电力信息系统等级保护安全策略的研究.pdfVIP

2016 NO.35 科技创新导报 工 程 技 术 Science and Technology Innovation Herald DOI：10.16660/j.cnki.1674-098X.2016.35.055 电力信息系统等级保护安全策略的研究① 赵伟 （广州赛宝认证中心服务有限公司IT认证部 广东广州 510610） 摘 要 随着社会的不断发展,电力信息系统也在不断地发展,越来越受到电力部门的重视。该课题的目标为解决电力工程安全 ： 体系建设中所面临的问题。通过阅读该课题可以理解信息安全建设的层次及过程，有效地将信息安全总体方案进行贯彻执行。 关键词 电力 信息安全防护 等级保护 安全域 ： 中图分类号 TP309 文献标识码：A 文章编号：1674-098X(2016)12(b)-0055-03 ： 为深化电力信息化工程安全防护体系建设，落实工程安 2.2 虚拟防火墙隔离 全防护总体方案，制定此操作指引，为电力信息化依据总体 采用虚拟防火墙实现各安全域边界隔离，虚拟防火墙可 方案开展信息安全建设提供参考。 以将一台防火墙在逻辑上划分成多台虚拟的防火墙，每个虚 拟防火墙系统都可以被看成是一台完全独立的防火墙设备， 1 安全域划分设计 可拥有独立的系统资源、管理员、安全策略、用户认证数据 依据国家电网公司安全分区、分级、分域及分层防护的 库等。在该方案中，可以实现为每个安全域建立独立的虚拟 原则，首先,各单位网络分为管理信息大区与生产控制大区; 防火墙进行边界安全防护。 其次,管理信息大区按照双网隔离方案又分为信息内网与信 2.3 三层交换机Vlan隔离 息外网。电力工程安全防护总体方案的设计作用范围为信息 采用三层交换机为各安全域划分Vlan，采用交换机访 内网和信息外网的一体化平台以及八大业务应用相关系统， 问控制列表或防火墙模块进行安全域间访问控制。 在进行安全防护建设之前，应首先实现对信息系统的安全 2.4 二层交换机Vlan隔离 域划分。 在二层交换机上为各安全域划分Vlan，采用Trunk与 对于一体化平台与八大业务应用安全域划分依据总体 路由器或防火墙连接，在上联的路由器或防火墙上进行访问 方案中定义的“二级系统统一成域，三级系统独立分域”的 控制。 方法进行，信息内网的系统基本上可分为：(1)ERP系统域； 对于一个应用的子系统跨越多个物理环境如设备机房 (2)电力市场交易系统域；(3)财务(资金)管理系统域；(4)办公 所带来的分域问题，由于安全域为逻辑区域，可以将一个公 自动化系统域(总部)；(5)营销管理系统域；(6)二级系统域； 司层面上的多个物理网络或子网归属于同一安全域进行安 (7)桌面终端域。信息外网的系统可分为：(1)外网应用系统 全体系建设。 域；(2)桌面终端域。 安全域的具体实现可采用物理防火墙隔离、虚拟防火墙 3 明确所要防护的对象 隔离或Vlan隔离等形式。基本实现目标为划分各域网络边 在进行安全防护体系建设之前，首先需明确所要防护的 界并进行访问控制。 对象，将所要防护的对象对应至整体信息网络环境与相应 进行安全域划分后，国家电网公司总部、网省、地市所划 的安全域中，设计所保护域的边界、网络、主机及应用。 分出的安全域与数量如表1所示。 (1)边界安全防护。针对信息内外网第三方边界、纵向上 下级单位边界以及横向域间边界进行安