试议信息安全基于电力企业网络信息安全管理学生

论文导读：
【摘 要】针对电力网络信息安全这一电力企业面临的难题，分析安全思想和原则，并提出了电力企业网络安全策略和措施。
【关键词】供电企业；网络；安全管理；措施
前言：
近年来，随着电力信息化进程不断深入，电力系统已经逐步渗透到各个用电领域，包括发电，输变电，配电等各个关键环节，一个处于国家领先水平的电力信息网络已经建成已。这个信息网络在电网调度自动化、厂站自动控制、计量自动化系统、电力营销系统、配网生产系统、营配信息集成、电力负荷管理，办公自动化、计划统计管理、用电管理、财务管理、人力资源管理、生产安全管理等有关生产、经营和管理的许多领域中发挥重要作用，特别是电力营销系统，涉及到电费资金的安全性，一旦网络信息安全得不到保障，将影响到企业的经营管控。同时，我们应该注意到，随着电力网络的逐渐扩大，结构逐渐复杂，企业应用的不断加深，各部门越来越依赖网络，因此，一个不容忽视的问题摆在了我们面前，那就是电力信息网络安全。

一、电力信息网络结构分析

电力信息网一般由三层局域网通过广域网互联而形成，分别是公司核心局域网、各分公司局域网以及子公司局域网。电力信息网一般有两个主要的应用系统，分别是生产应用系统（SCADA／EMs系统）和经管应用系统（MIS系统）。生产应用系统和经管应用系统在结构上相对独立。SCA—DA／EMS系统采用各种方式（专线、同步数字序列、准同步数字序列）与各变电站或电网进行实时数据传输；MIS系统使用干兆以太网组网，通过TCP／IP传输网络结构取用同级网络分层，每层分子网和链路连接。

二、电力网络信息安全存在的问题摘自：本科毕业论文致谢www.7ctime.com

威胁到电力信息系统安全的因素有很多，可以是恶意攻击，也可以是操作失误；可以是通过外部攻击，也可以是通过内部破坏。总结起来，笔者认为针对电力信息系统安全主要有以下5大问题，分别是计算机病毒、操作系统和应用软件的漏洞、企业网络边界扩展、自然界环境因素、企业内部问题。具体内容见表1。

三、安全思想和原则

电力企业信息安全的主要目标一般可以综述为：注重“电力生产”的企业使命，一切为生产经营服务；服从“集约化管理”的企业战略，树立集团平台理念；保证“信息化长效机制和体制”，保证企业生产控制系统不受干扰，保证系统安全事件（计算机病毒、篡改网页、网络攻击等）不发生，保证敏感信息不外露，保障意外事件及时响应与及时恢复，数据不丢失。（1）先进的网络安全技术是网络安全的根本保证。影响网络安全的方面有物理安全、网络隔离技术、加密与认证、网络安全漏洞扫描、网络反病毒、网络入侵检测和最小化原则等多种因素，它们是设计信息安全方案所必须考虑的，是制定信息安全方案的策略和技术实现的基础。要选择相应的安全机制，集成先进的安全技术，形成全方位的安全系统。（2）严格的安全管理是确保安全策略落实的基础。计算机网络使用机构、企业、单位应建立相应的网络管理办法，加强内部管理，建立适合的网络安全管理系统和管理制度，加强培训和用户管理，加强安全审计和跟踪体系，提高人员对整体网络安全意识。（3）严格的法律法规是网络安全保障坚强的后盾。建立健全与网络安全相关的法律法规，加强安全教育和宣传，严肃网络规章制度和纪律，对网络犯罪严惩不贷。

四、安全策略与方法

1．物理安全策略和方法。物理安全的目的是保护路由器、交换机、工作站、网络服务器、打印机等硬件实体和通信链路的设计，包括建设符合标准的中心机房，提供冗余电力供应和防静电、防火等设施，免受自然灾害、人为破坏和搭线窃听等攻击行为。还要建立完备的机房安全管理制度，防止导读：　6．加密策略和方法。信息加密的目的是保护网内的数据、文件、和控制信息，保护网络会话的完整性。其方法有虚拟私有网、公共密钥体系、密钥管理系统、加密机和身份认证钥匙手段等。7．攻击和入侵应急处理流程和灾难恢复策略和方法。主要方法是配备必要的安全产品，例如网络扫描器、防火墙、入侵检测系统，进行实时网络监
人员进入机房进行偷窃和破坏活动等，并妥善保管备份磁带和文档资料；要建立设备访问控制，其作用是通过维护访问到表以及可审查性，验证用户的身份和权限，防止和控制越权操作。
2．访问控制策略和方法。网络安全的目的是将企业信息资源分层次和等级进行保护，主要是根据业务功能、信息保密级别、安全等级等要求的差异将网络进行编址与分段隔离，由此可以将攻击和入侵造成的威胁分别限制在较小的子网内，提高网络的整体安全水平，目前路由器、虚拟局域网VLAN、防火墙是当前主要的网络分段的主要手段。而访问管理控制是限制系统内资源的分等级和层次使用，是防止非法访问的第一道防线。访问控制主要手段是身份认证，以用户名和的验证为主，必要时可将技术和安全管理中心结合起来，实现多重防护体系，防止内容非法泄漏，保证应用环境安全、应用区域边界安全和网络通信安全。
3．开放的网络服务策略和方法。Internet安全策略是既利用广泛、快捷的网络信息资源，又保护自己不遭受外部攻击。主要方法是注重接入技术，利用防火墙来构建坚固的大门，同时对Web服务和FTP服务采取积极审查的态度，更要强化内部
网络用户的责任感和守约，必要时增加审计手段。
4．电子邮件安全策略和方法。电子邮件策略主要是针对邮件的使用规则、邮件的管理以及保密环境中电子邮件的使用制定的。针对目前利用电子邮件犯罪的事件和垃圾邮件泛滥现象越来越多，迫使防范技术快速发展，电力企业可以在电子邮件安全方案加大投入或委托专业公司进行。
5．网络反病毒策略和方法。每个电力企业为了处理计算机病毒感染事件，都要消耗大量的时间和精力，而且还会造成一些无法挽回的损失，必须制定反计算机病毒的策略。目前反病毒技术已由扫描、检查、杀毒发展到了到实时监控，并且针对特殊的应用服务还出现了相应的防毒系统，如网关型病毒防火墙以及邮件反病毒系统等。
6．加密策略和方法。信息加密的目的是保护网内的数据、文件、和控制信息，保护网络会话的完整性。其方法有虚拟私有网、公共密钥体系、密钥管理系统、加密机和身份认证钥匙手段等。
7．攻击和入侵应急处理流程和灾难恢复策略和方法。主要方法是配备必要的安全产品，例如网络扫描器、防火墙、入侵检测系统，进行实时网络监控和分析，及时找到攻击对象采取，并利用备份系统和应急预案以备紧急情况下恢复系统。
8．安全服务的策略。再好的安全策略和方法都要通过技术和服务来实现，安全产品和安全服务同样重要，只有把两者很好地结合起来，才能真正贯彻安全策略。

五、信息安全的防范措施

由以上分析可知，需要加大防范力度，确保信息安全，保证供电企业的正常运作，笔者认为防范措施可以从三方面展开，分别是计算机方面、管理方面以及建设方面。就计算机方面而言，企业级杀毒软件和及时为计算机打补丁是两个主要措施。杀毒软件可以有效地保证电力企业计算机系统的稳定运行，可以避免病毒以及木马等其他形式的威胁。系统补丁可以修补操作系统的安全漏洞，使得操作系统及时关闭“后门”。就管理方面而言，一方面，要完善管理制度，提高执行力度，管理制度必须要配合电力企业自身的网络，有了制度保证，才可以更好地促进电力企业信息网络的安全可靠运行；另一个方面，要开展对员工的相关培训，提高安全意识，只有提高员工的安全意识，才能有效地避免“内部人问题”，保证企业的信息安全。就建设方面而言，要加强基础设施建设，改善网络环境。物理安全是电力信息网络安全的第一道门，一定要重视企业环境，门禁、监控、灭火器等设备要保证随时可以使用，以应对突发事件。
参考文献：
　蒲晓羽，王林虎，许明，等．电力系统安全防御体系的研究[C].2006中国电力系统保护与控制学术研讨会论文集．2006．
　范国祥．电力信息安全风险评估研究[D]．上海交通大学，2006．
[3]　周志全．基于IEC61970的地区电网高级应用软件的系统架构研究与设计[D]．浙江大学，2005．