云南电网信息安全要做到全方位不留漏洞不留死角

2015-08-17 16:24:56 　点击量：评论 (0)

为贯彻落实公安部国家级重要信息系统和重点网站安全执法检查工作电视电话会议的精神和南方电网公司党组会议精神，南方电网公司信息部组织开展了全网信息安全大检查。近日，由南方电网公司信息部主任尚春任组长，

为贯彻落实公安部“国家级重要信息系统和重点网站安全执法检查工作”电视电话会议的精神和南方电网公司党组会议精神，南方电网公司信息部组织开展了全网信息安全大检查。近日，由南方电网公司信息部主任尚春任组长，信息部安运处处长吕华辉任副组长的现场检查工作组到达云南，检查云南电网信息安全情况。

检查工作“滴水不漏”

“这次检查的重点是‘务实’，要有针对性，要当成实战来做，做到全方位不留漏洞不留死角。”网公司信息部主任尚春在检查前指出：“不要怕问题，发现问题越多，证明检查越有成效，说明做得越细，改进的机会就越大。”

此次网公司对云南电网的检查对象包括公司信息中心的机房、5台网络防火墙、6台核心交换机、9套应用系统、6套现场检查系统的部分主机和数据库、50台办公终端、管理人员访谈和管理制度、表单、记录等，以及昆明供电局、玉溪供电局的信息安全工作。检查内容有两方面：一是管理层面，包括安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等5项内容；二是技术层面，包括物理、网络、主机、应用、数据、终端等6项安全内容。公司信息中心安全测评部主任周靖介绍到：“这次网公司信息安全大检查采取‘现场检查’和‘远程检查’两种方式。现场检查包括访谈、文档审查、配置检查、工具测试和实地察看等；远程检查是由检查工作组统一提供检查工具，云南电网按要求在本地自行开展检查，并将检查结果上报，由检查组统一组织安排对外信息系统的远程渗透测试工作。”

检查组分成4个小组，分别从管理安全、网络安全、物理/主机安全、应用/数据安全方面，全面应用网公司信息安全合规库成果，融合历年信息风险评估发现的207项问题，覆盖“两大层面”、“十大安全域”，共计110项检查要求、434项检查指标，真正做到了检查工作“滴水不漏”。

有效筑牢信息安全防线

云南电网公司一直以来都在持续加强信息安全工作。规范信息系统等级保护备案，建立对外服务器DMZ区域，强化内外网隔离及互联网出口安全防护，全方位循环开展网络、主机、应用、数据、终端等信息安全加固和风险评估，消除高风险，大幅减少中、低风险。完成全网3434台（套）IT设备安全加固，强制部署4万余台终端准入及防病毒软件，及时消除OpenSSL、Bash等高危漏洞的威胁，开展系统安全测试，部署了覆盖全网的信息安全审计系统，持续完善ITSM系统，形成了全面、完整的IT集中监控体系，提高信息安全的分析处置能力。

今年4月开始，云南电网公司对本部、信息中心、各供电局、县级供电企业以及其他分子公司开展了2015年全网信息安全大检查。采用各单位自查、公司组织专门队伍现场检查相结合的方式，由公司信息部联合系统部统一部署信息安全大检查的各项工作，并组织开展对各供电局的信息安全自查督导以及对各级单位的现场检查，公司信息中心作为信息安全执行机构，负责具体落实信息安全管理制度和信息安全技术防护措施。4月，完成了包括公司本部在内共计20家单位及其下属单位、县级供电企业的信息安全自查工作。5月，各单位以“即查即改”的方式完成了整改工作。6月，信息部组织检查小组对供电局进行现场检查，截至目前，已完成4个供电局的现场检查工作。

“下一步，云南电网还将继续认真落实《关于开展2015年信息安全大检查的通知》要求，深化执行力度，针对网公司检查发现的问题立即着手解决。继续做好CSG II系统上线前的安全管控。完成网络准入系统升级，完善桌面管理功能，进一步强化终端安全管控策略，不断提升终端安全防护能力。”公司信息部主任张叶谈到。

“云南电网信息安全工作做得比较好，进步很快。”尚主任对云南电网信息安全工作给予了肯定，并从IT服务、IT调度、运行、人员能力培养等方面作了要求，他谈到：“云南电网CSG II系统推广工作走在南网各省前列，希望安全工作也能够走在前列。”他强调，安全工作不是独立存在的，在需求、设计、调试、验收、应用等方面都要融入安全，不要误入“做风险管控才考虑安全”这一歧途，要打破地域和封闭协同的观念，引进先进思想，以求真务实的工作作风把信息安全做实。尚主任还谈到：“面对未来，企业管理信息系统推广上线运行，信息化步入全速发展阶段，信息安全还有很长的路要走，每一步都要走得踏实。”（作者：宋玥羲　）