信息系統安全等級保護研究與實踐

在信息化時代，信息安全成為國家安全和企業安全的重要組成部分，電力與銀行、證券、海關、鐵道、民航、稅務一起被國家確定為七個重點行業信息安全領域。等級保護是國家推行的信息安全保障基本制度之一。隨著信息化建設不斷深入，信息技術應用已滲透到企業的每一項業務，業務對信息系統的依賴程度越來越高，其基礎性、全局性、全員性作用日益增強。信息化是一把“雙刃劍”，在為企業帶來提高工作效率和管理水平、增強競爭能力等益處的同時，也為企業帶來了安全風險，安全風險與信息化水平的提高同步增長。提升企業信息系統安全防護能力，保障系統信息安全，同時滿足國家等級保護的合規性要求，成為信息化工作的新任務。

安全防護需求

《信息安全技術一信息系統安全等級保護基本要求》(GB／T22239-2008)明確了基本要求，電網作為重點行業信息安全領域，充分結合自身安全的特殊要求，在對國家標準消化基礎上進行深化、擴充，將二級系統技術要求項由79個擴充至134個，三級系統技術要求項由136個擴充至184個，形成了企業信息系統安全等級保護要求，見表1。

安全防護架構與策略

按照縱深防御的思想設計安全防護總體架構，核心內容是“分區、分級、分域”，如圖1所示。分區就是按照《電力二次系統安全防護規定》(電監會5號令)將信息系統劃分為生產控制大區和管理信息大區兩個相對獨立區域進行安全防護。分級就是將部署于大區的各系統分別確定安全保護級別實現等級化防護。分域就是將部署于大區的各系統，依據系統級別及業務系統類型劃分不同的安全域，實現不同安全域的獨立化、差異化防護。總體上形成了“區、級、域”多梯次大縱深的安全防護構架。

生產控制大區和管理信息大區的系統特性不同，安全防護策略也不盡不同。本文僅描述管理信息大區的安全防護策略。管理信息大區部署管理類業務的系統，安全防護遵循以下策略：

(1)雙網雙機。將管理信息大區網絡劃分為信息內網和信息外網，內外網間采用邏輯強隔離裝置進行隔離，內外網分別采用獨立的服務器及桌面主機；

(2)分區分域。將管理信息大區的系統，依據定級情況及業務系統類型，進行安全域劃分，以實現不同安全域的獨立化、差異化防護；

(3)等級防護。管理信息系統以實現等級保護為基本出發點進行安全防護體系建設，并參照國家等級保護基本要求進行安全防護措施設計；

(4)多層防御。在分域防護的基礎上，將各安全域的信息系統劃分為邊界、網絡、主機、應用四個層次進行安全防護設計，以實現層層遞進，縱深防御。

安全防護設計

信息系統安全防護按照邊界安全防護、網絡環境安全防護、主機系統安全防護、應用安全防護四個層次進行防護措施設計。

(一)邊界安全防護

邊界安全防護目標是使邊界的內部不受來自外部的攻擊，同時也用于防止惡意的內部人員跨越邊界對外實施攻擊，或外部人員通過開放接口、隱通道進入內部網絡；在發生安全事件前期能夠通過對安全日志及入侵檢測時間的分析發現攻擊企圖，安全事件發生后可以提供入侵事件記錄以進行審計追蹤。

邊界安全防護關注對進出該邊界的數據流進行有效的檢測和控制，有效的檢測機制包括基于網絡的入侵檢測(IDs)、對流經邊界的信息進行內容過濾，有效的控制措施包括網絡訪問控制、入侵防護、虛擬專用網(VPN)以及對于遠程用戶的標識與認證／訪問權限控制。上述邊界安全防護機制與其它層面安全措施可協同使用以提供對系統的防護。

信息系統邊界歸為信息外網第三方邊界、信息內網第三方邊界、信息內外網邊界、信息內網縱向上下級單位邊界及橫向域間邊界五類，安全防護設計見表2

(二)網絡安全防護

網絡環境安全防護的目標是防范惡意人員通過網絡對應用系統進行攻擊，同時阻止惡意人員對網絡設備發動的攻擊，在安全事件發生前可以通過集中的日志審計、入侵檢測事件分析等手段發現攻擊意圖，在安全事件發生后可以通過集中的事件審計系統及入侵檢測系統進行事件跟蹤、事件源定位以發現惡意人員位置或及時制定相應的安全策略防止事件再次發生。

網絡安全防護面向企業整體支撐性網絡，以及為各安全域提供網絡支撐平臺的網絡環境設施，網絡環境具體包括網絡中提供連接的路由器、交換設備及安全防護體系建設所引入的安全設備。安全防護設計見表3。

(三)主機安全防護

主機系統安全的目標是確保業務數據在進入、離開或駐留服務器時保持可用性、完整性和保密性，采用相應的身份認證、訪問控制等手段阻止未授權訪問，采用主機防火墻、入侵檢測等技術確保主機系統的安全，進行事件日志審核以發現入侵企圖，在安全事件發生后通過對事件日志的分析進行審計追蹤，確認事件對主機的影響以進行后續處理。

主機系統安全防護包括對服務器及桌面終端的安全防護。服務器包括業務應用服務器、網絡服務器、WEB服務器、文件與通信等；桌面終端是作為終端用戶工作站的臺式機與筆記本計算機。安全防護設計見表4。

(四)應用防護

應用安全防護的目標是保證應用系統自身的安全性，以及與其他系統進行數據交互時所傳輸數據的安全性；在安全事件發生前發現入侵企圖或在安全事件發生后進行審計追蹤。

應用安全防護包括對于應用系統本身的防護、用戶接口安全防護和對于系統間數據接口的安全防護。安全防護設計見表5。

安全防護實施

信息系統安全等級保護實施涉及到系統定級、現狀測評、安全建設改造方案編寫及實施、等保符合度測評、備案等工作。依據《信息安全技術一信息系統安全等級保護定級指南》(GB／T22240-2008)開展定級工作，定級結果報政府主管部門審批確認。現狀測評委托專業機構進行，測評結果作為安全建設方案編寫的主要依據。安全域是安全防護總體架構的關鍵環節，是方案制定的關鍵內容之一。

管理信息大區劃分為內網和外網，內網部署為公司內部員工服務的系統，外網部署對外服務的系統。安全域是由一組具有相同安全保障要求、并相互信任的系統組成的邏輯區域，同一安全域的系統共享相同的安全保障策略。按照等級保護的思想，安全域按照“二級系統統一成域，三級系統獨立分域”原則劃分。將等級保護較高的三級系統按獨立的安全域進行安全防護，以實現三級系統的獨立安全防護，將所有二級系統作為一個安全域進行安全防護可降低成本。定級和安全域劃分見表6。

限于篇幅，系統建設改造方案細節、等保符合度測評等內容不在此贅述。

依照信息系統不同安全防護等級，以安全域為防護主體，對信息內、外網的信息系統開展等級化安全防護，實施邊界、網絡、主機及應用逐層遞進的縱深防御，規范部署基礎安全防護措施，全面提高信息系統安全防護能力。通過等級保護實施，實現了國家等級保護標準在電網企業的落實完善，形成了適應電網自身特點的防護要求。公司ERP系統(三級)，廣域核心網絡、營銷管理信息系統、調度生產管理系統分別通過了公安部門組織的三級、二級等級保護符合性測評。公司成為浙江省內首家通過等級保護測評的單位，也是電力行業內首家通過地方政府測評的電力企業。信息系統隨著需求改變不斷變更，信息安全是一個動態的體系，等級保護建設不是一次性任務，而是一項長期不懈的工作。