信息安全風(fēng)險評估就是從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性……，”信息中心安評部信息安全管理專責(zé)蘇永東對信息安全風(fēng)險評估這樣認識，“通過安全風(fēng)險評估，可對安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，為防范和化解信息安全風(fēng)險，將風(fēng)險控制在可接受的水平，從而最大限度地為保障信息安全提供科學(xué)依據(jù)……” 

 

信息安全風(fēng)險評估，一直是信息中心安評部工作的重中之重，“這是一種典型的防患于未然的重要舉措，要做到讓信息安全像陽光和空氣一樣，盡量讓大家在工作中感受不到，我們要做的就是不讓其出現(xiàn)缺失……” 信息中心安評部主任周靖這樣看待信息安全。

 

去年開展的信息安全風(fēng)險評估工作是對云南電網(wǎng)公司現(xiàn)有內(nèi)網(wǎng)信息系統(tǒng)、新增的對外信息系統(tǒng)以及網(wǎng)絡(luò)邊界展開全面深入的風(fēng)險評估，最終分析出云南電網(wǎng)公司信息安全風(fēng)險總體狀況。此次風(fēng)險評估比往年更加注重應(yīng)用安全，開展了業(yè)務(wù)流程仿真測試、滲透測試等評估工作。此次現(xiàn)場評估的時間為11個工作日，具體工作內(nèi)容是系統(tǒng)調(diào)研表信息完善及核對、現(xiàn)有安全防護措施識別與分析，網(wǎng)絡(luò)設(shè)備、安全設(shè)備及網(wǎng)絡(luò)邊界評估，主機、數(shù)據(jù)庫、中間件、應(yīng)用、終端核查，業(yè)務(wù)安全專項測試，漏洞掃描、木馬檢測，安全管理，滲透測試。

 

測評工作組通過測評，提出網(wǎng)絡(luò)層存在20個風(fēng)險點，應(yīng)用層存在29個風(fēng)險點和終端層有4個風(fēng)險點。隨后，中心安全測評部立即組織開展測評的整改工作。通過一個月的努力，在設(shè)備管理部、應(yīng)用技術(shù)部和客戶服務(wù)部的協(xié)作下，共同完成了2014年南網(wǎng)一體化風(fēng)險評估的整改工作，網(wǎng)絡(luò)層整改風(fēng)險點20項、應(yīng)用層整改風(fēng)險點29項、終端層完成4個風(fēng)險點的整改。

 

2015年，測評工作組再次來到信息中心開展回歸測試工作。通過對網(wǎng)絡(luò)設(shè)備、安全設(shè)備及網(wǎng)絡(luò)邊界，主機、數(shù)據(jù)庫、中間件、應(yīng)用、終端，漏洞、木馬，滲透開展回歸核查測試，確認所存在的所有風(fēng)險點已全部完成整改，中心安全風(fēng)險評估回歸性測試一次性通過。

 

“通過這次信息安全風(fēng)險評估、整改及回歸性測試，我們?nèi)姘l(fā)現(xiàn)、掌握了云南電網(wǎng)所面臨的信息安全風(fēng)險，進一步提升了信息安全保障能力和防護水平……”信息中心安評部主任周靖這樣總結(jié)，“信息安全風(fēng)險管理，就是要迅速、及時地應(yīng)對所面臨的網(wǎng)絡(luò)安全威脅，將信息安全風(fēng)險降到最低……”（劉玉婷）