng)險識別和脆弱分析，識別并利用有利于信息化電力交易安全建設(shè)的機會。

2、安全運營匹配

安全運營的目標(biāo)是通過解決方案和強健的一套流程檢測、分析并且響應(yīng)網(wǎng)絡(luò)安全事件。因此，安全運營領(lǐng)域?qū)⑺械腎T安全能力用于信息化系統(tǒng)日常的管理和維護，包括安全日志管理、激活和連續(xù)性計劃、系統(tǒng)維護升級和合規(guī)監(jiān)視等。其優(yōu)勢在于通過持續(xù)不斷的檢測分析數(shù)據(jù)活動，改善安全事件的檢測，并通過分析跨組織網(wǎng)絡(luò)、終端、服務(wù)器和數(shù)據(jù)庫的活動，確保及時檢測和應(yīng)對電力交易安全事件。

3、網(wǎng)絡(luò)空間安全匹配

網(wǎng)絡(luò)空間安全愿景希望將各類交易信息情報收集分析后，協(xié)同管理各類安全技術(shù)和設(shè)施以應(yīng)對安全事件，通過有層級的安全措施對核心資產(chǎn)進行主動防御。與之匹配，基于安全知識，事前對資產(chǎn)的防護體系進行脆弱性分析，預(yù)測非授權(quán)客體攻擊的可能性及威脅程度，結(jié)合脆弱度和威脅度采取相應(yīng)措施。

4、其他功能匹配

此外，企業(yè)信息安全還應(yīng)保護信息核心資產(chǎn)和延展資產(chǎn)。一是對系統(tǒng)用戶和訪問者，信息安全架構(gòu)包括了身份管理、訪問控制、授權(quán)管理等功能，使企業(yè)可以在交易環(huán)境中有效地管理角色和訪問權(quán)限；二是對軟件和應(yīng)用，涵蓋了移動應(yīng)用、軟件開發(fā)和桌面應(yīng)用的安全保護，能夠及時對非授權(quán)的使用應(yīng)用和不規(guī)范的應(yīng)用操作采取行動；三是對數(shù)據(jù)安全，安全架構(gòu)貫穿數(shù)據(jù)產(chǎn)生、交換、存儲和交換過程，可以防止交易過程中的數(shù)據(jù)損失和惡意丟失事件；四是對基礎(chǔ)設(shè)施安全，安全架構(gòu)可以保護信息平臺不受攻擊，防止未授權(quán)的網(wǎng)絡(luò)使用和修改，使電力交易業(yè)務(wù)不受侵害。

四、基于架構(gòu)的安全建設(shè)實施方法

我國企業(yè)信息安全工作剛起步，且交易中心部門、安全專業(yè)人員較少，安全要求高。因此，交易中心應(yīng)當(dāng)先夯實基礎(chǔ)、優(yōu)先處理立竿見影、需求緊急的安全工作，再整體深化建設(shè)，最終達(dá)到智能安全建設(shè)的愿景。

（一）穩(wěn)固基礎(chǔ)

以國際主流標(biāo)準(zhǔn)為建設(shè)目標(biāo)，結(jié)合自身實際情況，夯實現(xiàn)有信息化安全建設(shè)成果。

具體來說，建立系統(tǒng)的信息安全管理體系，呈現(xiàn)強邏輯性架構(gòu)。在評估階段，通過了解業(yè)務(wù)現(xiàn)狀，識別信息資產(chǎn)的脆弱性、受威脅程度和當(dāng)前的控制措施，評估可能的風(fēng)險源和風(fēng)險后果的嚴(yán)重性。實施階段，基于對企業(yè)實際情況的了解，制定風(fēng)險接受標(biāo)準(zhǔn)，并參照標(biāo)準(zhǔn)制定處置計劃和文檔分級架構(gòu)。檢驗階段，把控試運行的具體情況，結(jié)合管理層評審、內(nèi)部ISMS審計和持續(xù)的風(fēng)險評估，對相關(guān)項目和節(jié)點進行檢查和監(jiān)控。最后，對檢查中出現(xiàn)的問題和需求，制定預(yù)防措施和分析根源性問題，形成閉環(huán)。

（二）補齊短板

1、災(zāi)備體系規(guī)劃設(shè)計

災(zāi)備體系是持續(xù)電力交易連續(xù)所需要的IT支撐，滿足交易和應(yīng)用系統(tǒng)高可用性的要求，是交易連續(xù)性的重要保障，它包括分析評估、設(shè)計實施和管理維護三個階段，并形成閉環(huán)。首先根據(jù)企業(yè)所處自然環(huán)境，分析信息系統(tǒng)弱點，計算信息資產(chǎn)價值，以此預(yù)估偶然性事件發(fā)生時的潛在損失，形成安全措施有效性評估。之后，設(shè)計和實施容災(zāi)方案，制定技術(shù)需求水平，設(shè)立災(zāi)害響應(yīng)小組，分析運營中可能造成的損失閾值上線以進行運營部署，形成最佳容災(zāi)方案。最后，根據(jù)業(yè)務(wù)發(fā)展情況和災(zāi)備實際效果，持續(xù)調(diào)整容災(zāi)方案，將應(yīng)急管理提升到企業(yè)級高度。

2、安全治理規(guī)劃

安全治理規(guī)劃應(yīng)提升安全操作流程、用戶協(xié)議、管理規(guī)定建設(shè)以及適用于交易中心體量的安全組織規(guī)劃建設(shè)。一是主策略，作為綱領(lǐng)性的安全策略主文檔，等同于安全指導(dǎo)方針，是各方面所應(yīng)遵守的原則方法和指導(dǎo)性策略。二是管理規(guī)定，是主策略引出的具體管理要求，需要覆蓋到安全工作的各個方面。三是技術(shù)規(guī)范，包括各個網(wǎng)絡(luò)設(shè)備、主機操作系統(tǒng)和主要應(yīng)用程序進行安全配置和管理的技術(shù)標(biāo)準(zhǔn)和規(guī)范。四是用戶協(xié)定，包括安全管理人員、網(wǎng)絡(luò)和系統(tǒng)管理員的安全責(zé)任書、保密協(xié)議、安全使用承諾等等。五是安全操作流程，詳細(xì)規(guī)定主要業(yè)務(wù)的流程、步驟及相關(guān)注意事項。

3、網(wǎng)絡(luò)空間安全規(guī)劃設(shè)計

對于電力交易信息化的關(guān)鍵軟/硬件設(shè)備進行分析，針對這些設(shè)備因設(shè)計缺陷造成的漏洞及管理員的誤操作帶來的安全隱患進行加固，從整體上提高網(wǎng)絡(luò)的安全防御能力。在防護上，建立威脅保護機制，進行安全完整性檢查，防止病毒和木馬對信息平臺的入侵。在控制上，清晰定義信息邊界，設(shè)置準(zhǔn)入和隔離設(shè)施，做到端對端準(zhǔn)入控制和終端自我隔離。在管理上，對信息資產(chǎn)、應(yīng)用程序和遠(yuǎn)程工作進行有標(biāo)準(zhǔn)、全方位的精確控制，防止在業(yè)務(wù)操作過程中的意外安全事件。在修復(fù)上，要保證系統(tǒng)恢復(fù)的完整性，對文件和文件夾的修復(fù)要能夠及時和全程記錄。

4、安全運營體系規(guī)劃

安全運營體系是實現(xiàn)自動化合規(guī)管理和風(fēng)險監(jiān)控的機制支撐。沒有運營體系，各類安全組件獨立運作，達(dá)不到體系化運行效果。第一步應(yīng)搭建安全監(jiān)控技術(shù)平臺，做好技術(shù)、流程和管理等方面的鋪墊。第二步使交易信息系統(tǒng)具備安全事件、漏洞、變更情況的全面集中監(jiān)控功能。第三步是體系建設(shè)，制定安全監(jiān)控體系策略、制度及相應(yīng)的標(biāo)準(zhǔn)化規(guī)范。第四步是對事件發(fā)生路徑實現(xiàn)全程跟蹤和追溯。最后是運行和維護，建立監(jiān)控系統(tǒng)運行維護服務(wù)體系。

（三）深化建設(shè)

深化建設(shè)應(yīng)建立一套預(yù)防、監(jiān)測、響應(yīng)為一體的防護體系，建立與業(yè)務(wù)部門間的溝通機制，完成電力交易安全規(guī)章和制度的建設(shè)，部署預(yù)防、監(jiān)測、響應(yīng)三層級的技術(shù)能力設(shè)計。同時，有條件的企業(yè)可以邀請國際力量參與，借助其在信息安全方面的國際視野和先進管理經(jīng)驗，全面提升企業(yè)工作質(zhì)量，實現(xiàn)創(chuàng)造性突破。

五、總結(jié)

在互聯(lián)網(wǎng)快速發(fā)展的新時期，信息化是企業(yè)必須抓住的一次重大機遇。在電力企業(yè)交易信息化過程中，信息安全問題變得越來越重要。因此，理性審視行業(yè)和企業(yè)自身內(nèi)外部環(huán)境，構(gòu)建完善的信息安全架構(gòu)，是企業(yè)轉(zhuǎn)型升級的重要保障。