在信息化時(shí)代，信息安全成為國家安全和企業(yè)安全的重要組成部分，電力與銀行、證券、海關(guān)、鐵道、民航、稅務(wù)一起被國家確定為七個(gè)重點(diǎn)行業(yè)信息安全領(lǐng)域。等級(jí)保護(hù)是國家推行的信息安全保障基本制度之一。隨著信息化建設(shè)不斷深入，信息技術(shù)應(yīng)用已滲透到企業(yè)的每一項(xiàng)業(yè)務(wù)，業(yè)務(wù)對(duì)信息系統(tǒng)的依賴程度越來越高，其基礎(chǔ)性、全局性、全員性作用日益增強(qiáng)。信息化是一把“雙刃劍”，在為企業(yè)帶來提高工作效率和管理水平、增強(qiáng)競(jìng)爭(zhēng)能力等益處的同時(shí)，也為企業(yè)帶來了安全風(fēng)險(xiǎn)，安全風(fēng)險(xiǎn)與信息化水平的提高同步增長。提升企業(yè)信息系統(tǒng)安全防護(hù)能力，保障系統(tǒng)信息安全，同時(shí)滿足國家等級(jí)保護(hù)的合規(guī)性要求，成為信息化工作的新任務(wù)。

安全防護(hù)需求

《信息安全技術(shù)一信息系統(tǒng)安全等級(jí)保護(hù)基本要求》(GB／T22239-2008)明確了基本要求，電網(wǎng)作為重點(diǎn)行業(yè)信息安全領(lǐng)域，充分結(jié)合自身安全的特殊要求，在對(duì)國家標(biāo)準(zhǔn)消化基礎(chǔ)上進(jìn)行深化、擴(kuò)充，將二級(jí)系統(tǒng)技術(shù)要求項(xiàng)由79個(gè)擴(kuò)充至134個(gè)，三級(jí)系統(tǒng)技術(shù)要求項(xiàng)由136個(gè)擴(kuò)充至184個(gè)，形成了企業(yè)信息系統(tǒng)安全等級(jí)保護(hù)要求，見表1。

安全防護(hù)架構(gòu)與策略

按照縱深防御的思想設(shè)計(jì)安全防護(hù)總體架構(gòu)，核心內(nèi)容是“分區(qū)、分級(jí)、分域”，如圖1所示。分區(qū)就是按照《電力二次系統(tǒng)安全防護(hù)規(guī)定》(電監(jiān)會(huì)5號(hào)令)將信息系統(tǒng)劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)兩個(gè)相對(duì)獨(dú)立區(qū)域進(jìn)行安全防護(hù)。分級(jí)就是將部署于大區(qū)的各系統(tǒng)分別確定安全保護(hù)級(jí)別實(shí)現(xiàn)等級(jí)化防護(hù)。分域就是將部署于大區(qū)的各系統(tǒng)，依據(jù)系統(tǒng)級(jí)別及業(yè)務(wù)系統(tǒng)類型劃分不同的安全域，實(shí)現(xiàn)不同安全域的獨(dú)立化、差異化防護(hù)?？傮w上形成了“區(qū)、級(jí)、域”多梯次大縱深的安全防護(hù)構(gòu)架。

生產(chǎn)控制大區(qū)和管理信息大區(qū)的系統(tǒng)特性不同，安全防護(hù)策略也不盡不同。本文僅描述管理信息大區(qū)的安全防護(hù)策略。管理信息大區(qū)部署管理類業(yè)務(wù)的系統(tǒng)，安全防護(hù)遵循以下策略：

(1)雙網(wǎng)雙機(jī)。將管理信息大區(qū)網(wǎng)絡(luò)劃分為信息內(nèi)網(wǎng)和信息外網(wǎng)，內(nèi)外網(wǎng)間采用邏輯強(qiáng)隔離裝置進(jìn)行隔離，內(nèi)外網(wǎng)分別采用獨(dú)立的服務(wù)器及桌面主機(jī)；

(2)分區(qū)分域。將管理信息大區(qū)的系統(tǒng)，依據(jù)定級(jí)情況及業(yè)務(wù)系統(tǒng)類型，進(jìn)行安全域劃分，以實(shí)現(xiàn)不同安全域的獨(dú)立化、差異化防護(hù)；

(3)等級(jí)防護(hù)。管理信息系統(tǒng)以實(shí)現(xiàn)等級(jí)保護(hù)為基本出發(fā)點(diǎn)進(jìn)行安全防護(hù)體系建設(shè)，并參照國家等級(jí)保護(hù)基本要求進(jìn)行安全防護(hù)措施設(shè)計(jì)；

(4)多層防御。在分域防護(hù)的基礎(chǔ)上，將各安全域的信息系統(tǒng)劃分為邊界、網(wǎng)絡(luò)、主機(jī)、應(yīng)用四個(gè)層次進(jìn)行安全防護(hù)設(shè)計(jì)，以實(shí)現(xiàn)層層遞進(jìn)，縱深防御。

安全防護(hù)設(shè)計(jì)

信息系統(tǒng)安全防護(hù)按照邊界安全防護(hù)、網(wǎng)絡(luò)環(huán)境安全防護(hù)、主機(jī)系統(tǒng)安全防護(hù)、應(yīng)用安全防護(hù)四個(gè)層次進(jìn)行防護(hù)措施設(shè)計(jì)。

(一)邊界安全防護(hù)

邊界安全防護(hù)目標(biāo)是使邊界的內(nèi)部不受來自外部的攻擊，同時(shí)也用于防止惡意的內(nèi)部人員跨越邊界對(duì)外實(shí)施攻擊，或外部人員通過開放接口、隱通道進(jìn)入內(nèi)部網(wǎng)絡(luò)；在發(fā)生安全事件前期能夠通過對(duì)安全日志及入侵檢測(cè)時(shí)間的分析發(fā)現(xiàn)攻擊企圖，安全事件發(fā)生后可以提供入侵事件記錄以進(jìn)行審計(jì)追蹤。

邊界安全防護(hù)關(guān)注對(duì)進(jìn)出該邊界的數(shù)據(jù)流進(jìn)行有效的檢測(cè)和控制，有效的檢測(cè)機(jī)制包括基于網(wǎng)絡(luò)的入侵檢測(cè)(IDs)、對(duì)流經(jīng)邊界的信息進(jìn)行內(nèi)容過濾，有效的控制措施包括網(wǎng)絡(luò)訪問控制、入侵防護(hù)、虛擬專用網(wǎng)(VPN)以及對(duì)于遠(yuǎn)程用戶的標(biāo)識(shí)與認(rèn)證／訪問權(quán)限控制。上述邊界安全防護(hù)機(jī)制與其它層面安全措施可協(xié)同使用以提供對(duì)系統(tǒng)的防護(hù)。

信息系統(tǒng)邊界歸為信息外網(wǎng)第三方邊界、信息內(nèi)網(wǎng)第三方邊界、信息內(nèi)外網(wǎng)邊界、信息內(nèi)網(wǎng)縱向上下級(jí)單位邊界及橫向域間邊界五類，安全防護(hù)設(shè)計(jì)見表2

(二)網(wǎng)絡(luò)安全防護(hù)

網(wǎng)絡(luò)環(huán)境安全防護(hù)的目標(biāo)是防范惡意人員通過網(wǎng)絡(luò)對(duì)應(yīng)用系統(tǒng)進(jìn)行攻擊，同時(shí)阻止惡意人員對(duì)網(wǎng)絡(luò)設(shè)備發(fā)動(dòng)的攻擊，在安全事件發(fā)生前可以通過集中的日志審計(jì)、入侵檢測(cè)事件分析等手段發(fā)現(xiàn)攻擊意圖，在安全事件發(fā)生后可以通過集中的事件審計(jì)系統(tǒng)及入侵檢測(cè)系統(tǒng)進(jìn)行事件跟蹤、事件源定位以發(fā)現(xiàn)惡意人員位置或及時(shí)制定相應(yīng)的安全策略防止事件再次發(fā)生。

網(wǎng)絡(luò)安全防護(hù)面向企業(yè)整體支撐性網(wǎng)絡(luò)，以及為各安全域提供網(wǎng)絡(luò)支撐平臺(tái)的網(wǎng)絡(luò)環(huán)境設(shè)施，網(wǎng)絡(luò)環(huán)境具體包括網(wǎng)絡(luò)中提供連接的路由器、交換設(shè)備及安全防護(hù)體系建設(shè)所引入的安全設(shè)備。安全防護(hù)設(shè)計(jì)見表3。

(三)主機(jī)安全防護(hù)

主機(jī)系統(tǒng)安全的目標(biāo)是確保業(yè)務(wù)數(shù)據(jù)在進(jìn)入、離開或駐留服務(wù)器時(shí)保持可用性、完整性和保密性，采用相應(yīng)的身份認(rèn)證、訪問控制等手段阻止未授權(quán)訪問，采用主機(jī)防火墻、入侵檢測(cè)等技術(shù)確保主機(jī)系統(tǒng)的安全，進(jìn)行事件日志審核以發(fā)現(xiàn)入侵企圖，在安全事件發(fā)生后通過對(duì)事件日志的分析進(jìn)行審計(jì)追蹤，確認(rèn)事件對(duì)主機(jī)的影響以進(jìn)行后續(xù)處理。

主機(jī)系統(tǒng)安全防護(hù)包括對(duì)服務(wù)器及桌面終端的安全防護(hù)。服務(wù)器包括業(yè)務(wù)應(yīng)用服務(wù)器、網(wǎng)絡(luò)服務(wù)器、WEB服務(wù)器、文件與通信等；桌面終端是作為終端用戶工作站的臺(tái)式機(jī)與筆記本計(jì)算機(jī)。安全防護(hù)設(shè)計(jì)見表4。

(四)應(yīng)用防護(hù)

應(yīng)用安全防護(hù)的目標(biāo)是保證應(yīng)用系統(tǒng)自身的安全性，以及與其他系統(tǒng)進(jìn)行數(shù)據(jù)交互時(shí)所傳輸數(shù)據(jù)的安全性；在安全事件發(fā)生前發(fā)現(xiàn)入侵企圖或在安全事件發(fā)生后進(jìn)行審計(jì)追蹤。

應(yīng)用安全防護(hù)包括對(duì)于應(yīng)用系統(tǒng)本身的防護(hù)、用戶接口安全防護(hù)和對(duì)于系統(tǒng)間數(shù)據(jù)接口的安全防護(hù)。安全防護(hù)設(shè)計(jì)見表5。

安全防護(hù)實(shí)施

信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施涉及到系統(tǒng)定級(jí)、現(xiàn)狀測(cè)評(píng)、安全建設(shè)改造方案編寫及實(shí)施、等保符合度測(cè)評(píng)、備案等工作。依據(jù)《信息安全技術(shù)一信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》(GB／T22240-2008)開展定級(jí)工作，定級(jí)結(jié)果報(bào)政府主管部門審批確認(rèn)。現(xiàn)狀測(cè)評(píng)委托專業(yè)機(jī)構(gòu)進(jìn)行，測(cè)評(píng)結(jié)果作為安全建設(shè)方案編寫的主要依據(jù)。安全域是安全防護(hù)總體架構(gòu)的關(guān)鍵環(huán)節(jié)，是方案制定的關(guān)鍵內(nèi)容之一。

管理信息大區(qū)劃分為內(nèi)網(wǎng)和外網(wǎng)，內(nèi)網(wǎng)部署為公司內(nèi)部員工服務(wù)的系統(tǒng)，外網(wǎng)部署對(duì)外服務(wù)的系統(tǒng)。安全域是由一組具有相同安全保障要求、并相互信任的系統(tǒng)組成的邏輯區(qū)域，同一安全域的系統(tǒng)共享相同的安全保障策略。按照等級(jí)保護(hù)的思想，安全域按照“二級(jí)系統(tǒng)統(tǒng)一成域，三級(jí)系統(tǒng)獨(dú)立分域”原則劃分。將等級(jí)保護(hù)較高的三級(jí)系統(tǒng)按獨(dú)立的安全域進(jìn)行安全防護(hù)，以實(shí)現(xiàn)三級(jí)系統(tǒng)的獨(dú)立安全防護(hù)，將所有二級(jí)系統(tǒng)作為一個(gè)安全域進(jìn)行安全防護(hù)可降低成本。定級(jí)和安全域劃分見表6。

限于篇幅，系統(tǒng)建設(shè)改造方案細(xì)節(jié)、等保符合度測(cè)評(píng)等內(nèi)容不在此贅述。

依照信息系統(tǒng)不同安全防護(hù)等級(jí)，以安全域?yàn)榉雷o(hù)主體，對(duì)信息內(nèi)、外網(wǎng)的信息系統(tǒng)開展等級(jí)化安全防護(hù)，實(shí)施邊界、網(wǎng)絡(luò)、主機(jī)及應(yīng)用逐層遞進(jìn)的縱深防御，規(guī)范部署基礎(chǔ)安全防護(hù)措施，全面提高信息系統(tǒng)安全防護(hù)能力。通過等級(jí)保護(hù)實(shí)施，實(shí)現(xiàn)了國家等級(jí)保護(hù)標(biāo)準(zhǔn)在電網(wǎng)企業(yè)的落實(shí)完善，形成了適應(yīng)電網(wǎng)自身特點(diǎn)的防護(hù)要求。公司ERP系統(tǒng)(三級(jí))，廣域核心網(wǎng)絡(luò)、營銷管理信息系統(tǒng)、調(diào)度生產(chǎn)管理系統(tǒng)分別通過了公安部門組織的三級(jí)、二級(jí)等級(jí)保護(hù)符合性測(cè)評(píng)。公司成為浙江省內(nèi)首家通過等級(jí)保護(hù)測(cè)評(píng)的單位，也是電力行業(yè)內(nèi)首家通過地方政府測(cè)評(píng)的電力企業(yè)。信息系統(tǒng)隨著需求改變不斷變更，信息安全是一個(gè)動(dòng)態(tài)的體系，等級(jí)保護(hù)建設(shè)不是一次性任務(wù)，而是一項(xiàng)長期不懈的工作。