專家講述：后SG186時代國網(wǎng)的信息安全

2014-07-15 10:15:34 大云網(wǎng)　點擊量：評論 (0)

2008年某市電力局偶然發(fā)現(xiàn)，OA系統(tǒng)中竟然存在退休并已去世的前電力職工的帳號，并且該職工帳號權限仍有效。管理員嘗試刪除帳號，卻發(fā)現(xiàn)由于各市局OA帳號信息互為備份，一天之后該職工帳號權限被自動恢復，死灰復

2008年某市電力局偶然發(fā)現(xiàn)，OA系統(tǒng)中竟然存在退休并已去世的前電力職工的帳號，并且該職工帳號權限仍有效。管理員嘗試刪除帳號，卻發(fā)現(xiàn)由于各市局OA帳號信息互為備份，一天之后該職工帳號權限被自動恢復，死灰復燃……

　　SG186工程進行了三個年頭，從2006年國網(wǎng)的一紙“十一五”規(guī)劃，到如今，各省網(wǎng)系統(tǒng)相繼驗收，可以說是彈指一揮間，變化萬萬千。雖然整個工程還未最后完工，但通過強化信息采集能力，加快信息傳遞速度，提高信息處理效率，我們可以看到，國網(wǎng)信息化建設正呈現(xiàn)跨越式發(fā)展。“一個平臺、八大應用、六大保障”的目標也正在一步步的實現(xiàn)。

　　不可否認，SG186工程對于國網(wǎng)公司，乃至對于整個電力行業(yè)都是一個跨時代的事件。建立“縱向貫通、橫向集成”的一體化企業(yè)級信息集成平臺，上下信息暢通傳輸和數(shù)據(jù)共享的理念將為中國電力行業(yè)的信息化進程和未來發(fā)展方向定下一個基調(diào)。

　　但回過頭來，我們也不得不認識到SG186工程建設以來，反應出了一些問題，給國網(wǎng)整體信息化后的安全運營帶來了不少問題。

　　就SG186的建設構(gòu)思來看，六大保障體系中首當其沖的就是“安全防護體系”，這說明在SG186工程規(guī)劃階段，就已經(jīng)考慮到安全在電網(wǎng)信息化過程中的重要性，可是就目前建設情況來看，各省網(wǎng)考慮更多的是趕快將系統(tǒng)上線，并等待驗收，以完成任務。對于本當與信息化同步建設的安全防范管理，卻明顯滯后。造成這樣情況的原因一方面是各級單位對信息安全管理認識不足，另一方面也因為SG186工程所帶來的安全風險和威脅讓人著實始料不及和無從下手。

　　讓我們來看一個案例：

　　以上案例是某省電力公司在通過國網(wǎng)SG186驗收后發(fā)生的真實事件，可能可以做為現(xiàn)階段SG186信息安全現(xiàn)狀的一個代表。從中，我們至少可以看出兩個方面威脅：

　　1. 訪問權限管理缺失

　　SG186工程，制定了系統(tǒng)松緊耦合的建設方針，緊耦合系統(tǒng)的融會合流，松耦合系統(tǒng)一線貫通，無論如何建設都會造成系統(tǒng)的帳號設置和權限分配空前的繁復，如何有效的管理系統(tǒng)訪問權限，防止帳號被非授權的使用?如何保證那些省、市、縣各級單位離職的或是轉(zhuǎn)崗的職工不再擁有已不應該屬于他們的帳號和權限?這個問題將是未來一段時間內(nèi)，電網(wǎng)信息安全的最大風險。

　　2. 系統(tǒng)漏洞風險

　　任何系統(tǒng)都有漏洞，微軟近期又發(fā)布了windows的最新補丁，修補系統(tǒng)漏洞。那么，國網(wǎng)有沒有建立各上線系統(tǒng)漏洞檢測、漏洞報告、問題處置、補丁檢測、補丁更新的控制呢?雖然，SG186工程中，主要引入的是已成熟的系統(tǒng)軟件，但如果對系統(tǒng)漏洞缺乏管理，將會對電網(wǎng)信息安全造成嚴重威脅。案例中帳號無法徹底刪除這個系統(tǒng)漏洞，就一線貫通的OA系統(tǒng)而言，其影響面是非常大的，如果沒有對它的風險有足夠的認識，一旦被利用，將會造成重大的后果。

　　三國赤壁，曹操舉百萬雄兵揮師南下，信心滿滿，卻最后被一把大火燒的慘敗而歸。這是我們很熟悉的赤壁大戰(zhàn)的故事，我們說曹操之所以失敗，并不是在于他戰(zhàn)船連橫的策略，也不是在于東吳詭計的狡猾，而是因為他對現(xiàn)狀和所存在的威脅認識不足，并且沒有采取等量的化解風險的方法。他可能考慮到會受火攻，但是沒有提前制定受火攻時的應急預案方法，或者考慮了防護方法，但沒有對防護方法的有效性進行驗證。最后造成了自己的慘敗。

　　現(xiàn)在的SG186工程，在某種意義上是不是類似于曹操的連鎖戰(zhàn)船策略?原本漏洞對于信息系統(tǒng)來說只意味一個省局或者幾個市局的小影響，是一個小隱患，到SG186后，成為一個全局性的、影響整個公司的大威脅。越是大規(guī)模的集合，其應對風險的能力將越弱，破壞所造成的后果也將越嚴重，這一點需要得到充分的認識。另外，對于這類系統(tǒng)漏洞，一般會影響很多部門和單位，如果沒有一個有效的發(fā)現(xiàn)，報告，處理，解決的機制，在沒有明確責任部門的情況下，是很難被徹底解決的。

　　以上分析的信息安全隱患只是拋磚引玉。可以確定的是，SG186工程各系統(tǒng)建設過程中會存在更多的信息安全隱患。

　　近期還發(fā)生了這樣一件事，美報報道：來自中國和俄羅斯的網(wǎng)絡間諜侵入美國電網(wǎng)后，留下了可能用來破壞電力系統(tǒng)的軟件程序。對于這則報道，我們姑且不論是否是間諜所為，但從信息安全的角度分析我們可以得到以下兩點收獲：

　　美國電力核心網(wǎng)又一次被證明可以從互聯(lián)網(wǎng)侵入。

　　這一事實告訴我們，電力核心網(wǎng)并不是與世隔絕的世外桃源。雖然這是個老生長談的話題，但是就國內(nèi)電網(wǎng)來說，如果SG186工程造成通信數(shù)據(jù)網(wǎng)SGTnet的信息安全保障強度減弱，安全風險增加，那么對于調(diào)度數(shù)據(jù)網(wǎng)SGDnet中各系統(tǒng)來說，其被侵入的風險也將會大大增加。

　　美國又一次發(fā)現(xiàn)了電力系統(tǒng)的信息安全隱患。

　　如果說上一點是美國電網(wǎng)信息安全防護的恥辱的話，那么這一點應該是值得我們思考和學習的地方，為什么美國總能夠及時的找到自身存在的這些弱點和所面臨的威脅呢?自從2003年發(fā)生電網(wǎng)災難之后，美國更注意加強在電網(wǎng)信息安全防范和檢測上的力度、深度和廣度。這次的事件就是由美國情報部門的例行檢查時發(fā)現(xiàn)的。就這一點來說，如果同樣的事件發(fā)生在我國，我們能夠及時識別么?

　　“安全的前提在于正確識別出風險。”安言咨詢張威如是說。誠然，美國電網(wǎng)，雖然不斷在發(fā)現(xiàn)隱患，發(fā)現(xiàn)問題，引起公眾的恐慌，但是我們并不能認為它是不安全的，反而它可能會比世界上大部分國家的電網(wǎng)更安全。而對于對于國網(wǎng)，現(xiàn)在或者將來一段時間內(nèi)必須要做的是，識別出SG186工程所來帶的安全隱患，評價它們可能造成后果的嚴重程度。因為只有找到那些安全隱患，并正確的評價它之后，所有采取的安全保障措施才是有的放矢的、有效的。

　　在這個層面上，引入全面而準確的信息安全風險評估將對SG186工程，乃至電網(wǎng)以后的信息化建設起到至關重要的作用。

　　對于風險評估，其實國網(wǎng)進行過實踐，因為長久以來，國網(wǎng)對于電力生產(chǎn)安全工作的開展一直是不遺余力的，很早便引入風險管理體系，做為安全工作的輸入和導向，本著防范于未然的理念，幫助國網(wǎng)形成了生產(chǎn)監(jiān)督檢查機制，建立了各級的應急響應預案，確保了國家基礎設施的使用安全。

　　但這之前的風險評估更傾向于生產(chǎn)電路設備和二次系統(tǒng)等方面。對于支撐企業(yè)業(yè)務流運轉(zhuǎn)的通信數(shù)據(jù)網(wǎng)SGTnet信息化建設所引發(fā)的信息系統(tǒng)安全保障問題，卻更多的停留在硬件的購置及監(jiān)控系統(tǒng)的上線上，很多情況是，技術手段上的防護已經(jīng)達到，但其他方面的要求卻不盡如人意。即使2008年在全網(wǎng)開展的信息系統(tǒng)風險評估工作，也只是對各服務器及信息系統(tǒng)進行了漏洞掃描和滲透測試，雖然發(fā)現(xiàn)和解決一部分問題，但是僅以此，便想得到信息安全的有效保障還是遠遠不夠的。因此國網(wǎng)很有必要引入全面的信息安全風險評估和管理體系，來達到信息化過程中可持續(xù)的風險識別和控制。

　　在此過程中，可以開展以下階段工作：

　　1. 員工信息安全意識教育

　　對于信息安全工作的開展，不是系統(tǒng)管理部門的事，也不是系統(tǒng)使用部門的事，而是全體員工的事，必須要提高全體員工的信息安全意識。通過培訓和考核等措施，提高員工對公司信息安全的認識，讓信息安全成為業(yè)務開展的一部分，才能有效提高公司整體信息安全水平，也是信息安全工作得到有效的支持和推進。

　　2. 從下自上全面風險評估

　　在員工對信息安全工作有一定認識的條件下，可以按操作層、服務層、管理層，自下而上的開展風險評估工作。從各角度，審視公司軟硬件、人員、數(shù)據(jù)、服務等資產(chǎn)管理狀況，從技術和管理角度分析系統(tǒng)和流程漏洞，達到脆弱點全面識別的目的。

　　3. 風險評估日常化

　　信息安全不是一蹴而就的事，也并不是短期工作就能達到較高水平的，需要形成日常弱點發(fā)現(xiàn)，匯報，管理的機制，從日常基礎工作人員開始，發(fā)現(xiàn)問題，識別問題，分析問題，匯報問題，處理問題。建立從下到上的無障礙流轉(zhuǎn)的解決流程。這將使信息安全工作開展的更實際和有效。

　　浙江電力公司總經(jīng)理趙義亮曾表示“信息安全與電力安全同等重要，要像抓電力安全生產(chǎn)一樣抓好信息安全工作。”并在省網(wǎng)內(nèi)嘗試引入ISO27001國際標準，建立基于信息安全風險評估的信息安全管理體系。在風險識別和管理方面取得了一定的效果。

　　相信在“十二五”國網(wǎng)的信息化建設規(guī)劃中，一方面會要求在更廣的范圍內(nèi)推廣SG186工程成果，另一方面，應該會更關注信息化進程對企業(yè)造成的信息安全威脅的控制。對于這一點，本文提供了一些思路和看法，但是更多有成效的工作還需要通過實踐的探求和摸索，才能達到最佳的實踐。

　　“對于安全保障來說，沒有問題是最大問題。”安言咨詢左金龍如是說。對于電網(wǎng)的信息化建設，或者對于SG186工程來說，引入全面的信息安全風險評估機制，從資產(chǎn)、構(gòu)架、系統(tǒng)、工具、技術、流程、管理等各方面和角度著手，識別弱點，發(fā)現(xiàn)威脅，評價風險危害。將是信息安全體系最好的起點。