电力行业信息系统等级保护的研究及实施

电力行业信息系统等级保护的研究及实施

作者：王瑞

来源：《华中电力》2014年第01期

摘要：本文首先介绍了电力行业信息系统安全等级保护的必要性及现状，然后讨论了电力系统安全等级保护的纵深防御模型及实施步骤。 关键词：信息安全；等级保护；安全域；纵深防御

引言：电力是国民经济重要的基础设施之一，电力安全直接关系国计民生，一直是党和高度关注的重点。随着通信技术和网络技术的快速发展和电力信息化工作的推进，因特网已得到了广泛使用，E-mail Web和PC的也日益普及，但同时病毒和黑客也日益猖撅。因此，研究电力系统信息安全问题、制定和实施电力系统信息安全战略、建立全方位动态、纵深防御的电力系统安全保障体系，已成为当前电力系统信息化工作的重要内容。中国大唐集团公司承担着为国家发展提供电力保障的基本使命，对电力系统的信息安全非常重视，已经把信息安全提升到电力生产安全的高度，并陆续下发了《关于印发《中国大唐集团公司信息安全等级保护检查工作指导书》的通知》和《中国大唐集团公司网络与信息安全手册》。 信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。信息系统的安全等级保护共分五级：第一级为自主保护级；第二级为指导保护级；第三级为监督保护级；第四级为强制保护级；第五级为专控保护级。安全保护能力从第一级到第五级逐级增强。信息安全等级保护是保障和促进国家信息化建设健康发展的一项基本制度，等级保护基本要求包括技术和管理要求，技术要求从物理安全、网络安全、主机安全、应用安全、数据安全五个方面进行考虑，管理要求从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等进行考虑。 在我国的信息安全等级保护中，国家重点党政机关办公系统、金融、能源、交通等国家基础设施属于重点保护对象。因此，中国大唐集团公司十分重视电力系统的信息安全等级保护，第一时间转发了等部门发布的《关于信息安全等级保护工作的实施意见》的通知，要求下属单位认识信息安全等级保护制度的重要性，建立符合电力系统特点的信息安全等级保护制度，完善电力系统的网络与信息安全保障体系。

一、 电力行业信息安全等级保护的现状及必要性

电力行业的特点决定了电力信息安全不仅具有一般计算机信息网络信息安全的特征，而且还具有电力实时运行控制系统信息安全的特征。电力系统的信息安全是一项涉及电厂DCS系统、继电保护及安全控制装置厂站自动化、发电系统自动化、生产管理、办公自动化系统等有关生产、经营和管理方面的多领域、复杂的大型系统工程。其中，电厂DCS系统、继电保护及安全控制装置、厂站自动化等系统属于二次系统，生产管理、生产实时系统、办公自动化等系统属于管理信息系统。二次系统主要负责电力系统的生产控制业务，它又分为实时生产系统

龙源期刊网 http://www.qikan.com.cn

和准实时生产系统；管理信息系统主要负责电力系统的信息化管理。二次系统的安全等级高于管理信息系统，实时生产系统的安全等级最高。系统的安全等级不同，安全防护措施也不一样，实时生产系统是电力系统安全防护的重点和核心，首先，二次系统和管理信息系统之间应采用电力专用安全隔离装置进行物理隔离，然后，实时生产系统和准实时生产系统之间用硬件防火墙进行逻辑隔离。若不分系统类型，都采用最高安全强度的产品进行防护，则有可能降低系统的运行性能并提高运行成本。

为贯彻落实、国家保密局、国家密码管理局、信息化工作办公室《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007861号）和国家电力监管委员会《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息[200734号）要求，集团公司率先启动了等级保护工作，2007年开展了信息系统安全等级保护制度研究与试点工作，完成了信息系统的定级备案工作；2008年涉奥单位完成了等级保护建设的主体工作，2009年全面开展了等级保护建设工作。 二、电力行业信息安全等级保护实施

中国大唐集团公司的等级保护是落实国家等级保护工作要求，提高网络与信息系统的信息安全保护能力和水平。等级保护工作内容包括统定级备案、等级保护建设、等级保护测评。下图是等级保护实施的步骤。 图1电力系统的等级保护实施图

具体步骤包括：（1）开展定级备案，典型二级系统包括门户系统、生产管理信息系统、办公自动化（OA）系统、人力资源管理系统、物资管理系统、项目管理系统、ERP系统（按三级防护）、广域网（按三级防护）；典型三级系统包括财务（资金）管理系统、电厂DCS生产系统等。（2）通过等级保护测评，发现与国家技术、管理要求的不符合项。（3）依据总体方案、等级保护不符合项，编制本单位等级保护实施方案。（4）根据等级保护实施方案开展建设，具体包括：安全域划分、与实现，产品采购与部署，安全加固，应用改造，等级保护管理建设。（5）等级保护测评验证建设效果。 1、 安全区域划分

安全域是由一组具有相同安全保障需求、并相互信任的系统组成的逻辑区域，同一安全域的系统共享相同的安全保障策略。集团公司应用系统主要部署于信息内网，与互联网有交互的子系统或功能单元部署于信息，信息内网与信息以逻辑强隔离设备进行安全隔离，对于信息内分别进行安全域划分。《信息安全等级保护管理办法》中对于三级系统安全保障要求及国家信息安全监管部门的监管执行要求强度高于二级系统，因此对于信息系统的安全域划分采取将等级保护要求较高的各三级系统划分的安全域进行安全防护，以实现三级系统间及与其他系统之间的安全防护，也便于集团公司及外部监管机构对于三级系统的安全监管，对于信息内网的应用系统安全域划分依据以下方法：二级系统统一成域，三级系立分

龙源期刊网 http://www.qikan.com.cn

域；依据该分域方法进行安全域划分后信息内网将有以下安全域：电力安全生产管理域、财务（资金）管理系统域、营销管理系统域、ERP系统域、二级系统域（所有二级系统统一部署于二级系统域中进行安全防护建设）、内网桌面终端域（由于桌面终端的安全防护与应用系统不同，将其划分为区域进行安全防护，信息内网桌面终端用于内网业务操作及内网业务办公处理）。

由于集团公司主要应用系统位于信息内网，信息主要是一些需要与互联网交互的子系统或应用模块，且系统数量较少，因此将应用系统统一部署于同一安全域内进行安全防护，该安全域中的应用系统在主机及应用层面按各系统所属的安全级别进行防护，网络及与信息边界防护按满足域中各系统所属最高等级就高进行安全建设，信息存在如下安全域：应用系统域（需与互联网进行数据交换的系统部署于应用系统域进行安全防护）、桌面终端域（桌面终端用于业务办公及互联网访问）。 2、 纵深防御

在安全域划分后，结合等级保护基本要求，电力系统建立了基于纵深防御模型的信息安全防护体系，如下图所示。

图2电力系统的纵深防御模型图

在纵深防御模型中，每一层都有特定的安全控制。安全控制包括路由器、防火墙、入侵检测、漏洞扫描、防病毒等。为安全保护而创建的每一层都相当于一个防止未授权访问的堑壕。防御层数越多，对数据资源进行未授权访问的难度就越大。 2.1边界防御

边界防御网络防御应用防御数据资源主机防御纵深防 御在纵深防御模型中，边界防御是利用电力专用隔离装置、防火墙、入侵检测等安全设备来保护进人网络的人口点。电力专用隔离装置是基于网络、应用访问控制开发数据库专用安全防护产品，除具备网络强隔离、地址绑定、访问控制等功能外，还能够对SQL语句进行必要的解析与过滤，抵御SQL注入攻击。防火墙作为网络或网络安全域之间信息的唯一出入口，制定特定的安全策略以控制出入网络的信息流。另外，入侵检测系统能发现从内部发起的攻击，并向管理员发警报。入侵检测系统通常由控制台和代理两部分组成，通过代理对网络进行自动、实时地攻击检测和响应。一旦发现入侵行为，立刻切断相关进程，或者发出指令，通知防火墙切断相应服务，同时通过控制台进行报警。部署网络入侵检测系统时，在网络中安装一套控制台程序，用于对各代理安装点进行管理和监控。在各个业务子系统的关键网段、Internet的接人点分别配置网络代理，在网络一级对来自内部和外部网的攻击和滥用进行监控。 2.2网路防御

网络防御主要包括网络分段、建立VPN、漏洞扫描等。

龙源期刊网 http://www.qikan.com.cn

（1）网络分段：网络分段是网络安全的基础措施，通过合理地划分网段，将大幅度降低安全系统部署费用和管理费用。

（2）建立VPN：目前许多专业应用系统将自己的应用子网构建在企业信息网之上，目的就是借助企业信息网来形成应用系统专网，满足专业应用系统传输过程中的私密性和完整性。 （3）网络扫描，在网络分段的基础上，实施全方位的网络扫描，包括对Internet站点（内网和）、防火墙和TCP服务进行漏洞扫描，网络扫描器安装在每个物理子网的一个单机上。网络扫描器提供全方位的网络和系统运行信息，从网络层保证业务系统的安全性。通过配置时间策略，网络扫描器可以定期进行扫描，每次扫描的结果可生成详细报告，以了解网络的安全状况。 2.3应用防御

应用防御主要包括对数据库、Web服务器、中间件和群件系统进行安全扫描和安全加固，尤其是对数据库系统进行扫描和管理，包括安全策略的制定。

除此之外，应用防御还应包括建立一套完整的应用开发安全规范，保证新开发的应用系统都遵循统一的安全框架，还可以建立基于PKI的应用开发规范。

2.4数据资源数据资源安全主要是保证数据在存储、使用、传输过程中的机密性和完整性，可以采用PKI平台来保证，以及数据的备份，保证系统和数据在出现意外时能及时恢复，将损失降到最低。 三、结束语

电力行业信息安全等级保护的实施，将提高电力业务核心系统的信息安全，保障电力系统的安全、稳定、优质运行，加速数字电力系统的实现进程，提高电力企业社会效益和经济效益，更好地为国民经济高速发展和满足人民生活需要服务。