李祝紅++杜炳++馮紹興++楊安東

摘 要：根據(jù)電力企業(yè)面臨的安全風(fēng)險和問題，本文提出了信息安全工作開展的一般原則，從信息安全技術(shù)上和安全管理上提出了解決安全問題的思路和方法，最后闡述了信息安全問題隨技術(shù)和應(yīng)用的發(fā)展而發(fā)展，應(yīng)在發(fā)展中求安全的觀點。

關(guān)鍵詞：電力企業(yè)；信息安全；管理對策

中圖分類號：F426.61 文獻(xiàn)標(biāo)識碼：A 文章編號：1671-2064（2017）18-0147-01

1 電力企業(yè)信息安全風(fēng)險分析

隨著企業(yè)的生產(chǎn)指揮，經(jīng)營管理等經(jīng)營活動越來越依賴于計算機(jī)信息系統(tǒng)，如果這些系統(tǒng)遭到破壞，造成數(shù)據(jù)損壞，信息泄漏，不能提供服務(wù)等問題，則將對電網(wǎng)的安全運行，電力企業(yè)的生產(chǎn)管理以及經(jīng)濟(jì)效益等造成不可估量的損失，高技術(shù)在帶來便利與效率的同時，也帶來了新的安全風(fēng)險[3]和問題。

信息安全包括信息軟件安全和信息硬件安全，與信息安全分析和信息化應(yīng)用情況密切相關(guān)，和采用的信息技術(shù)也密切相關(guān)，電力公司信息系統(tǒng)面臨的主要風(fēng)險主要存在于網(wǎng)絡(luò)安全、物理安全、系統(tǒng)安全、數(shù)據(jù)安全等幾個方面：

（1）電力企業(yè)信息網(wǎng)絡(luò)安全：企業(yè)內(nèi)部廣域網(wǎng)上的用戶數(shù)量多且難于進(jìn)行管理，內(nèi)部網(wǎng)、互聯(lián)網(wǎng)上的一些用戶出于好奇的心理，或者蓄意破壞的動機(jī)，對電力公司網(wǎng)絡(luò)上連接的計算機(jī)系統(tǒng)和設(shè)備進(jìn)行入侵，攻擊等，影響網(wǎng)絡(luò)上信息的傳輸，破壞軟件系統(tǒng)和數(shù)據(jù)，盜取企業(yè)商業(yè)秘密和機(jī)密信息，非法使用網(wǎng)絡(luò)資源等，給企業(yè)造成巨大的損失。更有極少數(shù)人利用網(wǎng)絡(luò)進(jìn)行非法的，影響國家安定團(tuán)結(jié)的活動，造成很壞的影響。（2）電力企業(yè)信息物理安全：電力企業(yè)信息物理安全主要作用點是對計算機(jī)網(wǎng)絡(luò)與計算機(jī)系統(tǒng)的物理裝備的威脅，主要表現(xiàn)在自然災(zāi)害、電磁輻射與惡劣工作環(huán)境方面。外在表現(xiàn)主要在于通信干擾、危害信息注入、信號輻射、信號替換、惡劣操作環(huán)境等。（3）電力應(yīng)用系統(tǒng)安全：隨著辦公自動化，財務(wù)管理系統(tǒng)，用電營銷系統(tǒng)等生產(chǎn)，經(jīng)營方面的重要系統(tǒng)投入在線運行，應(yīng)用系統(tǒng)的網(wǎng)絡(luò)阻塞、黑客攻擊、非法使用資源等行為日益突出。同時也因為各類信息應(yīng)用系統(tǒng)的漏洞，造成計算機(jī)病毒利用系統(tǒng)漏洞攻擊使計算機(jī)網(wǎng)絡(luò)與計算機(jī)系統(tǒng)的行為也時有發(fā)生。部分應(yīng)用系統(tǒng)的用戶權(quán)限管理功能過于簡單，不能靈活實現(xiàn)更細(xì)的權(quán)限控制，甚至簡單到要么都能看，要么都不能看。二是各應(yīng)用系統(tǒng)沒有一個統(tǒng)一的用戶管理，企業(yè)的一個員工要使用到好幾個系統(tǒng)時，在每個應(yīng)用系統(tǒng)中都要建立用戶賬號，口令和設(shè)置權(quán)限，用戶自己都記不住眾多的賬號和口令，使用起來非常不方便，更不用說賬號的有效管理和安全了。（4）電力企業(yè)數(shù)據(jù)安全：隨著計算機(jī)信息系統(tǒng)在電力市場，用電營銷，財務(wù)管理等業(yè)務(wù)中的深入應(yīng)用，各類系統(tǒng)數(shù)據(jù)安全的重要性日益突出和重要。威脅數(shù)據(jù)安全的因素有很多，主要有以下幾個比較常見：

1）硬盤驅(qū)動器損壞：一個硬盤驅(qū)動器的物理損壞意味著數(shù)據(jù)丟失。設(shè)備的運行損耗、存儲介質(zhì)失效、運行環(huán)境以及人為的破壞等，都能造成硬盤驅(qū)動器設(shè)備造成影響。2）人為錯誤：由于操作失誤，使用者可能會誤刪除系統(tǒng)的重要文件，或者修改影響系統(tǒng)運行的參數(shù)，以及沒有按照規(guī)定要求或操作不當(dāng)導(dǎo)致的系統(tǒng)宕機(jī)。3）黑客：入侵者借助系統(tǒng)漏洞、監(jiān)管不力等通過網(wǎng)絡(luò)遠(yuǎn)程入侵系統(tǒng)。4）病毒：計算機(jī)感染病毒而招致破壞，甚至造成的重大經(jīng)濟(jì)損失，計算機(jī)病毒的復(fù)制能力強(qiáng)，感染性強(qiáng)，特別是網(wǎng)絡(luò)環(huán)境下，傳播性更快。

2 解決信息安全問題的基本原則

統(tǒng)籌規(guī)劃，分步實施。要建立完整的信息安全防護(hù)體系，絕不能一哄而上，必須分清需求的輕重緩急，根據(jù)信息化建設(shè)的發(fā)展，結(jié)合信息系統(tǒng)建設(shè)和應(yīng)用的步伐，統(tǒng)一規(guī)劃，分步建設(shè)，逐步投資。

（1）信息安全規(guī)范化原則。電力企業(yè)信息網(wǎng)是電力信息安全的基礎(chǔ)，也是電力信息安全的重中之重。參考國內(nèi)外信息網(wǎng)安全的新技術(shù)，加固電力信息網(wǎng)安全防護(hù)體系，解決相關(guān)安全問題的信息網(wǎng)絡(luò)安全技術(shù)的成熟度綜合考慮，分步實施。技術(shù)成熟的，能快速見效的安全系統(tǒng)先實施，各階段都應(yīng)遵循安全規(guī)范要求，根據(jù)組織安全需求，制定安全策略。保證信息不被非授權(quán)訪問。（2）信息安全均衡防護(hù)原則：對電網(wǎng)信息網(wǎng)絡(luò)、信息系統(tǒng)進(jìn)行均衡、全面的防護(hù)，提高整個系統(tǒng)的“安全最低點”的安全性能。同時采用法律方法、行政方法、經(jīng)濟(jì)方法和宣傳教育方法。相互結(jié)合，形成完整的管理方法體系。（3）強(qiáng)調(diào)以人為本的原則：信息網(wǎng)安全管理中，必須做到責(zé)任分化，策略規(guī)劃，政策制訂，流程制作，操作審議等等。雖然信息安全"三分技術(shù)，七分管理"的說法不是很精確，但管理的作用可見一斑，安全責(zé)任人必須做好預(yù)防管理工作，提高管理人員的技術(shù)素養(yǎng)和道德水平，應(yīng)對突擊事件。

3 解決信息安全問題的思路與對策

信息作為一種資源，它的普遍性、共享性、增值性、可處理性和多效用性，使其對于人類具有特別重要的意義。信息安全的實質(zhì)就是要保護(hù)信息系統(tǒng)或信息網(wǎng)絡(luò)中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的安全性。電力企業(yè)的信息安全管理相對來說還是一個較新的話題，國內(nèi)其他電力企業(yè)也在積極研究和探討，以下是一些粗淺的看法。

3.1 依據(jù)國家法律，法規(guī)，建立企業(yè)信息安全管理制度

企業(yè)首先必須遵守國家發(fā)布的對信息網(wǎng)絡(luò)安全的法律法規(guī)和技術(shù)標(biāo)準(zhǔn)，企業(yè)也必須依據(jù)這些法律法規(guī)，來建立完善自己的管理標(biāo)準(zhǔn)，技術(shù)體系，指導(dǎo)信息安全工作；同時學(xué)習(xí)信息安全管理國際標(biāo)準(zhǔn)，提升企業(yè)信息安全管理水平；建立信息安全工作的組織體系和常設(shè)機(jī)構(gòu)，明確領(lǐng)導(dǎo)，設(shè)立專責(zé)人長期負(fù)責(zé)信息安全的管理工作和技術(shù)工作，保證信息安全工作長期的，有效的開展，才能取得好的成績。

3.2 加強(qiáng)企業(yè)信息網(wǎng)的網(wǎng)絡(luò)安全工作

全面掌控主干設(shè)備的配置情況及配置參數(shù)變更情況，備份各個設(shè)備的配置文檔；同時對運行關(guān)鍵業(yè)務(wù)網(wǎng)絡(luò)的主干設(shè)備配備相應(yīng)的備份設(shè)備，并配置為熱后備設(shè)備；專人負(fù)責(zé)網(wǎng)絡(luò)布線配線架的管理，確保配線的合理有序；掌控用戶端設(shè)備接入網(wǎng)絡(luò)的情況，以便發(fā)現(xiàn)問題時可迅速定位；積極采用大數(shù)據(jù)技術(shù)采集交換機(jī)syslog日志信息，分析潛在的危險；掌控和外部網(wǎng)絡(luò)的連接配置，監(jiān)督網(wǎng)絡(luò)通信狀況，發(fā)現(xiàn)問題后和有關(guān)機(jī)構(gòu)及時聯(lián)系；實時監(jiān)控整個局域網(wǎng)的運轉(zhuǎn)和網(wǎng)絡(luò)通信流量情況，建立健全電力信息網(wǎng)網(wǎng)絡(luò)安全防范體系。

3.3 開展全員信息安全教育和培訓(xùn)活動加強(qiáng)物理設(shè)備安全

開展安全教育和培訓(xùn)掌握企業(yè)信息安全的整體策略及目標(biāo)，信息安全體系的構(gòu)成，安全管理部門的建立和管理制度的制定等；負(fù)責(zé)信息安全運行管理及維護(hù)的技術(shù)人員，重點是充分理解信息安全管理策略，掌握安全評估的基本方法，對安全操作和維護(hù)技術(shù)的合理運用等；用戶，重點是學(xué)習(xí)各種安全操作流程，了解和掌握與其相關(guān)的安全策略，包括自身應(yīng)該承擔(dān)的安全職責(zé)等。

3.4 構(gòu)造專業(yè)信息系統(tǒng)和信息數(shù)據(jù)安全管理體系

對于已經(jīng)投入使用的信息系統(tǒng)，可以通過采用增加安全訪問網(wǎng)關(guān)的方法，來增強(qiáng)原有系統(tǒng)的用戶管理和對信息資源訪問的控制，以及實現(xiàn)單點登陸訪問任意系統(tǒng)等功能。定期備份數(shù)據(jù)庫數(shù)據(jù)，防止數(shù)據(jù)丟失。對于新建系統(tǒng)，采用統(tǒng)一身份認(rèn)證平臺技術(shù)，來實現(xiàn)不同系統(tǒng)通過同一個用戶管理平臺實現(xiàn)用戶管理和訪問控制。

3.5 在發(fā)展中求安全

企業(yè)的信息化應(yīng)用是隨著企業(yè)的發(fā)展而不斷發(fā)展的，信息技術(shù)更是日新月異的發(fā)展的，安全的需求也是逐步變化的，新的安全問題也不斷產(chǎn)生，原來建設(shè)的防護(hù)系統(tǒng)可能不滿足新形勢下的安全需求，這些都決定了信息安全是一個動態(tài)過程，需要定期對信息網(wǎng)絡(luò)安全狀況進(jìn)行評估，改進(jìn)安全方案，調(diào)整安全策略。信息安全是一個伴隨著企業(yè)信息化應(yīng)用發(fā)展而發(fā)展的永恒課題。

參考文獻(xiàn)

[1]趙偉.基于計算機(jī)網(wǎng)絡(luò)安全防arp攻擊的研究[J].信息通信，2014（2）：130-130.

[2]陳梅志.計算機(jī)網(wǎng)絡(luò)信息安全及其應(yīng)對措施淺析[J].硅谷，2014，7（2）：143-143.

[3]厲海濤.基于風(fēng)險狀態(tài)的安全性分析方法研究[D].國防科學(xué)技術(shù)大學(xué)，2012.endprint