电力系统业务安全的指导思路
电力行业是国民经济的基础产业，是国民经济发展和人民生活极其重要的基础设施之一。近些年来，电力的信息化建设取得了非常显著的成就，信息化建设已经有了一定的规模，形成了微波、卫星、光纤、无线移动通信等多种类通信手段，通信范围覆盖全国。基本建成从国家电网公司→区域电网中心→省电力公司→地市电力公司→变电所（局）的四级计算机网络和电力生产调度网络，成为生产控制、电力调度以及信息传输和交换的重要基础设施。但面对外围行业中存在的网络违规行为日益泛滥，电力行业各公司开始认识到强化对各直属机构的信息管理系统的安全建设的必要性，尤其是面对内部大量调度信息等关键数据的操作的安全性，是电力行业“安全生产”的立命之本。面向业务安全的IT治理，加强对业务安全的监控和管理，以保证电力系统安全生产成为重要的课题。
电力系统业务安全的指导思路
谈到电力行业的IT治理，不得不从行业的几个重要信息化指导性文件说起。从2002年国家经贸委的第30 号令（《电网和电厂计算机监控系统及调度数据网络安全防护的规定》），2004年国家电力监管委员会第5 号令（《电力二次系统安全防护规定》），到2005年电力二次系统安全防护专家组和工作组提出的《电力二次系统安全防护总体方案》，都很大篇幅地涵盖了IT治理方面的明确要求。天玥网络安全审计系统正是顺应了这样的需求背景，满足了电力行业IT治理的安全需求，并得到了一个又一个行业用户的肯定。
电力行业的信息系统庞大复杂，IT系统治理难度大。按照《电力二次系统安全防护规定》的安全分区原则，调度中心（省调及以上）的所有二次系统应划分为生产控制大区和管理信息大区。生产控制大区分为控制区和非控制区，管理信息大区分为生产管理区和管理信息区。这几个区域都辖及了多个纷繁复杂的信息系统，例如，控制区内有实时闭环控制的SCADA（Supervisory Control And Data Acquisition系统，即数据采集与监视控制系统)等系统；非控制区内包含调度员培训、考核等系统；生产管理区内有电力监管信息系统和调度管理信息系统等；管理信息区内有办公自动化等系统。
以上可见，电力信息系统的业务安全防护总体策略，主要侧重在四个层面。
引入审计机制，不仅要对网络访问的结果进行监督，更重要的是要对访问过程进行全程的监督，其目的就是要加强内部控制。
引入强身份认证技术，提升原有的身份认证强度，杜绝出现口令泄漏、共用账号、盗用账号等问题。
引入访问控制机制，更合理地管理IT系统的资源及其访问权限。审计是一种事后稽查机制，更多地起到威慑和事后追查的作用；而控制机制则可以有效地遏制信息资源的盗用、滥用，避免信息资产遭到人为破坏。
引入集中用户管理技术，将全系统的用户进行集中管理，一方面降低系统管理的复杂度和难度，另一方面规避用户管理混乱的问题，从而使得全系统的用户管理可以严格地按照相关的安全规定、安全策略来有效实施。
网友评论