澳大利亞能源行業(yè)網(wǎng)絡(luò)空間安全治理機制淺析

翟振宇 金天一 徐大豐 國網(wǎng)國際發(fā)展有限公司 陳貴亮 國網(wǎng)安徽綜合能源服務(wù)有限公司 張正凱 國網(wǎng)國際發(fā)展有限公司

近年來，隨著數(shù)字經(jīng)濟不斷升溫，全球正加速邁入數(shù)字經(jīng)濟時代，數(shù)據(jù)價值逐步凸顯。與此同時，數(shù)據(jù)安全成為社會各方關(guān)注的焦點，各國政府也高度重視網(wǎng)絡(luò)空間安全，普遍將其視為國家安全的重要組成部分。澳大利亞政府作為其中典型代表，依托政府相關(guān)部門和社會組織制定、實施網(wǎng)絡(luò)空間安全戰(zhàn)略，覆蓋能源行業(yè)等關(guān)鍵基礎(chǔ)設(shè)施，形成了較為完善的安全治理機制。

一、澳大利亞網(wǎng)絡(luò)空間安全治理機構(gòu)

澳大利亞政府將網(wǎng)絡(luò)空間安全視為國家安全的重要組成部分，國家大力支持網(wǎng)絡(luò)空間安全行業(yè)發(fā)展。澳大利亞國家網(wǎng)絡(luò)空間安全事務(wù)由其聯(lián)邦政府內(nèi)政部（Department of Home Aff airs）負責(zé)，該部組織制定澳大利亞國家網(wǎng)絡(luò)空間安全政策，組織實施政府的網(wǎng)絡(luò)空間安全戰(zhàn)略和行動計劃。

2020年8月，澳大利亞政府發(fā)布了《澳大利亞網(wǎng)絡(luò)空間安全戰(zhàn)略2020》[3]，稱將在10年內(nèi)投資16.7億澳元，為澳大利亞營造一個更加安全的網(wǎng)絡(luò)空間，指出政府、企業(yè)及社會應(yīng)密切協(xié)作，共同為加強網(wǎng)絡(luò)空間安全作出貢獻。值得關(guān)注的是，該戰(zhàn)略明確提出政府有責(zé)任加強對關(guān)鍵基礎(chǔ)設(shè)施的防護。

二、能源行業(yè)網(wǎng)絡(luò)空間安全治理機制

澳大利亞網(wǎng)絡(luò)安全中心（ACSC）牽頭落實澳大利亞政府的網(wǎng)絡(luò)空間安全戰(zhàn)略，是澳內(nèi)政部在網(wǎng)絡(luò)空間安全工作方面的重要支撐單位。ACSC總部設(shè)在澳大利亞情報局（ASD），并獲得了ASD的重要支持。ACSC的致力于把澳大利亞打造成最安全的網(wǎng)絡(luò)空間。主要工作包括：（1）7*24小時監(jiān)測網(wǎng)絡(luò)威脅，發(fā)布網(wǎng)絡(luò)預(yù)警；（2）提供網(wǎng)絡(luò)安全建議和信息。發(fā)生網(wǎng)絡(luò)安全事件時，向關(guān)鍵基礎(chǔ)設(shè)施運營商等客戶提供建議；（3）與澳大利亞國內(nèi)外企業(yè)，政府、學(xué)術(shù)界以及專家合作交流；（4）與執(zhí)法機構(gòu)合作，打擊網(wǎng)絡(luò)犯罪。

ACSC將關(guān)鍵基礎(chǔ)設(shè)施防護作為其工作的重要組成部分，通過積極促進政府和企業(yè)合作，提升澳大利亞關(guān)鍵基礎(chǔ)設(shè)施、控制系統(tǒng)和工控技術(shù)的網(wǎng)絡(luò)安全水平，幫助客戶識別和評估安全漏洞，制定風(fēng)控措施。針對關(guān)鍵基礎(chǔ)設(shè)施的具體服務(wù)內(nèi)容包括：（1）IT/OT技術(shù)專家服務(wù)；（2）針對高風(fēng)險環(huán)境的定制化建議；（3）應(yīng)急響應(yīng)；（4）威脅評估。

綜上，澳大利亞通過政府主導(dǎo)，充分運用政府、行業(yè)、社會、學(xué)術(shù)等各界力量，將關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)空間安全防護作為國家安全的重要組成部分，指導(dǎo)、服務(wù)相關(guān)企業(yè)開展網(wǎng)絡(luò)空間安全工作，營造了一個有機、高效的網(wǎng)絡(luò)空間安全治理體系。

三、安全框架及數(shù)據(jù)保護政策

近期，澳大利亞聯(lián)邦政府加大了對國家安全和能源行業(yè)的關(guān)注度，增強了相關(guān)政策的推進力度，意識到了能源行業(yè)為消費者提供穩(wěn)定、可持續(xù)電能發(fā)揮的關(guān)鍵作用。為落實相關(guān)要求，AEMO與行業(yè)主要成員根據(jù)國際上的現(xiàn)有行業(yè)標(biāo)準(zhǔn)，共同制定了澳大利亞能源行業(yè)網(wǎng)絡(luò)安全框架（AESCSF），旨在促進其參與者評價、強化網(wǎng)絡(luò)安全能力，解決澳大利亞能源部門面臨的日益嚴(yán)重的網(wǎng)絡(luò)安全風(fēng)險。框架于2018年制定，并在2019年進行多次修正以適應(yīng)不斷變化的網(wǎng)絡(luò)安全威脅格局和澳大利亞能源行業(yè)面臨的新挑戰(zhàn)。

框架包括兩個關(guān)鍵部分，一是重要性評估，二是網(wǎng)絡(luò)安全能力和成熟度自測。重要性評估是通過評估工具（CAT）完成對每個參與者在行業(yè)內(nèi)的重要程度進行評價，CAT是為電力行業(yè)特別制定，包含發(fā)電、輸電、獨立互聯(lián)、配電、售電五個方面。網(wǎng)絡(luò)安全能力和成熟度自測分為兩個版本，分別是完整自測和精簡自測。完整自測包含了框架內(nèi)所有282種實例和反網(wǎng)絡(luò)攻擊模式，面對的對象是中、高重要性參與者；精簡自測只有29個較為簡單的問題，面對的對象是低重要性測評參與者。南澳公司還未對自身進行行業(yè)重要性評級，但是已經(jīng)將該框架作為自身網(wǎng)絡(luò)安全成熟度的參考標(biāo)準(zhǔn)。

初步分析，由于CDR規(guī)定企業(yè)不允許在消費者不知情、不同意的情況下，利用消費者信息進行數(shù)據(jù)分析、對消費者進行精準(zhǔn)廣告推廣等行為，所以認為目前CDR對互聯(lián)網(wǎng)企業(yè)的影響較大，對能源、電力行業(yè)影響較小。

建議中資企業(yè)在澳資產(chǎn)積極配合澳政府對消費者信息進行管控，加強對用戶信息的保護，防止用戶信息泄露。同時，建議中資企業(yè)做好數(shù)據(jù)保護方案，一是研究《2010年競爭與消費權(quán)法》等法律法規(guī)，制定數(shù)據(jù)安全紅線要求與合規(guī)指引，保障數(shù)據(jù)業(yè)務(wù)、數(shù)據(jù)產(chǎn)品生命周期全過程的安全性和規(guī)范性；二是建立中心網(wǎng)絡(luò)和數(shù)據(jù)安全制度，明確職責(zé)和安全要求；三是重點強化內(nèi)部數(shù)據(jù)接觸人員安全管理，防范由于人員管理不到位導(dǎo)致的數(shù)據(jù)泄露事件，通過安全宣傳、事件教育等提升數(shù)據(jù)安全合規(guī)風(fēng)險意識；四是加強流程管控，針對各數(shù)據(jù)使用場景制定數(shù)據(jù)審批流程。