三峡电厂谢秋华：以电厂工控系统为重点 构筑信息安全的三道防线——2018年智慧电厂论坛（二期）

关于我们网络安全管理的机构，这个方面是有欠缺的，网络安全管理工作都是以兼职为主，刚刚讲说基本上网络安全管理工作就是搞自动化的、搞这个专业的负责网络安全管理工作，目前考虑一点就是我们信息安全的，把管理工作给管起来了。

对策方面，刚刚讲了，第一个，我们的制度体系要全面，要涵概人员管理、资产管理、信息系统建设、安全管理、运维管理、培训教育各个方面，在公司层面和项目单位要建立信息安全的组织机构，配备必须的专职人员，明确兼职人员的职责和规范，我们每个单位都会有一个网络安全领导小组和工作小组。

目前在我们网络安全工作和我们的常规安全工作一同检查与考核，建立网络安全考核细则，因为网络安全工作有很多是需要做到细处的，只有落实到细处以后才能保证真正的没有缺漏。规范设备运维行为。我们对运维单位有一个全生命周期管理的要求，网络安全协议的要求。

第四，移动介质管理。在我们运维过程中不可避免的要使用到的计算机、U盘以及计算机设备、交换机控制的端口，网络是我们电站安全防护中最大的漏洞，我们目前制订了生产专用便携机建设管理的措施，严格规范生产控制区使用的标准，我们横向隔离、纵向认证这个都是虚的，所以我们是通过这种醒目的颜色去区分哪些介质或者哪些设备可以用在生产功能区，同时通过记录的行为可以规范所有的操作都是有据可查的，就是说任何一个移动介质的使用，都可以查记录，对照使用过程是不是规范的。

对我们系统中空闲的网络端口、USB端口，通过两种手段，一种是技术手段，在系统中禁用，或者物理措施，通过端口锁的方式予以封闭。对于一些实在是工作需要开的窗口，我们都有纪录，所以只有通过这种细致的管理行为才能够防范这些安全防护中的难点。

第三部分，介绍一下，因为从去年开始三峡正在进行一个水电站可信平台的研究项目，在这个研究项目里边我们有一些先进的网络安全防护理念和技术的引入，这个所谓的先进，其实也不是说好像有多前沿，这里列举了一个关于工作依据。第一，关于可信的网络产品和服务，包括《网络安全法》，包括我们的《电力监控系统总体方案要求》立面都有关于可信、关于数字证书等一些要求，为什么这些当时有要求我们没有去做呢？其实基于几方面的原因，第一个，他不是强制性的，都是什么逐步推广。

另外一个，我们市场上也缺乏相应的一些产品和技术，所以当时对于我们水电厂这块这方面推动不是很积极的，但是电网这块一直做的比较前面，他们都已经，包括研制、包括应用都已经几年了，我们也是2017年的时候，当时也是因为国家密码管理局对我们有一个试点示范的要求，我们借助这个契机也考虑，既然我们国家电网这么大的公司都敢用，我们水电厂也应该适当率先去研究尝试一些先进的技术，在研究成熟的基础上去用，总比到时候比如说突然一些规定下来了让我们去实施要好得多。

有四方面的尝试：第一，加快态势感知的建设。国家电网中心也有相关的要求，组织完成水电厂工业控制系统内网坚实与安全审计平台建设。第二，逐步推进电力监控系统硬件国产化、操作系统包括数据库、软硬件平台的国产化。第三，改进了我们的单点登录模式，建设基于数字证书的认证平台，实现系统的双因子登录。第四，逐步推广水电厂的可信平台的建设与应用。通过我对前期的我们常规的安全防护手段的总结，包括目前我们正在事实的安全防护手段的研究，我觉得属于把这两者结合起来，我们水电厂监控系统应该可以完全满足相关的法律法规、标准规范对我们电力监控系统安防的要求，我们也是希望通过这个项目的实施包括前期工作的总结，形成我们的设计方案。

下面简单介绍一下这几项工作的进展情况。

第一，内网坚实与安全审计平台建设。这个项目我们正在实施中，在全公司有一个统一的平台。这个项目本身就是要实现对监控系统内部所有的计算机、网络设备、安全防护设备的实时检测功能。以往我们最开始的时候我们的监控系统因为是定期的巡检，通过日常的巡检去发现问题，后来我们有一些安全审计的功能，通过我们审计行为发现系统中是否有异常的情况。如果这个系统建设完成的话，是可以实时报警的，就是说异常情况下可以异常报警，我们有24小时值守人员，实时监控。这个项目真正实施起来问题还是挺多的，就是说所有的计算机网络设备、安全防护设备，都应该对这个装置有一个开放的平台，这样我们才能够去掌握这些信息、分析这些信息。这个项目正在事实过程中。

第二，国产化平台的建设。对于水电厂来讲以前监控系统包括我们的硬件设备，服务器等等基本上采用国外的，可靠、稳定，因为目前国内计算机场站式设备相对比较可靠了，我们开始试点实时新一代的系统，全面采用国产的软硬件产被，实现操作系统、关系数据库、网络设备等全面的国产设备。我们选取了一个最小化的水电站监控系统，包括双荣誉配置的操作工作站、数据采集服务器、历史数据服务器、网络交换机以及时钟系统，唯一没有国产化的就是现地PLC。在我们纯国产软硬件环境下的功能、性能测试，验证水电厂监控系统的环全面国产化的可行性，逐步实现新建设、改造项目中的具体影响。我们去年开始取得了大量资料，对国产设备、计算机系统、数据软件都有了全面的落实。

总的来说，这个平台是国产化可行的，但是在这个过程中其实还是反映出不同的问题，第一个，像我们的国产服务器，比如我们一般要求是多屏的，这方面是考虑不足的。操作系统这块，我们国产的操作系统，他们版本的一致性上非常多，我们也是说你真正的去实施发现，光是同一个比如说麒麟，它有天津的麒麟等等不同的版本，而且大版本、小版本，这些版本的不一致，对于我们后期的可信平台造成了很大的困扰。

数据库系统对于我们的接口方面也有许多工作要做，所以这些东西，这个测试平台是非常有必要的，并不是我们想象的计算机嘛，我替换一个国产的就行了，其实还有很多问题，我们比较稳妥的推进这么一个事情。

第三，我们的水电站数字证书。目前我们在水电站也应用了证书，这个只是国调的数字系统在我们纵向加密下的应用。目前我们准备在公司层面基于电网的调度体系颁发水电站的证书，包括个人证书、企业证书、服务器证书、系统证书等，也包括加密的公钥和私钥，我们还需要去验证，因为数字系统我们还处于研发阶段。基本的思路是，我们只离线的提供设备、人员、程序和企业的准入证明。

这个我们准备分散应用在四个防御体系中，在物理安全体系中，我们体现为移动建设的保管和机房系统物理安全体系中体现为移动截至保管与机房门禁系统，所有进入机房的人员和设备均需持有合格的数字证书。没有证书或者证书异常的没有办法运行。在签发体系，体现在我们的管理制度中，所有的数字证书的防御模块都需要通过我们安全管理衷心的数字证书的签发系统进行签发。

最后介绍一下我们的可信平台，我们去年那个项目的核心，因为对于恶意代码攻击我们很多都是防范，我们目前想要建立的就是，采用以国产密码为基础的可信计算平台，在我们硬件层部署密码模块，在内核层就是部署可行性软件机，就是实现基于可信技术的安全免疫机制。这个也是国网在他们的系统中已经有过应用，所以我们基本上在他们的基础之上，在偶然水电厂做一个开发和应用。

这是我们完整的一个可信平台，现在我们所有系统中的工作站都有采用国产的服务器，在国产服务器中他PCI卡加装我们的可信卡，从硬件层开始我们建立一个新的链，在系统层可信接入，动态和静态度量，在最高的应用层我们搭建一个机制，加上我们的证书形成我们完整的可信平台。

总的来说，刚刚也讲过，我们目前的想法就是，全面应用我们的网络安全防控理念和技术，对我们几代监控系统最终的解决方案就是，全面采用国产服务器、操作系统。参加研发一个水电站数字证书，为水电站监控系统的应用、服务器、业务程序等发放数字证书，实现高强度的身份认证。部署内网检测平台，动态感知健康状况。最后根据我们10多年的维护工作经验，将先进技术结合以后形成一套完整的服务方案，就是实现系统的可信计算的建设标准。

以上就是我的介绍。谢谢大家！

（发言为电力头条App根据速记整理，未经本人审核）

直播地址：2018年智慧电厂（第二期）