北极星

搜索历史清空

  • 水处理
您的位置:电网信息化技术正文

信息安全等级保护标准在电力行业的应用

2013-10-17 10:46来源:中国电科院 唐斐关键词:信息安全信息化电力行业收藏点赞

投稿

我要投稿

此外,还有总体要求指标。《电力行业信息系统安全等级保护基本要求》(送审稿)中管理信息系统类和生产控制类系统总体要求均由整体技术要求和通用管理要求组成,如管理信息类系统整体技术要求规定:管理信息大区网络与生产控制大区网络应物理隔离;两网之间有信息通信交换时应部署符合电力系统要求的单向隔离装置;管理信息大区网络可进一步划分为内部网络和外部网络,两网之间有信息通信交换时防护强度应强于逻辑隔离;具有层次网络结构的单位可统一提供互联网出口;二级系统统一成域,三级系统单独成域;三级系统域由独立子网承载,每个域有唯一网络出口,可在网络出口处部署三级等级保护专用装置为系统提供整体安全防护。通用管理要求规定:如果本单位管理信息大区仅有一级信息系统时,通用管理要求等同采用一级;如果本单位管理信息大区含有二级及以下等级信息系统时,通用管理要求等同采用二级;如果本单位管理信息大区含有三级及以下等级信息系统时,通用管理要求等同采用三级。

3.2等级保护测评工作中测评指标的应用

信息安全等级保护试点测评工作中,由于被评估单位信息资产种类、数量多,在一段时间内不可能逐一进行全面检测,三级系统的检测采用抽样方法进行,其目的是确定技术脆弱性检测的重点对象和目标。抽样检测的对象和目标必须要能代表信息系统的安全现状,否则评估结果就会偏离实际情况。试点测评工作中,对电力企业的电力财务(资金)管理系统资产抽样时遵循了典型性、全面性两原则。典型性原则即对同一应用中软件配置完全相同的资产抽样部分资产,全面性原则即对财务(资金)管理系统中每一类资产都要抽样。

根据选取的指标项以及系统测评对象选取结果,在前期系统调研的成果上,现场需要开发作业指导书以及编制实施方案。在测评工作中,通过测评以及核查的结果综合分析可给出系统面临的风险,并在安全技术测试和安全管理核查的基础上,根据系统的特点,发现和分析安全控制间、层面间以及区域间的相互关联关系,以及安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及系统整体结构安全性、不同系统之间整体安全性等,最终给出改进建议。

总体要求测评时,可分别从技术和管理的角度进行测评。进行整体技术要求测评工作时,通过查看和核实网络拓扑图、人员访谈等方法,了解到电力公司信息网络分为管理信息大区和生产管理大区,两大区之间有信息通信交换的需求,因此采用了正/反向隔离装置,以满足管理信息大区至生产管理大区、生产管理大区至管理信息大区之间的数据交换需求。根据公司信息系统安全防护总体方案要求,公司管理信息大区又分为信息内网和信息外网,两网之间采用强逻辑隔离装置,且双网隔离方案已实施。电力企业财务管理信息系统重要应用部署在内网,有外网交互功能的应用将前端署在外网,关键数据处理部分部署在内网。电力公司信息内网采用冗余技术设计网络结构,并且单个系统由独立子网承载,单独划分安全域,每个域的网络出口唯一。系统与系统之间、二级单位与本部之间均部署了防火墙,启用了访问控制功能。进行通用管理要求测评工作时,由于电力公司管理信息大区含三级及以下等级信息系统,所以确定通用管理要求等同采用三级。

应用基本指标和特殊指标进行测评时,一般是按照测评项一条一条分别进行测评的。具体可采取的测评方式有:使用问卷调查表,对通信系统进行初步的系统调研,掌握系统的主要功能和业务流程。调阅定级报告,详细了解评估范围内的二次系统及其包含的信息资产,为下一步测评指标的选取做好准备;在用户许可的情况下,对通信系统的关键设备和关键系统进行安全漏洞扫描、手工配置检查等安全技术测试,对网络拓扑结构进行合理性分析,对应用系统进行安全性分析,发现和分析系统安全技术方面所面临的风险;采用安全核查表的形式从管理层面和技术规范执行角度,对通信系统进行现场的安全管理核查,了解到包括人的因素在内的系统运行状况。通过对核查结果的分析,发现和分析系统安全管理方面所面临的风险。根据不同的测评方式、测评内容等,执行现场测评后,会得到多个测评证据。对多个测评证据需进行单项结果判定、单元测评结果判定,最终进行整体测评。

4 结论

本文介绍了电力行业信息安全工作和信息安全等级保护工作的开展情况,对国家信息安全等级保护基本要求和电力行业信息安全等级保护基本要求进行了差异比较。在电力行业开展信息安全等级保护试点测评工作的背景下,本文描述了协调应用等级保护要求基本指标和行业特殊指标的测评方法以及具有电力系统特色的总体要求的测评方法。电力行业信息安全等级保护试点测评工作范围逐渐扩大,各电力企业之间存在一定的差异和差距,等级保护试点工作的开展较大程度上的推动了电力行业信息安全工作的进展,同时由于智能电网等新技术的应用,电力信息系统的自动化、互动化、信息化特征越来越明显,这些都将对电力行业等级保护测评工作的测评方法提出更大的挑战。

投稿与新闻线索:陈女士 微信/手机:13693626116 邮箱:chenchen#bjxmail.com(请将#改成@)

特别声明:北极星转载其他网站内容,出于传递更多信息而非盈利之目的,同时并不代表赞成其观点或证实其描述,内容仅供参考。版权归原作者所有,若有侵权,请联系我们删除。

凡来源注明北极星*网的内容为北极星原创,转载需获授权。

信息安全查看更多>信息化查看更多>电力行业查看更多>