浅析电力交易机构数据安全风险防控.docx

??

?

??

浅析电力交易机构数据安全风险防控

?

??

?

?

?

?

?

?

?

???

?

?

?

?

?

摘要：近些年，随着人们生活水平的提高，对各个行业的要求不断提高。目前，电力交易机构作为电力体系新的运营主体,其核心风险是数据安全风险。电力交易机构数据安全风险可以细分为外部窃密、内部失泄密、信息披露、通信设备安全和安全教育五大类风险。针对上述风险，电力交易机构应建立全方位管控体系以保证数据安全。

关键词：电力市场；数据安全；风险管理

引言

随着信息技术的发展，信息化已成为企业转型升级必不可少的一项重要举措。但同时信息化也面临着潜在的信息安全问题。本文通过对电网技术发展趋势的研究，总结了人为失误、计算机系统威胁等六方面的网络安全威胁，严重影响企业信息化进程。因此，保障企业信息安全，构建信息安全体系架构成为信息化过程中的重要议题。

1电力交易机构的风险特征

电力交易机构作为各市场主体参与市场交易的重要服务平台和窗口，交易平台具备了同时开展多品种多周期交易的运营能力，有效支撑了电力市场的运营，为促进市场健康发展发挥了重要作用。从公司经营性质出发分析，电力交易机构与电力体系的其他企业存在本质区别。因此，电力交易机构的风险同时具备电网企业和商品交易机构两个维度的特点，且更为复杂。与一般电力企业相比，电力交易机构具有商品交易机构的风险特性，主要集中在数据安全和交易平台维护上。本文将对电力交易机构体现商品交易机构特性的数据安全风险进行探讨，以为更好地开展电力交易机构风控工作提供一些技术支持和参考。

2电力交易机构数据安全风险分析

2.1企业信息化安全评估

通过调查研究，本文从风险控制、安全管理和安全技术三方面评估案例企业信息化安全水平与国际标准和国家等保三级要求的差距。在风险控制方面，主要存在12个风险控制点，并按照风险发生概率和影响力，分为特大风险、重大风险和一般风险。

在安全管理方面，本文参照国际标准组织制定的ISMS相关安全控制点进行评估，发现电力企业有6个方面与国际标准存在一定差距。在信息安全策略上，管理者对信息安全方针的评审、批准、发布与传达不到位；在信息安全组织上，组织架构不完善，职责界定不清晰，与特定利益团队联系不密切；在资产管理上，信息资产编制没有进行全生命周期跟踪，资产使用规则执行不佳；在供应商管理上，未形成良好的管理机制，未定期监测、审查供应商的服务，针对供应商服务变更调整信息安全工作的周期较长；在信息安全事件管理上，管理职责和程序不清晰，难以快速响应信息安全事件，报告安全弱点，透彻分析事故原因；在业务连续性管理上，没有制定配套的管理措施，定期的信息安全连续性控制核实不到位，在不利情况下的效力水平没有达到相应标准。

在安全技术方面，本文发现案例企业安全技术使用率较高，已经达到定义级标准，但与国家等保三级安全技术框架仍存在灾备建设、身份认证、访问控制、内容安全、安全运营五方面的差距。总的来看，中国电力企业在电力交易信息化过程中，已经初步具备保障信息安全的能力。但在运维管理、安全控制和灾备建设等关系重大的风险控制方面，仍然有待提升。

2.2内部失泄密风险

内部泄密风险是指由于内部人员认识不足，不当接触和使用电力交易数据，导致交易数据泄露引发的风险。如果交易机构没有明确指定交易数据密级和接触授权管理要求，内部员工未能有效掌握国家保密法律法规、公司保密规章制度和企业密级范围目录，对日常保密工作缺乏足够的了解，可能导致对日常工作中接触的企业秘密、敏感信息重视不足，没有执行相应的保护措施，将引发内部员工泄露交易数据的风险。

3电力交易机构数据安全控制措施思考

3.1基于安全架构愿景的智能安全视图

加德纳安全自适应架构是国际主流认可的安全架构指导方案，其提出的自适应四阶段防御系统阐述了信息安全架构的四个关键能力：防御能力、检测能力、回溯能力、预测能力。

智能安全视图基于加德纳自适应安全架构要求，能够有效帮助企业建立可持续的信息化安全架构。安全战略将基于业务要求、安全标准和合规要求进行整体规划，使安全战略可以直接有效地对各层级提供向导。安全协同可以联系身份认证、访问控制、内容安全、响应恢复和审计跟踪等流程，有效协调安全信息框架的一致性运行。安全威胁管理，包括对外部病毒和恶意攻击以及内部操作失误等威胁的管理，能够建立合适的进入认证机制和漏洞识别和修复制度，定期检查系统运行状况，培养用户安全意识。综合上述模块，将各类安全情报集中分析，实时高效的寻找信息系统运行中的各类安全状况，反馈回安全信息管理。最后，构建主动防御能力，保护核心资产、扩展资产。

3.2内部失泄密风险控制

电力交易机构应与涉密员工签订严格的保密协议，并对所有涉密义务和后果进行逐条确认，并制定数据安全及涉密管理手册，以协助员工有效掌握国家保密法律法规和公