我國煤炭企業(yè)網(wǎng)絡安全現(xiàn)狀、問題分析研究與建議

王丹識，韓鵬軍，王榮博，楊 歐，董 凱，田 欣，許秀莉

(1.中國煤炭工業(yè)協(xié)會，北京市朝陽區(qū)，100013；2.國能信息技術有限公司，北京市東城區(qū)，100120；3.華為技術有限公司，廣東省深圳市，518129；4.新華三技術有限公司電力能源事業(yè)部，北京市海淀區(qū)，100083；5.深信服科技股份有限公司能源事業(yè)部，北京市海淀區(qū)，100089；6.中興通訊股份有限公司產(chǎn)業(yè)數(shù)字化方案部，廣東省深圳市，518000)

0 引言

黨中央、國務院高度重視網(wǎng)絡安全工作，習近平總書記強調(diào)“沒有網(wǎng)絡安全就沒有國家安全”。2021年3月發(fā)布的《中華人民共和國國民經(jīng)濟和社會發(fā)展第十四個五年規(guī)劃和2035年遠景目標綱要》中，有14處提及“網(wǎng)絡安全”，涉及數(shù)字經(jīng)濟、數(shù)字生態(tài)、國家安全、能源資源安全等多個領域[1]。同年，《關鍵信息基礎設施安全保護條例》《個人信息保護法》《數(shù)據(jù)安全法》頒布施行。

國家大力完善網(wǎng)絡安全政策體系的同時，能源行業(yè)成為重點領域之一。2020年2月，國家發(fā)展改革委、國家能源局等八部委共同印發(fā)的《關于加快煤礦智能化發(fā)展的指導意見》中強調(diào)，同步推進網(wǎng)絡安全和煤礦智能化發(fā)展[2]；2021年6月，國家能源局、國家礦山安監(jiān)局印發(fā)《煤礦智能化建設指南(2021年版)》中強調(diào)，逐步推進核心裝備控制系統(tǒng)國產(chǎn)化安全可信、自主可控[3]；同時要求，智能化煤礦應開展網(wǎng)絡、信息和系統(tǒng)等安全建設；2021年12月，國務院印發(fā)的《“十四五”數(shù)字經(jīng)濟發(fā)展規(guī)劃》中強調(diào)指出，加快能源領域數(shù)字化轉(zhuǎn)型，支持開展常態(tài)化安全風險評估，加強網(wǎng)絡安全等級保護和密碼應用安全性評估[4]；2022年1月，國家發(fā)展改革委、國家能源局印發(fā)《“十四五”現(xiàn)代能源體系規(guī)劃》中明確指出，加強網(wǎng)絡安全關鍵技術研究，推動建立能源行業(yè)、企業(yè)網(wǎng)絡安全態(tài)勢感知和監(jiān)測預警平臺，提高風險分析研判和預警能力[5]。

煤炭作為我國的主要能源，肩負著保障國家能源安全的重要使命。隨著煤炭工業(yè)兩化融合水平不斷深入以及煤炭企業(yè)數(shù)字化轉(zhuǎn)型加速推進，網(wǎng)絡安全問題已成為影響煤炭行業(yè)轉(zhuǎn)型發(fā)展的重要問題之一[6]?；诖?，中國煤炭工業(yè)協(xié)會信息化分會對部分重點煤炭集團總部網(wǎng)絡安全情況進行了專項調(diào)查，對當前煤炭企業(yè)網(wǎng)絡安全現(xiàn)狀及問題進行了歸納和分析，并對煤炭企業(yè)網(wǎng)絡安全建設提出了對策和建議。

1 我國煤炭行業(yè)網(wǎng)絡安全的特點

1.1 行業(yè)影響大

2020年，化石能源在我國一次能源消費占比仍接近85%，其中煤炭消費占比為56.8%?；谖覈幻?、貧油、少氣的能源資源稟賦，在相當長的時期內(nèi)，煤炭仍將是我國的主要能源，煤炭的安全穩(wěn)定供應事關國家能源安全。經(jīng)過多年的發(fā)展，我國煤礦智能化建設已取得長足進步，一些大型骨干礦井和煤層賦存條件較優(yōu)越的礦區(qū)已初步實現(xiàn)了智能化、少人化開采[7-8]。但與此同時，我國煤礦網(wǎng)絡安全事件頻出，2019-2021年，發(fā)生了多起煤礦網(wǎng)絡安全事件，影響了煤礦正常的生產(chǎn)秩序，給煤礦生產(chǎn)安全帶來了新的威脅。

1.2 防護要求高

《關鍵信息基礎設施安全保護條例》明確，面向公眾提供網(wǎng)絡信息服務或支撐能源、通信、金融、交通、公共事業(yè)等重要行業(yè)運行的信息系統(tǒng)或工業(yè)控制系統(tǒng)屬于關鍵信息基礎設施[9]。根據(jù)《煤礦安全規(guī)程》《網(wǎng)絡安全等級保護基本要求》，煤礦企業(yè)須將礦用有線調(diào)度通信系統(tǒng)、井下應急廣播系統(tǒng)、煤礦安全監(jiān)控系統(tǒng)、煤礦井下作業(yè)人員管理系統(tǒng)、煤礦圖像監(jiān)視系統(tǒng)、煤礦產(chǎn)量監(jiān)控系統(tǒng)和列入 2021年智能綜采(掘)工作面建設的智能化工業(yè)控制系統(tǒng)的網(wǎng)絡安全等級定為第二級及以上[10]；各煤礦企業(yè)和上級集團公司或分公司間跨地級市、省或者全國統(tǒng)一聯(lián)網(wǎng)運行的數(shù)據(jù)匯聚平臺，其網(wǎng)絡安全保護等級不低于第三級[11]。

1.3 基礎底子薄

煤炭行業(yè)網(wǎng)絡安全基礎相對薄弱。在2020年八部委出臺《關于加快推進煤礦智能化建設的指導意見》以前，煤炭行業(yè)信息化、智能化建設長期處于企業(yè)各自為戰(zhàn)的狀態(tài)。煤炭行業(yè)經(jīng)歷了化解過剩產(chǎn)能的困難時期，信息化整體基礎薄弱，水平能力差距巨大[12]，導致網(wǎng)絡安全意識淡薄，網(wǎng)絡安全管理制度和標準體系不健全，網(wǎng)絡安全人才和技術力量薄弱，整體缺乏組織和引導，宣傳培訓教育工作不到位。

1.4 特色限制多

煤炭行業(yè)產(chǎn)業(yè)鏈長、中間環(huán)節(jié)多，煤炭企業(yè)管理層級多、產(chǎn)業(yè)板塊多、煤礦分布散，附屬單位形式多樣；同時，煤礦井下的特殊性、復雜性以及對安全生產(chǎn)的絕對性要求，都使其網(wǎng)絡安全特色性要求更多、更復雜，網(wǎng)絡安全防護難度更大。

1.5 轉(zhuǎn)型難度大

隨著煤炭行業(yè)兩化融合深度發(fā)展，煤礦智能化建設、煤炭工業(yè)互聯(lián)網(wǎng)平臺的建設使煤礦設備連接數(shù)量和數(shù)據(jù)采集數(shù)量成倍甚至幾何倍數(shù)的增長，對網(wǎng)絡安全的要求越來越高。煤礦企業(yè)應用面臨規(guī)模“上云”的趨勢，多個終端接入一張網(wǎng)絡，網(wǎng)絡受攻擊影響面增大，敏感數(shù)據(jù)面臨更大的外泄風險。同時，國內(nèi)煤礦自動化、半自動化設備逐步升級為基于ICT技術的智能遠控系統(tǒng)，生產(chǎn)安全面臨的網(wǎng)絡威脅逐步增強[13]。

2 我國煤炭企業(yè)網(wǎng)絡安全現(xiàn)狀

2.1 網(wǎng)絡安全投入保持增長

在被調(diào)研的20家大型煤炭集團總部(以下均為該口徑)信息化投入整體呈現(xiàn)增長態(tài)勢。2021年，16家投入增長，占比80%。其中，1家投入超10億元，3家超1億元；6家投入增幅超過20%。2021年，20家煤炭集團網(wǎng)絡安全經(jīng)費投入同比增長的為18家，占比90%。其中，4家網(wǎng)絡安全投入占整體信息化投入的比重超過30%；8家投入超過了1 000萬元。

2.2 網(wǎng)絡安全防護壓力增加

煤炭企業(yè)兩化融合加速發(fā)展，給網(wǎng)絡安全工作帶了更大的挑戰(zhàn)。一方面人、機、物、數(shù)據(jù)互聯(lián)互通使信息網(wǎng)絡和控制系統(tǒng)深入到企業(yè)生產(chǎn)經(jīng)營的各個方面，為煤礦生產(chǎn)經(jīng)營、科學決策、安全管理、智能控制、即時通訊、預報預警、應急響應等提供有力的支撐；另一方面也使得網(wǎng)絡安全風險由辦公延伸到生產(chǎn)、由局部延伸到整體，企業(yè)網(wǎng)絡安全工作壓力大增。2021年，20家煤炭集團總部被各類網(wǎng)絡攻擊次數(shù)較2020年上升的有18家，占比90%。其中，7家被攻擊次數(shù)超過10萬次/a，最高的超過300萬次/a，年被攻擊次數(shù)增幅最高的達到490%。

2.3 網(wǎng)絡安全重視程度增強

政府合規(guī)要求提升、各類安全事件頻發(fā)等使得煤炭企業(yè)對網(wǎng)絡安全的認識和重視程度有所提升。僅2021年，20家煤炭集團總部出臺的各類網(wǎng)絡安全相關制度多達30項。目前，80%的煤炭集團總部對所屬單位信息系統(tǒng)有明確的等級保護要求，20家煤炭集團總部信息系統(tǒng)等級保護備案數(shù)量為187個。其中，符合等級保護二級認證標準的系統(tǒng)141個，符合等級保護三級認證標準的系統(tǒng)41個。

2.4 網(wǎng)絡核心設備和網(wǎng)絡安全軟件基本實現(xiàn)國產(chǎn)化

信創(chuàng)產(chǎn)業(yè)的快速發(fā)展極大地提升了煤炭企業(yè)在網(wǎng)絡安全方面的自主可控能力，主要軟硬件國產(chǎn)化率大幅提升。2021年，20家煤炭集團總部網(wǎng)絡核心設備國產(chǎn)化率平均達到92%，其中15家為100%；20家煤炭集團總部網(wǎng)絡安全軟件使用國產(chǎn)化率平均達到97%，其中17家為100%。

2.5 信息系統(tǒng)“上云”水平整體提升

隨著煤炭行業(yè)大力發(fā)展“新基建”，各大煤炭企業(yè)加大信息化基礎設施建設投入，企業(yè)“上云”水平整體提升，但差異較大。2021年，20家煤炭集團總部主要管理信息系統(tǒng)“上云”比例平均達到64.4%。其中，8家“上云”比例達到100%，占比40%；5家“上云”比例超過70%，占比25%。但另有5家低于10%，其中3家“上云”比例為0。

2.6 網(wǎng)絡安全管理制度逐步完善

20家煤炭集團總部中，出臺網(wǎng)絡安全相關制度的達到18家，占比90%。其中，11家已出臺網(wǎng)絡安全管理辦法(規(guī)定)，占比55%。同時，企業(yè)網(wǎng)絡安全相關制度不斷深化細化，除基礎的網(wǎng)絡安全管理辦法外，還包括工控系統(tǒng)、等級保護、崗位職責、漏洞檢測、突發(fā)事件應急響應、教育與培訓、信息通報等各類具體內(nèi)容。

3 我國煤炭企業(yè)網(wǎng)絡安全存在的主要問題

3.1 網(wǎng)絡安全防護意識整體薄弱

煤炭企業(yè)網(wǎng)絡安全防護意識雖有所提升，但對網(wǎng)絡安全危害仍整體認知不足。煤炭企業(yè)更加注重對系統(tǒng)建設方面的投資，而對不能直接見效的網(wǎng)絡安全支持力度明顯不足。對網(wǎng)絡安全工作投入不能滿足安全防護的要求，導致網(wǎng)絡安全管理的各環(huán)節(jié)存在問題。

3.2 網(wǎng)絡安全基礎保障能力不足

煤炭企業(yè)網(wǎng)絡安全資金投入整體不足，除幾家大型煤炭集團總部網(wǎng)絡安全資金投入相對較高外，多數(shù)企業(yè)投入仍然偏低。煤炭企業(yè)整體防控網(wǎng)絡安全風險的工作體系、制度、協(xié)調(diào)機制尚未完善，機構(gòu)設置和人員配備不足。20家煤炭集團總部除央企均設有網(wǎng)絡安全處或其他專門機構(gòu)外，其他企業(yè)相關職能設置在信息化部門下，專職工作人員數(shù)量平均不足3人。

3.3 網(wǎng)絡安全建設以被動合規(guī)為主導

合規(guī)需求是過去幾年推動我國煤炭企業(yè)網(wǎng)絡安全建設和產(chǎn)業(yè)發(fā)展的主要動因。但在政策合規(guī)驅(qū)動下，煤炭企業(yè)用戶的安全投入以單點、分散式采購為主，缺少體系化的安全規(guī)劃和布局。隨著各類實戰(zhàn)化網(wǎng)絡攻防演習行動的逐年增多，單純依靠合規(guī)驅(qū)動的工業(yè)企業(yè)用戶往往需要采取臨時協(xié)調(diào)、突擊建設等方式來應對，安全投入不足、主體責任落實不到位等問題仍然突出，產(chǎn)業(yè)內(nèi)生需求有待進一步培育壯大。

3.4 網(wǎng)絡安全體系效能不能充分發(fā)揮

煤炭企業(yè)網(wǎng)絡安全不僅是投入問題、技術問題，同時更是管理問題。提升網(wǎng)絡安全體系效能是網(wǎng)絡安全工作的關鍵所在。但是由于人員不足、手段缺失、流程不清晰等多方面條件限制，造成很多煤炭企業(yè)網(wǎng)絡安全體系效能發(fā)揮受限，如隱藏的安全問題發(fā)現(xiàn)不了、發(fā)現(xiàn)問題解決不了等，最終造成所建設的安全體系不能充分應對實際安全問題。

3.5 煤礦工業(yè)控制系統(tǒng)安全風險高

國內(nèi)煤礦網(wǎng)絡建設普遍采用以太網(wǎng)的環(huán)冗余技術，通過調(diào)度中心與2個環(huán)網(wǎng)進行數(shù)據(jù)聯(lián)通，由于系統(tǒng)本身的脆弱性，結(jié)合內(nèi)外部導入的威脅所帶來的安全風險，控制網(wǎng)絡內(nèi)缺少入侵檢測技術手段，無法及時對黑客入侵、病毒攻擊等行為進行報警，攻擊行為發(fā)生后也無法定位?？刂凭W(wǎng)絡中缺少工控檢測與審計技術手段，無法對工業(yè)流量進行分析。生產(chǎn)網(wǎng)與辦公網(wǎng)之間缺少有效的隔離，無法阻止來自辦公網(wǎng)的工控網(wǎng)絡攻擊。

3.6 對安全技術廠商依賴程度高

我國煤炭企業(yè)網(wǎng)絡安全建設目前以技術應用和產(chǎn)品部署為主，在安全策略、制度、流程等方面普遍考慮不足。由于缺少與安全技術相匹配的人員、流程和管理手段，煤炭企業(yè)用戶往往無法實現(xiàn)對安全產(chǎn)品效能和服務質(zhì)量的有效評估，只能依賴市場上各類資質(zhì)不一、能力參差不齊的安全技術廠商，煤炭企業(yè)自身的安全建設水平和保障能力亟待提升。

3.7 終端操作系統(tǒng)和數(shù)據(jù)庫國產(chǎn)化使用率低

20家煤炭集團總部辦公終端操作系統(tǒng)平均國產(chǎn)化使用率不足1%。其中最高的接近20%，65%的集團國產(chǎn)化使用率為0。Windows操作系統(tǒng)占據(jù)絕對主導，平均使用率為98.3%，其中尚有2%的電腦終端還在使用Windows XP系統(tǒng)。20家煤炭集團總部中，僅6家使用了國產(chǎn)品牌數(shù)據(jù)庫，且使用數(shù)量偏低。

3.8 網(wǎng)絡安全產(chǎn)品難以滿足行業(yè)特色需求

技術廠商提供的部分防護類產(chǎn)品和管理類產(chǎn)品與煤礦業(yè)務場景結(jié)合程度不高，使得煤炭企業(yè)對廠商的安全技術認可度不高。但涉足煤炭行業(yè)網(wǎng)絡安全業(yè)務的廠商數(shù)量激增，供給市場呈分散化趨勢，產(chǎn)業(yè)集聚效應不明顯，行業(yè)規(guī)模效應難以實現(xiàn)。

4 關于煤炭企業(yè)網(wǎng)絡安全建設的對策與建議

網(wǎng)絡安全工作是一項系統(tǒng)性的工作，具有基礎性、動態(tài)性、實戰(zhàn)性等特點，并不是簡單的投入一定資金、購置安全產(chǎn)品或培養(yǎng)專業(yè)人才就能夠解決的。煤炭企業(yè)要做好網(wǎng)絡安全工作，應落實“三化六化”總要求，摒棄以往“重技術輕管理”的固有認識，通過建立健全網(wǎng)絡安全治理體系、合理應用網(wǎng)絡安全防護技術、加強網(wǎng)絡安全運營管理等全方位措施才能得以實現(xiàn)。

4.1 完善企業(yè)網(wǎng)絡安全治理體系

(1)完善網(wǎng)絡安全組織管理體系。煤炭企業(yè)主要負責人應是本單位網(wǎng)絡安全工作的第一責任人，應按照“誰建設誰負責，誰運行誰負責，誰使用誰負責”的原則，逐級落實網(wǎng)絡安全責任制。企業(yè)應成立網(wǎng)絡安全和信息化領導小組，負責網(wǎng)絡安全管理重大事項決策和協(xié)調(diào)工作；明確其他成員單位和部門需承擔的安全管理責任，同時建立健全從上至下的網(wǎng)絡安全工作隊伍。

(2)完善網(wǎng)絡安全制度管理體系。完善的管理制度是確保網(wǎng)絡安全的基礎保障，煤炭企業(yè)網(wǎng)絡安全管理制度應由安全策略、管理制度和操作規(guī)程等構(gòu)成。安全策略是企業(yè)網(wǎng)絡安全工作的總體方針和基礎要求；管理制度是網(wǎng)絡安全不同領域細化的制度，包括如網(wǎng)絡安全、設備安全、系統(tǒng)安全、教育培訓、事故處置、應急響應等一系列專項管理制度；操作規(guī)程實際上是標準，從實操層面將企業(yè)網(wǎng)絡安全工作流程、制度要求進行標準化規(guī)范。

(3)完善網(wǎng)絡安全人員管理體系。維護網(wǎng)絡安全關鍵在人，糾正“網(wǎng)絡安全是技術部門和技術人員的事”思想。煤炭企業(yè)網(wǎng)絡安全不僅涉及的是本專業(yè)的管理和技術人員，還包括企業(yè)全體員工，從企業(yè)最高管理層、中層管理者、重點及敏感崗位人員、網(wǎng)絡安全管理(技術)人員乃至最基層的普通礦工，任何一環(huán)操作或使用不當，都有可能引發(fā)網(wǎng)絡安全問題。應建立從上至下、覆蓋完善的網(wǎng)絡安全隊伍體系和教育培訓考核體系，面向全員，常態(tài)化開展不同層次的網(wǎng)絡安全培訓和教育。

(4)完善網(wǎng)絡安全建設管理體系。網(wǎng)絡安全建設管理是煤炭企業(yè)網(wǎng)絡安全工作的核心內(nèi)容。要從規(guī)劃建設、系統(tǒng)建設、系統(tǒng)管理、系統(tǒng)運維、審計管理、安全管理、集中管控、應急管理、檢查評估、責任追究等全流程加以管控，系統(tǒng)化實施推進。煤炭企業(yè)網(wǎng)絡安全管理工作應堅持“同步規(guī)劃、同步建設、同步運行、同步合規(guī)”的原則，確保網(wǎng)絡安全設施與信息系統(tǒng)建設項目同步投入使用，并符合安全等級保護等合規(guī)性要求。同時還要做好供應鏈安全管理，加強自主研發(fā)能力，加快國產(chǎn)化替代進程，優(yōu)先部署國產(chǎn)產(chǎn)品。

4.2 合理應用網(wǎng)絡安全防護技術

4.2.1 加強煤礦設備安全防護

煤礦設備可按照設備類型和新舊設備有針對性地進行防護，無法升級設備系統(tǒng)軟件增強安全的老舊設備，可通過例行資產(chǎn)和暴露面盤點及時關閉高危賬戶和網(wǎng)絡端口，減少對外暴露的設備系統(tǒng)接口和被攻擊的幾率。新設備按照富資源設備(如控制器和上位機)和資源受限設備(如傳感類設備)分別進行技術防護。富資源設備應支持SL2級系統(tǒng)安全要求，通過軟件防火墻對控制器類設備上的進程和文件白名單管理。資源受限設備應支持SL1級系統(tǒng)安全要求。

4.2.2 加強煤礦工控系統(tǒng)安全防護

(1)安全分區(qū)。煤礦生產(chǎn)單位可按照辦公和生產(chǎn)分別劃分安全區(qū)；井工礦可按照井下控制區(qū)和井上控制區(qū)劃分分區(qū)；針對每個生產(chǎn)單位接入相關政府部門系統(tǒng)時，劃分外聯(lián)區(qū)。

(2)邊界隔離[14]。辦公分區(qū)與生產(chǎn)分區(qū)間，根據(jù)實際情況按需設置防火墻或者網(wǎng)閘，白名單機制管控互訪連接。生產(chǎn)分區(qū)內(nèi)，控制區(qū)與其他分區(qū)采用防火墻隔離防護。涉及政府部門的外聯(lián)邊界，應建設外聯(lián)安全接入?yún)^(qū)。

(3)網(wǎng)絡架構(gòu)。生產(chǎn)網(wǎng)整體宜采用分層環(huán)形組網(wǎng)方式，分為骨干環(huán)網(wǎng)和接入環(huán)網(wǎng)，部分主干網(wǎng)絡建議雙節(jié)點組網(wǎng)，增強可靠性，網(wǎng)關下沉到接入交換機，減少網(wǎng)絡風暴。無互聯(lián)要求的控制和監(jiān)控系統(tǒng)通過VLAN或者VPN隔離。

(4)終端防護。終端可安裝安全沙箱，對訪問生產(chǎn)系統(tǒng)的客戶端軟件和訪問互聯(lián)網(wǎng)的客戶端進行隔離。

(5)協(xié)同防護。安全設施和網(wǎng)絡設備通過工控安全態(tài)勢感知協(xié)同，收集部署在安全區(qū)域內(nèi)的工業(yè)入侵檢測系統(tǒng)、工業(yè)網(wǎng)絡審計類設備、終端安全、日志審計系統(tǒng)產(chǎn)生的日志和流量信息，確保煤炭企業(yè)關鍵工控系統(tǒng)的持續(xù)運轉(zhuǎn)。

4.2.3 加強煤炭企業(yè)網(wǎng)絡安全防護

(1)優(yōu)化網(wǎng)絡架構(gòu)，按照單位或園區(qū)的密集度，設置獨立的具有冗余結(jié)構(gòu)的網(wǎng)關設備。

(2)收縮互聯(lián)網(wǎng)出口，煤炭企業(yè)下屬多個生產(chǎn)單位時，建議取消生產(chǎn)單位互聯(lián)網(wǎng)出口，將互聯(lián)網(wǎng)出口集中在集團總部或者集團所屬二級子公司。

(3)網(wǎng)絡集中管理，部署網(wǎng)絡管理系統(tǒng)對所有單位的網(wǎng)絡設備進行集中管理和監(jiān)控，集中配置網(wǎng)絡設備。

(4)網(wǎng)絡安全域分區(qū)，管理網(wǎng)絡和生產(chǎn)網(wǎng)絡設置安全域，部署防火墻，原則上安全域策略出方向不限制，入方向按需放通。

(5)統(tǒng)一網(wǎng)絡準入，部署自動化程度高的網(wǎng)絡準入系統(tǒng)，對所有單位的網(wǎng)絡設備和終端設備進行準入管控。

(6)盤點網(wǎng)絡資產(chǎn)，部署網(wǎng)絡資產(chǎn)盤點系統(tǒng)，對所有的資產(chǎn)和互聯(lián)關系進行確認入賬。

(7)盡量采購同廠安全設施，形成協(xié)同防護體系。

4.2.4 加強煤炭企業(yè)云安全防護

(1)云平臺安全。加強云平臺網(wǎng)絡邊界，平臺運維安全防護，加強管理員賬號管理。

(2)租戶網(wǎng)絡安全。按照應用通信和安全等級劃分應用安全組，一個應用安全組對應一個VPC。應用安全組內(nèi)通過安全組策略保障應用部件間通信安全，應用安全組間通過虛擬防火墻保障跨組通信安全。

(3)租戶主機安全。通過安裝軟件防火墻和服務器EDR軟件加強主機安全防護。

(4)云資源池安全。建立物理機房位置分開的主備容災機制的云資源池。

4.2.5 加強煤炭企業(yè)數(shù)據(jù)安全防護

(1)對數(shù)據(jù)進行分級分類，明確核心數(shù)據(jù)、重要數(shù)據(jù)及一般數(shù)據(jù)，并對不同等級數(shù)據(jù)確立不同權(quán)限訪問及保密性要求。

(2)加強數(shù)據(jù)安全防護，按照數(shù)據(jù)采集、傳輸、存儲、使用的全流程實施數(shù)據(jù)安全防護。加強數(shù)據(jù)采集源的可信驗證和數(shù)據(jù)質(zhì)量監(jiān)測；加強數(shù)據(jù)傳輸和存儲的保密性防護，防范非法監(jiān)聽或惡意篡改；加強用戶身份認證,遵循權(quán)限最小環(huán)原則；加強數(shù)據(jù)防泄露機制，涉及企業(yè)和個人隱私的數(shù)據(jù)要求脫敏處理。

(3)加強數(shù)據(jù)安全監(jiān)測與審計，定期檢查和分析數(shù)據(jù)庫安全漏洞、SQL語句風險、用戶訪問風險，消除數(shù)據(jù)安全隱患。

4.2.6 加強煤炭企業(yè)應用系統(tǒng)安全防護

(1)應用系統(tǒng)訪問控制應實施多因子認證，提升口令復雜度，增強賬號破解難度。

(2)應建立多應用系統(tǒng)統(tǒng)一登錄認證機制，降低用戶保存多賬號和口令的難度，減少賬號丟失濫用幾率。

(3)應部署應用訪問代理隱藏應用系統(tǒng)，同時設置精細化用戶權(quán)限管控，梳理不同用戶的訪問需求，建立應用權(quán)限管理矩陣。

(4)應部署Web防火墻和數(shù)據(jù)庫審計系統(tǒng)，加強Web惡意攻擊防御能力。

(5)應按照重要性分類實施部署隔離，避免一個應用被攻破后作為跳板攻擊其他應用。

(6)應加強終端側(cè)安全防護和監(jiān)測，通過終端安全預警機制及時發(fā)現(xiàn)終端側(cè)的安全風險。

4.2.7 加強物理環(huán)境安全防護

物理環(huán)境安全應按照國家及煤炭行業(yè)有關標準設計實施，應具備消防報警、安全照明、不間斷供電、溫濕度控制和防盜防破壞報警，從而以保護系統(tǒng)免受水、火、電、有害氣體、雷擊、地震等各種不利因素的危害。涉及的安全防護技術可從機房部署、井下信息化設備、室外控制設備3個方面來考慮。因為煤礦井下具有區(qū)域相對狹小、照明條件較差、溫度高、潮濕、粉塵濃度高等特點，且部分礦井具有瓦斯?jié)舛雀?、腐蝕性有害氣體濃度高等特點，因此應根據(jù)不同情況采取相應的物理安全防護措施。

4.3 加強網(wǎng)絡安全運營管理

煤炭企業(yè)網(wǎng)絡安全運營能力建設應堅持“事先防范、事中控制、事后處置”的理念，以安全治理為核心、風險態(tài)勢為導向、安全合規(guī)為基礎，結(jié)合組織基礎安全能力，在人、技術、過程層面不斷完善組織網(wǎng)絡安全體系，滿足安全運營的系統(tǒng)性、動態(tài)性和實戰(zhàn)性需求，建立健全網(wǎng)絡安全運行監(jiān)控機制，形成一體化的網(wǎng)絡安全防御、監(jiān)測預警和應急處置體系。

(1)堅持統(tǒng)籌謀劃，整體推進。統(tǒng)籌煤炭企業(yè)生產(chǎn)區(qū)、辦公區(qū)、生活區(qū)安全監(jiān)控重點，統(tǒng)籌資源配置和關鍵技術管理，構(gòu)建網(wǎng)絡安全監(jiān)測預警能力，推進各項任務的有序開展。

(2)堅持協(xié)同配合，分級管控。整合煤炭企業(yè)內(nèi)部資源，堅持網(wǎng)絡安全一盤棋；分層組建網(wǎng)絡安全運營監(jiān)控隊伍，明確工作界限，形成分級協(xié)同的安全運行監(jiān)控體系。

(3)堅持面向?qū)崙?zhàn)，安全運營。重點突出網(wǎng)絡安全運營監(jiān)控體系的實戰(zhàn)能力與保障能力，以安全事件發(fā)現(xiàn)、分析研判、通告預警、響應處置、追蹤調(diào)查為核心，構(gòu)建面向?qū)崙?zhàn)的安全運營體系；將技術、管理、流程進行有機整合支撐業(yè)務實戰(zhàn)，形成保障業(yè)務、促進業(yè)務的閉環(huán)安全運營。

(4)堅持及時響應，降低影響。建立網(wǎng)絡安全運營監(jiān)測值班機制，確保及時發(fā)現(xiàn)網(wǎng)絡安全事件，形成網(wǎng)絡安全與系統(tǒng)運行協(xié)同的一體化監(jiān)控、應急防護體系，統(tǒng)籌協(xié)調(diào)事件處置，全力降低安全事件影響范圍。

5 結(jié)語

從黨中央、國務院及相關部門對網(wǎng)絡安全的重視程度，到煤炭行業(yè)數(shù)字化、網(wǎng)絡化、智能化發(fā)展所面臨的網(wǎng)絡安全風險形勢，都對煤炭企業(yè)網(wǎng)絡安全工作提出了新的更高要求。煤炭企業(yè)近年來在該領域雖然取得了一定進步，但整體仍存在較大差距。

網(wǎng)絡安全是一項系統(tǒng)性工作，不能簡單地認為投入一定資金、采取一些防護手段或招聘一些專業(yè)人員就能夠解決，必須落實“三化六防”總要求，通過建立健全網(wǎng)絡安全治理體系、合理應用網(wǎng)絡安全防護技術、加強網(wǎng)絡安全運營管理等全方位措施才能得以實現(xiàn)。