文/國(guó)家電網(wǎng)重慶電力涪陵公司 唐振勇 唐湉湉

我國(guó)電力工業(yè)體制開始向市場(chǎng)經(jīng)營(yíng)模式轉(zhuǎn)變。各級(jí)供電企業(yè)紛紛建立數(shù)據(jù)中心，信息存儲(chǔ)系統(tǒng)和基于云計(jì)算的大集中管理應(yīng)用，已成為提高生產(chǎn)效率、管理水平、加強(qiáng)信息反饋和提高企業(yè)經(jīng)營(yíng)決策以及綜合競(jìng)爭(zhēng)力的科學(xué)手段。隨著電力信息網(wǎng)絡(luò)的互聯(lián)互通，電力信息網(wǎng)絡(luò)面臨日益突出的信息系統(tǒng)安全問題。

怎樣才能保證我們信息的保密、完整和可用性呢？眾所紛云的口頭禪 “信息安全”到底是什么？我們?cè)?jīng)作過調(diào)查：70%的人認(rèn)為“信息安全太廣義了，包含的內(nèi)容太多。如果指定哪方面的安全，我們加強(qiáng)重視和防范不就行了”，30%的人認(rèn)為“信息安全問題，國(guó)家有專門的保障體系，我們只是在技術(shù)上采取策略和措施，將對(duì)信息的危害降到最低的程度。這是我們應(yīng)盡的職責(zé)。”如表1所示。

表1  “IT運(yùn)維網(wǎng)”注冊(cè)用戶對(duì)信息安全的調(diào)查報(bào)告

大集中云技術(shù)讓我們感覺到數(shù)據(jù)中心近在眼前，而且越來(lái)越近，我們獲取數(shù)據(jù)信息猶如撐手摘云。但前提是首先要加固網(wǎng)絡(luò)安全，包括信息系統(tǒng)自身的安全，信息網(wǎng)絡(luò)的安全和信息人員的安全。

確實(shí)，信息安全包含內(nèi)容較多，分信息安全保障和信息安全技術(shù)兩大類，正如“積極防御，綜合防范，管理與技術(shù)并重”的方針，即在信息系統(tǒng)的整個(gè)生命周期中，通過對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)分析，制定并執(zhí)行相應(yīng)的安全保障策略，從技術(shù)、管理、工程和人員等方面提高安全保障要求，確保信息的機(jī)密性、完整性和可用性，降低安全風(fēng)險(xiǎn)到可接受的程度，從而保障系統(tǒng)實(shí)現(xiàn)組織機(jī)構(gòu)的使命。

安全策略又分組織措施和技術(shù)措施。組織措施包括成立信息安全管理機(jī)構(gòu)即信息安全領(lǐng)導(dǎo)小組；制定信息安全的目標(biāo)，確保業(yè)務(wù)的連續(xù)性，并通過一系列預(yù)防措施將業(yè)務(wù)可能受到的損害降到最低，將安全事故產(chǎn)生的影響降到最小；實(shí)施信息安全管理辦法，在確保信息系統(tǒng)資產(chǎn)受到保護(hù)的同時(shí)，確保信息能夠在允許的范圍內(nèi)正常使用，保護(hù)每種資產(chǎn)的機(jī)密性、完整性、可用性等三個(gè)基本要素；頒布信息安全管理制度，如數(shù)據(jù)中心機(jī)房出入；門禁、視頻監(jiān)控、巡視、防護(hù)、檢測(cè)、跟蹤、響應(yīng)、缺陷處理、恢復(fù)、終結(jié)以及人員管理和培訓(xùn)計(jì)劃等等。技術(shù)措施包含很多綜合的技術(shù)，如加解密技術(shù)、訪問控制技術(shù)、審計(jì)和監(jiān)控、入侵檢測(cè)、深度防御、設(shè)備監(jiān)控、網(wǎng)絡(luò)架構(gòu)以及攻防兼?zhèn)浼夹g(shù)。

信息安全就是數(shù)據(jù)的安全。在沒有數(shù)據(jù)中心集中備份的條件下，管理層不考慮信息數(shù)據(jù)的安全問題，而片面追求系統(tǒng)運(yùn)行速度，以最小的投入達(dá)到應(yīng)用目的。這種理念在中、小型企業(yè)中普遍存在。信息系統(tǒng)自身的安全，包括硬件和軟件系統(tǒng)，關(guān)鍵是磁盤陣列設(shè)備和架構(gòu)的安全。

電力信息網(wǎng)絡(luò)與互聯(lián)網(wǎng)實(shí)行物理隔離，但仍要防止意外破壞或者內(nèi)部人員的安全控制，也要面對(duì)如網(wǎng)絡(luò)病毒、蠕蟲、木馬和電腦“黑客”等的各種攻擊。電力企業(yè)信息傳輸基本上是明文方式，不具有信息安全所要求的保密、完整和發(fā)送方不可抵賴的要求。在數(shù)據(jù)庫(kù)或操作系統(tǒng)文件中以明文形式存儲(chǔ)的信息也存在泄露的可能，因?yàn)槟玫酱鎯?chǔ)介質(zhì)的人可以讀出這些信息；黑客可以繞過操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)的控制獲取這些信息；系統(tǒng)后門使軟硬件系統(tǒng)制造商也很容易得到這些信息。

要加強(qiáng)信息人員的安全教育，保持信息人員特別是網(wǎng)絡(luò)管理員和安全管理員的相對(duì)穩(wěn)定，防止網(wǎng)絡(luò)機(jī)密泄露，特別注意人員調(diào)離時(shí)的網(wǎng)絡(luò)機(jī)密的泄露。對(duì)網(wǎng)絡(luò)設(shè)備、服務(wù)器、存儲(chǔ)設(shè)備的操作要履行簽字許可制度和操作監(jiān)護(hù)制度，杜絕誤修改和非法修改。主管信息安全工作的高級(jí)負(fù)責(zé)人或各級(jí)管理人員，重點(diǎn)了解、掌握企業(yè)信息安全的整體策略及目標(biāo)、信息安全體系的構(gòu)成、安全管理部門的建立和管理制度的制定。負(fù)責(zé)信息安全運(yùn)行管理及維護(hù)的技術(shù)人員，重點(diǎn)理解信息安全管理策略，掌握安全評(píng)估的基本方法，合理運(yùn)用安全操作和維護(hù)技術(shù)。信息用戶人員，重點(diǎn)學(xué)習(xí)各種安全操作流程，了解和掌握與其相關(guān)的安全策略，包括自身應(yīng)該承擔(dān)的安全職責(zé)。對(duì)特定的人員要進(jìn)行特定的安全培訓(xùn)。安全教育應(yīng)當(dāng)定期的、持續(xù)的進(jìn)行。

國(guó)家電網(wǎng)吹響了推行“三集五大” 的戰(zhàn)斗號(hào)角，南方電網(wǎng)也全面推行信息系統(tǒng)一體化平臺(tái)應(yīng)用。大集中模式已經(jīng)形成，數(shù)據(jù)中心近在眼前，猶如電力信息網(wǎng)絡(luò)的一朵朵云彩。電力信息安全已經(jīng)成為電力企業(yè)生產(chǎn)、經(jīng)營(yíng)和管理的重要組成部分，并被提高到新的高度。電力企業(yè)的綜合信息管理系統(tǒng)中，必須從網(wǎng)絡(luò)、操作系統(tǒng)、應(yīng)用程序和業(yè)務(wù)需求等各方面來(lái)保證系統(tǒng)的安全，研究電力信息網(wǎng)絡(luò)安全問題、制訂切實(shí)可行的防范措施與系統(tǒng)災(zāi)難恢復(fù)等安全防護(hù)策略勢(shì)在必行，信息安全應(yīng)急預(yù)案是當(dāng)前信息化工作的重要內(nèi)容。在企業(yè)中建立安全文化并容納到整個(gè)企業(yè)文化體系中才是最根本的解決辦法。