水电企业信息网络安全防护体系建设探讨.pdfVIP

水电企业信息网络安全防护体系建设探讨 李 艳 (陕西省水利厅，陕西西安710005) 摘要：分析了水电企业信息系统在安全技术措施和安全管理方面存在的潜在威胁．提出了管理与技术并举，从 物理安全、网络安全、应用安全、数据安全、安全管理制度等层面进行安全防护的信息网络安全防护体系方案。 关键词：水电企业；信息网络；安全防护体系 中图分类号：TM769 文献标识码：A 文章编号：1674—0009(2007)06一0035—03 特别是与银行等资金结算单位中问业务的接口、网 O 引言 上电力服务、数据大集中应用等需求的发展，改变了 一直以来网络结构和业务系统的相对封闭性，使得 水电自动化系统和管理信息系统的安全可靠运 安全问题不仅仅源于内部事件，来自外界的攻击也 行直接关系着水力发电系统的稳定、经济、优质地运 越来越多。网络应用的扩大，原来由单个计算机安全 行．关系着水库运用的水平和能力，对水电企业的经 事故引起的损害可能通过网络传播到其他系统和主 营业绩有着直接影响。因此，在当前信息网络风险不 机，引起大范围的瘫痪和损失。另外，网络用户缺乏 断加大的背景下，维护信息网络安全、防止黑客攻 安全保护意识和基本的计算机安全技能，对信息网 击、制定应急预案、强化安全管理、化解内部风险、建 络安全政策也把握不到位。因此，信息网络的安全风 立有效的信息网络安全防护体系、确保业务系统的 险变得越来越严重和复杂。归结起来，针对水电企业 安全可靠运行已经成为水电企业信息化建设的中心 网络系统安全的威胁主要涉及两个层面。 任务之一。 1。1 安全技术措施层蘑 2002年．国家经贸委根据我国电网调度系统的 网络边界安全风险：不同安全域之间的网络连 具体情况发布了《电网与电厂计算机监控系统及调 接没有有效访问控制措施，来自Intemet的访问请求 度数据网络安全防护规定》(业内称53号令)。水电企可达各服务器资源，存在潜在的扫描攻击、DOS攻 业围绕加强电力调度数据网络安全、保证电力安全 击、非法侵人等。 生产等方面作了大量工作，采用了防火墙、防病毒、 业务安全风险：缺乏严格的验证机制，导致非法 防入侵、访问控制、信息审计、网络物理隔离、身份认 用户使用关键业务系统。不同业务系统之间缺少较 证、数据加密等技术措施，大大提高了生产系统的安 细粒度的访问控制。 全防护水平。但在管理信息网络和对业务应用系统 数据传输的安全风险：如调度数据网的数据在 的安全防护上却存在较大的隐患．作者认为这其中 不同级调度中心之间进行交互时被窃听。 主要有两方面的原因：一是管理信息系统没有受到 系统基础平台安全风险：全网所有终端和服务器 生产系统信息网络安全那样的重视，二是管理信息系 的平台系统或设备的安全漏洞所带来的风险。 统面临的安全威胁要比生产系统大的多。 病毒安全风险：全网任何一点感染病毒都将带 来巨大的破坏．网络化的环境需要网络化的防病毒 1 水电企业信息系统安全风险分析 方案，多层次的防护体系。 1，2安全管理层西 近年来水电企业网络系统与外界接口的增加， 虽然水电企业都建立相应的安全制度和安全流 收稿日期：2007一10—06 作者简介：李