評(píng)估電力信通機(jī)房安全風(fēng)險(xiǎn)

萬(wàn)燕珍+余彬

隨著信息化進(jìn)程的不斷推進(jìn)和深入，信息系統(tǒng)在電力系統(tǒng)應(yīng)用的廣度和深度不斷拓展，電力企業(yè)信息系統(tǒng)應(yīng)用逐漸集中部署，信通機(jī)房成為承載大量網(wǎng)絡(luò)設(shè)備、安全設(shè)備、電力供應(yīng)設(shè)備、信息線纜等通訊設(shè)施的基礎(chǔ)單元。這些信息基礎(chǔ)設(shè)施極具重要性，決定著電力信息系統(tǒng)的整體安全性和持續(xù)運(yùn)行能力，以信通機(jī)房為單位，考察信息基礎(chǔ)設(shè)施的外在威脅、自身弱點(diǎn)及潛在的影響，能夠量化評(píng)估信息通訊基礎(chǔ)設(shè)施整體安全性，是確定信息安全需求的一個(gè)重要途徑，具有一定實(shí)用性和實(shí)踐意義。

目前，在國(guó)際國(guó)內(nèi)流行著各種各樣的評(píng)估體系標(biāo)準(zhǔn)，如《GB18336/ISO1540-信息技術(shù)安全性評(píng)估準(zhǔn)則》、《GBT20274-信息系統(tǒng)安全保障評(píng)估框架》、《GBT 20984-2007 信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》，國(guó)網(wǎng)公司也發(fā)布了相應(yīng)的規(guī)范、指南，如《國(guó)家電網(wǎng)公司信息安全風(fēng)險(xiǎn)評(píng)估實(shí)施細(xì)則》。顯而易見(jiàn)，信息系統(tǒng)的風(fēng)險(xiǎn)“因環(huán)境而異”，并不存在一種放之四海而皆準(zhǔn)的評(píng)估體系。就區(qū)縣級(jí)電力企業(yè)的現(xiàn)狀而言，大多數(shù)的故障并非突然產(chǎn)生，往往是線路、設(shè)備甚至是管理上的一些隱患沒(méi)有被發(fā)現(xiàn)，久而久之便演化成了可見(jiàn)的故障。傳統(tǒng)的信息安全評(píng)估（指標(biāo)）體系大而全，缺乏針對(duì)性和可操作性，依據(jù)此類評(píng)估（指標(biāo)）體系進(jìn)行評(píng)估，往往費(fèi)時(shí)費(fèi)力，準(zhǔn)確性和實(shí)用性較差。

構(gòu)建適宜評(píng)價(jià)體系

為彌補(bǔ)傳統(tǒng)風(fēng)險(xiǎn)評(píng)估方法的不足，真正做到及時(shí)有效的風(fēng)險(xiǎn)評(píng)估與控制，筆者以信通機(jī)房為單位，參考和裁剪安全評(píng)估國(guó)際標(biāo)準(zhǔn)和企業(yè)標(biāo)準(zhǔn)，并加入能反映信通機(jī)房信息基礎(chǔ)設(shè)施特點(diǎn)的特色指標(biāo)，構(gòu)建適應(yīng)縣級(jí)電力企業(yè)信息化環(huán)境的評(píng)估指標(biāo)體系，將其細(xì)化規(guī)整為七類評(píng)估指標(biāo)，分別是信通機(jī)房安全管理制度、信通機(jī)房安全管理機(jī)構(gòu)、人員安全管理、信通機(jī)房物理防護(hù)、信通光纜設(shè)備安全、信通網(wǎng)絡(luò)安全、信通機(jī)房運(yùn)行維護(hù)。每個(gè)指標(biāo)根據(jù)其重要性賦予其一定的分?jǐn)?shù)，將所有指標(biāo)分?jǐn)?shù)相加后，即得最終的評(píng)估得分，并由分?jǐn)?shù)確定風(fēng)險(xiǎn)等級(jí)，等級(jí)越高，風(fēng)險(xiǎn)就越大。風(fēng)險(xiǎn)評(píng)估結(jié)果確定后，根據(jù)風(fēng)險(xiǎn)等級(jí)作出相應(yīng)規(guī)模的應(yīng)對(duì)措施，并由專業(yè)人員分析各項(xiàng)指標(biāo)，提出風(fēng)險(xiǎn)控制的具體方式，及時(shí)控制風(fēng)險(xiǎn)，保障信息網(wǎng)絡(luò)安全。

明確風(fēng)險(xiǎn)管理目標(biāo)

建立風(fēng)險(xiǎn)評(píng)估指標(biāo)體系的目的是依據(jù)該指標(biāo)體系進(jìn)行風(fēng)險(xiǎn)的量化分析和管理，因此在建立指標(biāo)體系之前，首先應(yīng)設(shè)立風(fēng)險(xiǎn)管理的目標(biāo)：

監(jiān)控安全狀況。識(shí)別信通機(jī)房的自身弱點(diǎn)、潛在威脅，使安全評(píng)估者能對(duì)整個(gè)系統(tǒng)狀況有正確評(píng)估，尤其是在故障或安全事件的前期，能夠預(yù)警可能帶來(lái)嚴(yán)重后果的系統(tǒng)脆弱點(diǎn)，有效提高系統(tǒng)的安全防護(hù)能力和持續(xù)運(yùn)行能力。

預(yù)測(cè)風(fēng)險(xiǎn)趨勢(shì)。當(dāng)前的各種入侵檢測(cè)和安全防御系統(tǒng)只能提供過(guò)去和當(dāng)前的安全事件數(shù)據(jù)，而網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估更注重在這些安全事件數(shù)據(jù)上進(jìn)行相關(guān)風(fēng)險(xiǎn)的預(yù)測(cè)和實(shí)時(shí)計(jì)算，并依據(jù)計(jì)算結(jié)果評(píng)價(jià)系統(tǒng)風(fēng)險(xiǎn)，明確系統(tǒng)未來(lái)安全狀態(tài)。

指導(dǎo)安全防護(hù)。以適度安全為目標(biāo)，根據(jù)安全風(fēng)險(xiǎn)評(píng)估結(jié)果制定最優(yōu)的網(wǎng)絡(luò)安全策略及安全解決方案，加強(qiáng)網(wǎng)絡(luò)系統(tǒng)安全技術(shù)體系（如部署防火墻、審計(jì)心痛、運(yùn)行監(jiān)控心痛、數(shù)據(jù)備份系統(tǒng)等）的建設(shè)，從而達(dá)到網(wǎng)絡(luò)系統(tǒng)的“適度安全”。

分步驟實(shí)施評(píng)估過(guò)程

資產(chǎn)評(píng)估。信息資產(chǎn)是指信通機(jī)房?jī)?nèi)有價(jià)值并需要保護(hù)的信息基礎(chǔ)設(shè)施對(duì)象。結(jié)合信通機(jī)房的實(shí)際情況，主要包含：機(jī)房物理環(huán)境、網(wǎng)絡(luò)線路、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等，通過(guò)調(diào)查和掃描，得到必要的資產(chǎn)信息。

安全威脅評(píng)估。信息系統(tǒng)面臨的威脅包括地震、火山爆發(fā)等非人為威脅，以及網(wǎng)絡(luò)攻擊、誤操作、非授權(quán)訪問(wèn)等人為威脅。在信息安全風(fēng)險(xiǎn)評(píng)估中，威脅評(píng)估分為威脅識(shí)別和威脅賦值兩部分內(nèi)容，由于每一個(gè)信息系統(tǒng)運(yùn)行環(huán)境都千差萬(wàn)別，因此無(wú)法對(duì)每一種具體威脅的可能性大小、影響大小進(jìn)行定義。在此，可以利用企業(yè)已有的入侵防御系統(tǒng)，獲取一定時(shí)間段內(nèi)的入侵審計(jì)記錄，進(jìn)行潛在威脅定量分析，對(duì)潛在的威脅進(jìn)行賦值。主要是通過(guò)對(duì)威脅發(fā)生的可能性和造成后果的嚴(yán)重性來(lái)對(duì)其進(jìn)行高、中、低這三個(gè)等級(jí)的賦值。

安全弱點(diǎn)評(píng)估。脆弱性評(píng)估主要包括管理、技術(shù)和運(yùn)維三方面內(nèi)容。脆弱性評(píng)估過(guò)程是對(duì)信息系統(tǒng)中存在的可被威脅利用的管理和運(yùn)維缺陷、技術(shù)漏洞分析與發(fā)現(xiàn)，并確定脆弱性被利用威脅的難易程度（賦值）的過(guò)程。在本實(shí)踐過(guò)程中，結(jié)合信通機(jī)房安全評(píng)估指標(biāo)體系，脆弱性的獲取方式包含以下幾種：工具掃描、人工分析、滲透測(cè)試、安全審計(jì)、網(wǎng)絡(luò)架構(gòu)分析等。首先使用軟件工具掃描評(píng)估范圍內(nèi)的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)應(yīng)用服務(wù)。其次由安全專家根據(jù)經(jīng)驗(yàn)、對(duì)關(guān)鍵設(shè)備存在的安全性，合理性，使用效率等方面的問(wèn)題進(jìn)行分析而得出結(jié)論。主要評(píng)估信通機(jī)房?jī)?nèi)的網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)拓?fù)?、安全設(shè)備、光纜線路等。

現(xiàn)有安全措施分析。列出每項(xiàng)信息資產(chǎn)已經(jīng)具有的安全措施、有效的安全服務(wù)和安全控制手段，分析其安全策略，考慮其計(jì)劃實(shí)施的安全措施，對(duì)其現(xiàn)有的和計(jì)劃實(shí)行的安全措施的強(qiáng)弱程度進(jìn)行賦值。對(duì)資產(chǎn)安全措施進(jìn)行賦值主要是根據(jù)對(duì)信息資產(chǎn)的機(jī)密性、完整性和可用性方面的綜合因素，賦予等級(jí)。同時(shí)將對(duì)所評(píng)估得信息資產(chǎn)目前所采取的所有信息安全保護(hù)措施進(jìn)行評(píng)估。對(duì)各個(gè)安全措施的針對(duì)性、有效性、集成特性、標(biāo)準(zhǔn)特性、可管理特性、可規(guī)劃特性等方面進(jìn)行評(píng)價(jià)。

風(fēng)險(xiǎn)綜合分析。針對(duì)各信通機(jī)房，綜合信息資產(chǎn)列表，弱點(diǎn)和威脅，已有的安全控制手段，對(duì)信息網(wǎng)絡(luò)進(jìn)行分析，從而得出每項(xiàng)信息資產(chǎn)的風(fēng)險(xiǎn)值，并結(jié)合本階段中的資產(chǎn)評(píng)估、漏洞和脆弱性分析、威脅分析、當(dāng)前安全措施分析等各個(gè)方面的評(píng)估情況，形成一個(gè)綜合性的風(fēng)險(xiǎn)評(píng)估分析，并對(duì)所評(píng)估的信息資產(chǎn)的風(fēng)險(xiǎn)給出評(píng)價(jià)和評(píng)級(jí)，并給出解決措施建議。

通過(guò)以上幾個(gè)方面對(duì)信息網(wǎng)絡(luò)進(jìn)行分析，從影響信通機(jī)房安全的諸多因素中摒棄不必要的因素，筆者將一些真實(shí)影響網(wǎng)絡(luò)信息安全的因素整合成一套評(píng)估指標(biāo)體系，并給每個(gè)指標(biāo)賦予一定的分值，對(duì)風(fēng)險(xiǎn)做了基本的量化。該評(píng)估指標(biāo)體系分為七個(gè)板塊，分別為信通機(jī)房安全管理制度（10分）、信通機(jī)房管理機(jī)構(gòu)（10分）、人員安全管理（10分）、信通機(jī)房物理防護(hù)（24分）、通信光纜設(shè)備安全（18分）、信通網(wǎng)絡(luò)安全（32分）、信通機(jī)房運(yùn)行維護(hù)（26分），滿分共計(jì)130分。按照評(píng)估所得分?jǐn)?shù)，將風(fēng)險(xiǎn)分為三個(gè)等級(jí)，低于90分的作為緊急風(fēng)險(xiǎn)處理，介于90分至110分的為一般風(fēng)險(xiǎn)，110分至130之間為正常風(fēng)險(xiǎn)。根據(jù)所界定的風(fēng)險(xiǎn)等級(jí)，可以通過(guò)評(píng)估體系的具體打分情況定位到風(fēng)險(xiǎn)產(chǎn)生的具體位置，并采取相應(yīng)的手段進(jìn)行風(fēng)險(xiǎn)控制。

信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估對(duì)確保信息安全具有非常重要的意義。傳統(tǒng)的信息安全評(píng)估（指標(biāo)）體系大而全，其檢查點(diǎn)是針對(duì)完整的信息系統(tǒng)環(huán)境而設(shè)置，數(shù)量龐大，缺乏可操作性，依據(jù)此類評(píng)估（指標(biāo)）體系進(jìn)行評(píng)估，往往費(fèi)時(shí)費(fèi)力，也很難反映特定的信息系統(tǒng)環(huán)境（例如信通機(jī)房）的實(shí)際安全狀況。而本文提出的風(fēng)險(xiǎn)評(píng)估體系是符合公司實(shí)際情況的評(píng)估體系。實(shí)踐表明，該指標(biāo)體系具有較好的實(shí)用性。

當(dāng)然，本研究也存在一些不足之處：一是風(fēng)險(xiǎn)關(guān)聯(lián)分析不足；二是風(fēng)險(xiǎn)量化評(píng)估不夠全面；三是智能化的決策支持較弱。智能化的決策支持是未來(lái)風(fēng)險(xiǎn)評(píng)估發(fā)展的趨勢(shì)和最終目標(biāo)，針對(duì)這些不足，筆者希望能通過(guò)以后的研究加以改進(jìn)。

（作者單位：國(guó)網(wǎng)浙江杭州市蕭山區(qū)供電公司）