郑伟

摘要：文章根据自己的工作经验，就电力信息与网络安全进行分析探讨，并提出相关的对策。

关键词：电力信息；网络安全；阐述；对策；

1 当前存在的问题

1.1 意识不强

工作人员忙于利用网络工作学习，对网络信息的安全性无暇顾及，安全意识相当淡薄。 过去企业注重的是网络效应，对安全领域的投入和管理远远不能满足安全防范的要求，网络信息安全处于被动的封堵漏涮状态。 从上到下普遍存在侥幸心理，没有形成主动防范、积极应对的全民意识，更无法从根本上提高网络监测、防护、响应、恢复和抗击能力。

1.2 机构制度的不健全

信息部门未受到应有的重视。 信息部门在企业有专门机构配置，但是人员配置较少，负担较重；在基层单位，比如县级单位，没有专门的机构配置，没有规范的建制和岗位，信息部门附属在生产技术部下，有的作为设在修试所下的班组，还有的仅设一个“信息化专责”人员。 信息化作为一项系统工程，需要专门的机构来推动和企业各个部门的配合。 这种状况势必不能适应信息化对人才、机构的要求。

1.3电力网络信息安全风险的主要表现

① 网络结构不合理

企业依据网络需求，逐步建设企业网络，但网络结构都存在着一些不合理的地方。 常见的有：网络划分不合理，网络边界不清晰，没有采用VLAN分离，没有划分安全区，没有制定DMZ区等，核心交换机没有冗余备用等。

② 来自互联网的风险

除特定区域外，几乎所有电力企业的网络都是以各种方式与互联网连接，企业用户可以直接访问互联网的资源，这给企业员工带来很大方便；同样，任何能上互联网的用户也可以访问企业的网络门户，这对宣传企业、扩大企业的影响和知名度很有好处。 但是，在带来方便的同时，也带来安全风险。

③ 来自企业内部的风险

对于电力企业网络来说，来自内部的风险是非常主要的安全风险。 随着网络技术的发展，电力系统的信息网络已从过去的小范围局域网，发展为网络终端数以万计的大规模广域网。电力公司各信息应用系统的逐步推广，包括生产管理系统、OA办公自动化，财务管理系统，用电营销系统等生产，经营方面的重要系统投入在线运行，越来越多的重要数据和机密信息都通过企业的内部局域网、广域网（数据网）来传输。 网络中传输的这些信息面临着各种安全风险。

④ 病毒的侵害

计算机病毒的威胁最为广泛：计算机病毒自产生以来，一直就是计算机系统的头号敌人，在电力企业信息安全问题中，计算机病毒发生的频度大，影响的面宽，并且造成的破坏和损失也列在所有安全威胁之首。 病毒感染造成网络通信阻塞，系统数据和文件系统破坏，系统无法提供服务甚至破坏后无法恢复，特别是系统中多年积累的重要数据的丢失，损失是灾难性的。在目前的局域网建成，广域网联通的条件下，计算机病毒的传播更加迅速，一台计算机感染病毒，在短期内可以感染到区域内所有的计算机系统。 病毒传播速度，感染和破坏规模与网络尚未联通之时相比，高出几个数量级。

⑤ 系统的安全风险

系统的安全风险主要指操作系统、数据库系统和各种应用系统所存在的安全风险。 不管使用哪一种操作系统都存在大量已知和未知的漏洞，这些漏洞可以导致入侵者获得管理员的权限，可以被用来实施拒绝服务攻击。

2 处理措施

2.1 做好安全风险的评估

进行安全系统的建设，首先必须做好安全状况评估分析，评估应聘请专业权威的信息安全咨询机构，并组织企业内部信息人员和专业人员深度参与，全面进行信息安全风险评估，找出问题，确定需求，制定策略，再来实施，实施完成后还要定期评估和改进。

2.2 采用信息安全新技术，建立信息安全防护体系

企业信息安全面临的问题很多，我们可以根据安全需求的轻重缓急，解决相关安全问题的信息安全技术的成熟度综合考虑，分步实施。 技术成熟的，能快速见效的安全系统先实施。

①建立计算机防病毒系统

计算机防病毒系统是发展时间最长的信息安全技术，从硬件防病毒卡，单机版防病毒软件到网络版防病毒软件，到企业版防病毒软件，技术成熟且应用效果非常明显。 防病毒软件系统的应用基本上可以防治绝大多数计算机病毒，保障信息系统的安全。

② 建立网络安全防护系统

信息资源访问的安全是信息安全的一个重要内容，在信息系统建设的设计阶段，就必须仔细分析，设计出合理的，灵活的用户管理和权限控制机制，明确信息资源的访问范围，制定信息资源访问策略。

2.3 依据法规，遵循标准，提高信息安全管理及运维水平

信息安全的管理包括了法律法规的规定，责任的分化，策略的规划，政策的制订，流程的制作，操作的审议等等。 虽然信息安全“七分管理，三分技术”的说法不是很精确，但管理的作用还是比较有效的。同时也要注意专业技术人员的培养，加强信息队伍整体实力，提高信息系统的运行管理能力；注意全员信息与网络安全意识的教育熏陶，提高企业员工的信息技术运用水平。

3 加强措施

3.1 重视安全规划

企业网络安全规划的目的就是要对网络的安全问题有一个全面的思考，要以系统的观点去考虑安全问题。 要进行有效的安全管理，必须建立起一套系统全面的信息安全管理体系。

3.2 合理划分安全域

电力企业网络要合理划分安全域。 要根据整体的安全规划和信息安全密级，从逻辑上划分核心重点防范区域、一般防范区域和开放区域，并采用严格的访问控制策略。此可以根据国家出台的相关等级保护规范进行设定。

重点防范的区域是网络安全的核心，这部分区域是一般用户不能直接访问的区域，有很高的安全级别。 各种重要数据、服务器、数据库服务器应当放置在该区域，各种应用系统、OA 系统等按照等保规范进行区域划分运行。

办公区要进行VLAN划分，并制定严格的访问控制。

3.3 加强安全管理

为保证企业网络信息安全，要把企业网络信息安全作为一个系统工程来考虑。 因此，企业网络的安全问题，安全管理和制度建设非常重要。 现提出如下建议：

① 加强日志管理与安全审计

一般的防火墙与入侵检测系统都具备审计功能，要充分利用它们的审计功能，做好网络的日志管理和安全审计工作。 对审计数据要严格管理，不允许任何人修改、删除审计记录。

② 建立内网的统一认证系统

认证是网络信息安全的关键技术之一，其目的是实现身份鉴别服务、访问控制服务、机密性服务和不可否认服务等。

③ 建立防护体系

在企业网络上统一安装防病毒体系。 防病毒软件系统要具有集中管理、病毒爆发报告等多种功能。 其次，建立个人计算机的使用管理制度。 不能随意将互联网上下载的数据往内网主机上拷贝，来历不明的移动存储设备不能随意在联网计算机上使用，职员应熟练掌握发现病毒后的处置办法。制定相应的病毒爆发应急措施，做好预防及控制。

在局域网部署架设系统补丁更新服务器。 网络中的诸多病毒及黑客入侵导致计算机的数据损坏甚至系统崩溃，究其原因，操作系统本身的漏洞被恶意代码利用并加以攻击，是造成系统不稳定的重要原因之一。 所以，即时完善操作系统，成为当前计算机维护工作中的首要任务。

对网络及个人计算机终端进行网络流量的监控；对个人计算机终端的网络行为进行审计监督，并做好控制。

④制定突发事件处理机制

万事不可能一帆风顺，建立完善信息安全突发事件处理应急机制是企业信息安全的重要一环。

3.4 加强企业员工和网络管理人员安全意识教育

对于网络信息安全，企业员工和网络管理人员的素质非常重要。 信息安全意识和相关技能的教育是企业安全管理中重要的内容，其实施力度将直接关系到企业安全策略被理解的程度和被执行的效果。 为了保证信息安全的成功和有效，应当对企业各级管理人员、用户、技术人员进行安全培训，所有的企业人员必须了解并严格执行企业信息安全策略，通过安全教育形成企业安全文化的重要组成部分，保障安全管理的顺利实现。

① 在安全教育具体实施过程中应该有一定的层次性。

对主管信息安全工作的高级负责人或各级管理人员，重点是了解、掌握企业信息安全的整体策略及目标、信息安全体系的构成、安全管理部门的建立和管理制度的制订等。

对负责信息安全运行管理及维护的技术人员，重点是充分理解信息安全管理策略，掌握安全评估的基本方法，对安全操作和维护技术的合理运用等。

对企业全体职员，重点是学习各种安全操作流程，了解和掌握与其相关的安全策略，包括自身应该承担的安全职责等。

② 对于特定的人员要进行特定的安全培训

对于关键岗位和特殊岗位的人员，通过送往专业机构学习和培训，使其获得特定的安全方面的知识和技能。 通过安全培训，确保在电力信息安全保障体系逐步建立的过程中，各类人员的安全意识和技术能力获得提高，各岗位人员的技术能力和管理能力与安全保障体系的运行和维护相适应。

3.5 在发展中求安全

没有百分之百安全的技术和防护系统黑客技术，计算机病毒等信息安全攻击技术在不断发展的，人们对它们的认识，掌握也不是完全的，安全防护软件系统由于技术复杂，在研制开发过程中不可避免的会出现这样或者那样的问题，这势必决定了安全防护系统和设备不可能百分百的防御各种已知的，未知的信息安全威胁。

4 结束语

电力信息安全是电力生产得以顺利开展的保障，所以我们要具有过硬的专业知识，并要善于分析，防范于未然，从而才能更好的做好电力网络信息安全工作。