試論電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護現(xiàn)狀分析與反思教學

徐潤 余云昊 周仲波

（1 貴州電網(wǎng)有限責任公司遵義供電局，貴州遵義 563000；2 貴州電網(wǎng)有限責任公司電力調(diào)度控制中心，貴州 遵義 563000；3 貴州電網(wǎng)有限責任公司遵義供電局，貴州 遵義 563000）

目前，由于計算機的飛速發(fā)展，電廠原有的手動監(jiān)控系統(tǒng)逐漸被自動化系統(tǒng)所取代。另外，由于以太網(wǎng)的廣泛應用，自動化系統(tǒng)之間的通信更加頻繁。同時，一些自動化系統(tǒng)需要聯(lián)網(wǎng)進行遠程管理。這種與許多復雜系統(tǒng)的網(wǎng)絡(luò)通信不可避免地會存在一定的安全隱患。針對這種情況，國家規(guī)定了二次系統(tǒng)的安全保護，以確保水電站的安全穩(wěn)定運行，為中國經(jīng)濟發(fā)展奠定堅實的基礎(chǔ)。

一、電力監(jiān)控系統(tǒng)安全問題

近年來，國內(nèi)外發(fā)生了多起針對能源系統(tǒng)的網(wǎng)絡(luò)攻擊事件，造成了重大影響和損失。烏克蘭大規(guī)模停電、伊朗核電站病毒襲擊等典型案例，使各行各業(yè)的網(wǎng)絡(luò)安全形勢日益嚴峻。眾所周知，電力監(jiān)控系統(tǒng)作為國家重點信息基礎(chǔ)設(shè)施，已成為國與國之間“網(wǎng)絡(luò)戰(zhàn)”的首選目標。一方面，電力監(jiān)控系統(tǒng)的重要性，預防是保護的首選；另一方面，我們也可以看到電力監(jiān)控系統(tǒng)的保護難度。如果不經(jīng)常更新，就很難防止新的攻擊。目前，在電力監(jiān)控系統(tǒng)保護過程中，存在操作系統(tǒng)升級困難、殺毒軟件更新滯后、缺乏必要的安全防護軟件、人員與崗位不匹配等問題，嚴重制約了系統(tǒng)的網(wǎng)絡(luò)安全防護水平。目前，網(wǎng)絡(luò)安全問題越來越受到社會各界的關(guān)注。如何提高網(wǎng)絡(luò)安全性能，提高網(wǎng)絡(luò)安全防護能力，保證電力監(jiān)控系統(tǒng)業(yè)務的安全性、連續(xù)性和可靠性，已成為未來網(wǎng)絡(luò)安全從業(yè)人員面臨的重要問題。

二、當前網(wǎng)絡(luò)安全防護存在的突出問題

（一）運維管理方面

現(xiàn)階段，電力監(jiān)控系統(tǒng)安全防護系統(tǒng)的建設(shè)和運行維護面臨一系列問題：一是在電力監(jiān)控系統(tǒng)建設(shè)階段，設(shè)施的工作環(huán)境和條件通常比較差，而現(xiàn)場防塵、電磁防護、靜電防護的防護要求還不能完全滿足施工要求。其次，外部人為因素也會對基礎(chǔ)設(shè)施造成破壞。系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)的復雜性導致運維中使用的網(wǎng)絡(luò)拓撲、系統(tǒng)臺賬等技術(shù)數(shù)據(jù)與實際情況不一致。當系統(tǒng)出現(xiàn)故障或異常時，網(wǎng)絡(luò)維護人員無法在第一時間找到故障源，增加了設(shè)備風險控制的難度。最后，還存在機房門禁系統(tǒng)不穩(wěn)定、門禁登記記錄系統(tǒng)不完善、物理入侵無法有效防護、系統(tǒng)備份不及時、不連續(xù)、系統(tǒng)受到攻擊時難以及時恢復等問題。

（二）技術(shù)管理方面

目前，電力監(jiān)控系統(tǒng)在安全防護技術(shù)管理方面存在的問題主要集中在分區(qū)錯誤和跨區(qū)并聯(lián)上。電力監(jiān)控系統(tǒng)的復雜性和多樣性大大增加了網(wǎng)絡(luò)維護人員劃分的難度，容易導致劃分錯誤。分區(qū)錯誤將給系統(tǒng)的后續(xù)安全級別確定帶來更多麻煩。在技術(shù)和經(jīng)濟上很難將所有系統(tǒng)劃分為相同的安全級別。根據(jù)系統(tǒng)的不同特點和重要性，將具有不同特點和重要性的系統(tǒng)劃分為不同的安全區(qū)域，建立不同的安全等級保護要求，以確定不同的安全等級和保護等級，確保安全防護具有較強的針對性和可操作性。然而，在電力監(jiān)控系統(tǒng)的實際安全防護中，特別是在整個系統(tǒng)的初步規(guī)劃和建設(shè)過程中，由于主觀認識不足，對系統(tǒng)建設(shè)的前瞻性考慮不充分，或者安全防護的針對性不強，是目前普遍存在的情況，系統(tǒng)建設(shè)完成后，在設(shè)備和系統(tǒng)劃分的定義上容易出現(xiàn)錯誤，出現(xiàn)安全防護策略和防護等級不滿足相應等級防護要求的情況。

（三）人員管理方面

網(wǎng)絡(luò)安全防護工作貫穿于電力監(jiān)控系統(tǒng)的方方面面，無論是在數(shù)據(jù)、應用、系統(tǒng)等工作層面，還是在研發(fā)、建設(shè)、運營、管理、生產(chǎn)等業(yè)務流程中，都需要人們承擔起網(wǎng)絡(luò)安全的責任。目前，網(wǎng)絡(luò)安全從業(yè)人員總體短缺。一是網(wǎng)絡(luò)安全從業(yè)人員總量不足。二是大量網(wǎng)絡(luò)信息安全工作以“兼職”方式完成，網(wǎng)絡(luò)安全“人崗不匹配”現(xiàn)象普遍。網(wǎng)絡(luò)安全從業(yè)人員需要承擔非網(wǎng)絡(luò)信息安全內(nèi)容的工作，而非網(wǎng)絡(luò)信息安全工作在日常工作中的比重過大，有的員工的專業(yè)能力不能滿足崗位要求，有的崗位稱為網(wǎng)絡(luò)信息安全專業(yè)崗位，但是在職人員從事的是信息工作。三是網(wǎng)絡(luò)信息安全意識普遍不強，或者網(wǎng)絡(luò)信息安全工作意識和網(wǎng)絡(luò)信息安全人才的重要性有待提高，如何科學有效地加強網(wǎng)絡(luò)信息安全隊伍建設(shè)，缺乏工作抓手。四是教育培訓投入不足，網(wǎng)絡(luò)信息安全人才普遍存在“多用少訓”的情況，內(nèi)部培訓制度實施效果不好。

三、開展網(wǎng)絡(luò)安全防護工作的建議

（一）優(yōu)化電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施的安全管理

優(yōu)化電力監(jiān)控系統(tǒng)基礎(chǔ)設(shè)施的安全管理和數(shù)據(jù)備份流程，根據(jù)不同系統(tǒng)基礎(chǔ)設(shè)施的分布情況，形成相應的應急預案。為了保證電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)安全，應從網(wǎng)絡(luò)級安全管理和基礎(chǔ)設(shè)施安全管理兩個方面入手。根據(jù)系統(tǒng)目前的穩(wěn)定運行情況，確定了基礎(chǔ)設(shè)施的不同安全等級，并制定了相應的安全控制措施。依托先進的網(wǎng)絡(luò)信息技術(shù)，可以對基礎(chǔ)設(shè)施進行全方位的監(jiān)控。一旦出現(xiàn)故障，我們可以及時發(fā)現(xiàn)和診斷，及時查明故障的位置和原因，并根據(jù)應急預案的內(nèi)容優(yōu)先處理。基礎(chǔ)設(shè)施的安全管理重點是設(shè)施的優(yōu)化和防護設(shè)備的更新，通過日常工作確保系統(tǒng)信息安全。按照“誰主管誰負責，誰操作誰負責”的原則，做好電力監(jiān)控系統(tǒng)的安全管理工作。各系統(tǒng)的數(shù)據(jù)備份應遵循系統(tǒng)使用原則和重要性順序，在備份工作中保證業(yè)務的連續(xù)性。

（二）完善電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護管理制度

完善電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護管理體系，做好電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全管理工作。通過分層管理模式，劃分系統(tǒng)網(wǎng)絡(luò)層次，有針對性地對不同區(qū)域進行管理。一方面可以適應電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全管理的特點，另一方面可以滿足自身業(yè)務發(fā)展的實際需要，保證業(yè)務的連續(xù)性和可持續(xù)性。在管理層面，要建立健全監(jiān)督檢查常態(tài)化工作機制，實現(xiàn)“以檢查促建設(shè)、以檢查促管理、以檢查促改革、以檢查促預防”的機制。

（三）強化電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護技術(shù)措施

網(wǎng)絡(luò)安全技術(shù)措施的實施重點關(guān)注數(shù)據(jù)傳輸?shù)男畔踩?，加強垂直加密設(shè)備的認證機制，確保業(yè)務傳輸?shù)目煽啃院蛿?shù)據(jù)傳輸?shù)谋Ｃ苄?。根?jù)網(wǎng)絡(luò)劃分的原則，加密設(shè)備一般部署在不同的安全區(qū)域或局域網(wǎng)與廣域網(wǎng)的交叉口、區(qū)與區(qū)、網(wǎng)與網(wǎng)的交換機之間。垂直防御的構(gòu)建就是對認證進行垂直加密，從而有效保證數(shù)據(jù)傳輸?shù)陌踩?，進而實現(xiàn)雙向身份認證、數(shù)據(jù)加密和訪問控制等功能。

（四）增強安全防護人員的綜合素質(zhì)

網(wǎng)絡(luò)安全防護工作貫穿于電力監(jiān)控系統(tǒng)的方方面面，每一個不同的工作層次和業(yè)務流程都要求人們承擔起信息安全的責任。信息安全從業(yè)人員的綜合素質(zhì)直接影響到電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)安全防護。為增強員工的責任感、安全意識和使命感，在具體維護工作的管理中，需要配備電力監(jiān)控系統(tǒng)專職安全防護人員，確保相應的管理措施能夠有效發(fā)揮和落實。隨著電力監(jiān)控系統(tǒng)的快速發(fā)展，對電力監(jiān)控系統(tǒng)維護人員的要求也越來越高，這對他們的業(yè)務素質(zhì)提出了新的要求。一是要加強資質(zhì)管理，取得專業(yè)資格，持證上崗，這既是具有一定知識、能力和工作經(jīng)驗的信息安全從業(yè)人員的證書，也是網(wǎng)絡(luò)安全防護的基本要求。二是提高專業(yè)技術(shù)水平，針對電力監(jiān)控系統(tǒng)相關(guān)運維人員技術(shù)能力不足的問題，加強人員培訓，提高人員技術(shù)水平。三是完善人才體制機制，完善對員工的考核評價手段，完善激勵機制，拓寬職業(yè)晉升渠道，引導和鼓勵員工提高自身素質(zhì)和綜合能力。

（五）提高網(wǎng)絡(luò)安全運行監(jiān)視水平

以業(yè)務為中心，以數(shù)據(jù)為核心，對系統(tǒng)進行全方位的可用性及安全運行水平監(jiān)測，對全網(wǎng)的安全態(tài)勢進行全面感知，完善電力監(jiān)控系統(tǒng)安全設(shè)備日志分析平臺，提升日志信息展示的易讀性，提高網(wǎng)絡(luò)安全監(jiān)視效率。加快推進網(wǎng)絡(luò)安全態(tài)勢感知平臺建設(shè)實施，實現(xiàn)電力監(jiān)控系統(tǒng)全覆蓋，提升態(tài)勢感知系統(tǒng)覆蓋范圍和實用化水平。推進安全防御技術(shù)應用，積極部署態(tài)勢感知設(shè)備（實時監(jiān)測及應急處置），利用態(tài)勢感知設(shè)備對電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)及設(shè)備情況開展相關(guān)安全數(shù)據(jù)采集和監(jiān)視，所需數(shù)據(jù)內(nèi)容主要包括各類網(wǎng)絡(luò)節(jié)點設(shè)備的配置信息、關(guān)鍵網(wǎng)絡(luò)節(jié)點的流量信息及相關(guān)設(shè)備的日志信息等。通過邊界設(shè)備日志分析、資產(chǎn)變化監(jiān)視、流量分析等技術(shù)措施感知網(wǎng)絡(luò)安全態(tài)勢，及時開展應急處置工作。

總之，電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)安全防護要求已經(jīng)上升到國家安全戰(zhàn)略的高度。做好電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)安全防護，有利于整個電力系統(tǒng)的安全穩(wěn)定運行。要不斷加大安全防護力度，完善電力監(jiān)控系統(tǒng)管理制度，增強網(wǎng)絡(luò)信息安全從業(yè)人員的責任感和安全意識，為電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)的安全性和可靠性做出應有的貢獻。