2023年浅谈电力信息系统安全分析与思考.docx

浅谈电力信息系统平安分析与思考 论文关键词：电力企业信息系统信息平安 论文。电力企业是最早实现生产经营信息化的企业之一，电力信息系统平安是电网平安运行和可靠供电的保障。本文在分析研究电力信息系统平安的现状根底上，提出了电力信息系统平安保障的建设规划。 近年来随着通信技术和信息技术的飞速开展，信息网络已经渗透到社会每一个角落。电力企业是最早实现生产经营信息化的企业之一，电网调度自动化、网络运营市场化和管理现代化等都与电力信息系统密切相关，电力负荷控制、mis、资费管理、客户效劳等信息网络技术也成功应用到各级电力企业。同时网络的负面影响也渗透到电力企业生产的各个方面，对电力系统的平安稳定、优质运行构成了严重威胁。电力信息系统平安和电力生产平安同等重要，是国家平安的重要组成局部。因此研究信息平安技术，建立电力信息系统的平安防护体系和平安模型，对确保电力系统平安稳定、经济优质运行，加速实现“数字电力系统〞的进程具有重要的现实意义，是当前电力信息系统建设中亟待解决的大问题。 1电力信息系统平安需求 一个全面、合理的电力信息系统平安体系和模型，应该满足以下平安需求。 1.1机密性 即确保信息仅对被授权者可用。信息的保护通过确保数据被限制于授权者（这里通过可审性来配合）使用，另外还应考虑信息所在的形式和状态，是物理的纸面形式、电子文档形式，还是传输中的介质形式。 1.2完整性 是指数据不以未经授权方式进行改变或损坏的特性。电力企业的许多开放系统应用都有依赖于数据完整性的平安需求。完整性同样应考虑信息所在的形式和形态。 1.3可用性 指确保被授权用户在需要时可以访问系统中的信息和相关资产，不会因自然或人为原因使系统中信息的存储、传输或处理延迟，或者系统效劳被破坏、被拒绝到达不能容忍的程度。 1.4可控性 指授权机构对信息的内容及传播具有控制能力，可以控制授权访问内的信息流向以及方式。 1.5不可抵赖性 也称信息的可确认性，是传统社会的不可否认需求在信息社会的延伸。不可抵赖性包括证据的生成、验证和记录，以及在解决纠纷时随即进行的证据恢复和再次验证。 1.6可审性 可审性不是信息自身的平安需求，不能针对攻击提供保护，但具有信息的责任需求，和他平安需求相结合使之更加有效。虽然可审性需求会增加系统的复杂性，降低系统的使用能力。但是其事后可追查这一特性，在电力信息系统平安中是重要的。 以上六个方面是保证信息系统的信息平安最根本的需求，它们互不能蕴含。 2电力信息系统面临的威胁和存在的问题 2.1面临的威胁电力信息系统面临的威胁来自各个方面。归结起来主要包括以下几个方面。 （1）系统组件固有的脆弱性和缺陷。电力信息系统组件在设计、制造和组装中，可能留下各种隐患：①电力信息系统硬件组件的平安隐患，这种问题多数来源于设计。②软件组件的平安隐患，来源于软件设计和软件工程实施中的遗留问题。③基于tcp／ip协议栈的因特网在设计之初只考虑了互联互通和资源共享的问题，无法兼容解决来自网际的大量平安问题。 （2）自然威胁。自然威胁是不以人的意志为转移的不可抗拒的自然事件，如地震、雷击、洪灾和火灾等。 （3）意外人为威胁。这是一类具有各种不确定因素（如不正确的操作、配置、设计或人员的疏忽大意）综合时偶然发生的平安威胁。不是有人成心造成的，但是发生的概率大，产生的损失也可能是非常巨大、无法挽回的。 （4）恶意人为威胁。恶意的人为威胁包括欺诈或偷窃、内部员工的恶意破坏、怀有恶意的黑客行为、恶意代码、侵犯他人个人隐私等行为。 2.2电力信息系统存在的问题 电力信息系统平安在过去几年虽然已经取得了长足开展，但是在信息系统的规划、建设和运行维护过程中需要研究和解决的问题还很多。分析现状，笔者认为电力信息系统目前存在的问题主要表现在：（1）人员信息平安意识薄弱；（2）信息平安管理机制不完善；（3）系统边界平安防护薄弱，平安隐患依然存在；（4）缺乏平安体系和可评估的平安模型等几个方面。3电力信息系统平安的建设 通过分析，针对电力信息系统目前存在的问题，我们应该结合企业自身的特点，坚持“平安第一，防御为主〞方针，有目的地、合理地设计电力信息系统平安体系和模型，建立健全与信息化相适应的信息平安保障、监督体系，积极防御和综合防范信息技术风险，增强信息系统平安预警、应急处理和灾难恢复能力，以确保满足根本平安需求。 3.1建立健全信息平安工作机制 切实加强组织和领导，把信息平安纳入电力平安生产体系，坚持一手抓信息化建设，一手抓信息平安保障工作。各级主管领导要亲自研究、协调处理信息平安l_日]题，健全信息平安管理体制，落实责任部门，明确责任人员，提高各级人员的信息平安意识，各尽其职，常抓不懈，确保信息平安积极防御措施和综合防范工作落到实处，确保信息平安管理机构、人员、职能、责任“四到位〞。 3.2不断完善信息平安管理制度体系 统筹规划，突出重点，加快信息平安管理制度和标准标准建设步伐，强化信息平安规章制度落实工作，尽快编制电力企业有关实施意见，明确电力信息系统平安重大任务和重要工程，统筹规划电力企业信息平安工作。落实电力信息系统分区平安策略，有效指导各企业信息平安防护设施新建和更新工作，标准信息事故发生后的调查处理，加强信息平安事件监督。尽快出台电力信息系统平安体系建设标准，加强身份认证、授权管理和跟踪审计工作。抓紧研究和编制灾难恢复系统建设标准，确定灾难恢复策略，统筹规划各企业灾难恢复系统建设。 3.3严格执行电力二次系统平安防护规定 要切实贯彻落实电力二次系统平安防护总体方案及各级调度中心二次系统平安防护方案，切实将其纳入电力平安生产管理体系，建立健全电力二次系统平安联合防护和应急机制，制定并完善应急预案。按照“平安分区、网络专用、横向隔离、纵向认证〞的根本原那么，清理生产控制大区与管理信息大区之间横向边界，加强调度数据网络的建设和平安符理。 3.4加快信息平安管控手段建设 全面推进个人终端标准化建设工作，严格个人终端接入网络管理，实现个人终端补丁程序、病毒软件自动更新、升级，严禁随意下载和安装非正版软件。强化防木马病毒等平安措施，严格用户访问控制。增加信息平安监控措施，加快建立信息平安监控手段，实现对防火墙、入侵检测等平安防护设施的集中监视和事件预警。加快信息平安模型研究，落实信息平安整体评估工作，使平安评估常态化、简易化、科学化。 3.5强化信息平安应急与通报工作 不断完善反响灵敏、协调有力的信息平安应急机制，制定预案，加强演练。应急预案应该能够确保平安事件进一步蔓延，到达监视恢复时间和损失预期目的。标准信息平安事件通报程序，坚决杜绝发生信息事件隐瞒不报的情况。及时传达国家和企业信息平安运行动态，及时响应和处理信息平安事件，加强事件分析，实时发布平安通告。 3.6高度重视信息平安保密工作 认清形势，提高全员保密知识水平和技术防护技能，提高防范网络窃密泄密能力。严禁将涉密计算机与互联网和其他公共信息网络连接，严禁在非涉密计算机和互联网上存储、处理国家机密和企业秘密，严禁涉密移动存储介质在涉密计算机和非涉密计算机及互联网上交叉使用，切实落实信息平安保密责任。加强与咨询、开发合作单位的平安保密管理，签署保密协议，严格对外部人员访问的授权和审批，加强监管和备案。及时开展信息系统平安保密检查，做好涉密文档的登记、存档、销毁、定密、解密等各环节工作，及时发现并堵塞泄密隐患。 3.7提高全员信息平安意识 开展全员信息平安培训，全面树立决策层、管理层、操作层信息平安风险意识，不断积累信息平安管理经验。开展不同层面的平安教育和培训工作，适应信息技术日新月异开展的潜在要求。充分利用电力系统科研单位和高校的信息平安研发力量，加强企业内部专用队伍对平安技术的支撑作用，提高电力系统信息平安核心技术的创新、评估和认证能力。 第7页 共7页