摘 要 從國家推行信息安全等級保護工作以來，電力行業(yè)結(jié)合行業(yè)信息系統(tǒng)功能特點和安全防護現(xiàn)狀，擬定了行業(yè)相關(guān)標(biāo)準(zhǔn)。本文在介紹電力行業(yè)信息安全等級保護要求的同時，描述了國家基本指標(biāo)和行業(yè)特殊指標(biāo)應(yīng)用于等級保護測評工作的方法。

        1 引言

        電力信息系統(tǒng)不僅包括發(fā)電、輸電、變電、配電、用電等環(huán)節(jié)的生產(chǎn)、調(diào)度與控制系統(tǒng)，還包括生產(chǎn)、營銷等工作管理系統(tǒng)。此前，電力行業(yè)監(jiān)管部門一直高度重視信息安全工作，于2005年頒發(fā)了《電力二次系統(tǒng)安全防護規(guī)定》(電監(jiān)會5號令)[1]，后陸續(xù)制定了《電力二次系統(tǒng)安全防護總體方案》、《省級及以上調(diào)度中心二次系統(tǒng)安全防護方案》、《變電站二次系統(tǒng)安全防護方案》等。根據(jù)《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》(公信安[2007]861號文)[2]要求，電力行業(yè)作為首個行業(yè)單位率先組織開展信息安全等級保護工作。

        在電力生產(chǎn)不同環(huán)節(jié)中的信息系統(tǒng)在部署環(huán)境、系統(tǒng)功能、安全保障需求中存在非常大的差異，電力行業(yè)在開展信息安全等級保護工作時，采取了謹(jǐn)慎的態(tài)度，在試點示范的基礎(chǔ)上，持續(xù)挖掘電力系統(tǒng)自身的特點，逐漸形成了具有行業(yè)特色的信息安全等級保護需求。同時，國家公安部在《關(guān)于開展信息安全等級保護安全建設(shè)整改工作的指導(dǎo)意見》(公信安[2009]1429文)明確指出，重點行業(yè)信息系統(tǒng)主管部門可以按照《信息系統(tǒng)安全等級保護基本要求》[3]的具體指標(biāo)，在不低于等級保護基本要求的情況下，結(jié)合系統(tǒng)安全保護的特殊需求，在有關(guān)部門指導(dǎo)下制定行業(yè)標(biāo)準(zhǔn)規(guī)范或細(xì)則，指導(dǎo)本行業(yè)信息系統(tǒng)安全建設(shè)整改工作。電力行業(yè)積極貫徹國家管理要求，在深入分析行業(yè)現(xiàn)狀和特點的同時，研究國家信息安全等級保護相關(guān)標(biāo)準(zhǔn)和管理規(guī)范，制定《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》(送審稿)[4]，并選擇行業(yè)內(nèi)具有代表性的信息系統(tǒng)，開展等級保護測評試點工作。

        本文在綜述電力行業(yè)信息系統(tǒng)安全等級保護基本要求的基礎(chǔ)上，具體描述了電力行業(yè)在開展信息安全等級保護測評工作時，協(xié)調(diào)應(yīng)用等級保護要求基本指標(biāo)和行業(yè)特殊指標(biāo)的測評方法。

         2 電力行業(yè)信息安全等級保護標(biāo)準(zhǔn)綜述

        電力行業(yè)信息安全等級保護要求中貫徹鞏固了電力行業(yè)信息安全工作成果，在總體要求部分提出了電力企業(yè)應(yīng)劃分不同安全分區(qū)、不同安全分區(qū)應(yīng)具有不同安全防護要素的安全保護要求，并根據(jù)信息安全等級保護工作思路，總體要求由整體技術(shù)要求和通用管理要求組成。其中，整體技術(shù)要求中規(guī)定，電力生產(chǎn)企業(yè)、電網(wǎng)企業(yè)、供電企業(yè)內(nèi)部基于計算機和網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)，原則上劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，生產(chǎn)控制大區(qū)可分為控制區(qū)和非控制區(qū)。并根據(jù)電力企業(yè)信息化工作管理要求，提出了不同安全保護等級的信息系統(tǒng)應(yīng)成獨立的安全域[5]、電力企業(yè)的互聯(lián)網(wǎng)出口應(yīng)歸集統(tǒng)一、調(diào)度數(shù)據(jù)網(wǎng)上應(yīng)實現(xiàn)縱向數(shù)據(jù)認(rèn)證加密傳輸?shù)染哂行袠I(yè)特色的安全保護要求。

       同時，電力行業(yè)根據(jù)電力行業(yè)信息系統(tǒng)特點以及電力行業(yè)信息系統(tǒng)安全防護的保障需求，將電力信息系統(tǒng)細(xì)分為管理信息系統(tǒng)類和生產(chǎn)控制系統(tǒng)兩大類，并根據(jù)這兩類系統(tǒng)的差異，在行業(yè)信息安全等級保護標(biāo)準(zhǔn)中對管理信息系統(tǒng)和生產(chǎn)控制系統(tǒng)分別提出了不同安全分區(qū)、不同安全防護等級、不同安全防護要點的信息系統(tǒng)等級保護要求。雖然電力行業(yè)針對不同類別的信息系統(tǒng)分別提出了具有一定差異的安全等級保護要求，但總的來說，行業(yè)要求是落實并強化國家信息安全等級保護要求。通過對國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)進(jìn)行差異分析，可發(fā)現(xiàn)生產(chǎn)控制類系統(tǒng)和管理信息類系統(tǒng)的安全等級保護要求較國標(biāo)中相應(yīng)條款而言，存在的差異僅有落實、細(xì)化、加強、新增四種。并且電力行業(yè)信息安全等級保護要求中生產(chǎn)控制信息系統(tǒng)、管理信息系統(tǒng)的安全等級要求也具有逐漸加強的特點。

        3 電力行業(yè)信息安全等級保護標(biāo)準(zhǔn)的應(yīng)用

       在電力行業(yè)信息安全等級保護測評中心組織的國家電網(wǎng)公司信息安全等級保護測評試點工作中，依據(jù)信息系統(tǒng)重要程度和使用范圍、覆蓋不同安全等級的原則，選取了具有代表性的二、三級管理信息系統(tǒng)共6個開展試點測評工作，被測評單位為網(wǎng)省級電力企業(yè)。

       某電力企業(yè)財務(wù)(資金)管理信息系統(tǒng)為試點測評信息系統(tǒng)之一，安全保護等級為三級，具體安全級別為S2A3G3。該系統(tǒng)包括財務(wù)應(yīng)用相關(guān)的各系統(tǒng)，主要功能包括預(yù)算管理、核算管理、資金管理、電子支付等。

        3.1 等級保護測評工作中測評指標(biāo)的選取

        開展電力企業(yè)信息安全等級保護測評工作時，一般來說，測評指標(biāo)包括基本指標(biāo)和特殊指標(biāo)兩部分?；局笜?biāo)依據(jù)信息系統(tǒng)確定的業(yè)務(wù)信息安全保護等級和系統(tǒng)服務(wù)安全保護等級，選擇國家標(biāo)準(zhǔn)《信息系統(tǒng)安全等級保護基本要求》中對應(yīng)級別的安全要求作為等級測評的基本指標(biāo)?；局笜?biāo)的指標(biāo)類別和數(shù)量見表3-1。

 

測評指標(biāo)
技術(shù)/管理	安全類	數(shù)量
		S類	A類	G類	小計
		(2級)	(3級)	(3級)
安全技術(shù)	物理安全	1	4	25	30
	網(wǎng)絡(luò)安全	1	0	31	32
	主機安全	9	5	12	26
	應(yīng)用安全	11	9	6	26
	數(shù)據(jù)安全	2	4	0	6
安全理	安全管理制度	0	0	11	11
	安全管理機構(gòu)	0	0	20	20
	人員安全管理	0	0	16	16
	系統(tǒng)建設(shè)管理	0	0	45	45
	系統(tǒng)運維管理	0	0	62	62
合      計					274（控制點）

 

表3-1 基本指標(biāo)

        同時，應(yīng)結(jié)合行業(yè)和系統(tǒng)的實際，依據(jù)信息系統(tǒng)確定的業(yè)務(wù)信息安全保護等級和系統(tǒng)服務(wù)安全保護等級，選擇《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》中對應(yīng)級別的安全要求作為本次等級測評的特殊指標(biāo)。特殊指標(biāo)的指標(biāo)類別和數(shù)量見表3-2。

 

測評指標(biāo)
技術(shù)/管理	安全類	數(shù)量
		S類	A類	G類	小計
		(2級)	(3級)	(3級)
安全技術(shù)	物理安全	1	4	25	30
	網(wǎng)絡(luò)安全	1	0	37	38
	主機安全	9	5	12	26
	應(yīng)用安全	11	9	6	26
	數(shù)據(jù)安全	2	3	0	5
安全管理	安全管理制度	0	0	11	11
	安全管理機構(gòu)	0	0	20	20
	人員安全管理	0	0	16	16
	系統(tǒng)建設(shè)管理	0	0	45	45
	系統(tǒng)運維管理	0	0	62	62
合      計					279（控制點）

 

 

表3-2 特殊指標(biāo)

        此外，還有總體要求指標(biāo)?！峨娏π袠I(yè)信息系統(tǒng)安全等級保護基本要求》(送審稿)中管理信息系統(tǒng)類和生產(chǎn)控制類系統(tǒng)總體要求均由整體技術(shù)要求和通用管理要求組成，如管理信息類系統(tǒng)整體技術(shù)要求規(guī)定：管理信息大區(qū)網(wǎng)絡(luò)與生產(chǎn)控制大區(qū)網(wǎng)絡(luò)應(yīng)物理隔離;兩網(wǎng)之間有信息通信交換時應(yīng)部署符合電力系統(tǒng)要求的單向隔離裝置;管理信息大區(qū)網(wǎng)絡(luò)可進(jìn)一步劃分為內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)，兩網(wǎng)之間有信息通信交換時防護強度應(yīng)強于邏輯隔離;具有層次網(wǎng)絡(luò)結(jié)構(gòu)的單位可統(tǒng)一提供互聯(lián)網(wǎng)出口;二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)單獨成域;三級系統(tǒng)域由獨立子網(wǎng)承載，每個域有唯一網(wǎng)絡(luò)出口，可在網(wǎng)絡(luò)出口處部署三級等級保護專用裝置為系統(tǒng)提供整體安全防護。通用管理要求規(guī)定：如果本單位管理信息大區(qū)僅有一級信息系統(tǒng)時，通用管理要求等同采用一級;如果本單位管理信息大區(qū)含有二級及以下等級信息系統(tǒng)時，通用管理要求等同采用二級;如果本單位管理信息大區(qū)含有三級及以下等級信息系統(tǒng)時，通用管理要求等同采用三級。

         3.2等級保護測評工作中測評指標(biāo)的應(yīng)用

        在信息安全等級保護試點測評工作中，由于被評估單位信息資產(chǎn)種類、數(shù)量多，在一段時間內(nèi)不可能逐一進(jìn)行全面檢測，三級系統(tǒng)的檢測采用抽樣方法進(jìn)行，其目的是確定技術(shù)脆弱性檢測的重點對象和目標(biāo)。抽樣檢測的對象和目標(biāo)必須要能代表信息系統(tǒng)的安全現(xiàn)狀，否則評估結(jié)果就會偏離實際情況。試點測評工作中，對電力企業(yè)的電力財務(wù)(資金)管理系統(tǒng)資產(chǎn)抽樣時遵循了典型性、全面性兩原則。典型性原則即對同一應(yīng)用中軟件配置完全相同的資產(chǎn)抽樣部分資產(chǎn)，全面性原則即對財務(wù)(資金)管理系統(tǒng)中每一類資產(chǎn)都要抽樣。

        根據(jù)選取的指標(biāo)項以及系統(tǒng)測評對象選取結(jié)果，在前期系統(tǒng)調(diào)研的成果上，現(xiàn)場需要開發(fā)作業(yè)指導(dǎo)書以及編制實施方案。在測評工作中，通過測評以及核查的結(jié)果綜合分析可給出系統(tǒng)面臨的風(fēng)險，并在安全技術(shù)測試和安全管理核查的基礎(chǔ)上，根據(jù)系統(tǒng)的特點，發(fā)現(xiàn)和分析安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，以及安全控制間、層面間和區(qū)域間是否存在安全功能上的增強、補充和削弱作用以及系統(tǒng)整體結(jié)構(gòu)安全性、不同系統(tǒng)之間整體安全性等，最終給出改進(jìn)建議。

        總體要求測評時，可分別從技術(shù)和管理的角度進(jìn)行測評。進(jìn)行整體技術(shù)要求測評工作時，通過查看和核實網(wǎng)絡(luò)拓?fù)鋱D、人員訪談等方法，了解到電力公司信息網(wǎng)絡(luò)分為管理信息大區(qū)和生產(chǎn)管理大區(qū)，兩大區(qū)之間有信息通信交換的需求，因此采用了正/反向隔離裝置，以滿足管理信息大區(qū)至生產(chǎn)管理大區(qū)、生產(chǎn)管理大區(qū)至管理信息大區(qū)之間的數(shù)據(jù)交換需求。根據(jù)公司信息系統(tǒng)安全防護總體方案要求，公司管理信息大區(qū)又分為信息內(nèi)網(wǎng)和信息外網(wǎng)，兩網(wǎng)之間采用強邏輯隔離裝置，且雙網(wǎng)隔離方案已實施。電力企業(yè)財務(wù)管理信息系統(tǒng)重要應(yīng)用部署在內(nèi)網(wǎng)，有外網(wǎng)交互功能的應(yīng)用將前端署在外網(wǎng)，關(guān)鍵數(shù)據(jù)處理部分部署在內(nèi)網(wǎng)。電力公司信息內(nèi)網(wǎng)采用冗余技術(shù)設(shè)計網(wǎng)絡(luò)結(jié)構(gòu)，并且單個系統(tǒng)由獨立子網(wǎng)承載，單獨劃分安全域，每個域的網(wǎng)絡(luò)出口唯一。系統(tǒng)與系統(tǒng)之間、二級單位與本部之間均部署了防火墻，啟用了訪問控制功能。進(jìn)行通用管理要求測評工作時，由于電力公司管理信息大區(qū)含三級及以下等級信息系統(tǒng)，所以確定通用管理要求等同采用三級。

        應(yīng)用基本指標(biāo)和特殊指標(biāo)進(jìn)行測評時，一般是按照測評項一條一條分別進(jìn)行測評的。具體可采取的測評方式有：使用問卷調(diào)查表，對通信系統(tǒng)進(jìn)行初步的系統(tǒng)調(diào)研，掌握系統(tǒng)的主要功能和業(yè)務(wù)流程。調(diào)閱定級報告，詳細(xì)了解評估范圍內(nèi)的二次系統(tǒng)及其包含的信息資產(chǎn)，為下一步測評指標(biāo)的選取做好準(zhǔn)備;在用戶許可的情況下，對通信系統(tǒng)的關(guān)鍵設(shè)備和關(guān)鍵系統(tǒng)進(jìn)行安全漏洞掃描、手工配置檢查等安全技術(shù)測試，對網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)進(jìn)行合理性分析，對應(yīng)用系統(tǒng)進(jìn)行安全性分析，發(fā)現(xiàn)和分析系統(tǒng)安全技術(shù)方面所面臨的風(fēng)險;采用安全核查表的形式從管理層面和技術(shù)規(guī)范執(zhí)行角度，對通信系統(tǒng)進(jìn)行現(xiàn)場的安全管理核查，了解到包括人的因素在內(nèi)的系統(tǒng)運行狀況。通過對核查結(jié)果的分析，發(fā)現(xiàn)和分析系統(tǒng)安全管理方面所面臨的風(fēng)險。根據(jù)不同的測評方式、測評內(nèi)容等，執(zhí)行現(xiàn)場測評后，會得到多個測評證據(jù)。對多個測評證據(jù)需進(jìn)行單項結(jié)果判定、單元測評結(jié)果判定，最終進(jìn)行整體測評。

         4 結(jié)論

        本文介紹了電力行業(yè)信息安全工作和信息安全等級保護工作的開展情況，對國家信息安全等級保護基本要求和電力行業(yè)信息安全等級保護基本要求進(jìn)行了差異比較。在電力行業(yè)開展信息安全等級保護試點測評工作的背景下，本文描述了協(xié)調(diào)應(yīng)用等級保護要求基本指標(biāo)和行業(yè)特殊指標(biāo)的測評方法以及具有電力系統(tǒng)特色的總體要求的測評方法。電力行業(yè)信息安全等級保護試點測評工作范圍逐漸擴大，各電力企業(yè)之間存在一定的差異和差距，等級保護試點工作的開展較大程度上的推動了電力行業(yè)信息安全工作的進(jìn)展，同時由于智能電網(wǎng)等新技術(shù)的應(yīng)用，電力信息系統(tǒng)的自動化、互動化、信息化特征越來越明顯，這些都將對電力行業(yè)等級保護測評工作的測評方法提出更大的挑戰(zhàn)。