核电厂网络安全引发关注

2020-07-13徐灿王礼坤

现代企业文化·理论版 2020年4期

徐灿王礼坤

中图分类号：TP393 文献标识：A 文章编号：1674-1145（2020）02-134-01

摘要随着信息技术的发展，信息化和工业化高度融合，信息化对核电业务的支持也越来越重要。网络系统如果发生网络安全问题，不仅可能影响核电业务的正常运行，也可能引起严重的核事故甚至影响核安全。网络安全问题引起的网络系统安全事件可能会影响核电的正常生产运行，甚至引起核电停堆、停机等核安全事件。

关键词核电厂网络安全 Modus /TCP协议

在目前的国内核电形势下“安全”成了最高要求，而中国核电则提出了“规模化、标准化、国际化”的企业发展战略。国际化进一步加大了核电厂对网络安全的需求，为了保证核电业务的正常发展，网络安全和保密成为核电厂关注的重要课题。

一、核电厂网络袭击问题

网络袭击是指由训练有素质敌对势力或有组织的犯罪集团对国家基础信息网络和重要网络系统发动的有计划、有目地地深层次网攻击行为。对国家安全、社会秩序造成的威胁和破坏程度极大。

网络袭击是一种特定形式的攻击行为，网络袭击其攻击者的手段更加专业、目的性更强、危害性更大。主要方法包括口令入侵、逻辑炸弹、特洛伊木马程序、DDOS. WWW的欺骗技术、电子邮件攻击和社会工程学等。

網络安全在核电行业有着非常重要的地位。随着核电行业信息化程度的不断提高，核电厂的内部办公、对外互联网服务、核电厂信息化管理、核电基础设施网络控制等方面都进行了信息化改造，整个核电基础设施都处于几个相互隔离的信息网络中，一旦外部恶意攻击者通过互联网进入核电厂内部，再将核电厂内部几张网络打通，便可控制、破坏核电厂。

核电厂使用的网站、互联网邮箱、内网办公系统、单位架设的无线、实物保护系统网络、核电厂工业控制系统等都可能成为网络攻击的目标。特别是一些“敌对势力”，为了获取核电厂内部机密信息或破坏核发电设施，会利用各种手段或工具对核电厂发动大规模的网络袭击。如对网站使用Web攻击、对邮箱使用拒绝服务攻击、对内网办公系统使用木马攻击、对单位架设的无线使用无线攻击等。

二、核电厂网络安全管理

（一）网络安全治理体系

企业网络安全治理工作包含企业安全战略、企业风险管理、企业绩效评估以及企业职责明确等方面的内容。

网络安全治理是指企业最高决策层如董事会建立的相应的体制和机制，其目的是确保企业的网络安全战略与企业的业务战略目标相一致，确保企业网络系统安全可用。网络安全管理则是在企业安全治理机制下完成网络安全管理程序、落实管理手段和技术措施，来确保企业信息内容的完整性、机密性和真实性。如果企业没有很好地完成网络安全治理工作，则企业的网络安全管理体系可能不够完善，网络安全管理也不会很好的服务于企业业务的运作。

一般企业的网络安全管理是属于被动的事件驱动型的风险管理，在企业网络安全治理的工作机制保障下，企业将会转变为主动的风险管控模式，主动完成风险评估和风险处置工作，实现对网络安全工作的主动管控。

（二）网络安全组织体系

网络安全组织是指为了在某个组织内部完成网络安全的方针和目标而组成的特定的组织结构。

网络安全组织包括网络安全的组织策略、组织结构和岗位责任三部分。组织策略负责组的网络安全整体策略，组织机构和岗位职责的制定都要靠组织策略。组织结构明确岗位职责及相互间的关系。岗位责任定义岗位的工作、责任和权限。

一般企业的网络安全组织建议分为网络安全管理委员会、网络安全办公室和网络安全工作小组三个层次。

（三）网络安全策略体系

网络安全策略包含组织网络安全目标、方针，以及组织网络安全管理规范、流程等。

网络安全策略表达组织管理者的管理意图，说明网络安全工作目标和原则的；从本质来说是描述组织具有哪些重要信息资产，并说明这些信息资产如何被保护的一个计划。

（四）核电厂网络安全管理安全域的建立

1.计划阶段：围绕核电厂发展目标、业务需求、组织架构、信息资产和安全技术等方面的要求，确定或审视ISMS方针和策略，利用合适的风险评估方法，识别核电厂网络安全风险，并对风险给予合适评价，拟定风险控制措施。

2.实施阶段：按照风险控制措施，配备足够资源，围绕ISMS体系的推广和运行的过程，建立配套的实施、培训和风险处置计划，实施风险处置计划，以达到风险处置的目的。

3.检查阶段：对ISMS体系的运行状态和有效性进行检查和评审，包括评审ISMS的有效性。