谨防内患 电力系统安全审计促“合规”

【.com 综合消息】电力行业是国民经济的基础产业，是国民经济发展和人民生活极其重要的基础设施之一。近些年来，电力的信息化建设取得了非常显著的成就，信息化建设已经有了一定的规模，形成了微波、卫星、光纤、无线移动通信等多种类通信手段，通信范围覆盖全国。基本建成从国家电网公司→区域电网中心→省电力公司→地市电力公司→变电所（局）的四级计算机网络和电力生产调度网络，成为生产控制、电力调度以及信息传输和交换的重要基础设施。但面对外围行业中存在的网络违规行为日益泛滥，电力行业各公司开始认识到强化对各直属机构的信息管理系统的安全建设的必要性，尤其是面对内部大量调度信息等关键数据的操作的安全性，是电力行业“安全生产”的立命之本。面向业务安全的IT治理，加强对业务安全的监控和管理，以保证电力系统安全生产成为重要的课题。

电力系统业务安全的指导思路

谈到电力行业的IT治理，不得不从行业的几个重要信息化指导性文件说起。从2002年国家经贸委的第30 号令（《电网和电厂计算机监控系统及调度数据网络安全防护的规定》），2004年国家电力监管委员会第5 号令（《电力二次系统安全防护规定》），到2005年电力二次系统安全防护专家组和工作组提出的《电力二次系统安全防护总体方案》，都很大篇幅地涵盖了IT治理方面的明确要求。天玥网络安全审计系统正是顺应了这样的需求背景，满足了电力行业IT治理的安全需求，并得到了一个又一个行业用户的肯定。

电力行业的信息系统庞大复杂，IT系统治理难度大。按照《电力二次系统安全防护规定》的安全分区原则，调度中心（省调及以上）的所有二次系统应划分为生产控制大区和管理信息大区。生产控制大区分为控制区和非控制区，管理信息大区分为生产管理区和管理信息区。这几个区域都辖及了多个纷繁复杂的信息系统，例如，控制区内有实时闭环控制的SCADA（Supervisory Control And Data Acquisition系统，即数据采集与监视控制系统)等系统；非控制区内包含调度员培训、考核等系统；生产管理区内有电力监管信息系统和调度管理信息系统等；管理信息区内有办公自动化等系统。

以上可见，电力信息系统的业务安全防护总体策略，主要侧重在四个层面。

第一， 引入审计机制，不仅要对网络访问的结果进行监督，更重要的是要对访问过程进行全程的监督，其目的就是要加强内部控制。

第二， 引入强身份认证技术，提升原有的身份认证强度，杜绝出现口令泄漏、共用账号、盗用账号等问题。

第三， 引入访问控制机制，更合理地管理IT系统的资源及其访问权限。审计是一种事后稽查机制，更多地起到威慑和事后追查的作用；而控制机制则可以有效地遏制信息资源的盗用、滥用，避免信息资产遭到人为破坏。

第四， 引入集中用户管理技术，将全系统的用户进行集中管理，一方面降低系统管理的复杂度和难度，另一方面规避用户管理混乱的问题，从而使得全系统的用户管理可以严格地按照相关的安全规定、安全策略来有效实施。

电力系统部署安全审计的必要性

电力行业是技术密集和装备密集型产业，其独特的生产与经营方式决定了其信息化发展的模式。通过对电力行业各类系统的分析和安全需求分析，我们认为以审计系统为核心，加强IT信息系统的合规性管理，可以解决以下核心的业务安全问题。

第一，保障业务的连续性，确保安全生产无隐患。

电力调度数据网作为电力系统的调度依据，与电力系统的安全稳定运行紧密关联。事实上，很多的变电站通过接入调度中心SCADA系统以集调合一的模式实现无人值守，大量接入SCADA系统的后台数据库，因此，监控系统和数据传输内容是其业务连续性的核心。而部署天玥网络审计系统就能很好解决数据传输内容的监控和接入管理问题。天玥系统提供基于角色的访问控制与审计，不但能够有效地控制运维操作风险，而且能够有效区分不同维护人员的身份，便于事后追查原因与界定责任，确保了电力调度数据网的业务连续和安全运行。

第二，弥补传统安全手段，强化深度防护能力，提升IT系统管理水平。

电力行业调度中心出于网络安全防护的需要，往往设置了专用隔离装置、防火墙、入侵检测等设备。传统的IDS、防火墙等安全设备针对攻击、木马、入侵等行为能够起到有效的防范作用，但是针对内部人员的正常操作访问所存在的风险却爱莫能助。因为操作风险“看”起来更象是一种正常的业务行为，它通常来自内部，而且与业务结合得非常紧密。天玥网络审计系统将管理工具与各电力单位自身的管理制度相结合，针对电力信息系统中所有的业务操作行为进行审计和监控，提升了电力企业应对突发事件的能力。

第三，细化违规操作行为的记录，确保核心资产免遭破坏。

对电力企业的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键系统上（如数据库服务器、应用服务器等），电力企业里负责运维的部门通常拥有目标系统或者网络设备的最高权限，如root帐号的口令，但是，由于目标系统不能区别不同人员使用同一个帐号进行维护操作，所以不能界定维护人员的真实身份，这增大了系统连续运行的危险性。天玥审计系统能够加强对这些关键系统的访问控制与审计，从而有效减少核心信息资产的破坏和泄漏。

天玥安全审计系统的核心价值

第一，满足合规性要求，顺利通过IT审计。目前，越来越多的组织机构面临一种或者几种合规性要求。例如：政府等行政部门或国有企业需遵循等级保护等合规性要求。天玥网络安全审计系统提供了具有针对性的审计方案，有助于完善各组织机构的IT内控与审计体系，从而满足各种合规性要求，使得各组织机构能够顺利通过IT审计。

第二，有效减少业务系统核心信息资产的破坏和泄漏，降低损失。在业务系统中，真正重要的核心信息资产往往存放在关键系统上。通过使用天玥网络安全审计系统，能够加强对这些关键系统的访问控制与审计，从而有效减少核心信息资产的破坏和泄漏。

第三，有效控制运维操作风险，便于事后取证免责。天玥网络安全审计系统采用基于角色的访问控制与审计机制，不仅能够有效控制运维操作风险，还能够有效区分不同维护人员的身份，同时能够完整回放事故当时操作场景，定位事故真正责任人，便于事后追查原因与界定责任。

第四，有效控制业务运行风险，全局把控业务系统安全状况。天玥网络安全审计系统提供业务流量实时监控与审计事件统计分析功能，能够直观地反映网络环境的安全状况，特别是系统维护、访问量、业务流量、业务访问分布、数据库访问分布等重要信息，使得管理者可以直观的实时了解业务系统安全状况。

从长远看，电力行业的合规性治理是一项复杂和艰巨的任务，通过部署网络安全审计系统，可以改善IT系统的治理结构，完善信息安全的体系化建设。随着《电力二次系统安全防护规定》在电力行业的层层推进，天玥网络安全审计系统一定能为电力行业业务系统的安全、稳定运行做出贡献。