文 ‖ 楊 琰

安徽石油連續(xù)兩年榮獲集團網(wǎng)絡(luò)安全水平評價A 級企業(yè)稱號。

隨著企業(yè)數(shù)字化、信息化的加速升級，數(shù)字經(jīng)濟戰(zhàn)略成為國家“十四五”規(guī)劃和2035 年遠景目標。以人工智能、大數(shù)據(jù)、5G、物聯(lián)網(wǎng)、區(qū)塊鏈等為代表的數(shù)字技術(shù)全面滲透，為成品油銷售企業(yè)業(yè)務(wù)發(fā)展和運營管理提供技術(shù)支撐。

中國石化安徽石油不斷夯實網(wǎng)絡(luò)安全基礎(chǔ)，構(gòu)建全方位，多層次、快速有效的網(wǎng)絡(luò)安全防護體系，以應(yīng)對網(wǎng)絡(luò)安全威脅，確保重要設(shè)施、經(jīng)營管理系統(tǒng)安全、穩(wěn)定和可靠運行。2022、2023 年，公司連續(xù)兩年榮獲中國石化集團公司網(wǎng)絡(luò)安全水平評價A 級企業(yè)稱號。

●安徽石油開展常態(tài)化網(wǎng)絡(luò)安全防控，站在攻擊者視角全盤審視漏洞。 供圖/安徽石油

優(yōu)化頂層設(shè)計,打造制度體系

安徽石油在總部網(wǎng)絡(luò)安全管理制度體系的基礎(chǔ)上，修訂完善網(wǎng)絡(luò)安全管理制、網(wǎng)絡(luò)安全操作規(guī)范、網(wǎng)絡(luò)接入流程，落實網(wǎng)絡(luò)安全相關(guān)崗位授權(quán)機制，明確工作職責，確保網(wǎng)絡(luò)安全工作有章可循。

一是修訂了設(shè)備管理維護制度、軟件維護制度、密鑰管理制度、用戶管理制度、計算機終端安全管理制度，以及重要系統(tǒng)和業(yè)務(wù)的安全操作規(guī)范及細則。制定信息安全崗位說明書，明確工作職責、權(quán)限和范圍。

二是修訂機房安全管理制度、機房門禁管理制度、機房操作管理、機房安全巡檢制度，完善機房人員出入、設(shè)備出入和巡檢表，增加節(jié)假日、重保期間安全大檢查，實行7×24 小時值班制度，及時處理突發(fā)情況，保障運行安全。

三是落實項目建設(shè)安全審查規(guī)范。對于新建系統(tǒng)，安徽石油嚴格執(zhí)行項目安全審查和驗收規(guī)范，系統(tǒng)上線前按照網(wǎng)絡(luò)安全保護等級進行上線前安全技術(shù)檢測。系統(tǒng)驗收按照驗收規(guī)范，開展系統(tǒng)安全檢測工作，對第三級及以上系統(tǒng)委托有資質(zhì)的網(wǎng)絡(luò)安全測評機構(gòu)開展等級測評和密碼應(yīng)用安全性評估。

夯實基礎(chǔ)管理，提高治理能力

一是建立全面完整信息資產(chǎn)臺賬。安徽石油開展信息資產(chǎn)梳理工作，摸清所有信息資產(chǎn)，并動態(tài)及時更新信息。建立企業(yè)信息資產(chǎn)臺賬和網(wǎng)絡(luò)安全問題清單。根據(jù)清單定期進行安全自查，發(fā)現(xiàn)隱患及時整改，把風險扼殺在搖籃里，避免更大的網(wǎng)絡(luò)安全事件發(fā)生。

二是強化互聯(lián)網(wǎng)統(tǒng)一出口管控。全面推廣信息安全防控系統(tǒng)，依托準入控制系統(tǒng)，強化入口管控。突出“網(wǎng)絡(luò)安全、核心技術(shù)、突出設(shè)施和重要數(shù)據(jù)”的安全防護、突出網(wǎng)絡(luò)預(yù)知預(yù)警和應(yīng)急處置能力建設(shè)，堅持問題導(dǎo)向，不斷提升網(wǎng)絡(luò)安全事件處置能力，進一步完善“監(jiān)控、防護、溯源”三位一體的立體化管控體系。

三是加強無線網(wǎng)、遠程接入安全管控。做好終端設(shè)備網(wǎng)絡(luò)準入控制策略配置和監(jiān)管工作，第三方開通VPN 賬號對堡壘機、網(wǎng)絡(luò)及安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)等進行運維，按照實際開通的策略內(nèi)容執(zhí)行審批流程。做好加油站無線網(wǎng)絡(luò)運行、外網(wǎng)實名認證、智能加油機無線路由、廣告牌無線控制及站級物聯(lián)網(wǎng)覆蓋等問題梳理，從制度和技術(shù)手段上進一步規(guī)范，消除基層站庫海量終端存在的網(wǎng)絡(luò)安全風險隱患。

四是加強基礎(chǔ)網(wǎng)絡(luò)及工控安全防護。做好網(wǎng)絡(luò)出口邊界安全防護、工控網(wǎng)與辦公網(wǎng)邊界安全防護、服務(wù)器區(qū)與辦公區(qū)邊界安全防護。同時，推進宣城、蕪湖、合肥、宿州等油庫工控安全建設(shè)，優(yōu)化網(wǎng)閘安全防護策略，實現(xiàn)辦公網(wǎng)與工控網(wǎng)的縱向分層和工控業(yè)務(wù)間的橫向分區(qū)，解決油庫工控網(wǎng)絡(luò)風險隱患。

強化常態(tài)化監(jiān)控，提升防控能力

安徽石油牢固樹立網(wǎng)絡(luò)安全“實戰(zhàn)化、體系化、常態(tài)化”理念，組織省市公司信息人員成立網(wǎng)絡(luò)安全專項工作組，與網(wǎng)絡(luò)安全頭部企業(yè)深入合作，引入新技術(shù)構(gòu)建新能力，對網(wǎng)絡(luò)流量開展常態(tài)化監(jiān)控，實現(xiàn)事前威脅預(yù)警、事中威脅監(jiān)測、事后威脅溯源，提升網(wǎng)絡(luò)安全的防控能力 。

一是建立網(wǎng)絡(luò)安全預(yù)警與通報機制，針對預(yù)警內(nèi)容及時研判和內(nèi)部排查、處置，執(zhí)行“零日報”制度。同時，根據(jù)各市公司網(wǎng)絡(luò)安全月報，總結(jié)分析共性問題，制定相應(yīng)解決方案，對于上級單位下發(fā)的網(wǎng)絡(luò)安全通報聯(lián)系相關(guān)責任人及時處置并反饋。

二是建立網(wǎng)絡(luò)安全隱患排查機制，建立以識別資產(chǎn)、識別風險、及時整改和閉環(huán)控制的常態(tài)化隱患治理工作模式。同時，積極發(fā)揮企業(yè)內(nèi)部攻防團隊力量，建立常態(tài)化動態(tài)監(jiān)控機制，站在攻擊者視角全盤審視，聚焦重要網(wǎng)絡(luò)、重要系統(tǒng)和核心數(shù)據(jù)的突出問題和薄弱環(huán)節(jié)，開展常態(tài)化滲透測試和漏洞挖掘工作。

三是終端系統(tǒng)風險防控。一方面做好用戶安全管理。安徽石油注重將應(yīng)用賬號按照權(quán)限最小化、權(quán)限不相容規(guī)則進行授權(quán)，在出現(xiàn)人員退休、離職、崗位變動等情況時，達到同步禁用、刪除或回收應(yīng)用賬戶權(quán)限；另一方面針對涉及用戶個人信息及資金交易的重要敏感系統(tǒng)，安徽石油重點防護，安裝專用防護軟件，主動防御風險，對重要數(shù)據(jù)進行加密存儲。

細化考核指標，建立考評體系

為了客觀地評價各市公司網(wǎng)絡(luò)安全水平，安徽石油建立網(wǎng)絡(luò)安全考核評價體系，從安全合規(guī)、安全監(jiān)測、安全事故三方面開展常態(tài)化信息安全評價。

一是落實責任制，明確各級領(lǐng)導(dǎo)和相關(guān)崗位人員在信息安全方面的職責，建立了獎懲機制。二是對考核落后的地市采取結(jié)隊幫扶、專項指導(dǎo)等方式幫助其分析問題和找出原因，并采取有效措施提高信息安全水平。三是對于發(fā)生“未備案或安全防護措施不到位，造成嚴重后果被公安機關(guān)、國家相關(guān)部門通報的；重要業(yè)務(wù)系統(tǒng)敏感信息和關(guān)鍵數(shù)據(jù)丟失或被竊取、竄改、假冒，對公司生產(chǎn)經(jīng)營活動構(gòu)成嚴重威脅”的等重大信息安全事故采取一票否決制。通過開展網(wǎng)絡(luò)安全考核評價，安徽石油營造出了信息安全工作比學趕超、取長補短氛圍，實現(xiàn)了信息安全水平的持續(xù)提高，筑牢網(wǎng)絡(luò)安全防線。

加強網(wǎng)絡(luò)安全離不開一支高素質(zhì)的網(wǎng)絡(luò)安全人才隊伍。安徽石油以基礎(chǔ)設(shè)施、合規(guī)、實戰(zhàn)、信創(chuàng)為四大方向，由市公司信息人員組隊，分類分區(qū)管理，培養(yǎng)網(wǎng)絡(luò)安全專業(yè)團隊，充分發(fā)揮集體和個人的智慧，提升團隊的業(yè)務(wù)能力、協(xié)作能力和創(chuàng)新能力。安徽石油網(wǎng)絡(luò)安全宣傳推文“網(wǎng)絡(luò)安全與法同行”獲得2023 年中國石化網(wǎng)絡(luò)安全宣傳周作品三等獎。2023 年，安徽石油網(wǎng)絡(luò)安全實戰(zhàn)化監(jiān)控指標評分在全集團排名12，居銷售企業(yè)第一。