SG186工程進(jìn)行了三個年頭，從2006年國網(wǎng)的一紙“十一五”規(guī)劃，到如今，各省網(wǎng)系統(tǒng)相繼驗收，可以說是彈指一揮間，變化萬萬千。雖然整個工程還未最后完工，但通過強(qiáng)化信息采集能力，加快信息傳遞速度，提高信息處理效率，我們可以看到，國網(wǎng)信息化建設(shè)正呈現(xiàn)跨越式發(fā)展。“一個平臺、八大應(yīng)用、六大保障”的目標(biāo)也正在一步步的實現(xiàn)。

 

　　不可否認(rèn)，SG186工程對于國網(wǎng)公司，乃至對于整個電力行業(yè)都是一個跨時代的事件。建立“縱向貫通、橫向集成”的一體化企業(yè)級信息集成平臺，上下信息暢通傳輸和數(shù)據(jù)共享的理念將為中國電力行業(yè)的信息化進(jìn)程和未來發(fā)展方向定下一個基調(diào)。

 

　　但回過頭來，我們也不得不認(rèn)識到SG186工程建設(shè)以來，反應(yīng)出了一些問題，給國網(wǎng)整體信息化后的安全運(yùn)營帶來了不少問題。

 

　　就SG186的建設(shè)構(gòu)思來看，六大保障體系中首當(dāng)其沖的就是“安全防護(hù)體系”，這說明在SG186工程規(guī)劃階段，就已經(jīng)考慮到安全在電網(wǎng)信息化過程中的重要性，可是就目前建設(shè)情況來看，各省網(wǎng)考慮更多的是趕快將系統(tǒng)上線，并等待驗收，以完成任務(wù)。對于本當(dāng)與信息化同步建設(shè)的安全防范管理，卻明顯滯后。造成這樣情況的原因一方面是各級單位對信息安全管理認(rèn)識不足，另一方面也因為SG186工程所帶來的安全風(fēng)險和威脅讓人著實始料不及和無從下手。

 

　　讓我們來看一個案例：

 

　　2008年某市電力局偶然發(fā)現(xiàn)，OA系統(tǒng)中竟然存在退休并已去世的前電力職工的帳號，并且該職工帳號權(quán)限仍有效。管理員嘗試刪除帳號，卻發(fā)現(xiàn)由于各市局OA帳號信息互為備份，一天之后該職工帳號權(quán)限被自動恢復(fù)，死灰復(fù)燃……

 

　　以上案例是某省電力公司在通過國網(wǎng)SG186驗收后發(fā)生的真實事件，可能可以做為現(xiàn)階段SG186信息安全現(xiàn)狀的一個代表。從中，我們至少可以看出兩個方面威脅：

 

　　1. 訪問權(quán)限管理缺失

 

　　SG186工程，制定了系統(tǒng)松緊耦合的建設(shè)方針，緊耦合系統(tǒng)的融會合流，松耦合系統(tǒng)一線貫通，無論如何建設(shè)都會造成系統(tǒng)的帳號設(shè)置和權(quán)限分配空前的繁復(fù)，如何有效的管理系統(tǒng)訪問權(quán)限，防止帳號被非授權(quán)的使用?如何保證那些省、市、縣各級單位離職的或是轉(zhuǎn)崗的職工不再擁有已不應(yīng)該屬于他們的帳號和權(quán)限?這個問題將是未來一段時間內(nèi)，電網(wǎng)信息安全的最大風(fēng)險。

 

　　2. 系統(tǒng)漏洞風(fēng)險

 

　　任何系統(tǒng)都有漏洞，微軟近期又發(fā)布了windows的最新補(bǔ)丁，修補(bǔ)系統(tǒng)漏洞。那么，國網(wǎng)有沒有建立各上線系統(tǒng)漏洞檢測、漏洞報告、問題處置、補(bǔ)丁檢測、補(bǔ)丁更新的控制呢?雖然，SG186工程中，主要引入的是已成熟的系統(tǒng)軟件，但如果對系統(tǒng)漏洞缺乏管理，將會對電網(wǎng)信息安全造成嚴(yán)重威脅。案例中帳號無法徹底刪除這個系統(tǒng)漏洞，就一線貫通的OA系統(tǒng)而言，其影響面是非常大的，如果沒有對它的風(fēng)險有足夠的認(rèn)識，一旦被利用，將會造成重大的后果。

 

　　三國赤壁，曹操舉百萬雄兵揮師南下，信心滿滿，卻最后被一把大火燒的慘敗而歸。這是我們很熟悉的赤壁大戰(zhàn)的故事，我們說曹操之所以失敗，并不是在于他戰(zhàn)船連橫的策略，也不是在于東吳詭計的狡猾，而是因為他對現(xiàn)狀和所存在的威脅認(rèn)識不足，并且沒有采取等量的化解風(fēng)險的方法。他可能考慮到會受火攻，但是沒有提前制定受火攻時的應(yīng)急預(yù)案方法，或者考慮了防護(hù)方法，但沒有對防護(hù)方法的有效性進(jìn)行驗證。最后造成了自己的慘敗。

 

　　現(xiàn)在的SG186工程，在某種意義上是不是類似于曹操的連鎖戰(zhàn)船策略?原本漏洞對于信息系統(tǒng)來說只意味一個省局或者幾個市局的小影響，是一個小隱患，到SG186后，成為一個全局性的、影響整個公司的大威脅。越是大規(guī)模的集合，其應(yīng)對風(fēng)險的能力將越弱，破壞所造成的后果也將越嚴(yán)重，這一點(diǎn)需要得到充分的認(rèn)識。另外，對于這類系統(tǒng)漏洞，一般會影響很多部門和單位，如果沒有一個有效的發(fā)現(xiàn)，報告，處理，解決的機(jī)制，在沒有明確責(zé)任部門的情況下，是很難被徹底解決的。

 

　　以上分析的信息安全隱患只是拋磚引玉。可以確定的是，SG186工程各系統(tǒng)建設(shè)過程中會存在更多的信息安全隱患。

 

　　近期還發(fā)生了這樣一件事，美報報道：來自中國和俄羅斯的網(wǎng)絡(luò)間諜侵入美國電網(wǎng)后，留下了可能用來破壞電力系統(tǒng)的軟件程序。對于這則報道，我們姑且不論是否是間諜所為，但從信息安全的角度分析我們可以得到以下兩點(diǎn)收獲：

 

　　美國電力核心網(wǎng)又一次被證明可以從互聯(lián)網(wǎng)侵入。

 

　　這一事實告訴我們，電力核心網(wǎng)并不是與世隔絕的世外桃源。雖然這是個老生長談的話題，但是就國內(nèi)電網(wǎng)來說，如果SG186工程造成通信數(shù)據(jù)網(wǎng)SGTnet的信息安全保障強(qiáng)度減弱，安全風(fēng)險增加，那么對于調(diào)度數(shù)據(jù)網(wǎng)SGDnet中各系統(tǒng)來說，其被侵入的風(fēng)險也將會大大增加。

 

　　美國又一次發(fā)現(xiàn)了電力系統(tǒng)的信息安全隱患。

 

　　如果說上一點(diǎn)是美國電網(wǎng)信息安全防護(hù)的恥辱的話，那么這一點(diǎn)應(yīng)該是值得我們思考和學(xué)習(xí)的地方，為什么美國總能夠及時的找到自身存在的這些弱點(diǎn)和所面臨的威脅呢?自從2003年發(fā)生電網(wǎng)災(zāi)難之后，美國更注意加強(qiáng)在電網(wǎng)信息安全防范和檢測上的力度、深度和廣度。這次的事件就是由美國情報部門的例行檢查時發(fā)現(xiàn)的。就這一點(diǎn)來說，如果同樣的事件發(fā)生在我國，我們能夠及時識別么?

 

　　“安全的前提在于正確識別出風(fēng)險。”安言咨詢張威如是說。誠然，美國電網(wǎng)，雖然不斷在發(fā)現(xiàn)隱患，發(fā)現(xiàn)問題，引起公眾的恐慌，但是我們并不能認(rèn)為它是不安全的，反而它可能會比世界上大部分國家的電網(wǎng)更安全。而對于對于國網(wǎng)，現(xiàn)在或者將來一段時間內(nèi)必須要做的是，識別出SG186工程所來帶的安全隱患，評價它們可能造成后果的嚴(yán)重程度。因為只有找到那些安全隱患，并正確的評價它之后，所有采取的安全保障措施才是有的放矢的、有效的。

 

　　在這個層面上，引入全面而準(zhǔn)確的信息安全風(fēng)險評估將對SG186工程，乃至電網(wǎng)以后的信息化建設(shè)起到至關(guān)重要的作用。

 

　　對于風(fēng)險評估，其實國網(wǎng)進(jìn)行過實踐，因為長久以來，國網(wǎng)對于電力生產(chǎn)安全工作的開展一直是不遺余力的，很早便引入風(fēng)險管理體系，做為安全工作的輸入和導(dǎo)向，本著防范于未然的理念，幫助國網(wǎng)形成了生產(chǎn)監(jiān)督檢查機(jī)制，建立了各級的應(yīng)急響應(yīng)預(yù)案，確保了國家基礎(chǔ)設(shè)施的使用安全。

 

　　但這之前的風(fēng)險評估更傾向于生產(chǎn)電路設(shè)備和二次系統(tǒng)等方面。對于支撐企業(yè)業(yè)務(wù)流運(yùn)轉(zhuǎn)的通信數(shù)據(jù)網(wǎng)SGTnet信息化建設(shè)所引發(fā)的信息系統(tǒng)安全保障問題，卻更多的停留在硬件的購置及監(jiān)控系統(tǒng)的上線上，很多情況是，技術(shù)手段上的防護(hù)已經(jīng)達(dá)到，但其他方面的要求卻不盡如人意。即使2008年在全網(wǎng)開展的信息系統(tǒng)風(fēng)險評估工作，也只是對各服務(wù)器及信息系統(tǒng)進(jìn)行了漏洞掃描和滲透測試，雖然發(fā)現(xiàn)和解決一部分問題，但是僅以此，便想得到信息安全的有效保障還是遠(yuǎn)遠(yuǎn)不夠的。因此國網(wǎng)很有必要引入全面的信息安全風(fēng)險評估和管理體系，來達(dá)到信息化過程中可持續(xù)的風(fēng)險識別和控制。

 

　　在此過程中，可以開展以下階段工作：

 

　　1. 員工信息安全意識教育

 

　　對于信息安全工作的開展，不是系統(tǒng)管理部門的事，也不是系統(tǒng)使用部門的事，而是全體員工的事，必須要提高全體員工的信息安全意識。通過培訓(xùn)和考核等措施，提高員工對公司信息安全的認(rèn)識，讓信息安全成為業(yè)務(wù)開展的一部分，才能有效提高公司整體信息安全水平，也是信息安全工作得到有效的支持和推進(jìn)。

 

　　2. 從下自上全面風(fēng)險評估

 

　　在員工對信息安全工作有一定認(rèn)識的條件下，可以按操作層、服務(wù)層、管理層，自下而上的開展風(fēng)險評估工作。從各角度，審視公司軟硬件、人員、數(shù)據(jù)、服務(wù)等資產(chǎn)管理狀況，從技術(shù)和管理角度分析系統(tǒng)和流程漏洞，達(dá)到脆弱點(diǎn)全面識別的目的。

 

　　3. 風(fēng)險評估日常化

 

　　信息安全不是一蹴而就的事，也并不是短期工作就能達(dá)到較高水平的，需要形成日常弱點(diǎn)發(fā)現(xiàn)，匯報，管理的機(jī)制，從日常基礎(chǔ)工作人員開始，發(fā)現(xiàn)問題，識別問題，分析問題，匯報問題，處理問題。建立從下到上的無障礙流轉(zhuǎn)的解決流程。這將使信息安全工作開展的更實際和有效。

 

　　浙江電力公司總經(jīng)理趙義亮曾表示“信息安全與電力安全同等重要，要像抓電力安全生產(chǎn)一樣抓好信息安全工作。”并在省網(wǎng)內(nèi)嘗試引入ISO27001國際標(biāo)準(zhǔn)，建立基于信息安全風(fēng)險評估的信息安全管理體系。在風(fēng)險識別和管理方面取得了一定的效果。

 

　　相信在“十二五”國網(wǎng)的信息化建設(shè)規(guī)劃中，一方面會要求在更廣的范圍內(nèi)推廣SG186工程成果，另一方面，應(yīng)該會更關(guān)注信息化進(jìn)程對企業(yè)造成的信息安全威脅的控制。對于這一點(diǎn)，本文提供了一些思路和看法，但是更多有成效的工作還需要通過實踐的探求和摸索，才能達(dá)到最佳的實踐。

 

　　“對于安全保障來說，沒有問題是最大問題。”安言咨詢左金龍如是說。對于電網(wǎng)的信息化建設(shè)，或者對于SG186工程來說，引入全面的信息安全風(fēng)險評估機(jī)制，從資產(chǎn)、構(gòu)架、系統(tǒng)、工具、技術(shù)、流程、管理等各方面和角度著手，識別弱點(diǎn)，發(fā)現(xiàn)威脅，評價風(fēng)險危害。將是信息安全體系最好的起點(diǎn)。