信息安全技术报告范文

导语：如何才能写好一篇信息安全技术报告，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

管理任务之变：需求增加导致设备管理任务增加

随着用户需求的不断变化，数据中心承载着越来越重的任务量，无论是计算还是存储或者网络资源，其规模相比以往急剧扩大，而这也使得其他一些配套设备发生了相应的增长，以满足应用的需求。

CPU计算能力的提高、硬盘存储容量的增加，以及刀片服务器和高密度存储的发展，都无法满足如同洪水猛兽般汹涌而至的数据处理需求。因此，人们不得不将包括计算、存储、网络、供电和散热等在内的部件累积起来，组成更大规模的数据中心。

安全技术之变：必须不断适应新型IT

未来，所有的公司都将成为IT公司。这个观点可能稍有些偏激，不过从另一个角度来看，这说明无论工作还是生活都已经离不开IT。

云计算、虚拟化、大数据，近两年来频繁冒出的新技术，无一不是为由IT所承载的业务服务的。当这些新的技术到来之时，安全技术要与之匹配发展，以适应新环境、新技术下的安全需求。

从长远到本源：数据加密或是最根本的防护

受限于10年前IT的发展水平，很多人都没有意识到数据中心在“量”和“质”方面的变化，以至于很多组织和机构都不得不在新一轮的IT采购周期中花费大量的时间和金钱，购买新产品，以替换旧设备。这样的事情每时每刻都在发生。

由于信息技术的发展，数据本身受到来自多方面的威胁。作为数据中心主要的服务对象，数据的保护是十分重要，并且需要长远计划的。但是面对变化和不断更新的威胁，正面对抗似乎收效甚微，最好的选择是本源的防护，即做到保护数据本源的同时，又能灵活应对各种安全环境的需求。而符合这种要求的安全技术就要属加密技术了。数据中心的管理人员需要在不影响新的数据中心环境所带来的性能和功能的前提下，确保数据中心的安全运营。

安全威胁攻击的首要目标是数据中心

许多现代的网络犯罪活动是专门以数据中心为攻击目标而设计的，因为这些数据中心都托管和处理着海量的、高价值的数据信息，包括个人客户数据资料、财务信息和企业知识产权等。因此，确保数据中心的安全运营是一项挑战。非对称的业务流量、定制化的应用程序、需要被路由到计算层之外并达到数据中心周边的高流量数据、跨多个Hypervisor的虚拟化应用，以及地理上分散的数据中心等，增加了数据中心安全运营的难度，其结果可能是，在安全方案覆盖范围方面存在空白，可能对数据中心性能造成严重影响。人们不得不牺牲数据中心的功能，以适应安全的限制，采用复杂的安全解决方案，削弱了数据中心根据实际业务需求而动态地配置资源的能力等。

思科预测，到2017年，全球76%的数据中心流量将保留在数据中心内，而这些流量都是在虚拟环境中由存储系统、生产系统和开发环境所生成的。早在2015年3月底，市场调研机构Gartner公司就曾经预测，数据中心的连接每秒增加3000%。

现代数据中心为企业提供了大量的应用程序、服务和解决方案。许多企业和组织都要依赖分散在各个不同地理位置的数据中心所部署的服务，以支持它们不断增长的云计算和流量需求。企业还需要制定新的更有效的战略，比如大数据分析和业务连续性管理，使数据中心成为企业的一个更为关键的部分。但是，这也使得数据中心的资源成了恶意攻击者攻击的主要目标。这意味着数据中心的安全团队实施数据中心的监控和保护将变得更加困难。

信息安全已经上升到国家战略层面，亟须加大安全投入

网络空间已成为国家继陆、海、空、天四个疆域之后的第五疆域，与其他疆域一样，网络空间也须体现国家，而保障网络空间安全就是保障国家。

自2013年“斯诺登”事件爆发以后，国际社会又相继爆发了土耳其泄密事件、巴拿马文件泄密事件等震惊海内外的重大安全事故，网络攻击手段不断推陈出新、网络攻击技术不断升级发展。随着中央网络安全和信息化领导小组的成立，信息安全已经上升到国家战略层面，国家对网络信息安全的重视上升到了新的高度。但是目前，我国网络安全产业的整体规模和投入与欧美发达国家相比，差距巨大，必须奋起直追。

Gartner公司2015年的数据显示，2015年全年，全球信息安全支出达833.78亿美元，其中北美地区339.38亿美元，西欧地区225.14亿美元，大中华区只有32.15亿美元，与经济体量明显不相称，仅为美国的9%。IDC的数据显示，我国信息安全投入占IT投入的比重为1%～2%，而同期北美和欧洲的企业对信息安全的投入占IT支出比重达到8%～14%。信息安全投入上的严重不足，导致我国自主研发的信息安全技术和设备难以快速转化为成果，应用于实践，从而使我国网络安全面临巨大隐患。

大数据、智慧城市的发展导致数据量爆发式增长

篇2

[关键词]计算机 信息安全技术 相关概念 防护内容 防护措施

中图分类号：TP393.0 文献标识码：A 文章编号：1009-914X（2016）28-0194-01

1.计算机信息安全的相关概念

计算机网络安全指的是现代计算机网络内部的安全环境维护，卞要保护的是计算机网络系统中的硬盘、软件中的数据资源，在没有因为意外或恶意等情况下未遭遇人为型破坏和更改相关重要的数据信息，从而保障计算机网络服务的正常运作。

2.计算机信息安全技术防护的内容

计算机信息安全防护，强化计算机信息安全管理的防护工作和防护内容较多。从现阶段计拿机信息安全防护的实际情况来看，强化对计算机安全信息的管理可以从计算机安全技术入手，对计算机系统的安全信息存在的漏洞进行及时的检测、修补和分析结合检测分析得到的结果制定有效的防护方案建立完善的安全系统体系。其中安全系统体系包括安全防火墙、计算机网络的杀毒软件、入侵监测扫描系统等信息安全防护体系。从计算机信息安全管理方面来看，需要建立健全的信息安全制度，栏窀据信息安全管理制度的相关规定对计算机信息进行防护，加强管理人员的安全防护意识。此外，计算机信息安全防护还需要充分考虑计算机安全数据资源的合法使用、安全稳定运作数据资料存储和传输的完整性、可控性、机密性和可用性等。

3.计算机信息安全防护中存在的问题

随着计算机信息化技术的进一步发展，信息安全已经引起人们的高度关注。现阶段计算机安全信息防护还存在诸多问题。计算机网络系统的安全体系不够完善，因此要保障计算机信息安全必须要配置一些安全信息设备，但是目前的安全技术水平偏低，安全信息质量得不到保障。此外计算机系统内部的应急措施的构建机制不够健全，安全制度不完善，满足不了信息安全的防护标准要求。近几年来，我国用人单位对计算机催息安全管理工作越来越重视，但是有些单位的计算机安全信息防护意识薄弱，负责信息安全防护的管理人员业务素质偏低，计算机信息安全技术防护水平偏低。同时，一些企业对管理人员的信息安全培训力度不足，对安全信息防护的设备费用的投入力度不足。因此，现阶段我国企业的计算机信息安全防护水平与社会服务的程度偏低。

4.计算机信息安全防护的措施

4.1 注计算机病毒的防护

计算机网络之间的病毒传播速度较快。现代计算机网络防护病毒必须要在互联网环境下，对计算机的操作系统采取科学合理的防毒措施，有效防护计算机信息安全。现阶段，从计算机信息行业来看，针对不同的操作系统，所采用的计算机防毒软件的具体功能也会不一样，但是能够加强计算机用户的信息安全防护利用安全扫描技术、访问控制技术、信息过滤技术，制止恶性攻击，加强计算机系统的安全性能，强化对计算机信息安全的防护。

4.2 信息安全技术

计算机信息安全技术主要包括实时的扫描技术、病毒情况研究报告技术、检测技术、检验保护技术、防火墙、计算机信息安全管理技术等。企业需要建立完善的信息安全管理和防护制度，提高系统管理工作人员人员技术水平和职业道德素质。对重要的机密信息进行严格的开机查毒，及时地备份重要数据，对网站访问进行肖致地控制，实现信息安全的防范和保护对数据库进行备份和咬复实现防护和管理数据的完整性。利用数据流加密技术、公钥密码体制、单钥密码体制等密码技术刘信息进行安全管理，保护信息的安全。切断传播途径，对感染的计算机进行彻底性查毒，不使用来路不明的程序、软盘等，不随意打开可疑的邮件等。提高计算机网络的抗病毒能力。在计算机上配置病毒防火墙，对计算机网络文件进行及时地检测和扫描。利用防病毒卡，对网络文件访问权限进行设置。

4.3 提高信息安全管理人员的技术防护水平

计算机信息安全不仅需要从技术上进行信息安全防范措施，同时也要采取有效的管理措施，贯彻落实计算机信息安全防护反律法规制度，提高计算机信息的安全性。对计算机管理人员进行培训;建立完善的计算机信息安全管理机制，改进计算机信息安全管理能力，加强计算机信息安全的立法和执法力度，强化计算机信息管理的道德规范，提高管理人员对安全信息的防护意识;明确计算机系统管理人员的工作职责。此外，企业需要增加对计算机安全信息防护设备的投入费用，整体提高我国社会部门的计算机信息安全防护与社会服务水平。

5.结束语

综合上述，计算机信息安全防护过程中存在着;信息安全管理体系不够健全、信息安全制度不完善、负责信息安全防护的管理人员业务素质偏低等问题，这就要求企业从计算机病毒的防护、信息安全技术、信息安全管理人员的技术防护水平这三方面入手，全面提高计算机信息安全技术水平和管理人员对计算机信息的安全防护能力。

参考文献

篇3

【关键词】互联网 信息安全 控制技术

在进行互联网的信息交流时，就要及时进行信息安全性能的检验，要保证信心的安全性能得到有效的计算机安全环境进行传播。在进行信息的正确操作系统使用时，就要在随意的任意环节进行安全检测，对于存在安全漏洞的网站进行及时的修补清理，及时进行安全环境的检测，以免使自己的有效信息受到威胁。在实际的操作中，一定要对互联网的操作系统、安全协议、与安全有关的系统进行安全环境的及时检测，其中任何方面的安全漏洞都能造成威胁到整个互联网的安全。在互联网的信息安全控制的技术应用发展方面，对于互联网的继续发展具有很大的作用。

1 互联网的信息安全的控制技术和特征

1.1 信息安全技术之生物识别

进行互联网的信心安全控制的重要环节就是要对生物识别技术的推广运用，使其更加具体地运用到互联网的实际应用之中。就现在互联网的技术的发展状况而言，进行互联网安全技术识别，相比传统的身份验证，已经表现出了具有更加可复制性能的方面的跨越式发展。人体的生物特征复制难度最高，就像指纹、声音、容貌、视网膜、掌纹等这种因人而异的人体的特征，别人根本实现不了复制操作。利用这种人们生而不同的人体特征作为安全技术识别的发展前景是十分可观的，在互联网的技术控制中，已经出现了大量使用指纹的技术进行安全保护，针对视网膜等生物特征，很多研究实验的结果显示，这即将成为互联网生物识别的下一个生物特征，在进行信息安全方面，很多生物技术已经投入使用，并且取得了很好的效果。在很多方面有了很大的进步。

1.2 信息安全技术之防火墙

在进行互联网的信息安全维护中，防火墙技术的应用十分广泛。在进行信息安全的维护时，使用这种的网络技术进行保护网络和外网就能实现一道安全的屏障。就会实现私人的网络和外部的网络环境进行隔离时，在进行私人信息安全保护，防止信息不被窃取。在实现信息安全的检测时，就预测的、具有潜在破坏性的网络安全的破坏。在有着网络漏洞的不轨信息，要及时做好网络的安全维护问题，实现信息安全得到很好的防护。

1.3 信息安全技术之数据加密

在信息的数据加密技术时，就要进行信息的安全维护时，要先进行密码的设置，在进行密码层次的维护时，将不让别人知道的数据信息技术转变成密码的形式。不让别人知道的情况下对于自己密码转变成别人难以识别的密文，然后进行自己的信息安全维护，再进行传输。但是，人们在进行密码的输入时，就收到信息的人进行信息的安全输入密码转换成自己可以识别的铭文进行信息的安全维护，从密码的转换成明文的情况下得到数据中的信息。

1.4 信息安全技术之入侵检测

在进行入侵检测技术的实施时，为了保证互联网的系统信息的安全性，在进行信息安全性能的报告使用中，计算机使用者就会出现对于系统中出现的如未授权或者异常系统提示等情况进行及时的检测。这种种信息安全检测技术，能够促进进行互联网的系统遇到不安全入侵时，及时进行入侵信息的安全性能检测，及时阻止不安全信息的入侵。进行检测互联网，中是否出现了违反信息安全的行为的一种技术。

1.5 信息安全技术之网络安全漏洞扫描

针对系统的漏洞修补时，首先要进行检测信息安全漏洞出现的原因，在进行系统安全维护时，一定要做好信息安全方面的风险评估。及时针对系统出现漏洞的问题，找到切实可行的解决方案。进行安全漏洞的扫描时，可以预先知道系统中，出现漏洞的根本所在，能够及时防止网络漏洞对信息的安全进行有效的保护。

2 实现互联网信息安全的策略探讨

2.1 互联网安全策略之系统安全

互联网最有效的信息安全维护，就是要对计算机的操作系统和数据库及时进行信息安全的漏洞检测，及时发现出现的问题找到最优的解决方案。尤其是对于计算机进行操作系统进行查缺补漏，针对计算机出现的漏洞问题一定要密切关注，找到最优的解决方案。针对容易出现问题的系统及时进行加强安全加固防护措施，尤其对于关键业务的服务器，一定要做到万无一失。

2.2 互联网安全策略之安全管理

针对互联网的信息的安全性，一定要加强对于网络安全的信息的安全管理策略，进行企业的信息系统安全管理策略的制定是，一定要结合具体的情况进行信息安全的合理维护。进行安全管理时，企业一定要重视对相关人员进行安全管理知识的定期培训，及时进行网络安全的妥善管理。当进行信息安全进行资产管理、灾难管理、安全服务和站点维护的相关工作进行合理有效的管理。在技术的运用上，注意将技术适当运用到相关的部门。结合具体的管理措施进行合理有效的信息维护，保证企业互联网的信息安全。

2.3 互联网安全策略之纵深防御

在进行互联网的安全合理有效地管理时，一定要将可能存在的不良操作及时进行安全性能测试，在互联网的安全系统遭到入侵时，检测系统就会发出信息提示，提醒进行及时的系统安全的维护措施。在信息安全系统的管理中，防火墙是其中一个最有效的安全管理手段。能够保障系统在遇到安全威胁时，计算机系统在进行安全管理保安操作时，及时阻挡那些存在威胁的信息，按照预先的设定判断信息的有效性，将符合规则的操作指令发出放行指令，能够保证互联网的信息安全。

在进行互联网的安全管理中，一定要加强对于互联网安全漏洞的及时检测，确保互联网的信息安全。在检测过程中，若是发现了系统受到攻击，一定要立马采取有效措施进行系统的安全维护，及时控制企业及个人的重要信息不受破坏或者避免损失。在进行互联网安全控制时，要考虑多方面的控制情况，为了避免遭受经济或者其他方面的损失，就要在维护互联网的信息安全的情况下，及时推动互联网的发展。本文在针对各种互联网的信息安全的管理措施的分析研究的情况下，重点强调要注意运用加密技术的使用。相信在未来的数字化科技发展中，网络信息安全的地位将更加重要，互联网信息安全必然随着网络应用的发展而不断发展。

篇4

 

1 网络信息安全的内涵

 

网络信息安全定义是：计算机网络系统中的硬件、数据、程序等不会因为无意或恶意的原因遭到破坏、篡改、泄露，防止非授权的单位使用[1]。网络系统能够保持服务不受中断，维持可靠运行。

 

不同的用户对网络信息安全的定义有所不同。作为普通民众，他们希望自己的隐私信息能够得到有效保护，不被他人窃取利用。对网络安全管理员来说，他们希望始终有权限管控自己的网络，并不受外界恶意入侵和破坏。对于国家安全部门而言，阻挡一切可能造成威胁的信息，并防止任何信息外泄是他们的工作目标。网络信息安全，离不开技术和治理两方面的努力。

 

2 目前网络安全的主要技术

 

2.1 防火墙

 

防火墙是一个或一组网络设备。防火墙的主要作用是加强两个或两个以上网络中的访问控制[2]。防火墙主要目的是保护网络不受外界攻击。通过对网络设定防火墙，能对来自外部网络的信息进行有效筛查，将安全的信息放行，将存在威胁的信息过滤。达到保护网络安全的目的。

 

防火墙具有以下特点：(1)网络之间的信息传递，都需要经过防火墙筛查;(2)只有符合安全策略的信息数据才能通过防火墙;(3)防火墙兼具保护和预防外部网络入侵的功能。虽然防火墙对保护网络安全具有良好效果，但其最大的缺陷在于会造成网络服务于网络间的数据传输速度大幅下降。这也是为了达到保护网络安全所必须付出的代价。

 

2.2 数据加密技术

 

当今时代，信息是一把双刃剑。它既能帮助团体或个人，令他们从中受益，同时也能成为威胁和破坏的工具。因此这就要求出现某种安全技术对信息进行有效保护，防止被恶意窃取或利用。

 

数据加密技术，是通过使用数字，对原有的信息进行重新组织。经过数字加密技术处理后的数据，除了合法使用者外，其他人难以将信息进行恢复。数据加密主要是对传输中的数据流进行加密。加密方法有线路加密与端对端加密两种。线路加密侧重于对传输线路加密，端对端加密是使用者在段的两头对信息进行加密处理，再经过TCP/IP数据包封装后通过互联网传输到目的地。到达目的地后收件人用相应的密匙对数据包解密，将信息恢复。

 

2.3 入侵检测系统

 

入侵检测技术是对外部网络入侵行为进行检测[3]。它通过不断收集和分析网络行为、安全日志并对数据进行审计，及时获取系统中关键点信息，检查网络或系统是否存在被恶意攻击或违反安全策略的行为。入侵检测的任务主要包括：(1)对系统中用户的各种活动进行监视;(2)检查网络系统存在的弱点;(3)将工作中的异常情况进行记录和报告;(4)对数据完整性进行检查;(5)遭受外来攻击时报警。

 

3 加强计算机网络信息安全对策

 

3.1 强化网络安全保障体系建设

 

强化网络安全保障体系建设，离不开多方面的共同努力。当前国家信息安全保障体系建设，应当围绕以下几方面：(1)深入研究和开发信息加密技术;(2)健全网络信息安全体系;(3)强化网络信息安全风险评估;(4)建立健全信息安全监控体系;(5)加大对信息安全应急处理工作的重视度。

 

在面对网络信息安全威胁时，作为普通用户应当提高自身网络安全意识。在学习必要的网络安全知识外，对来自外部网络的突然进攻应当保持冷静。作为企业用户，网络安全建设更加复杂，保护网络信息安全的意义也更为深远。首先，企业应当设计符合自身需要的安全策略，对重点对象提供有效保护。第二加强对用户访问权的控制，对非法用户的操作进行严格限制，保护企业信息不受侵犯。

 

3.2 构建信息安全体系的措施

 

目前我国信息安全保障水平偏低，构建有效的网络信息安全体系，需要社会各界的共同努力。没有通力合作，难以应对日益复杂的网络安全事件，而且网络信息安全技术涉及面广，技术难度大，单一组织或个人的网络安全技术难以满足各方面需求。

 

(1)加强国家宏观调控。吸收发达国家网络信息安全管理经验，建立具有国家权威的网络信息安全部门，由该部门对我国网络信息安全体系建设路线、方针进行统筹规划。

 

(2)完善相关法律法规。进一步完善我国相关网络安全法律法规，保障信息安全产业的权益，加大对危害信息安全行为的处罚力度。

 

(3)鼓励网络安全技术领域投资。从国家的角度，鼓励网络安全技术领域投资包括加大财政对信息安全产业的直接投入，和给予信息安全产业相关企业、团体政策支持和补贴，扩大其发展规模。

 

(4)加强信息安全技术创新。我国目前正掀起“大众创业，万众创新”的社会浪潮。在此背景之下，鼓励安全信息技术创新，并给予高额奖励，推动我国信息安全技术的发展。

 

4 结语

 

综上，目前网络信息安全正越来越受到关注。虽然目前有许多网络安全产品保护用户信息，但由于网络自身仍存在安全隐患，因而来自外部攻击难以从根本上消除。建立健全网络信息安全体系，对未来促进我国互联网发展将发挥巨大作用。

篇5

关键词：混业经营；金融牌照；信息安全；管理体系

一、金控的定义与历史机遇

（一）金控的定义

金控是金融控股的简称，是指在同一控制权下，完全或主要在银行业、证券业、保险业中至少两个不同的行业提供服务的金融集团。从定义上可以直接反映出金控公司的特点：多金融牌照混业经营，由一家集团母公司控股，通过子公司独立运作各项金融业务。

（二）金控的历史机遇

金控公司出现之初，集团母公司多是扮演财务投资的角色，不参与具体业务的运营。随着国家“十三五”工作的推进，金融改革不断深化和多元化，单一业务的聚集效应在减弱，而以多业务构建“客户-平台-资产”供应链闭环生态系统的金控平台则迎来其历史发展机遇。其通过资源协同、渠道整合、交叉销售等运营模式，促进供应链上各项金融业务的联动发展，最大程度地发挥了产品互补优势，提高效能，享受高额市场回报。

二、金控体系下信息化建设的重要性和安全需求

（一）信息化建设的重要性

打造金控体系下多牌照的闭环生态系统，离不开信息化平台的建设。换个角度，信息系统是多牌照业务融合、产品创新和效能提升的一种有效手段。如通过信息化建设金控体系下统一的客户系统、全面风险管理系统、产品销售系统、大数据分析平台等，可助力金控集团建立品牌效应，快速响应多元化的市场需求，从而实现业务的爆发式增长。基于信息化的重要性，综观目前市场上的各类金控公司，都在大力发展信息化建设，寻找业务创新点，引领行业升级和抢占市场。

（二）信息安全需求分析

对于互联网时代的金融企业来说，数据是核心，安全是生命线。随着《网络安全法》的实施，信息安全已上升到国家战略层面，构建金融企业的信息安全防护网势在必行。对于金控公司来说，由于是混业经营模式，旗下不同牌照的子公司，因其监管部门不同以及对信息安全要求不一样，在规划其信息安全时，必须将多牌照的特点融入到安全体系内，同时满足信息安全和业务发展的平衡需求，以免顾此失彼，得不偿失。

三、金控体系下信息安全体系规划

建立一套金控公司的安全体系，必须同时从管理和技术角度进行规划，管理是运营措施，而技术是操作手段，相辅相成，缺一不可。

（一）信息安全管理体系的规划

1.对标的选择。建立一套信息安全体系，目前可对标的标准和规范包括国际标准ISO27001、国家安全标准、各监管机构的安全指引、信息安全等级保护管理办法，以及行业的最佳实践等。对于金控信息安全管理体系的规划，应该以ISO27001为基础，结合监管的合规要求进行编制。2.设计原则。通常情况下混业经营企业在制定企业管理体系标准时要照顾到各方的使用需求，其标准具有通用性和广泛性。具体使用部门或子公司可再结合自身业务特点，制定更具体的操作规范。但对于金控行业来说，由于旗下各子公司经营的都是金融业务，对信息安全的要求比普通企业更严格，信息安全是其不可逾越的红线。因此在为其设计信息安全管理体系时，应反其道而行，从严要求，以最严格的标准进行编制，做好顶层设计，然后根据各子公司的业务特点，对制度或规范做适当的裁减或降低等级要求。3.管理体系模型。信息安全管理体系是一个多层次的模型，如图1所示。在该模型中，第一层是企业信息安全方针政策，说明企业信息安全总体目标、范围、原则和安全框架等；第二层是企业安全管理制度和规范，说明体系运行所需要的通用管理要求；第三层属于安全管理活动中，用于约束安全行为的具体方法；第四层是配套的表单和记录，用于辅助制度和管理办法的执行。4.安全目标和方针的设计。虽然是混业经营，但对于金控集团及旗下各子公司来说，信息安全的目标应该是一致的，本质都是追求企业数据的保密性、完整性和可用性，所以安全方针可以基于集团统一考虑，设计为：安全、合规、协同、务实。安全：以风险管控为核心，主动识别、管控并重，为用户提供安全、可靠的信息技术服务。合规：按照国家法律法规及行业监管要求，建立满足集团业务发展需求，并具有专业能力的信息安全管理机制。协同：全员参与，对全体员工进行持续的信息安全教育和培训，不断增强员工的信息安全意识和能力。务实：以经济适用为准则，选择适应公司发展变化的业务架构和稳定灵活的技术架构，满足各业务条线的管理和决策需要。5.组织架构的设计。信息安全方针的贯彻，安全制度的执行，安全技术的部署，都需要通过安全管理组织来推行。各个模块相互之间的关系如图2所示。对于金控行业公司而言，由于多数子公司都是独立法人，无法完全成立一个实体安全组织，而是一个横跨集团和各子公司的虚拟安全组织。为保证安全组织的有效性和执行力，应具有分工合理、职责明确、相互制衡、报告关系清晰的特点。6.管理制度及规范的设计。管理制度和规范是属于企业运营措施，根据ISO27001标准模型，安全管理制度划分了14个控制域，涵盖的内容如图3所示。根据各控制域的关联关系，结合金融企业的安全需求，企业的安全管理制度通用全景图设计如图4所示。

（二）信息安全技术体系规划

技术体系属于信息安全操作层面的内容，应该是围绕整个数据生命周期展开规划的。根据数据的运动轨迹，经历“生产-传输-计算-存储-消亡”等阶段，所以信息安全技术体系的范围，应该涵盖物理环境、基础架构（含虚拟化层）、应用、数据和访问控制等。一般通用的安全技术体系全景如图5所示。由于安全技术需要部署大量的专业设备，对于混业经营的金控公司而言，可以发挥集团总部的先天优势，对于一些共性的安全技术方案，由集团统一规划和部署，然后为各子公司提供相应的安全服务，减少投入，节约成本。例如防病毒系统，由集团总部部署服务端，各子公司部署客户端即可，类似的安全技术服务还有漏洞扫描系统、身份认证系统、终端准入系统、APT检测系统、安全渗透服务、安全培训服务等。

四、金控体系下信息安全的实践

由于是混业经营，在组建了横跨集团和各子公司的安全组织后，还需要不断地进行实践以达到最佳效果，以下是一些具有特色的实践场景。

（一）信息安全事件的统一管理

信息安全事件的管理是安全制度之一，有效的事件管理可以积极发挥安全效能，提升全集团的安全能力。1.情报共享，协同防护。在管理层面，原各业务子公司只会向其外部监管部门报送安全信息，相互独立，不能有效共享相关的安全情报。新的模式下要求子公司同时将安全信息上报集团总部，总部通过分析后形成统一报告，再发放到各个子公司。通过这种方式，一方面可以实现情报共享，另一方面可以实现信息安全的统一管控，协调防护。2.统一监控，快速反应。在技术层面，可通过在子公司部署探针，建立集团的统一安全监控平台，对集团内所有的安全日志进行采集、分析、响应，同时结合集团和各子公司的安全保护措施对事件进行快速处理，合纵连横，从而保证整个集团和各子公司信息系统的安全稳定运行。

（二）子公司信息安全建设的管理

对于多牌照的金控公司来说，旗下各子公司业务种类不同，规模也有区别。在信息安全的建设方面，应该有区分对待。对于规模较大的子公司，依靠自身力量建设了数据中心及安全体系的，除一些共性的安全技术方案可由集团提供以外，其他的安全措施由子公司执行，集团主要是发挥标准制定和监管的角色。对于规模较小的子公司，由于IT力量较弱，数据中心体量有限，很难依靠自身建设完整的信息安全保护体系。在监管许可的情况下，可以将子公司的信息系统托管在集团数据中心，由集团进行信息安全的统一规划、建设和运维。

（三）交叉检查，取长补短

由于同属于一个集团，各子公司之间具有天然的信任感，通过集团的统一组织和管理，可以促进各子公司之间进行信息安全的交叉检查，在兄弟公司之间充分展示本单位的优势，取长补短，相互学习，共同进步。

参考文献：

[1]ISO27001：2013.信息安全管理体系标准[S].2013.

[2]中国银行业监督管理委员会.商业银行信息科技风险管理指引[Z].2009.

篇6

【 关键词 】 信息安全；信息安全保障体系；国家大剧院

Exploration of Information Security Framework for National Center for the Performing Arts

Liu Zhen-yu

（National Center for the Performing Arts BeiJing 100031）

【 Abstract 】 The status of information security of National Center for the Performing Arts is explored. After that， information security problems and risks that National Center for the Performing Arts faced with are analysed. The information security framework which includes technique， management and operating is followed. The paper ends up with the elaboration of the effectiveness of the information security framework.

【 Keywords 】 information security； information security framework； national center for the performing arts

1 背景

随着信息技术的飞速发展，人类正以前所未有的速度进入以网络为主的信息时代，网络的快速发展不仅促进了人们的通信和交流，同时也带来了商业和经济模式的巨大变革。

国家大剧院是国家新建的重要文化设施，也是一处别具特色的景观胜地。作为北京市国家级标志性文化设施，国家大剧院的建设与运行体现了正在迅速崛起和复兴的中国在精神文化领域的追求，因此，依托信息化手段宣传和服务于广大文化艺术爱好者是国家大剧院电子商务网站建设的宗旨，使之成为“国家表演艺术最高殿堂、艺术普及教育的引领者、中外艺术交流最大平台、文化创意产业重要基地”。

国家大剧院网络及信息系统从2007开始逐步建设，建设初期主要满足国家大剧院演出宣传、文艺教育、演出票务、公众服务、内部办公和访问互联网的需求，官方网站电子商务平台承担着对外宣传及网上售票业务。随着国家大剧院近几年影响力和地位的不断提升以及业务的发展壮大，对信息化建设提出了更高要求，同时对信息安全的需求也越来越迫切，结合国家等级保护制度来进行安全保障建设成为国家大剧院信息化建设的有益补充。

2 现状及问题

目前国家大剧院局域网骨干带宽为千兆，双核心。已部署的安全设施，如在整个局域网的出口均部署了防火墙，内网服务器域边界部署了防火墙；在门户网站出口部署了流量控制和入侵防御设备；内部终端还广泛部署了防病毒软件，以防范计算机病毒在局域网内传播和破坏。国家大剧院正在运行的业务系统主要包括网站系统、票务系统、艺术资料管理系统、OA系统、财务系统及邮件系统等。

根据对国家大剧院信息化及信息安全现状的分析，结合国内外信息安全发展态势，发现国家大剧院面临着一些信息安全问题及风险。

假冒网站、网站挂马等安全风险。据权威统计，2011年下半年，检测新增挂马网站独立网址246万，平均每日100万人次访问此类挂马链接，新增钓鱼盗号欺诈类网站独立网址492万，共拦截10亿余次钓鱼盗号欺诈类网址，平均每日600万人次访问此类欺诈类链接。假冒网站独占鳌头的是电商网购类，而且仿冒范围不断扩散，通过国家大剧院运维人员统计观察，越来越多的黑客、病毒、不法机构和人员对国家大剧院电子商务网站系统的正常运行产生威胁，网站业务系统随时都可能遭受恶意攻击。

系统入侵或网络攻击风险。由于系统保护措施不到位，可能导致国家大剧院票务等对外网站系统的域名劫持、DDoS攻击等安全风险。同时，也可能由于软件漏洞或者安全意识单薄等造成内部邮件等信息泄露。

非授权访问风险。由于国家大剧院内部办公等信息系统边界缺乏访问控制设施，并且在网络可信接入、分辨非法访问、辨别身份伪装等方面存在着很大的缺陷，未授权者可通过网络非法访问网站及系统服务器，并进行非法读取、篡改和破坏数据等不良行为，构成对内部数据及信息系统的重大隐患。

数据安全风险。媒资库建设完成后将承载大量的媒体资料，这些有艺术价值的音像资料是国家大剧院的宝贵资产，一旦由于自然灾害、人员非法入侵、内部人员误操作等造成数据丢失损坏，将对国家大剧院造成重大损失。

媒体资源库音像资料版权风险。目前，剧院已经为视频在线传播及直播提供服务平台，然而提供的音视频服务面临版权盗用、盗链和恶意下载等问题，容易对剧院和公众利益带来损害。

内控管理风险。据权威调查报告显示，内部员工的粗心大意是企业信息安全的最大威胁，由此造成的安全事故高达78%。目前，由于国家大剧院内部员工的安全意识还相对淡薄，存在进入业务系统的登录口令设置过于简单，私自访问不安全网站，私自接入不安全设备等问题，这些都给大剧院信息系统造成了极大的安全隐患和威胁。

3 信息安全保障体系探索

3.1 总体目标

通过对国家大剧院信息安全现状、问题以及信息安全建设需求的分析，可知国家大剧院信息安全保障体系建设的总体目标是按照国家信息安全等级保护相关要求，从风险控制、技术设施、管理体制及运维服务等方面入手，基于成熟的安全技术，借鉴先进可行的管理理念，加强外御威胁防护、构建内控管理机制、强化数据保护措施，建立和完善信息安全管理体制，加强安全服务保障，设计适合国家大剧院信息化发展的安全保障体系，从而确保业务流程可控、业务状态可视，保障业务整体安全。

3.2 设计思路

针对国家大剧院安全保障目标，在信息安全保障体系设计上基于几种设计思路。

3.2.1构建网站可信机制

通过第三方网站身份诚信认证来确保网站真实性，可帮助网民判断网站的真实性。同时，基于可信证书类产品，确保系统管理用户身份的真实性。其次，借助社会力量来实现假冒网站的定位、侵权取证等服务，从而有效打击防范欺诈类网站并且协助维权。

3.2.2建设安全可靠的办公网络平台

积极推进信息安全等级保护建设，通过制定安全策略、部署安全设备，完善安全保密管理制度，加强安全运维支撑建设，从物理安全、网络安全、主机安全、应用安全、数据安全、流程安全、人员安全等多方面保障系统的安全稳定运行。

3.2.3建立网络信任服务

通过为网络管理员、网站维护人员颁发数字证书，部署网络可信接入及远程安全接入设施来构建剧院内部的网络信任服务体系，保证信息系统及媒资库资源的可靠访问，确保我院信息资源安全。

3.3 体系框架

在国家大剧院信息系统安全保障体系设计以及实现中，将在国家相关的安全政策、法规、标准、要求的指导下，制定可具体操作的安全策略，构建国家大剧院网站系统安全技术系统、安全管理体系以及安全运行体系，形成集防护、检测、评估、响应、恢复于一体的整体安全保障体系，从而实现物理安全、网络安全、主机安全、数据安全和应用安全，以满足国家大剧院网站系统全方位的安全保护需求。国家大剧院信息系统整体安全保障体系模型如图1所示。

国家大剧院信息系统整体安全保障体系模型主要由三个方面组成。

3.3.1安全技术体系

参考国家标准《信息安全技术 信息系统等级保护安全设计技术要求》按照威胁分析，将信息资产划分为若干保护对象，并按照“一个中心”管理下的“三重保护”的设计框架，构建国家大剧院信息安全技术体系保障机制和策略，为国家大剧院信息系统的运行提供安全保护环境。该环境共包括四部分：安全计算环境、安全区域边界、安全通信网络和安全管理中心。

3.3.2安全管理体系

以国家大剧院现有业务系统所服务对象为基础，建立完善的安全管理体系，建立信息安全管理机构、制定信息安全管理制度、设置信息安全管理岗位。

3.3.3安全运维服务体系

针对业务安全运行的需要，以日常巡检、咨询、评估等建立有效的运维服务机制，加强对资产管理的分析、隐患发现、策略审核考评等，不断发现平台在运行中的安全隐患，降低系统脆弱性和面临潜在的威胁带来的影响及损失，以及时对安全策略实现完善和防护措施的改进提升。

3.4 信息安全体系建设实践

国家大剧院信息安全保障工作经过长期的努力，已经初见成效。在安全体系的建设实践中，总结出几点实践经验。

3.4.1制定标准规范，奠定保障基础

信息安全保障建设的一项重要工作之一是参照国家等级保护的技术要求完成相应的合规性检查。因此，国家大剧院应据此建立适合国家大剧院的信息安全管理基线，坚持常态化管理和动态控制，达到并保持国家相关安全主管部门的安全审计要求。

3.4.2重视管理，制度先行

信息安全是一个动态发展的过程，每年随着业务发展变化而变化，同时随着信息安全技术的不断演变，都会出现新的安全防护技术的使用。经过多年实践证明，每个系统或者防护设备上线前，都必须在遵守总体防护规范的前提下，编制好具有针对性的管理要求，才有有效降低安全风险引入的可能。

3.4.3定期组织代码审计和渗透测试等系统检测

代码安全审计是通过人工分析和工具扫描的方式检验应用程序的源代码，利用大量的代码安全规则，来分析源代码中的违反规则部分，进而确定可能存在的安全漏洞和隐患。应用系统生命周期安全的从SDL实践上看，安全做的越早效果越好（但开发模式改动的成本也相对比较大），代码审计作为保证代码安全的最低低线，其作用是不可取代的。

另外，除了从代码开发过程中保证开发出安全的应用系统以外，针对已开发的系统，国家大剧院还组织第三方测试机构，从攻击者视角检测信息系统安全防护能力是否达到，是否存在成功攻入系统的途径。

4 信息安全建设意义

通过构建信息安全保障平台，保障我剧院信息系统可安全合规运行。基于国家信息安全等级保护制度要求，建设国家大剧院信息系统整体安全保障体系模型信息安全保障基础设施，制定安全策略，为国家大剧院系统提供安全可靠的运行环境。

提高国家大剧院电子票务等信息系统的安全运行平稳度。通过在信息安全技术、信息安全保密管理等多维度的体系保障建设，保障网站真实性、打击假冒网站，大大提高国家大剧院信息系统安全稳定运行的平稳度。

提高用户的安全便捷以及系统安全管理能力。通过构建可信的电子票务运营环境，为用户提供身份认证及网络信任机制，加强用户的身份、资金安全保障，并且提高系统安全管理能力。

提升安全隐患发现能力。安全隐患的发现能力是信息安全管理中的关键能力，关系到能否将风险消除在事件发生之前。通过建立入侵监测系统、防病毒系统以及定期的安全脆弱性检测等，大大提升我剧院信息系统的安全隐患发现能力。

5 结束语

建设和完善信息安全保障体系是为了保证国家大剧院的业务在今后发展过程中对信息安全建设的要求。

信息安全保障体系建设涵盖安全管理体系、安全技术体系、安全运维体系的复杂系统工程，是一项长期性的专业的细致的认为，需要以信息安全技术为基础，持续投入大量的人力和物力。为使国家大剧院建设成为国际化、现代化的大剧院提供有力的信息安全保障。

参考文献

[1] 关于大力推进信息化发展和切实保障信息安全的若干意见（国发[2012]23号）.

[2] 信息安全管理实用规则（GB/T 22081-2008）.

[3] 信息系统等级保护安全设计技术要求（GBT25070-2010）.

[4] 信息系统安全等级保护体系框架（GA/T 708-2007）.

[5] 国家大剧院电子商务网站系统安全保障方案.内部资料，2010.

[6] 国家大剧院安全服务保障方案.内部资料，2011.

篇7

关键词：安全机制 电力公司 信息管理

【分类号】：TM73

二十一世纪是一个信息的时代，随着电网规模的扩大和改革的深入，企业各部门之间、企业和社会之间信息的交换也更加频繁，对信息的及时性、准确性和可靠性的要求越来越高。因此，基于当前安全机制下，电力公司对信息管理要求也将越来越高。

一、电力企业信息网络系统存在的安全问题

随着电力企业互联网的发展，其信息网络的安全也日益尖锐。网络的信息安全是一种涉及了通信技术、计算机技术、信息安全技术、密码技术等多种技术的边缘综合性学科，国际标准化组织把信息安全定义为“信息的完整性、可用性、可靠性及保密性”，但因其是新生事物，人们接触它主要忙于工作、学习和娱乐，对于它的安全性，则无暇顾及，从下到下普遍存在侥幸心理，没有形成主动防范、积极应对的意识，所以很难从根本上提高网络监测、抗击、防护等能力。

其次，在整体运行管理过程中，有关信息安全的政策、手段都存在问题，如因互联网复杂多变，网络用户对此缺乏足够的认识，在未进入安全状态时就急于操作，导致敏感数据暴露，使系统遭受了风险；还有很多用户都越来越以来“银弹”方案，即加上防火墙或者加密技术，使用户产生了虚假的安全感，丧失了警惕。

还有，不少单位没有从管理制度上建立相应的安全防范机制，在整个运行过程中，缺乏行之有效的安全检查制度，这些不完善的制度滋长了网络管理者和内部人士自身的违法行为。

二、当前电力公司网络信息安全的技术手段

而随着电力体制改革的不断深化，计算机网络将承载着大量的企业生产和经营的重要数据。所以，保障计算机网络信息系统安全、稳定运行至关重要，目前确保电力公司信息安全技术有如下几种：

1、 防病毒技术

计算机病毒实际上就是一种在计算机系统运行过程中能够实现传染和侵害计算机系统的功能程序，其在网上的传播极其迅速，且传播具有相当大的随机性，从而增加了网络防杀病毒的难度，所以，这就要求做到对整个网络集中进行病毒防范、统一管理，在预定时间自动从网站下载最新的升级文件，并自动分发到局域网中所有安装防病毒软件的机器上。

2、入侵检测技术

入侵检测是对入侵行为的发觉，是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。

3、风险评估技术

风险评估是网络安全防御中的一项重要技术，其原理是根据已知的安全漏洞知识库，对目标可能存在的安全隐患进行逐项检查，它包括了网络模拟攻击，漏洞检测，报告服务进程，提取对象信息，以及评测风险，提供安全建议和改进措施等功能，帮助用户控制可能发生的安全事件，最大可能的消除安全隐患。

除了上述几种技术之外，还有一些被广泛应用的安全技术，如虚拟专用网VPN技术、虚拟局域网VLAN技术、身份验证、安全协议等，网络的信息安全是一个系统的工程，只有根据实际情况、综合各安全技术的优点，才能形成一个由多种安全技术构成的网络安全系统。

三、电力企业网络安全防范措施

1、完善网络信息安全的管理机制

首先，网络与信息安全需要制度化、规范化，将网络信息安全管理纳入到安全生产管理体系中，制定相应的管理制度，比如建立用户权限管理制度、网络信息安全管理制度、病毒防范制度等，这一旦形成，就必须严格执行，保证落实。同时，明确网络与信息安全体系的四个关键系统，即安全决策指挥系统、安全管理制度系统、安全管理技术系统和安全教育培训系统，实行企业行政正职负责制，明确主管领导部门职责。

2、强化企业内部人员安全培训

根据企业性质与人员的职责、业务不同，将安全培训分成三个不同的层次，即初级、中级和高级，初级培训可针对全部人员，主要强化员工安全意识和责任；中级培训对象一般包括高层领导、技术管理人员、合同管理者等，培训内容包括安全核心知识、风险管理、资源需求与合同需求。高级安全培训的人群包括信息安全人员、系统管理人员，内容主要包括操作/应用系统、协议、安全工具、技术控制、风险评估、安全计划和认证与评估，旨在提高企业的整体安全管理。

综上所述，企业必须充分重视网络信息系统的安全威胁所在，制定保障网络安全的应对措施，落实严格的安全管理制度，才能使网络信息得以安全运行。

参考文献

1、孟洛明，亓峰・《现代网络管理技术》，北京邮电大学出版社2001

篇8

公安部网络安全保卫局副局长顾坚指出，当前，社会对信息网络的依赖与日俱增，信息安全成为国家安全的基础，已全面影响到世界的政治、经济、文化和未来战争，成为世界各国普遍关注的战略问题。

中国工程院院士、中国计算机学会计算机安全专委会主任方滨兴表示，“十二五”期间，信息安全业界要重点关注的问题包括：信息系统安全、信息（数据）自身安全、信息利用安全及信息技术尤其是新信息网络技术的安全。通过对这四方面问题的研究，要达到以下目标：完善面向可用性的信息安全对抗体系和面向可信性的信息资源保障体系，提升面向可控性的网络信息管控水平，构建面向网络新技术的安全应用支撑体系。

就工业控制系统的安全保护问题，国家信息化专家咨询委员会委员崔书昆认为，在我国，加强工业控制系统的保护势在必行。一是要把工业控制系统纳入到信息网络安全保障的管理范围及防护体系中；二是要加快制定工业控制系统的法律法规和安全技术标准的建设步伐；三是要加强工业控制系统安全技术的研究、开发与应用；四是要提高业内人士对工业控制系统的安全保护意识。

篇9

今年的RSA大会，特别强调了“运用集体智慧”。不管是信息安全领域还是其他领域，人们强调集体与协作，就意味着对手非常复杂、非常强大。显然，在互联网化的趋势下，信息安全成为每个人身边越来越严峻的挑战。

四项原则

大会上，EMC公司执行副总裁兼EMC信息安全事业部RSA执行主席亚瑟·科维洛发表了开幕主题演讲。他就互联网上的网络战争、监控、隐私、互信等重要问题，极富激情地呼吁各国政府及行业间要增强合作。

科维洛提出了四项指导原则以确保互联网的安全：一是放弃使用网络武器并放弃利用互联网发动战争；二是合作调查、逮捕和网络罪犯；三是确保互联网上的经济活动能够不受约束地进行，知识产权得到保护；四是尊重和确保每个人的隐私。“我们必须像憎恶核武器和化学武器一样憎恶网络战争。”科维洛说。

笔者认为，这四项原则具有渐进式的关系，网络战争是首先要解决的问题。信息安全就是一场攻防战，只要有人发起攻击、有人犯罪，就会有人进行防御、有人对抗犯罪。在信息技术普及的今天，每个人都手持智能移动终端（智能手机或平板电脑）甚至可穿戴智能设备，利用互联网进行犯罪将产生极为恶劣的影响；而保护每个人的隐私是终极目标，安恒信息总裁范渊认为，大数据的价值在于分析和利用，它也为隐私安全带来严峻的挑战，而且必须面对。

中国力量

如果说，每年的RSA大会是各个信息安全厂商的一大“秀”场，那么中国厂商正变得越来越靓丽。当然，在强调集体智慧与协作的“RSA 2014”，也离不开中国信息安全厂商的参与和创新。

参加RSA大会的天融信软件产品线总监张凤羽认为，面对花样繁多的终端类型及接入方式，面对服务端、云端不断虚拟化，面对业务层面的接入、传输、用户身份识别，面对大数据的安全、分析等各种各样的问题，传统的安全管理平台显得应对乏力。而通过天融信“大安管”构建起的技术体系，能够全面掌控日益扩展的安全信息范围，并进行更为准确的分析，体现更高的管理价值。

据了解，“大安管”平台除了具备传统安管平台数据采集、运行监测、响应报警、业务处理、综合分析等功能特点外，随着引擎管理层的增加，将众多安全引擎进行有机整合，在实现大数据的高效采集、存储、挖掘分析和可视化综合展示的同时，实现针对用户身份、终端管控、流量分析、业务审计、边界安全等多方面的统一安全策略管理。

风向标

当然，RSA大会也是信息安全技术和产品发展趋势的风向标。如山石网科展出了下一代智能防火墙（iNGFW）的最新产品和基于iNGFW的多种部署环境的解决方案。其下一代防火墙主打“智能”牌，大会上展出的两款iNGFW新品也属首次亮相，并将于今年4月在中国正式。同时，360“天”字号产品悉数亮相，包括2013年底刚刚的企业移动解决方案“360天机”，以及自称为“中国版FireEye”的APT防护产品“360天眼”等。

篇10

电力是人民生活、经济进步不可或缺的必需品，美国作为世界第一大经济体，提供可靠的电力供应是维持社会稳定、保证经济社会平稳发展的必然要求。但随着通用网络与信息技术在电力系统中的使用，病毒、网络攻击给电力生产带来了信息安全风险，尤其美国部分落后地区电网基础设施陈旧，测控与保护系统缺少安全防护机制，一旦遭受信息安全攻击，不仅造成本地区的电力故障，还可能影响北美地区的电力供应。2003年美国东北部和加拿大部分地区发生大面积停电就是典型的连锁反应事故。随着美国智能电网建设的推进，更加开放与友好的电网让美国的电力供应面临更多威胁。2009年的美国黑帽大会上就有人演示验证了蠕虫可以在24h内感染智能电表，使1.5万户家庭电力供应陷入瘫痪[1]。针对基础设施信息安全的严峻形势，美国联邦政府下属多个机构都对电力系统的信息安全给予高度重视，投入资金进行相关的研究与标准制定工作，经过近10a的发展，美国政府相关部门在工业控制尤其是电力系统信息安全防护方面，先后经历了交流研究、立法规范、推行标准和当前的智能电网安全试点投资建设阶段，目前信息安全工作已经取得了一定的成果，的标准和指南被世界范围内电力行业信息安全相关工作人员参考和使用。

本文在对美国电力行业信息安全相关政府部门和标准组织的工作进行总结的基础上，对影响力比较大的法规、标准、及相关指导文件进行了解读，并分析了美国电力行业信息安全工作的特点。

1美国电力行业信息安全管理模式

1.1美国电力行业信息安全研究与管理组织结构

美国联邦政府对电力系统的信息安全工作极为关注，国会多项法案，赋予下属多个部门管理权利与相关职能。在电力企业与机构信息安全监管方面，遵循已有的电力企业监管方式，授权联邦一级的联邦能源管理委员会(FederalEnergyRegulatoryCommission，FERC)监管包括信息安全标准在内的电力可靠性标准的推行。在电力行业信息安全研究与指导方面，美国能源部(DepartmentofEnergy，DOE)下属多个能源实验室从事信息安全的研究，研发的信息安全防护措施与技术直接用于电力相关示范项目中。在信息安全标准化方面，商务部下属美国国家标准技术研究院(NationalInstituteofStandardsandTechnology，NIST)致力于工业控制系统安全标准和智能电网信息安全标准的制定，形成了大量研究成果，为电力企业实施信息安全防护提供了指南。此外，美国国土安全部(DepartmentofHomelandSecurity，DHS)负责信息安全威胁分析与信息安全事件的应急响应，每年都组织包含电网等基础设施在内的大规模信息安全演练。

1.2国土安全部

美国国土安全部(DHS)是美国联邦政府的一个内阁部门，主要职责包括保护美国免受恐怖组织的攻击，同时在发生自然灾害时进行紧急响应。

DHS在2006年、2008年和2010年分别进行了3次网络风暴(cyberstorm)演习。网络风暴演习模拟美国关键基础设施遭受大规模网络攻击时，网络应急响应团体中各政府部分与相关企业联合应对的情况，旨在检测并加强政企合作的网络防灾和响应能力。

DHS还负责控制系统安全项目(controlsystemssecurityprogram，CSSP)的执行，通过联邦、州、地区政府部门和工业控制系统所有者、运营商和厂商的共同努力，降低关键基础设施面临的信息安全风险。项目下设工业控制系统联合工作组(industrialcontrolsystemsjointworkinggroup，CSJWG)，为联邦机构内所有关键基础设施和重要能源部门(criticalinfrastructureandkeystructures，CIKR)，以及工业控制系统私营企业提供交流的渠道，加速设计、开发和部署安全的工业控制系统，持续加强利益相关者在信息安全工作方面的合作。

1.1 能源部及相关单位

    1.3.1美国能源部

美国能源部(DOE)是美国联邦政府的能源主管部门，主要负责制定和实施国家综合能源战略和政策。具体职责包括：收集、分析和研究能源信息，提出能源政策方案，制定能源发展与能源安全战略，研究开发安全、环保和有竞争力的能源新产品等。在推进电力安全防护工作方面，DOE在2003年就提出了《保护SCADA系统信息安全的21步》，还资助美国电力科学研究院(ElectricPowerResearchInstitute，EPRI)和多个能源实验室进行电力系统信息安全风险与防护技术的研究。

1.3.2美国联邦能源管理委员会

美国联邦能源管理委员会(FERC)是一个内设于美国能源部的独立监管机构，前身是成立于1920年的联邦电力委员会(FederalPowerCommission，FPC)。委员会的主要职责是负责依法制定联邦政府职权范围内的能源监管政策并实施监管，具体包括监管跨州的电力销售、批发电价、水电建设许可证、天然气定价和石油管道运输费。

《2005年能源政策法案》授权FERC监督主干电网强制可靠性标准的实施。2007年7月，FERC批准由北美电力可靠性组织(NorthAmericanElectricReliabilityCorporation，NERC)制定的《关键设施保护》(criticalinfrastructureprotection，CIP)标准为强制标准，要求各相关企业执行，旨在保护电网，预防由于薄弱的访问控制、软件漏洞或其他控制系统漏洞而导致的信息系统攻击事件的发生。1.3.3北美电力可靠性协会北美电力可靠性组织(NERC)是一个非营利性组织，其前身是1968年6月成立的国家电力可靠性委员会(NationalElectricReliabilityCouncil，NERC)。1965年发生美国东北部大停电之后，各电力企业为促进北美电力传输的可靠性、保证电网输电能力，联合成立了该委员会。1981年由于加拿大和墨西哥的加入，NERC改名为北美电力可靠性协会(NorthAmericanElectricReliabilityCouncil)。NERC的主要工作包括组织制定电力系统运行标准、监督和推进标准的执行、评估系统的能力和提供培训服务。NERC还对重大的电力系统故障进行调查和分析，以防类似事件的再次发生。NERC的成立极大地推动了电力系统可靠性理论的研究及其在工程实际中的应用，同时也带动了世界各国电力可靠性管理工作的开展。

《2005年美国能源政策法案》提出成立“电力可靠性组织”(electricreliabilityorganization，ERO)，制定并推行强制可靠性标准。2006年，NERC被授予该职能。2007年，NERC正式更名为北美电力可靠性组织。NERC的一系列CIP标准，被FERC认证为强制标准，在美国50个州和加拿大部分省份强制执行。美国的电力公司一旦违反这些标准，将被处罚最高每天100万USD的罚金。

1.4美国电力行业信息安全标准研究与制定机构

    1.4.1美国国家标准技术研究院

美国国家标准与技术研究院(NIST)是美国商务部下属非监管联邦机构，其前身是1901年成立的美国国家标准局(NationalBureauofStandards，NBS)，1988年更名为美国国家标准与技术研究院。

NIST的职责是指导美国使用已有和新兴的信息技术来满足国家在社会、经济和政治等方面的要求。根据《2002年联邦信息安全管理法案》，NIST加强了信息安全标准、指南和相关技术的研究，完成了NISTSP800系列出版物。其中，NISTSP800-82《工业控制系统安全指南》和NISTSP800-53《联邦信息系统推荐安全措施》2份出版物与电力工业信息安全密切相关。

根据《2007年能源独立与安全法案》，NIST“主要负责协调开发一个包括协议和信息管理的模型标准框架，实现智能电网设备和系统的互操作性”。为了完成法案提出的要求，NIST制定了3阶段的工作计划，以快速建立一套最初的标准，并形成有效的工作流程，随着技术的革新持续对标准进行制订和实施。NIST为商业和其他智能电网利益相关者提供了一个开放的公共交流平台，通过该平台，相关人员可以对已有的标准进行识别，分析缺失的标准并提出亟需制定的标准。目前NIST已了NISTIR7628《智能电网信息安全指南》。

   1.4.2国际自动化协会

国际自动化协会（InternationalSocietyofAutomation，ISA)成立于1945年，是一家全球性的非盈利组织。主要从事自动化行业技术标准化工作。除了制定标准，ISA还从事认证、培训、会议组织、技术刊物出版等工作。

ISA的前身是美国仪表协会，2000年随着研究范围的扩大，更名为美国仪器、系统和自动化协会，后在2008年又更名为国际自动化协会。ISA下属ISA99委员会从事包括电网调度系统在内的工业控制系统的信息安全标准化工作，目前正在制定ISA99《工业自动化与控制系统安全》标准系列。

2美国电力行业信息安全工作主要成果

2.1关键设施保护CIP标准

2.1.1CIP标准的制定过程介绍

目前在全美强制推广的CIP标准最初名称是NERC1300，2005年NERC对NERC1300进行了更新并更名为CIP，分为CIP002-009共8个部分草案。CIP编制的目标是保证电网的可靠运行，覆盖对象包括供电公司、发电厂、电网运营商等电力企业。2006年4月，在经过4个版本的讨论与修改后，CIP标准第1版，同时了符合性实施计划[1'实施截止日期根据企业的不同定在2009—2010年之间。

2007年7月20日，FERC针对NERCCIP标准了一份《公共制定规则通知》[11]，将NERCCIP作为强制性标准进行推行，但对标准的8个部分提出了59项修改内容，要求CIP在2009年前进行修改。2008年末，CIP的修改进入了实质性阶段，在2009年9月末了CIP第2版，即CIP002-2至CIP009-2。但在标准的执行过程中，针对CIP执行效果不佳的问题，NERC对CIP标准要求进行了细化和调整，2011年1月了CIP第4版。

2.1.2CIP标准内容介绍

NERCCIP标准的核心部分是CIP-002至CIP-009，8个要求部分分别覆盖资产识别、安全管理、人员管理、访问控制、物理安全、系统安全、应急响应与灾难恢复，具体内容描述见表1。在提出要求的基础上，NERC制定了符合性实施计划，将标准的执行分为了资产评估、基本符合、符合和通过审计4个阶段，对不同的电力企业制定了不同的执行时间表和审计截止日期，电力企业在审计截止日期之前将CIP中要求的材料提交到NERC或州权威机构。

2.1.3CIP标准存在的问题

尽管CIP作为全美强制推行的第一个电力系统信息安全标准，已经在管理层面取得了重大突破，但是CIP在内容上仍存在很多不足。

首先，CIP-002《关键网络资产识别》中只要求电力企业自己选用风险评估方法识别重要的信息资产，而且倾向于防护基于通用网络技术的信息系统主机、终端，但对于继电保护装置、测控装置、变压器等重要的电力系统组件，CIP中却没有提到。电力企业可以根据自己的评估方法接受一定的信息安全风险，自主确定需要保护的资产。但是在实际操作中，很多电力企业都声称在进行了风险评估之后，没有需要保护的重要资产。比如在美国东南最大的一个区域，所有电力企业(包括核电在内)，都认为他们的发电系统对电网的可靠性没有影响，系统满足#-1定律，单一故障并不影响整个系统的稳定性，所以这些系统不属于重要资产[12]。但是他们并没有考虑到安全故障同时发生的情况。试想如果多个电站控制系统中都被植入了木马，而且同时发作，出现的状况将不亚于2003年的东北大停电。2009年4月，NERC的副主席兼首席安全官向NERC提交了一封信，信中称70%的美国电厂都认为自己的系统不是NERC的关键系统，30%的输电资产也被所属电力公司认为是非关键资产，而由于CIP没有覆盖配电，所以100%配电系统都不属于关键资产[13]。FERC在《公共制定规则通知》中对CIP的宽松条款表示不满，要求NERC重新考虑修改事宜，经过多版更新，目前的CIP第4版中虽然对资产进行了更近一步的定义，但是发电厂的资产基线设定值高达1500MW，仍有很多的发电设备将在防护要求之外，而且标准依旧没有考虑配电设施。

其次，CIP标准中要求的安全机制都是适用于商用信息系统的防病毒、安全配置等通用措施，主要用于解决调度中心的服务器和工作站的安全问题，而不是防护电厂和变电站的现场设备的。但对于目前美国变电站和电厂中的大部分现场控制器和可编程逻辑控制器（programmablelogiccontroller，PLC)等众多计算机处理能力低、结构简单的设备，这些措施则无法实施。而且，随着智能电网的推行，底层设备的智能化而引入的信息安全风险也是CIP标准必须面对的问题。

再次，CIP标准没有考虑配电系统和电力市场交易系统。配电的监控系统也是连接在NERC的调度通信网上的，配电监控系统的安全同样影响电网的安全。开放接入实时信息系统(openaccesssame-timeinformationsystem，OASIS)作为市场交易系统的一种，就在CIP的管理范围之外，它们一边连着EMS/SCADA系统，另一边就连着互联网，对电网的安全构成极大威胁。

根据NERC2011年3月的标准符合度情况统计数据，从2010年起，各电力企业和机构的CIP不符合项以每月100个的速度增长，而且这些不符合项中超过一半都还没有整改。CIP标准本身的缺陷和推行不力问题，使得美国国内很多专家对CIP是否真的能够提升全美电力系统的信息安全水平产生了巨大质疑。

2.2 NISTSP800-53和NISTIR7628

2.2.1 NISTSP800-53介绍

在美国国会将NERCCIP提升为强制要求的过程中，信息安全界始终有呼声推举安全防护覆盖面更广的NISTSP800-53作为强制标准。

NISTSP800-53是为了支持《2002年联邦信息安全管理法案》而制定的，该法案要求所有联邦机构都开发、记录并实施信息系统安全项目。作为法案实施的一部分，NIST提出了“风险管理框架”，将法案相关的标准和指南进行整合，帮助各机构制定实施信息安全项目，在法案的要求下，所有的联邦机构都必须强制执行。NISTSP800-53是“风险管理框架”的基础，其中包含管理、操作和技术3类安全控制措施(图2)，为机构实施信息安全项目提供了基本信息安全控制点。

2.2.2 NISTIR7628介绍

在美国政府将智能电网列入国家重点发展产业的同时，NIST为智能电网信息安全战略规划了一份报告NISTIR7628《智能电网信息安全指南》。作为国家层面智能电网信息安全防护战略规划与指南，NISTIR7628中提出了一个普适性的框架，电力企业可以根据该框架制定基于自身特征、风险与脆弱性的信息安全战略规划。而相关的电力设备厂商和管理部门也可以将该报告中的安全措施作为工作指南的基本素材。

NIST编制NISTIR7628的目的是对NISTSP1108《智能电网互操作标准框架与路线图》进行补充。NISTSP1108提出信息安全是需要优先解决的标准工作专题，NISTIR7628在此基础上，对智能电网的信息安全进行了深入的分析，提供了用于指导智能电网风险管理的相关内容。NISTIR7628的编制工作自2009年3月启动，经过了多轮公开讨论与修改，第3版最终在2010年8月。

NISTIR7628报告第3版全文分为3个分册。第1分册描述了用于识别高层安全要求的风险评估步骤，提出了智能电网概念模型和7个智能电网域、域中以及域间接口的逻辑接口架构，并将这些接口分为了22类，对每一类接口制定了高层安全要求。在第1分册的最后对智能电网系统与设备中的加密与密钥管理问题进行了讨论。第2分册主要对用户的隐私问题进行了讨论。报告中对智能电网中新技术、个人信息、社区信息、人们在居所中的行为、电动汽车的使用情况等信息涉及的隐私问题进行了分析。根据被普遍使用的隐私原则，建议电力企业对智能电网业务流程中的包含个人信息的数据流进行跟踪，将隐私风险降到最低，另外还建议电力企业对用户和相关人员进行智能电网隐私风险的培训，指导他们降低此类风险。第3分册是对前2册中提出高层安全要求的需求分析和其他相关资料的汇编。其中包含脆弱性分类方法和报告编制采用的“自下向上”的安全分析方法。此外，还包含了智能电网信息安全新技术研发专题，指明了保证高层可靠性与安全的技术方向。最后，对识别和梳理智能电网信息安全标准的过程进行了描述。

NISTIR7628最大的贡献之一是形成了智能电网的安全要求指南，这些安全要求的内容主要是出自NISTSP800-53附录I中工业控制系统的安全要求，是对NIST之前工业控制系统安全研究成果的继承。尽管这份报告内容翔实丰富，且对于实际防护具有指导意义，但与NISTSP800-53遭遇的尴尬境地一样，美国政府想在电力行业内推行NISTIR7628中的要求仍需要长时间的考量和多方利益的权衡。

2.3 ISA99和旧C62443的推进

除了政府层面从保卫国家基础设施安全的角度关注电力系统以及智能电网的安全防护外，安全厂商、监控系统与设备制造商也意识到了电力系统的安全产品与解决方案市场潜力巨大，在基于原有信息安全技术提供测控系统及设备附加安全服务的同时，厂商通过参与民间电力系统信息安全技术标准化工作来占领技术制高点，扩大影响力，提升自身竞争力。

ISA下属ISA99委员会从事工业控制系统的信息安全标准化工作，正在制定的标准系列ISA99《工业自动化与控制系统安全》未来将被IEC等同采用为IEC62443《工业通信网络一网络和系统安全》。

ISA99委员会在其工作计划中提到，未来《工业自动化与控制系统安全》系列标准包含有常识与术语、安全项目的建立与运行、系统的等级与要求和终端设备的技术要求等4部分内容，标准结构见图3。

在ISA99委员会进行标准制定的同时，ISA下属安全合规性委员会(ISAsecuritycomplianceinstitute，ISCI)成立了嵌入式设备安全保证(embeddeddevicesecurityassurance，EDSA)认证项目，提出了嵌入式设备安全功能要求、嵌入式设备开发要求和嵌入式设备网络协议健壮性要求等一系列嵌入式设备测评准则和流程文档，在一定程度上为嵌入式设备的厂商提供了设备安全功能指南。

设备与系统安全机制的标准化和对电力通信规约的安全改造标准化，可以从底层直接实现系统建设与更新过程中安全技术的产业化集成，对提高电力系统的安全风险抵御能力具有重要意义。ISA99委员会早在1997年就了工业控制与自动化信息安全技术的报告，是最早进行相关研究的组织之一，因此业界一直对由厂商和研究机构组成的ISA99委员会寄予巨大期望，希望该委员会制定的标准能够从本质上提高工业控制系统的信息安全技术防护能力。在欧洲和亚洲具有巨大影响力的IEC的加入，也为ISA99在全球的推广提供了有力的支持。但是由于工作量巨大，标准工作组内部组织不力，ISA99标准的编制工作进展缓慢，目前还没有成型的实质性成果。

3美国电力行业信息安全工作的特点

3.1 厂商掌握核心信息安全技术

由于美国信息技术发展起步较早，美国IT厂商掌握着大量信息安全的核心技术，而且信息安全的标准化工作都主要是美国有实力的厂商主导。以目前唯一的电力系统信息安全技术标准，电力规约通信安全标准IEC62351[2Q]为例，IEC62351-3《包含TCP/IP协议的安全规范》中使用的方法为“传输层安全协议”（transportlayersecurity，TLS)[21]，TLS协议是Certicom公司1999年在Internet工程任务组(Internetengineeringtaskforce，IETF)提出的。另外，Cisco、Microsoft等国外公司都掌握大量通信信息安全核心技术。

除了掌握核心技术知识产权，大量美国厂商还引领着信息安全技术的发展方向。随着电力监控终端的处理能力的提高和一次设备的智能化，设备自身面临的安全风险逐渐增多，大量自动控制系统生产厂商都在致力于将信息安全功能作为设备的增值能力，意图从系统底层奠定智能电网信息安全的基础。全球嵌入式及移动应用软件制造商WindRiver于2011年2月宣布与全球最大的专业安全技术公司McAfee达成一项战略合作协议，针对各类非PC设备，尤其是嵌入式及移动设备，共同开发、营销专属的安全防护解决方案并提供相关支持。

3.2 国家层面电力安全项目扶持力度大

美国联邦政府安排多个部门从事电力系统信息安全的相关工作，并对工业控制系统安全研究、智能电网标准化和企业技术研发项目提供强大的资金支持。早在2004年，DHS就向11家小公司提供了10万USD基金进行包括入侵检测系统(intrusiondetectionsystems，IDS)和密码算法在内的SCADA系统安全相关研究。2005年，为支持研究机构从事SCADA系统安全研究，DHS和NIST共同出资850万USD作为由Sandia实验室领导的信息架构保护协会（instituteforinformationinfrastructureprotection，I3P)2a期的研究经费。2007年，DOE向5个项目提供了790万USD进行电网以及其他能源基础设施的安全设备集成与先进技术应用。2009年底奥巴马提出政府将拨款34亿USD带动美国智能电网建设，2010年美国能源部为10个智能电网信息安全项目提供了3040万USD作为资金支持。2009年底确定的智能电网示范项目中很多项目都不同程度地包含信息安全的工作，其中DOE提供850多万USD示范项目基金，采用波音公司的军用级别信息安全软件技术改进区域输电系统计划与运行软件。美国多个部门连续在财年预算中提供工业控制和电力系统信息安全的项目基金，鼓励企业和学术机构从事相关的研究和研发工作，当前美国在电力系统信息安全方面的国际领先地位与政府的大力扶持密不可分。

3.3 电力行业信息安全监管力度较弱

美国在电力行业市场化进程中，随着民间资本的流入，政府对电力企业的监管控制程度都不同程度地降低了。在信息安全工作方面，尽管多部门齐抓共管，但在实际工作中国家层面各政府部门并不能强制要求电力企业如何进行信息安全防护工作，主要措施还是提供信息安全防护标准、指南，并且通过推动标准、指南的产业化应用逐步实现电力企业安全防护能力的提升。虽然FERC在强制推行CIP标准，但CIP的强度与我国的《电力二次系统安全防护规定》及配套方案相比，在控制力度和技术措施细度方面存在巨大差距，即使贯彻实行，也难以达到防御集团式攻击的能力。而且，FERC的监管权利有限，只能被动等待电力企业上报自审结果，并不具备有力的强制性监管方式，即使电力企业对实际标准执行工作敷衍了事，FERC也无可奈何。

3.4 电力企业信息安全工作基础较差

在电力市场竞争中，大部分美国电力企业更关注经济效益。由于受到20世纪90年代电力改革的影响，部分州的电网运营商利润被挤压，高额负债无法偿还、设备无法更新、电网老化严重和数字化程度低等现状严重制约美国电网的发展。在这样的形势下，企业投资者不愿意也没有资金从事信息安全防护工作。虽然近几年国家加大了这方面的资金投入，但对于大量的电力企业来说，信息安全的经验积累和意识转变仍需要时间。

在IT基础设施方面，大部分美国电力企业不具备用于生产控制业务的专用网络，仍使用互联网实现生产控制系统的广域连接，使得控制系统暴露在互联网上，为电网的生产控制引入巨大的风险。而且，目前各公司对信息安全工作的理解和重视程度不同，设定的信息安全防护目标和实现的防护效果也差异很大，防护薄弱的节点必然会成为整个北美互连电网抵御信息安全攻击的“短板”。