電力企業信息系統風險與安全管理研究

洪 杰，段成鐸

（國網浙江桐廬縣供電公司，浙江 桐廬 311500）

電力企業在我國能源行業中占有十分重要的地位，隨著信息化的不斷發展，電力企業信息系統日益成為我國電力企業信息化的發展核心。但是隨著電力企業對信息化依賴程度的增加，其信息系統的安全問題也日益嚴重，面臨的風險也越來越大、越來越不確定。因此，對電力企業信息系統的安全保障已迫在眉睫，對電力企業信息安全進行有效的管理顯得更加重要。

1 電力企業信息系統風險

電力企業信息系統是基于電腦和網絡，實現電力制造、管理等信息的收集、存儲、分析及傳輸的綜合性的有機系統。［1］信息作為一種重要的企業資源必須要對其進行全面的安全管理，企業信息安全管理是引導和協調組織的關于信息化安全風險的互相協調的活動，即企業管理層對企業相關信息和活動安排進行合理的規劃和協調。

一直以來，很多人特別是對于信息行業出身的工作人員，都受環境影響而陷入“技術就是一切”的誤區中，即人們把企業信息安全的全部希望都寄托在加密技術上，他們認為只要通過加密技術，任何信息安全問題都能夠解決。隨著網絡防火墻技術的誕生，我們又常聽到“防火墻是網絡安全的有力保障”的論調。經此之后，入侵檢測、VPN等更多新的概念及技術紛至沓來，但無論技術怎樣變化，終究還是突破不了技術統領信息安全的枷鎖。實際上，對企業信息安全技術的選擇及應用只是企業信息系統安全化的一部分，它只是實現企業安全運營的一個方法而己。大家之所以產生這樣的誤區，其原因是多方面的，站在企業安全技術提供商的角度來說，其側重點在于銷售，因此向相關客戶輸送的大多都是以技術為核心的理念和信息。站在客戶角度來說，只有企業的產品才是真實的、有形的，對投資方來說，這是十分重要的。

因此，正是對于企業信息系統的錯誤認識，導致一些極端現象的產生，比如：許多企業的信息化設備使用了防火墻、網絡云掃描等技術，但卻沒有設定出一套以安全策略為核心的合理的安全管理方案，從而造成安全技術及企業的產品生產十分混亂，不能做到技術及相關產品的及時、有效的更新。還有一些電力企業即使設定了一些安全管理措施，卻沒有使用有效的實施、監督機制來執行，這讓安全管理措施徒有其表，名存實亡。經過研究及調查，現階段我國電力企業信息系統面臨的風險主要有：

（1）信息系統缺陷。隨著信息化的不斷發展，電力企業信息系統也一直在不斷完善中，目前，我國的電力企業在設計、制造及產品裝配中仍存在著許多安全隱患與風險，比如來自軟硬件組件的安全隱患等，這些信息系統固有的缺陷對電力企業信息系統的安全造成了嚴重的威脅。

（2）信息系統安全管理不規范。現階段，我國電力企業對電力信息系統的安全愈來愈重視，很多電力企業都采取了各種風險管理及預防措施，但是由于系統數據備份設備的不完善、數據丟失等信息系統安全管理不規范現象的出現，建立一套完善、合理的電力企業信息系統安全管理體系尤為重要。

（3）網絡安全意識薄弱。由于電力企業的安全宣傳力度不夠，相關技術人員的安全意識薄弱而導致的信息系統安全問題時有發生，比如不能及時修補信息系統漏洞及補丁，相關人員不正確的操作、或通過U盤導致重要信息泄露等，處理不好都很有可能造成整個電力系統的不穩定甚至系統癱瘓。

（4）惡意人為破壞。隨著網絡共享度的提高，我國的電力企業信息系統逐漸向開放型及共享型發展，這使得一些不法分子有機可乘，他們為了自己的利益，通過各種手段非法入侵電力企業的信息系統，如植入病毒、竊聽、干擾阻斷等，這對我國電力企業信息系統的安全構成了極大的威脅。

2 電力企業信息系統安全管理研究

信息安全是一個復雜的、不斷變化的動態過程，如果電力企業只根據一時需要而忽略了信息安全的動態性，只是主觀的來制定一些風險管理措施，就會造成在企業信息管理中顧此失彼，進而導致企業的安全管理水平止步不前甚至有失偏頗。［2］其正確的做法是，電力企業要遵守相關信息安全標準及實踐總結，結合企業自身對信息系統安全的實際需求，在進行完善的風險分析及風險管理的基礎上，通過一些合理的、可行的安全風險管理措施來使電力企業信息系統一直處于安全狀態。

除此之外，不斷更新的過程是電力企業進行信息安全管理的最基本出發點，該過程還應該是動態的、變化的，即安全措施要隨著環境的變化及信息技術的提高而不斷改進和完善，堅決拒絕一成不變，這可以將信息系統的風險降到最低。［3］所以說，基于風險的評估及控制角度來說，電力企業信息系統的安全風險與其他領域的風險具有相似性，與此同時，電力系統信息系統安全風險又具有其獨特性。將其他領域內的風險控制過程引入電力企業的信息風險管理領域，需要同時考慮到其共性和個性。

安全管理主要分為網絡級、系統級和應用級3個部分：

（1）網絡級安全管理。電力企業信息系統的網絡級安全管理主要是指解決企業信息系統與網絡互聯而產生的安全風險問題，其主要從網絡防火墻及網絡結構兩個方面采取安全管理措施。網絡防火墻對企業內部網絡及外部網絡起到安全隔離作用，它可以有效預防潛在的破壞性入侵，同時可以對即將進入企業內部網絡的數據進行嚴格的檢測，并對非法、錯誤的網絡信息進行隔離，從而保護電力企業內部網絡的安全。對于網絡結構，根據電力企業信息系統的實際情況，相關技術人員結合網絡結構，設計出一種介于混合型和網狀型結構之間的分布式網絡結構，該分布式網絡系統具有較高的可靠性及容錯能力，從而對已有的網絡結構進行了優化。

（2）系統級安全管理。在企業信息系統風險管理中，系統級安全設計與用戶的具體應用具有密切的聯系，具體而言，其分為操作系統與數據處理兩個方面。在操作系統方面，利用有效的網絡安全掃描對信息系統的安全風險進行合理評估，及時分析操作系統已有的漏洞，同時結合信息系統的漏洞自動修補技術，實現定期為相關用戶消除網絡中的安全隱患。在數據處理方面，企業要善于利用信息系統平臺再次對數據庫進行數據安全加密，從而將信息系統的數據庫風險降到最低。

（3）應用級安全管理。應用級安全設計具有直觀、具體的特點，它是在設計電力企業的信息系統時，通過技術手段將相應的安全技術加入到信息系統中，從而有效保證系統的安全穩定運行。具體來說，電力企業信息系統的應用系統訪問控制是根據訪問信息性質的不同，分別進行公開信息和私密信息的傳送、存儲及管理，從而實現在應用層次上的訪問控制；而數字簽名技術可以通過對文件簽發者、日期等提供準確的不可更改的歷史記錄，來保證系統所有文件的完整性。

因此，我們得知，為了確保電力企業信息系統的安全，要采取合理、有效的管理手段來最大程度地降低風險，即相關人員不僅要從技術層面來進行安全管理的設計，還要從管理層面進行安全管理設置。［4］具體來說可以從以下方面著手：

（1）定期對企業系統的技術人員進行安全教育，增強其信息系統的安全意識；

（2）保持相關人員特別是管理層的人員穩定，若有人員調離，需及時更換系統密碼，避免企業機密泄露；

（3）設置合理的電力企業信息系統安全標準及企業制度等。

3 結語

電力企業信息系統的信息安全性在現有的信息安全技術下并不能很好地解決相關安全問題。因此，只有建立完善的、可行的企業信息系統安全管理模式，并及時更新安全技術及設備，制定合理的安全管理方案，才能使電力企業的信息系統安全性一直處于良好狀態。

電力企業信息系統安全是電力企業正常運營的重要保證，企業信息系統安全不僅關系著我國電力企業的信息化水平，還關系著我國經濟發展的前途命運。因此，只有結合我國電力企業的實際情況，采取合理、完善的風險管理措施，才能保證電力企業信息系統的安全性及平穩性。現階段，大量事實表明，如今電力企業的信息系統安全問題不僅僅是技術層面的問題，更大程度取決于相關人員的管理水平。因此，只有將電力企業的信息系統安全風險有效進行識別及分析并采取有效的風險管理及預防方案，才能保證電力企業信息系統的安全性及可靠性。

［1］李文武，游文霞，王先培.電力系統信息安全研究綜述［J］.電力系統保護與控制，2011，39（10）：140－147.

［2］劉振輝.對電力信息系統安全防護問題的研究［J］.信息與電腦：理論版，2012（10）：87.

［3］寇建濤.電力信息系統安全分析與思考［J］.科技資訊，2009，36：17－18.

［4］胡炎，謝小榮，辛耀中.電力信息系統現有安全設計方法分析比較［J］.電網技術，2006，30 （4）：36－42.