电力企业信息安全防护体系建设探索

《电力企业信息安全防护体系建设探索》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、电力企业信息安全防护体系建设探索【摘要】本文概述了电力企业信息安全防护工作的核心思想，分析了企业信息安全存在的问题，结合行业信息系统安全等级保护基本要求，从安全管理体系和安全技术体系两个大方面，探讨了电力企业网络信息安全防护系统建设思路。【关键词】电力企业；信息网络；安全体系【中图分类号】TP309【文献标识码】A【文章编号】1672-5158(2013)07-0498-02引言随着电力企业不断发展，信息化已广泛应用于生产运营管理过程中的各个环节，信息化在为企业带来高效率的同时，也为企业带来了安全风险。一方面企业对信息

2、化依赖性越来越强，尤其是生产监控信息系统及电力二次系统直接关系到电力安全生产；另一方面黑客技术发展迅速，今天行之有效的防火墙或隔离装置也许明天就可能出现漏洞。因此，建设信息安全防护体系建设工作是刻不容缓的。1信息安全防护体系的核心思想电力企业信息安全防护体系的核心思想是“分级、分区、分域”(如图1所示)。分级是将各系统分别确定安全保护级别实现等级化防护；分区是将信息系统划分为生产控制大区和管理信息大区两个相对独立区进行安全防护；分域是依据系统级别及业务系统类型划分不同的安全域，实现不同安全域的独立化、差异化防护。2信息

3、安全防护系统建设方针2.1整体规划：在全面调研的基础上，分析信息安全的风险和差距，制订安全目标、安全策略，形成安全整体架构。2.2分步实施：制定信息安全防护系统建设计划，分阶段组织项目实施。2.3分级分区分域：根据信息系统的重要程度，确定该系统的安全等级，省级公司的信息系统分为二级和三级系统；根据生产控制大区和管理信息大区，划分为控制区（安全I区）、非控制区（安全II区）、管理信息大区（III区）;依据业务系统类型进行安全域划分，二级系统统一成域，三级系统独立成域。2.4等级防护：按照国家和电力行业等级保护基本要求,进

4、行安全防护措施设计，合理分配资源，做好重点保护和适度保护。2.5多层防御：在分域防护的基础上，将各安全域的信息系统划分为边界、网络、主机、应用、数据层面进行安全防护设计，以实现纵深防御。2.6持续改进：定期对信息系统进行安全检测，发现潜在的问题和系统可能的脆弱性并进行修正；检查防护系统的运行及安全审计日志，通过策略调整及时防患于未然；定期对信息系统进行安全风险评估，修补安全漏洞、改进安全防护体系。3信息安全防护体系建设探索一个有效的信息安全体系是在信息安全管理、信息安全技术、信息安全运行的整体保障下，构建起来并发挥作用

5、的。2.1建立信息安全管理体系安全管理体系是整个信息安全防护体系的基石，它包括安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理五个方面，信息安全组织机构的建立尤为重要。3.1.1建立信息安全管理小组建立具有管理权的信息安全小组，负责整体信息安全管理工作，审批信息安全方针，分配安全管理职责，支持和推动组织内部信息安全工作的实施，对信息安全重大事项进行决策。处置信息安全事件，对安全管理体系进行评审。3.1.2分配管理者权限按照管理者的责、权、利一致的原则，对信息管理人员作级别上的限制；根据管理者的角色分

6、配权限，实现特权用户的权限分离。对工作调动和离职人员及时调整授权，根据管理职责确定使用对象，明确某一设备配置、使用、授权信息的划分，制订相应管理制度。3.1.3职责明确，层层把关制订操作规程要根据职责分离和多人负责的原则各负其责，不能超越自己的管辖范围。系统维护时要经信息管理部门审批，有信息安全管理员在场，对故障原因、维护内容和维护前后情况做详细记录。（1）多人负责制度每一项与安全有关的活动必须有2人以上在场，签署工作情况记录，以证明安全工作已得到保障。（2）重要岗位定期轮换制度应建立重要岗位应定期轮换制度，在工作交接

7、期间必须更换口令，重要技术文件或数据必须移交清楚，明确泄密责任。（3）在信息管理中实行问责制，各信息系统专人专管。3.1.5系统应急处理制定信息安全应急响应管理办法，按照严重性和紧急程度及危害影响的大小来确定全事件的等级，采取措施，防止破坏的蔓延与扩展，使危害降到最低，通过对事件或行为的分析结果，查找事件根源，彻底消除安全隐患。3.2建立信息安全技术策略2.2.1物理安全策略物理安全策略的目的是保护计算机系统、网络服务器等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；确保计算机系统有一个良好的工作环境；防止非法进

8、入机房和各种偷窃、破坏活动的发生，抑制和防止电磁泄露等采取的安全措施。3.2.2网络安全策略网络安全防护措施主要包括以下几种类型：(1)防火墙技术。通过防火墙配置，控制内部和外部网络的访问策略，结合上网行为管理，监控网络流量分配，对于重要数据实行加密传输或加密处理，使只有拥有密钥的授权人才能解密获取信息，保证信息在传输过程中的安全