电力基建企业信息安全分析及对策

本文基于电力基建企业的现状，分析了企业信息安全的若干问题：信息安全机构、信息安全管理制度、系统安全风险、网络安全风险、灾备缺失，并提出了相应的对策。

一、电力基建企业在信息安全问题上的特点

近年来，我国的企业信息化建设在取得长足进步的同时，企业信息安全面临的形式却日益严峻。随意列举几个近两年的信息安全事件便可略窥一斑：2011年2月，多家全国性的商业银行和地方城市银行客户遭遇大批量网络诈骗；同年，QQ病毒“我的照片”广泛传播；同年年末，中国互联网发生大规模泄密，CSDN、天涯等众多互联网公司的账户密码信息被公开下载；2012年，国内几家大型电力企业遭受网络恶性攻击。

电力基建企业在信息安全上同样面临诸多问题，但其自身的特点决定其在信息安全上也有与其它电力企业不同的情况：

电力基建企业属于电力类企业，在信息安全上的标准（参照电监会要求）比较高，但其在信息建设上投入的实际力度又往往弱于电厂类企业。原因在于：电厂类企业往往将信息安全设备作为电厂的必备资产（如发电机）加以购置，因为任何可能由信息安全而引发的电力事故都可能产生重大的社会影响，是企业不可承受的；而在电力基建企业，这方面的影响显然没有那么明显——简单地理解是，习惯于使用电力的现代公民会对哪怕是一分钟的断电提出强烈的不满，但对建设中的电力项目的延期则鲜有质疑——电力基建企业中的信息安全设备也就变成了可选项。

另一方面，基建企业以项目管理为主，项目部远离公司总部分布于各地，在信息安全管理上因此产生一系列的新问题：如项目部的信息安全人员的缺失、项目部对总部的大量远程访问引发的安全问题等。

二、电力基建企业信息安全的主要问题：

信息安全机构及人员的问题

信息安全机构包括信息安全领导小组和信息安全工作小组。

在大多数电力企业，信息安全领导小组通常由企业的总经理或副总领衔，成员是各个部门的负责人。这样的安排本身并没有什么问题，问题在于：大多数企业依旧未设置真正懂信息技术的CIO（首席信息官），信息安全领导小组的大多数成员不是信息技术的专家，这让信息安全领导小组的能力大打折扣。

信息安全工作小组中，专职的信息安全管理岗位是必不可少的，对该岗位有不能兼任网络管理员、系统管理员或数据库管理员的要求。而很多企业的专职信息人员本来就缺乏，因此很难满足这一要求。

在电力基建企业中，还有一个特别的因素，就是分散在远离公司本部的各项目部。那里的信息安全人员比较馈乏——在这种情况下，即使有总部信息中心的强力支持，该项目部的信息安全风险仍是相当大。

缺乏系统、完整的信息安全管理制度

“没有规矩，不成方圆。”要想做好企业信息安全工作，系统的、完整的信息安全管理制度是必不可少的。

一个完整的企业信息安全管理制度应包括从对信息安全的规划、设计、建设、运维等全过程的支持，涵盖到对方方面面的信息安全风险进行识别、衡量、分析、评价、防范和控制的指导性条款。

比如机房准入制度。经常会有不同厂商的技术人员带着设备进入企业机房进行维修，必须对其准入、携带设备、允许操纵的设备进行全方位的监控，如果没有相应的制度来规范这些步骤，安全风险便可能在其中的任何一个环节滋生。

对基层企业而言，这个信息安全管理制度不能生搬硬套国家层面的或集团层面的相关制度，只能以此为参照，根据自身企业的实际情况编制，并在实践中不断改正。

中心机房的物理安全风险

中心机房的物理安全涉及到多个内容，包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电等。

在电力基建企业，通常会有这样那样的缺陷。毕竟，信息安全建设与企业整体信息化建设融而为一，信息安全成为企业IT建设的关键环节之一，是2010年以后的事。而国内大多数电力基建企业的中心机房的建设早于此。

系统的安全风险

系统的安全风险主要指操作系统、数据库系统和各种应用系统所存在的安全风险。

操作系统风险

使用最广的Windows系列操作系统就像一个千疮百孔的大厦，存在着大量已知和未知的漏洞，这些漏洞可以导致入侵者获得管理员的权限，可以被用来植入木马，可以被用来实施拒绝服务攻击……总之，如果没有足够的防备，我们的电脑随时会发生泄密、数据篡改、系统崩溃等可怕的灾难。

数据库风险

数据库系统的安全特性主要是针对数据而言的，包括数据独立性、数据安全性、数据完整性、并发控制、故障恢复等几个方面。这里不展开进一步讨论。值得指出的是，很多电力企业有许多相对“古老”的应用系统，使用同样“古老”的SQLSERVER2000数据库，而在这个版本早已停止升级补丁后，这种数据库的诸多漏洞成为永远关不上的后门——除了升级数据库版本，没有其它的方法。

应用系统风险

应用系统同样会有各种各样的安全问题，早期开发的应用系统甚至可能是用明码存储用户名及密码。这种情况仍然上演于拥有领先IT技术的互联网企业内部，比如2011年中国互联网账号密码泄露事件中，令人惊诧的一点就是账户信息的明文储存。

电力基建企业最重要的业务系统是基建MIS，该系统通常是定制开发的，当然也有很多商用的基建MIS供选择。基建MIS的安全问题很大部分在于用户的准入控制：由于需要设计、监理、施工单位填报数据，软件的客户端装于多处（WEB界面的甚至不需要安装特定的客户端），通过MIS系统里的用户名/密码的方式进行用户认证，密码大多没有复杂性要求；在各单位人员频繁的工作交互中，密码泄露的可能性相当大，由此便造成数据泄密风险。

网络的安全风险

来自Internet的风险

1974年ARPA的罗伯特.卡恩和斯坦福的温登.泽夫提出TCP/IP协议的时候，只是定义了在电脑网络之间传送报文的方法，而并没有针对网络的安全问题做设计。今天当TCP/IP协议成为局域网、Internet上最常用的协议时，网络安全问题带着先天的缺陷依然困扰着我们。

其中，计算机病毒由于对计算机网络的灾难性影响，成为企业网络最严重的安全风险之一。网络存储、电子邮件系统、万维网的广泛使用，使得计算机病毒的扩散速度大大加快，网络成了病毒传播的最好途径。

电力企业网络同样难以幸免，几乎所有电力企业的网络通过外网与互联网连接。

虽然今天的IT厂商们已研制出各种各样的网络安全技术，如何谨慎、合理地使用它们，对很多企业用户仍然是个难题。

来自内网的风险

对电力企业而言，来自内网的风险和来自互联网的风险几乎是同等的。

内网的风险在于：内部人员不经意之间泄露的重要信息，或是不小心从互联网上下载的木马，都将可能成为导致系统受攻击的最致命的安全威胁。

在电力基建项目部，通常还会有这样的问题：为了工作方便，项目部成员与设计、监理、施工等其它单位共享一个局域网。这其中的风险是不言而喻的，比如简单的文件夹共享最后会演变成文件的不可控。

来自远程访问的风险

电力基建单位的诸多项目分布于全国，对远程访问的需求比较大。远程访问有多种不同的技术方案，这些方案大多会有不同程度的安全风险。以用户名/密码的简单认证方式具有较大的安全隐患。

灾备缺失的风险

灾备是需要经济投入的。信息主管们并非不知道灾备缺失的风险，只是当他们考虑用有限的资金来申请购置IT设备时，权衡再三的结果通常是首先购置更能满足员工需求的IT设备，比如更宽的带宽、更快的CPU。

在很多企业，灾备通常是缺失的，由此产生的问题是显而易见的。灾备的经济效益在大多数时候几乎为零，灾备的演练总是让人不胜其烦，它的真正作用也只有当灾难真正来临的时候才会显现。

三、电力基建企业信息安全的对策

针对以上提出的六个方面的企业信息安全问题，结合实践工作中的经验，笔者试着给出相应的对策。

信息安全机构与人员

这个其实是最难的部分，因为这事关人的问题。在一个业务繁忙的企业中，似乎每个部门都在喊“缺人”，但鲜有提及缺CIO的。在具有中国特色的国企中，CIO的缺位其实是很普遍的现象，更多的是由类似信息中心主任、信息部主任、信息主管们的“准CIO”；反而是一些跨国企业和采用现代管理制度的民营企业、合资企业中，大多有明确的CIO职位。不过庆幸的是，国企的信息部门并非单兵作战，因为在国企的环境里，往往有更上一级的集团公司的信息部门指导他们的业务工作。

信息安全人员不能兼任网管等其它信息技术岗位，人们往往会担心他们的工作量是否足够饱满？其实，当信息工作真正按照标准的信息安全流程来进行时，这个问题的答案就显而易见了。

即使这样，在电力基建企业的项目部的实际环境中，各项目部的信息安全人员配置仍然是一个绕不开去的问题。为此，位于企业总部的信息主管们的态度是明确的：尽可能地为每个项目部配备合适的信息安全专职。

完善制度

完善，再完善，当然还要严格地执行制度。

较好的做法是将信息安全管理制度发布在ISO文件中，借助于企业ISO的贯标过程，逐步提高信息安全水平。

中心机房的物理安全

如果正好遇到企业总部搬迁，新的中心机房可以按照相应的安全等级要求建设。不然，如果仍然只有使用多年的机房可用，也仍有很多技术措施可以采用，以弥补先天的安全缺陷。

比如把机房凌乱的网线重新理一下，让它们全部从地板下穿过；增设温湿度计、抽湿器（用于我国南方地区）；增设简单的视频监控报警设备，等等。

当然有一些硬伤可能是无法修补的，比如高层建筑中的机房正好不幸位于年久失修的水管的下方，如果你不能找人把水管移位，那只能指望机房早日搬迁了。

系统安全

对于操作系统及数据库安全，事情相对会简单点。可以聘请专业的信息安全公司对这此进行修补，或进行系统的升级（当然可能会有与应用软件不兼容的麻烦）。

对于应用系统的安全问题，如果当初购买的是通用的商用软件，你可以试着去找找其升级版本；不过以笔者的经验，不要报太大的希望——升级版本通常会有BUG的修复、功能的更新，但很少会在安全方面考虑更多；如果是定制开发的，则可以去找原开发商求助。已运行多年的应用软件可能找不到原开发商，也没有其它软件公司愿意来修改古老的代码，这时候就该考虑重新开发。

基建MIS的密码泄露问题，除了提高使用人员的安全意识，也可以考虑更安全的用户认证方式，比如智能卡、动态口令（如手机令牌）、USBKEY、生物识别——虽然某些技术在基建这一领域看起来有些超前，但仍不失为可考虑的选项之一。

网络安全

网络安全是一个更具专业意味的命题，因此最好找专业的网络安全服务公司来帮你做这件事。当然你还需要采购防火墙、网络版杀毒软件、入侵防御系统、行为管理系统、日志审记系统等等价值不菲的软硬件设备。

在电力基建企业，网络安全的问题有其特殊性。项目部的人员应该划分出自己独立的局域网，而不是与外单位人员共用。至于因此而丧失的无法共享文件夹的便利，完全可以通过设立简单的文件服务器来解决。

远程访问有多种技术，包括基于Internet的WEB、VPN、专线城域网等，不同的技术方案下，相应的信息安全程度、使用的便利性、付出的经济代价都是不同的。必须综合考虑这几方面的因素才能最终确定合适的技术方案，并制定相应的制度、流程、实施方案，以确保最大程度的信息安全。

基于电力基建企事业的普遍情况，笔者推荐VPN方式。如果暂时只能沿用简单的用户名/密码的认证方式，那就加强管理。比如去掉公共的VPN帐号，一人一号，发现同一个帐号多个连接的用户予以坚决制止与纠正。

灾备

根据电力基建企业的实际情况，建议至少采用国际标准SHARE78第1级容灾方案，即将关键数据备份到本地磁带介质上，然后送往异地保存。

此外，关键设备及线路的冗余与备份也是必不可少的。

四、结语

做好信息安全其实并不难，很久之前，中国人就有着朴素的辩证法的观点：有矛，就有盾。在企业信息安全问题上，电力基建企业有其特殊性，但更多的是共性。本文希望能让全国的电力基建企业及其它行业有所借鉴。