信息通信安全性评价体系构建及应用

导语：信息通信安全性评价体系构建及应用一文来源于网友上传，不代表本站观点，若需要原创文章可咨询客服老师，欢迎参考。

摘要：文章从提升信息通信系统支撑国家电网公司“三集五大”体系深化工作出发，提出构建信息通信融合的“信息通信安全性评价体系”，编制评价体系的标准及查评依据，并开展了试点查评。通过信息通信安全性评价的构建，实现了对信息通信系统事前安全管理、事中科学管控及事后的查漏治理，有效促进了信息通信专业安全管理水平的不断提升。

关键词：信息；通信；融合；安全性评价

0引言

安全性评价是促进电网整体安全水平提升的重要措施，长期以来在输电网、城市电网及电网调度专业开展，形成了以上专业领域完善的安全评价体系。随着国家电网公司“三集五大”体系建设的深化，作为电网生产运行支撑的信息通信系统正发挥着越来越重要的作用。由于管理机构的设置，机构改革前，信息专业安全性评价偏重于管理信息网络的建设、维护，输电网、城市电网和电网调度系统安全性评价中均未涵盖信息专业，缺少对电力信息专业系统性评价的方法；同时，电力通信专业安全性评价仅作为一个分支专业纳入调度系统安全性评价内容中。该情形已不适应于“三集五大”体系建设后信息通信全面支撑公司生产运营的要求，迫切需要适应信息通信融合的新形势，按照管理架构面对信息通信各级管理和支撑单位，涵盖所有电力系统信息通信设备和业务，从规划、设计、建设、检修、运维全过程开展信息通信安全性评价体系的设计，补充完善电网安全性评价体系信息通信环节。同时，进一步加强信息通信安全性评价方法和实施过程的研究，实现信息通信系统安全管理水平的全面提升。

1评价背景

信息通信安全性评价是依照信息安全标准对信息通信系统及其处理、传输和存储的信息的机密性、完整性和可用性进行科学评价的过程。随着通信技术和信息技术的迅猛发展，信息和通信2个专业在技术层面的趋同性越来越高，通信技术逐步由底层向应用层延伸，信息技术逐步由顶层向传输层扩展。目前，融合的信息通信技术（ICT）已成为发展的主流，技术的融合促进了信息通信架构和业务的融合。坚强智能电网以信息通信平台为支撑，以智能控制为手段，包含电力系统的发、输、变、配、用和调度各个环节，实现“电力流、信息流、业务流”的高度一体化融合，对信息通信的支撑能力和安全提出了更高的要求。目前电网信息通信安全面临极大挑战，据统计，北京奥运期间，监测并阻截了大量来自互联网的非正常访问；上海世博会期间，电监会及供电企业遭受多次高风险攻击。当前国家电网公司已完成信息通信组织架构和业务的融合，电力生产管理模式和信息通信业务需求的变化，使得信息通信安全性综合评价标准和评价机制的研究迫在眉睫。同时，融合如大数据、云计算、物联网、移动互联网等信息通信新技术的应用，对电力信息通信安全提出了新的挑战。至今业界对信息安全性评价主要基于安全标准和过程方法进行评估。较为典型的包括ISO17799、NISTSP800-30、NISTSP800-26，对于信息安全评价的方法有决策树、层次分析法、模糊评价法等[1-2]。ISO17799标准提供了一个完整的切入、实施、维护和文件化组织内部的信息安全框架，系统地涵盖了信息系统的11个方面、36个目标和134项安全控制，但是由于缺乏指标计算，其可操作性不强。NISTSP800-30与NISTSP800-26是美国国家标准技术局从管理、技术和操作3个层面提出的安全管理方法。信息保障技术框架（InformationAssuranceTechnicalFramework，IATF）是美国国家安全局（NSA）制定的，为保护美国政府和工业界的信息与信息技术设施提供技术指南[3-5]。IATF从整体、过程的角度，强调人、技术、操作这3个核心，把信息安全保障分为保护网络和基础设施、保护区域边界、保护计算环境、支撑基础设施4个领域。IATF对我国信息安全工作的发展和信息安全保障体系的建设起到重要的参考和指导作用。ITSEC是欧洲的安全评价标准，将安全概念分为功能与评估2部分，采用了安全分级管理。在信息通信融合的背景下，电力系统信息通信安全性包含更广泛的意义，不仅包括信息安全，还包括信息通信设备、业务应用，同时也涵盖了管理措施、基础设施等方面。电力信息通信安全性评价是一个系统性、整体性、全覆盖的工作。目前电力信息通信安全性评价总体来说缺少系统性和整体性，信息通信分别从各自的需求对安全进行评价。随着“三集五大”战略的实施，电力信息通信承载了信息流和业务流，涵盖了电力信息采集、传输、处理和存储的各个环节，在专业融合背景下，对电力信息通信的安全性评价方案的完善与融合迫在眉睫。

2评价目标

电力信息通信安全性评价是一个系统性的评价过程，在确立评价目标时，应具备以下特征。1）适应信息通信专业融合新要求。电力信息通信的融合是一个有机的、无缝的融合，是以系统融合为基础，以业务融合为支撑，对电力信息传输、处理流程的全面整合。因此，信息设备、通信设备以及系统要支撑融合，其安全性的评价方法和方式要体现业务融合、设备融合和系统的整合。2）适应管理深化的新要求。电力信息通信的安全性要在安全保障机制、管理体系及监督考核体系方面做好安全管理，对于安全措施的落实和具体实施形成制度保障，确保安全措施落地。3）满足技术发展的新要求。电力信息通信安全性综合评价，对评价指标要进行科学的分解与详细的量化规划，对各个指标根据实际进行分级分类，形成科学的规划层次，以便于对相应指标的重要性进行科学的判断。国家电网公司“三集五大”体系建设深化完善以来，信息通信专业在安全管理方面，缺乏系统规范的手段，无法对专业管理、系统缺陷等方面的安全风险进行全面梳理与管控，部分安全问题得不到及时有效的整改和处置，客观上增加了系统安全风险带来的威胁。构建信息通信安全性评价体系并开展实际应用，需要深入分析和研究信息通信安全管理的现状，剖析存在的困难和问题，形成一整套完善细致的安全性评价标准和评价机制；通过及时找出工作中的薄弱环节，重新梳理管理工作重点和重大安全风险点，有助于指导、细化确定年度信息通信管理工作目标，制定并落实具有针对性的管控措施，实现年度信息通信管理工作的目标化和精益化管理；同时进一步完善“三集五大”建设配套安全管理体系，促进信息通信系统整体安全水平再上新台阶，实现信息通信专业的管理现代化、决策科学化、运维标准化，全面支撑电网和公司各项业务需求和发展。根据评价的特征及需要解决的问题，可以确定信息通信安全性评价的主要目标是：明确信通工作的责任体系、保障体系和监督体系，实现安全基础的自我诊断，进一步促进安全生产；基于信通融合的安全性评价，优化资金投入组合，促进信息通信系统整体安全水平再上新台阶；提升企业对信息通信事件的预见性、控制和前置处置的能力。

3评价流程及模型

3.1评价流程

借鉴电网安全性评价的评价流程[6-7]，从闭环管理、客观评价、整改落实及成效监督的角度出发，信息通信安全性评价的流程主要包括评价指标体系规划、专家查评、结果分析、建议反馈等阶段。在信息通信安全性评价体系中，评价过程划分为4个阶段（见图1）：准备、安全点辨识、安全性评价、安全风险控制。准备阶段主要对现场调研和搜集资料；安全点辨识指对电力信息通信设备、业务等可能会带来安全隐患的点进行标识；安全性评价指对电力信息通信安全点进行分级分类，选择评价方法和模型，由定性分析到定量分析，确定指标权重参数；安全风险控制指对安全风险点实施风险控制和应急预案的制定。与电力信息通信安全性评价过程相对应的，电力信息通信安全性评价流程如图2所示。评价流程的关键是确定安全性评价的指标体系，通过安全风险点辨识，对安全性评价的内容分级分类，形成清晰的层次关系；第2步是设计调查表，根据实际情况确定评价参数模型，邀请专家对各个指标的相对重要性进行分析；第3步是根据参数模型对结果进行分析；第4步是根据计算分析的结果与实际情况，收集反馈建议；最后是根据反馈建议完善参数模型，形成电力信息通信安全性评价方案。

3.2评价模型

网络信息安全风险评估对整个网络系统自身存在的脆弱性、将会面临的威胁、所采取的安全措施以及一旦安全事件发生对这个系统造成的损失和危害程度进行综合的分析，从而对整个系统面临的安全风险进行评估，为进一步提高系统的安全性提供依据[6]。根据电力信息通信专业实际情况，电力信息通信安全性评价的框架采用三维立体模型，分为管理、指标和业务系统3个维度（见图3）。在管理方面，分为管理体系、保障体系和监督考核体系，各参评单位要求有完善的方案和相应的措施；在指标方面，分为综合信息运行指标、通信运行指标、桌面运行指标和台账等，要求从指标量化方面达到安全要求；在业务系统方面，针对系统软硬件安全要素，分为信息通信业务、信息通信系统和信息通信设备。

3.3评价内容

基于管理、指标与业务系统三维模型，吸收相关规程、规范和管理制度内容，结合信息通信专业在安全生产管理的工作要求，针对各项安全要素，编制《信息通信安全性评价标准》（以下简称《标准》）。《标准》是查评工作的依据，其主要内容涵盖安全管理体系、建设管理、调运检管理、信息系统安全防护、电力通信系统及设备、信息通信机房及电源设施、应急管理七大部分，评价项目共152项，全面覆盖信息通信规划、建设、调度、运维、检修、应急全过程。评价从安全管理体系出发，明确信息通信安全管理的组织体系、制度体系、安全监督、例行工作和教育培训工作5个方面的具体查评要求；在建设管理环节，着重从设计阶段的信息通信安全管理、开发阶段的信息安全管理、系统上下线与设备接入管理、等级保护测评、信息通信安全监理与现场安全管控五方面强化要求；调运检管理方面分别涵盖调控、运行、检修及其指标的具体查评要求；信息系统安全防护方面覆盖应用系统、网络、主机存储及数据库、安全设备、终端及外设和灾备系统六大部分；通信系统及设备从网络结构与配置、通信设备、重要业务系统与通道、通信线缆等4个方面开展查评；信息通信机房及电源设施重点查评机房环境和电源等辅助设施；应急管理查评组织体系、预案体系、保障体系、处置与评估等4部分。评价总体采用“分小节评估汇总，加权归一化评估”的方法评估。在准备阶段由各层级单位根据自身信息通信专业的实际情况确定评价的范围，在管理现状不适合评估项要求的情形下，可将该评估项列为不参评项，并在对应小节的评分汇总时剔除该力信息与通信技术项，从而便于提高评价的普适性和通用性，并能够做到对信通专业的全面覆盖，不留死角。因而可适用于电力系统各级单位信通专业安全性评价工作，具有较好的普适性和推广价值。各部分评分分值依据项目所处环节特点设定可较全面地反映出信息通信管理和系统整体安全管控的实际需要。对于不同层级的评价单位，由于部分查评项目的适用性差异，导致评价总分的绝对值差异，因而在查评时，除评分之外还同时出具查评报告，并在报告中对评分数据进行归一化处理。“查评报告”的最终得分规定为以相对得分率来表示，以便直观反映被查评单位信息通信系统整体安全性水平的量化情况。

3.4评价方法

从更加有利于发现存在问题和促进提升的角度出发，信息通信安全性评价采用自查评和专家查评2个阶段开展。自查评阶段由被查单位自行组织内部查评，并对自查评中发现的相关问题组织自查自纠、整改落实。自查单位根据实际情况，总结经验，分析问题，形成评价自查评估报告；专家查评是在各单位自查评的基础上，组织专家开展现场查评。电力信息通信安全性评价查评流程如图4所示。图4电力信息通信安全性评价查评流程从提升查评工作规范性，评分的权威性、客观性和公正性角度出发，在评价体系构建过程中，对照《标准》，编制《信息通信安全性评价查评依据》（以下简称《依据》），对查评项目所依据的相关标准、规程、规范和制度等进行引用并作出说明，便于清晰的解释查评标准中的相关查评要求，确保安全性评价过程中评分得当，真实完整的对参评单位给出准确的量化评分。为做好安评查评后的后续整改工作，将《信息通信安全性评价结果汇总表》、《信息通信安全性评价发现问题及整改情况表(自查单位用)》和《信息通信安全性评价发现问题及整改建议表（查评组用）》等后续工作指导性材料纳入评价体系，指明所存在的安全风险点及隐患问题，给出整改提升建议，协助被查单位梳理信息通信专业安全管理薄弱环节，进一步明确信息通信系统规划目标及建设项目需要解决的重点、难点问题，为信息通信项目的立项及管理决策提供基础依据。

4评价实例

结合《标准》和《依据》的编制，对江苏某供电公司开展了试查评。在该单位的试点查评工作中，总体参与评价项目总项目数152项，实际参评项152项，无调整项目，查评中共发现问题24项，重点问题4项，实得得分率90.7%。该公司经过整改，完成整改问题4项，整改完成率16.7%。暂时未完成整改项目制定了整改计划，并落实相关项目资金计划，确保整改计划按期完成。通过评估，发现专职运维人员编制缺员、安全管理制度有待完善、调度大楼及重要通信站通道路由不具备等重点问题。根据查评结果形成“信息通信安全性评价发现问题及整改计划表”，梳理编写出《信息通信安全性评价建议项目》，为储备项目的申报提供了依据。

5评价成效与特点

信息通信安全性评价面向信通专业横向全过程，纵向全层级，有效支撑国家电网公司“三集五大”改革深化的新需求，满足信通系统两级调度、三级运维的新思路，遵循企业信息化统一架构、系统集成、数据共享的新部署，符合信息通信融合支撑公司“两个转变”的新要求。结合信通系统两级调度、三级运维的新思路，《标准》在调运检环节查评中，重点强化调控环节中的运行方式集中管理，深化运行管理环节中的专业巡检和日常巡检具体要求，落实检修环节中的计划申报审批和两票工作要求。结合信息安全治理提升工作需要，在信息安全环节查评中，进一步明确系统上下线管理要求、信息系统备案管理、信息终端申请与接入管理要求。对信息通信安全管理体系、建设、机房与辅助设施统一查评要求，充分体现信息通信融合的管理理念。增加信息通信应急管理查评内容，以形成信通专业支撑配套电网应急体系的总体应急管理架构，满足信通融合后“三集五大”建设深化新要求。

6结语

信息通信安全性评价首次在信通融合的背景下，从信息通信管理全过程对信息通信系统进行量化评估，进一步补充完善了电网安全性评价信息通信环节，有利于进一步提升信息通信安全运行管理水平。然而，信息通信技术发展日新月异，生产运营管理变化具有不确定性，近年来信通专业的终端通信接入网、农村供电所信息通信系统、移动信息通信系统等未在评价中涉及，下一步将结合相关标准和规范的出台，补充完善评价中相应内容，提高评价的全面性和普适性。

作者:韦磊 李小永 周剑 李秋生 娄征 单位:1. 国网南京供电公司 2. 国网江苏省电力公司

参考文献：

[1]胡涛,黄健,鄢威,等.一种电力生产安全性评价方法研究及应用[J].电力系统保护与控制,2009,37(16):46-49.HUTao,HUANGJian,YANWei.Anevaluationmethodofelectricpowerproductionsecurityanditsapplication[J].PowerSystemProtectionandControl2009,37(16):46-49.

[2]周洁.模糊综合评价模型在网络系统安全性评估中的应用研究[J].网络安全技术与应用,2013(12):78-79.ZHOUJie.Fuzzycomprehensiveevaluationmodelintheapplicationofthenetworksystemsecurityevaluationresearch[J].NetworkSecurityTechnology&Application,2013(12):78-79.

[3]ISO17799—2005.Informationtechnologysecuritytechniquescodeofpracticeforinformationsecuritymanagement[S].2005.

[4]NISTSpecialPublication800-30(R1).Guideforconductingriskassessments[S].2009.

[5]NISTSpecialPublication800-26.Securityself-assessmentguideforinformationtechnologysystems[S].2009.

[6]马丽英,李凤荣.电力企业安全性评价改进[J].电力学报,2009,24(2):165-166.MALi-ying,LIFeng-rong.Improvementsonsafetyassessmentofelectricpowerenterprises[J].JournalofElectricPower,2009,24(2):165-166.

[7]霍鹏.安全性评价在电力一次设备安全生产管理中的作用探讨[J].经营管理者,2013(30):375-376.