电力企业信息安全风险评估的方法探讨

信息安全风险评估，是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。并为防范和化解信息安全风险，或者将风险控制在可接受的水平，从而最大限度地保障网络和信息安全提供科学依据。

电力企业信息安全的风险分析

基础设施风险分析

基础设施安全是信息系统安全的必要前提。目前电力系统在机房基础设施建设的访问管理存在缺陷，亟待解决。比如楼层交换机的机柜位置及其不安全，非运维管理人员可以随时接触，给内部攻击和窃密提供方便。

信息网络安全风险分析

部分电力企业用户由于工作需要涉及互联网，这给信息内网带来安全隐患；局域网及广域网内部用户有意或者无意地对信息系统发起攻击和泄密行为。此外企业内部人员技术水平，信息设备性能等各方面的制约，使得整个电力信息网络的外部边界保护能力存在一定差异，均降低整个信息系统安全防护能力。

其他设备的安全风险分析

没有完整的备份策略，备份不及时或者没有应急预案；移动介质管理不规范，对备份介质没有做领取、使用等方面的记录。灾难恢复水平低，没有有关灾难恢复的管理制度等。

管理风险分析

随着信息技术日新月异的发展，近些年来，电力企业在信息化应用方面的要求也在逐步提高，但其中安全意识薄弱，管理制度不健全以及缺乏可操作性等都可能引起安全管理的风险。……