燃气行业信息安全体系建设方法及在北京燃气的实践

《燃气行业信息安全体系建设方法及在北京燃气的实践》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、燃气行业信息安全体系建设方法及在北京燃气的实践摘　要：本文首先介绍了燃气行业信息化现状、分析了燃气行业信息安全存在的问题，然后介绍了企业建立信息安全体系的思路和方法，并结合此理论在国内首次提出了燃气行业信息安全体系的构建方法；最后以北京燃气为例，对燃气行业信息安全体系建设方法进行了实践和应用，分析并总结了燃气行业信息安全体系建设成功的关键因素。关键词：燃气行业　燃气信息化　燃气信息安全　信息安全规划　燃气信息安全体系　工控安全1　概述近年来，燃气企业不断提高其信息化水平以支撑业务的高速发展，提升企业工作

2、效率并优化业务运作模式，向公众提供高质量的服务。但是，作为传统能源行业，燃气企业在利用信息技术带来的优势时也必然需要承受先进技术带来的风险——信息安全问题。2010年6月，“震网”病毒悄然袭击伊朗核设施的工业系统，“震网”是第一个被发现用于针对于政府的网络战争武器。2012年，美国国土安全部应急响应小组报告了198起针对重要基础设施的攻击，而2011年的攻击数量为l30起(上升了52％)。据欧洲网络与信息安全局统计的数据，在2012年遭受攻击最多的行业为能源行业，占41％，其次为供水，占15％[2]。燃

3、气企业本身存在的信息安全问题、外部严峻的安全形势以及各种监管的压力都要求燃气企业尽快建设信息安全体系。本文将对北京燃气信息安全体系建设过程中的经验、方法进行整理，供燃气行业其他企业构建信息安全体系参考。下文的“燃气企业”泛指国内绝大部分燃气企业，代表着国内燃气行业的主要情况。2　燃气行业信息化现状及信息安全问题2．1　燃气行业信息化现状国内燃气企业的生产运营信息化建设开始于1996年左右，目前北京、上海、长春等多个大城市的管道燃气企业均成功完成生产运营信息化项目的建设，使企业运营过程控制程序化、模型化、

4、智能化、集成化、网络化，监测、控制过程实现可视化和远程化，以期达到进一步理川页管理流程、提升管理水平和提高工作效率的日标。国内燃气行业信息化具有以下特点：(1)企业的信息化建设已覆盖主要业务，但信息化缺乏有效整合，信息化的“孤岛效应”明显，企业信息资源没有得到有效利用。(2)信息化管控能力薄弱，企业缺乏有效IT治理机制和行业的信息化标准规范指导，信息化在企业管理应用有待提高。(3)信息化技术力量薄弱，企业的信息化建设严重依赖于第三方服务。(4)工业体系安全核心正在转变，由传统的物理安全正在向信息安全转移

5、。国内燃气企业已经基本完成了信息化“建设”的初期任务，已经建成了涵盖SCADA、GIS、OA、ERP、EAM以及用户管理系统等信息系统，而为了支撑燃气业务的高速发展，更有效的、安全的利用信息化体系，实现信息化的整合和管控必然成为企业未来信息化发展的主题，企业信息化发展路线也逐步由偏重建设转向偏重管控。信息安全作为信息化管控的主要组成部分，已成为企业必须面对的现实问题。2．2燃气行业信息安全问题作为传统的能源行业，大部分燃气企业对信息安全比较陌生，缺乏主动有效的信息安全保障机制。下面从组织、策略和技术3个

6、层面分析燃气行业信息安全存在的问题。2．2．1组织层面燃气企业的信息安全组织力量薄弱且定位较低，企业没有形成自上而下的信息安全组织体系。(1)企业信息化队伍并不完善，信息安全队伍严重匮乏，无法有效支撑企业的信息化建设和业务安全。(2)企业对信息安全的认知度偏低，依然注重于传统的物理安全，并忽视信息安全问题与业务安全之间的重要性。(3)企业各部门的信息安全职责不清，缺乏各部门和分子公司等单位的参与。(4)缺乏信息安全的培训和意识提升机制，员工的信息安全意识薄弱。(5)企业的信息化建设主要依赖于第三方，但是

7、对第三方的管控薄弱且明显落后于信息化的建设速度。2．2．2策略层面燃气企业基本没有成体系的信息安全策略，主要包括：(1)事件驱动型，信息安全策略都是基于已发生的信息安全事件制定，缺乏体系化的制度流程支撑，信息安全策略侧重于应急响应机制。(2)缺乏对信息系统和敏感信息的安全控制体系、技术规范以及安全基线。(3)缺乏信息安全策略推广手段，信息安全策略难以落地实行。(4)业务为先，较难平衡信息安全的控制以及业务效率之间的关系，信息安全策略要求更多“屈从”于业务要求。(5)监督和考核机制不足，缺乏明确的策略要求

8、，信息安全控制无法得到有效的落实。2．2．3技术层面燃气企业已经部署基本的信息安全防护设施，如防火墙、入侵检测、流量监测等设施，但是存在以下问题：(1)信息安全系统“孤岛”效应严重，无法形成有效合力。(2)系统和网络的边界控制能力薄弱，不同的系统和网络间的资源访问控制颗粒度较粗，缺乏有效的监控和审计能力。(3)企业业务复杂，第二三方厂商技术水平参差不齐，安全技术能力薄弱。(4)工控系统由于在网络中的互联性增加，导致多种途径可访问这些系统，从