關于電力企業信息安全問題的思考

李祝紅++杜炳++馮紹興++楊安東

摘 要：根據電力企業面臨的安全風險和問題，本文提出了信息安全工作開展的一般原則，從信息安全技術上和安全管理上提出了解決安全問題的思路和方法，最后闡述了信息安全問題隨技術和應用的發展而發展，應在發展中求安全的觀點。

關鍵詞：電力企業；信息安全；管理對策

中圖分類號：F426.61 文獻標識碼：A 文章編號：1671-2064（2017）18-0147-01

1 電力企業信息安全風險分析

隨著企業的生產指揮，經營管理等經營活動越來越依賴于計算機信息系統，如果這些系統遭到破壞，造成數據損壞，信息泄漏，不能提供服務等問題，則將對電網的安全運行，電力企業的生產管理以及經濟效益等造成不可估量的損失，高技術在帶來便利與效率的同時，也帶來了新的安全風險[3]和問題。

信息安全包括信息軟件安全和信息硬件安全，與信息安全分析和信息化應用情況密切相關，和采用的信息技術也密切相關，電力公司信息系統面臨的主要風險主要存在于網絡安全、物理安全、系統安全、數據安全等幾個方面：

（1）電力企業信息網絡安全：企業內部廣域網上的用戶數量多且難于進行管理，內部網、互聯網上的一些用戶出于好奇的心理，或者蓄意破壞的動機，對電力公司網絡上連接的計算機系統和設備進行入侵，攻擊等，影響網絡上信息的傳輸，破壞軟件系統和數據，盜取企業商業秘密和機密信息，非法使用網絡資源等，給企業造成巨大的損失。更有極少數人利用網絡進行非法的，影響國家安定團結的活動，造成很壞的影響。（2）電力企業信息物理安全：電力企業信息物理安全主要作用點是對計算機網絡與計算機系統的物理裝備的威脅，主要表現在自然災害、電磁輻射與惡劣工作環境方面。外在表現主要在于通信干擾、危害信息注入、信號輻射、信號替換、惡劣操作環境等。（3）電力應用系統安全：隨著辦公自動化，財務管理系統，用電營銷系統等生產，經營方面的重要系統投入在線運行，應用系統的網絡阻塞、黑客攻擊、非法使用資源等行為日益突出。同時也因為各類信息應用系統的漏洞，造成計算機病毒利用系統漏洞攻擊使計算機網絡與計算機系統的行為也時有發生。部分應用系統的用戶權限管理功能過于簡單，不能靈活實現更細的權限控制，甚至簡單到要么都能看，要么都不能看。二是各應用系統沒有一個統一的用戶管理，企業的一個員工要使用到好幾個系統時，在每個應用系統中都要建立用戶賬號，口令和設置權限，用戶自己都記不住眾多的賬號和口令，使用起來非常不方便，更不用說賬號的有效管理和安全了。（4）電力企業數據安全：隨著計算機信息系統在電力市場，用電營銷，財務管理等業務中的深入應用，各類系統數據安全的重要性日益突出和重要。威脅數據安全的因素有很多，主要有以下幾個比較常見：

1）硬盤驅動器損壞：一個硬盤驅動器的物理損壞意味著數據丟失。設備的運行損耗、存儲介質失效、運行環境以及人為的破壞等，都能造成硬盤驅動器設備造成影響。2）人為錯誤：由于操作失誤，使用者可能會誤刪除系統的重要文件，或者修改影響系統運行的參數，以及沒有按照規定要求或操作不當導致的系統宕機。3）黑客：入侵者借助系統漏洞、監管不力等通過網絡遠程入侵系統。4）病毒：計算機感染病毒而招致破壞，甚至造成的重大經濟損失，計算機病毒的復制能力強，感染性強，特別是網絡環境下，傳播性更快。

2 解決信息安全問題的基本原則

統籌規劃，分步實施。要建立完整的信息安全防護體系，絕不能一哄而上，必須分清需求的輕重緩急，根據信息化建設的發展，結合信息系統建設和應用的步伐，統一規劃，分步建設，逐步投資。

（1）信息安全規范化原則。電力企業信息網是電力信息安全的基礎，也是電力信息安全的重中之重。參考國內外信息網安全的新技術，加固電力信息網安全防護體系，解決相關安全問題的信息網絡安全技術的成熟度綜合考慮，分步實施。技術成熟的，能快速見效的安全系統先實施，各階段都應遵循安全規范要求，根據組織安全需求，制定安全策略。保證信息不被非授權訪問。（2）信息安全均衡防護原則：對電網信息網絡、信息系統進行均衡、全面的防護，提高整個系統的“安全最低點”的安全性能。同時采用法律方法、行政方法、經濟方法和宣傳教育方法。相互結合，形成完整的管理方法體系。（3）強調以人為本的原則：信息網安全管理中，必須做到責任分化，策略規劃，政策制訂，流程制作，操作審議等等。雖然信息安全"三分技術，七分管理"的說法不是很精確，但管理的作用可見一斑，安全責任人必須做好預防管理工作，提高管理人員的技術素養和道德水平，應對突擊事件。

3 解決信息安全問題的思路與對策

信息作為一種資源，它的普遍性、共享性、增值性、可處理性和多效用性，使其對于人類具有特別重要的意義。信息安全的實質就是要保護信息系統或信息網絡中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的安全性。電力企業的信息安全管理相對來說還是一個較新的話題，國內其他電力企業也在積極研究和探討，以下是一些粗淺的看法。

3.1 依據國家法律，法規，建立企業信息安全管理制度

企業首先必須遵守國家發布的對信息網絡安全的法律法規和技術標準，企業也必須依據這些法律法規，來建立完善自己的管理標準，技術體系，指導信息安全工作；同時學習信息安全管理國際標準，提升企業信息安全管理水平；建立信息安全工作的組織體系和常設機構，明確領導，設立專責人長期負責信息安全的管理工作和技術工作，保證信息安全工作長期的，有效的開展，才能取得好的成績。

3.2 加強企業信息網的網絡安全工作

全面掌控主干設備的配置情況及配置參數變更情況，備份各個設備的配置文檔；同時對運行關鍵業務網絡的主干設備配備相應的備份設備，并配置為熱后備設備；專人負責網絡布線配線架的管理，確保配線的合理有序；掌控用戶端設備接入網絡的情況，以便發現問題時可迅速定位；積極采用大數據技術采集交換機syslog日志信息，分析潛在的危險；掌控和外部網絡的連接配置，監督網絡通信狀況，發現問題后和有關機構及時聯系；實時監控整個局域網的運轉和網絡通信流量情況，建立健全電力信息網網絡安全防范體系。

3.3 開展全員信息安全教育和培訓活動加強物理設備安全

開展安全教育和培訓掌握企業信息安全的整體策略及目標，信息安全體系的構成，安全管理部門的建立和管理制度的制定等；負責信息安全運行管理及維護的技術人員，重點是充分理解信息安全管理策略，掌握安全評估的基本方法，對安全操作和維護技術的合理運用等；用戶，重點是學習各種安全操作流程，了解和掌握與其相關的安全策略，包括自身應該承擔的安全職責等。

3.4 構造專業信息系統和信息數據安全管理體系

對于已經投入使用的信息系統，可以通過采用增加安全訪問網關的方法，來增強原有系統的用戶管理和對信息資源訪問的控制，以及實現單點登陸訪問任意系統等功能。定期備份數據庫數據，防止數據丟失。對于新建系統，采用統一身份認證平臺技術，來實現不同系統通過同一個用戶管理平臺實現用戶管理和訪問控制。

3.5 在發展中求安全

企業的信息化應用是隨著企業的發展而不斷發展的，信息技術更是日新月異的發展的，安全的需求也是逐步變化的，新的安全問題也不斷產生，原來建設的防護系統可能不滿足新形勢下的安全需求，這些都決定了信息安全是一個動態過程，需要定期對信息網絡安全狀況進行評估，改進安全方案，調整安全策略。信息安全是一個伴隨著企業信息化應用發展而發展的永恒課題。

參考文獻

[1]趙偉.基于計算機網絡安全防arp攻擊的研究[J].信息通信，2014（2）：130-130.

[2]陳梅志.計算機網絡信息安全及其應對措施淺析[J].硅谷，2014，7（2）：143-143.

[3]厲海濤.基于風險狀態的安全性分析方法研究[D].國防科學技術大學，2012.endprint