構(gòu)建換流站網(wǎng)絡(luò)安全管理體系的研究

蔣張威

摘 要：標(biāo)準(zhǔn)化、體系化是網(wǎng)絡(luò)安全管理的主要發(fā)展方向。建立完善的網(wǎng)絡(luò)安全管理體系是保障信息安全的有效方法。本文主要介紹了一種“制度修編”、“資料收集”、“策略制定”、“隱患消除”為主要階段循環(huán)改進(jìn)的工控系統(tǒng)及內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理體系。

關(guān)鍵詞：電力系統(tǒng);管理體系;信息安全;PDCA

1.工控系統(tǒng)及內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理現(xiàn)狀

工控系統(tǒng)及內(nèi)網(wǎng)網(wǎng)絡(luò)安全是換流站生產(chǎn)安全的重要組成部分。我們應(yīng)充分認(rèn)識到網(wǎng)絡(luò)安全管理是一個(gè)系統(tǒng)性管理任務(wù)，用系統(tǒng)工程的觀點(diǎn)、方法，來分析電力企業(yè)網(wǎng)絡(luò)信息安全問題及具體管理對策。統(tǒng)籌規(guī)劃并制定一套完備的網(wǎng)絡(luò)安全管理體系，降低換流站信息安全管理風(fēng)險(xiǎn)，提升換流站網(wǎng)絡(luò)安全管理水平。

2.工控系統(tǒng)及內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理體系

網(wǎng)絡(luò)安全一般貫穿于信息系統(tǒng)建設(shè)和運(yùn)行的整個(gè)生命周期，不能純技術(shù)角度考慮，也不能簡單的通過安全產(chǎn)品堆砌來解決，它是一項(xiàng)繁雜的、基于過程的系統(tǒng)性工作。所以，必須采用過程性的控制手段和特定流程來指引網(wǎng)絡(luò)安全建設(shè)和網(wǎng)絡(luò)安全運(yùn)維的管理工作，保障信息系統(tǒng)的安全。

2.1安全管理體系建設(shè)依據(jù)

建設(shè)信息安全管理體系首先要選好依據(jù)。因通用性較好，采用ISO/IEC 27001、27002的較多。其核心理念是遵循PDCA持續(xù)改進(jìn)模型，即計(jì)劃（Plan）-實(shí)施（Do）-檢查（Check）-改進(jìn)（Action）。在進(jìn)行一個(gè)過程的管理之后，管理體系的有效性、信息的安全性就能提高一個(gè)新的臺階，這樣通過不斷的執(zhí)行PDCA過程，就能提高電力信息安全系統(tǒng)的管理水平。

參照PDCA模型，本管理體系主要包括“制度修編”、“資料收集”、“策咯制定”、“隱患消除”四個(gè)階段。符合安全是相對的、動態(tài)的特點(diǎn)，通過不斷地評估和改進(jìn)，建立長效機(jī)制。

2.2制度修編

換流站要把網(wǎng)絡(luò)信息安全管理作為一個(gè)系統(tǒng)性工程來考量，必須在內(nèi)部規(guī)劃合理而完備的管理制度。因此，首先收集整理等相關(guān)國家法律規(guī)定，發(fā)改委、國家能源局、國家電網(wǎng)公司等發(fā)布的有關(guān)工控系統(tǒng)及內(nèi)網(wǎng)網(wǎng)絡(luò)安全工作要求。主要文件包括《中華人民共和國網(wǎng)絡(luò)安全法》、發(fā)改委〔2014〕14號-《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》、國能安全〔2015〕36號-《電力監(jiān)控系統(tǒng)安全防護(hù)總體方案》等。

修編完成后的管理規(guī)定主要包括：管理職責(zé)、安全防護(hù)方案、業(yè)務(wù)申請標(biāo)準(zhǔn)、工作標(biāo)準(zhǔn)。

2.2.1管理職責(zé)

對各部門的職責(zé)劃分進(jìn)一步明確。生產(chǎn)安全管理部門主要負(fù)責(zé)審核并發(fā)布網(wǎng)絡(luò)信息安全管理標(biāo)準(zhǔn);維護(hù)班主要負(fù)責(zé)編制網(wǎng)絡(luò)信息安全管理標(biāo)準(zhǔn)，運(yùn)維換流站工控系統(tǒng)安全，管理工控系統(tǒng)專用計(jì)算機(jī)，排除并處理網(wǎng)絡(luò)信息安全隱患;運(yùn)行班主要負(fù)責(zé)站內(nèi)設(shè)備機(jī)房的管理，巡檢并反饋網(wǎng)絡(luò)信息安全問題。

2.2.2安全防護(hù)總體方案

依照《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》，確定管理處電力監(jiān)控系統(tǒng)安全防護(hù)方案。根據(jù)換流站實(shí)際設(shè)備情況，對防護(hù)方案進(jìn)行細(xì)化。

2.2.3相關(guān)業(yè)務(wù)申請標(biāo)準(zhǔn)

對申請內(nèi)網(wǎng)辦公計(jì)算機(jī)IP配置、申請內(nèi)網(wǎng)計(jì)算機(jī)外設(shè)IP配置、申請安全移動存儲介質(zhì)、申請內(nèi)外網(wǎng)郵箱業(yè)務(wù)等流程進(jìn)行了詳細(xì)規(guī)定，層層把關(guān)，并制定了相應(yīng)的申請表格模板。

2.2.4工作標(biāo)準(zhǔn)

從人員、工控系統(tǒng)、辦公計(jì)算機(jī)、內(nèi)外網(wǎng)郵箱、外設(shè)、自查檢查監(jiān)督、新設(shè)備入網(wǎng)、安全防護(hù)評估等方面進(jìn)行了規(guī)定。囊括了日常運(yùn)維、辦公過程中的涉及的相關(guān)工作。確保網(wǎng)絡(luò)信息安全管理的全覆蓋。

2.3數(shù)據(jù)收集

對換流站工控系統(tǒng)及內(nèi)網(wǎng)網(wǎng)絡(luò)進(jìn)行全方位的檢查，主要包括以下內(nèi)容。

2.3.1網(wǎng)絡(luò)結(jié)構(gòu)梳理

主要圍繞調(diào)度數(shù)據(jù)網(wǎng)，繪制三站調(diào)度數(shù)據(jù)網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D。理清遠(yuǎn)動工作站、保護(hù)及故障錄波信息子站、相角監(jiān)測裝置、電能計(jì)量、一體化在線監(jiān)測等系統(tǒng)與調(diào)度數(shù)據(jù)網(wǎng)的連接方式。并細(xì)化到裝置IP地址、所連接交換機(jī)端口等。

2.3.2設(shè)備端口檢查

使用端口掃描工具或批處理命令羅列并統(tǒng)計(jì)所有設(shè)備在用端口。包括網(wǎng)絡(luò)連接的本地地址與外部地址及網(wǎng)絡(luò)接口設(shè)備的狀態(tài)。

2.4策略制定

依照修編完成的網(wǎng)絡(luò)安全管理規(guī)定及二階段工作所收集數(shù)據(jù)，制定相應(yīng)的安全策略與整改方案。

2.4.1考察調(diào)度數(shù)據(jù)網(wǎng)網(wǎng)絡(luò)結(jié)構(gòu)

依照《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》的防護(hù)原則?？疾炀W(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)的科學(xué)性。是否符合“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的總原則。

2.4.2制定高危漏洞列表

根據(jù)現(xiàn)場設(shè)備情況及掃描結(jié)果制定高危端口列表。所羅列的漏洞只要包括22、3389、5900、177等可通過暴力破解直接管理主機(jī)的高危漏洞135、137、138、139、445等涉及文件共享、傳輸?shù)母呶６丝?。完成統(tǒng)計(jì)后，將結(jié)果發(fā)于廠家確認(rèn)是否為業(yè)務(wù)端口，以避免后續(xù)工作對設(shè)備的正常運(yùn)行功能造成影響。

2.4.3察訪問控制情況

根據(jù)管理規(guī)定，考察設(shè)備口令是否為弱口令，是否定期更換。考察是否采取結(jié)束會話、設(shè)定登錄嘗試次數(shù)、啟用自動退出等訪問控制策略。

2.4.4察設(shè)備配置情況

檢查設(shè)備的運(yùn)行狀態(tài)，配置選型是否合理。是否使用了經(jīng)通報(bào)的有安全漏洞與風(fēng)險(xiǎn)的系統(tǒng)或設(shè)備。

2.5隱患消除

依據(jù)已查找得出的問題，制定相應(yīng)的管理和技術(shù)措施。對不符合要求的調(diào)度數(shù)據(jù)網(wǎng)設(shè)備進(jìn)行斷開處理或制定整改計(jì)劃;根據(jù)廠家反饋情況，關(guān)閉高危端口，關(guān)閉不必要的系統(tǒng)服務(wù);對備用網(wǎng)口及USB口進(jìn)行封閉。設(shè)置相應(yīng)的訪問控制策咯;針對安裝違規(guī)軟件及違規(guī)設(shè)備的系統(tǒng)進(jìn)行卸載或拆除。

3.結(jié)語

換流站建立工控系統(tǒng)及內(nèi)網(wǎng)網(wǎng)絡(luò)安全管理及檢查工作體系后，各項(xiàng)工作有章可循，網(wǎng)絡(luò)設(shè)備運(yùn)行狀態(tài)得到了進(jìn)一步的梳理，消除了多項(xiàng)網(wǎng)絡(luò)設(shè)備安全隱患，網(wǎng)絡(luò)信息安全管理水平有較大提升。

通過不斷循環(huán)，確保管理體系的動態(tài)更迭、持續(xù)改進(jìn)，將新技術(shù)、新手段運(yùn)用其中，以滿足新制度要求，適應(yīng)新設(shè)備情況。提高換流站網(wǎng)絡(luò)安全管理水平。

參考文獻(xiàn)：

[1] 王興芬，李一軍.信息系統(tǒng)安全工程概念與方法研究[J].合肥工業(yè)大學(xué)學(xué)報(bào)（自然科學(xué)版），2003年 第S1期：844-848

[2] 信息安全標(biāo)準(zhǔn)化技術(shù)委員會.GB/T 20282-2006.信息安全技術(shù)—信息系統(tǒng)安全工程管理要求[S].北京：中國標(biāo)準(zhǔn)出版社，2006

[3] 國家發(fā)展和改革委員會.電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定（2014年第14號）[S].北京：2014

[4] 國家能源局，電力監(jiān)控系統(tǒng)安全防護(hù)總體方案（2015年第36號）[S].北京：2015

（國網(wǎng)四川特高壓宜賓管理處，四川 宜賓? 644000）