SG186工程進(jìn)行了三個(gè)年頭，從2006年國網(wǎng)的一紙“十一五”規(guī)劃，到如今，各省網(wǎng)系統(tǒng)相繼驗(yàn)收，可以說是彈指一揮間，變化萬萬千。雖然整個(gè)工程還未最后完工，但通過強(qiáng)化信息采集能力，加快信息傳遞速度，提高信息處理效率，我們可以看到，國網(wǎng)信息化建設(shè)正呈現(xiàn)跨越式發(fā)展。“一個(gè)平臺(tái)、八大應(yīng)用、六大保障”的目標(biāo)也正在一步步的實(shí)現(xiàn)。

 

　　不可否認(rèn)，SG186工程對(duì)于國網(wǎng)公司，乃至對(duì)于整個(gè)電力行業(yè)都是一個(gè)跨時(shí)代的事件。建立“縱向貫通、橫向集成”的一體化企業(yè)級(jí)信息集成平臺(tái)，上下信息暢通傳輸和數(shù)據(jù)共享的理念將為中國電力行業(yè)的信息化進(jìn)程和未來發(fā)展方向定下一個(gè)基調(diào)。

 

　　但回過頭來，我們也不得不認(rèn)識(shí)到SG186工程建設(shè)以來，反應(yīng)出了一些問題，給國網(wǎng)整體信息化后的安全運(yùn)營帶來了不少問題。

 

　　就SG186的建設(shè)構(gòu)思來看，六大保障體系中首當(dāng)其沖的就是“安全防護(hù)體系”，這說明在SG186工程規(guī)劃階段，就已經(jīng)考慮到安全在電網(wǎng)信息化過程中的重要性，可是就目前建設(shè)情況來看，各省網(wǎng)考慮更多的是趕快將系統(tǒng)上線，并等待驗(yàn)收，以完成任務(wù)。對(duì)于本當(dāng)與信息化同步建設(shè)的安全防范管理，卻明顯滯后。造成這樣情況的原因一方面是各級(jí)單位對(duì)信息安全管理認(rèn)識(shí)不足，另一方面也因?yàn)镾G186工程所帶來的安全風(fēng)險(xiǎn)和威脅讓人著實(shí)始料不及和無從下手。

 

　　讓我們來看一個(gè)案例：

 

　　2008年某市電力局偶然發(fā)現(xiàn)，OA系統(tǒng)中竟然存在退休并已去世的前電力職工的帳號(hào)，并且該職工帳號(hào)權(quán)限仍有效。管理員嘗試刪除帳號(hào)，卻發(fā)現(xiàn)由于各市局OA帳號(hào)信息互為備份，一天之后該職工帳號(hào)權(quán)限被自動(dòng)恢復(fù)，死灰復(fù)燃……

 

　　以上案例是某省電力公司在通過國網(wǎng)SG186驗(yàn)收后發(fā)生的真實(shí)事件，可能可以做為現(xiàn)階段SG186信息安全現(xiàn)狀的一個(gè)代表。從中，我們至少可以看出兩個(gè)方面威脅：

 

　　1. 訪問權(quán)限管理缺失

 

　　SG186工程，制定了系統(tǒng)松緊耦合的建設(shè)方針，緊耦合系統(tǒng)的融會(huì)合流，松耦合系統(tǒng)一線貫通，無論如何建設(shè)都會(huì)造成系統(tǒng)的帳號(hào)設(shè)置和權(quán)限分配空前的繁復(fù)，如何有效的管理系統(tǒng)訪問權(quán)限，防止帳號(hào)被非授權(quán)的使用?如何保證那些省、市、縣各級(jí)單位離職的或是轉(zhuǎn)崗的職工不再擁有已不應(yīng)該屬于他們的帳號(hào)和權(quán)限?這個(gè)問題將是未來一段時(shí)間內(nèi)，電網(wǎng)信息安全的最大風(fēng)險(xiǎn)。

 

　　2. 系統(tǒng)漏洞風(fēng)險(xiǎn)

 

　　任何系統(tǒng)都有漏洞，微軟近期又發(fā)布了windows的最新補(bǔ)丁，修補(bǔ)系統(tǒng)漏洞。那么，國網(wǎng)有沒有建立各上線系統(tǒng)漏洞檢測(cè)、漏洞報(bào)告、問題處置、補(bǔ)丁檢測(cè)、補(bǔ)丁更新的控制呢?雖然，SG186工程中，主要引入的是已成熟的系統(tǒng)軟件，但如果對(duì)系統(tǒng)漏洞缺乏管理，將會(huì)對(duì)電網(wǎng)信息安全造成嚴(yán)重威脅。案例中帳號(hào)無法徹底刪除這個(gè)系統(tǒng)漏洞，就一線貫通的OA系統(tǒng)而言，其影響面是非常大的，如果沒有對(duì)它的風(fēng)險(xiǎn)有足夠的認(rèn)識(shí)，一旦被利用，將會(huì)造成重大的后果。

 

　　三國赤壁，曹操舉百萬雄兵揮師南下，信心滿滿，卻最后被一把大火燒的慘敗而歸。這是我們很熟悉的赤壁大戰(zhàn)的故事，我們說曹操之所以失敗，并不是在于他戰(zhàn)船連橫的策略，也不是在于東吳詭計(jì)的狡猾，而是因?yàn)樗麑?duì)現(xiàn)狀和所存在的威脅認(rèn)識(shí)不足，并且沒有采取等量的化解風(fēng)險(xiǎn)的方法。他可能考慮到會(huì)受火攻，但是沒有提前制定受火攻時(shí)的應(yīng)急預(yù)案方法，或者考慮了防護(hù)方法，但沒有對(duì)防護(hù)方法的有效性進(jìn)行驗(yàn)證。最后造成了自己的慘敗。

 

　　現(xiàn)在的SG186工程，在某種意義上是不是類似于曹操的連鎖戰(zhàn)船策略?原本漏洞對(duì)于信息系統(tǒng)來說只意味一個(gè)省局或者幾個(gè)市局的小影響，是一個(gè)小隱患，到SG186后，成為一個(gè)全局性的、影響整個(gè)公司的大威脅。越是大規(guī)模的集合，其應(yīng)對(duì)風(fēng)險(xiǎn)的能力將越弱，破壞所造成的后果也將越嚴(yán)重，這一點(diǎn)需要得到充分的認(rèn)識(shí)。另外，對(duì)于這類系統(tǒng)漏洞，一般會(huì)影響很多部門和單位，如果沒有一個(gè)有效的發(fā)現(xiàn)，報(bào)告，處理，解決的機(jī)制，在沒有明確責(zé)任部門的情況下，是很難被徹底解決的。

 

　　以上分析的信息安全隱患只是拋磚引玉。可以確定的是，SG186工程各系統(tǒng)建設(shè)過程中會(huì)存在更多的信息安全隱患。

 

　　近期還發(fā)生了這樣一件事，美報(bào)報(bào)道：來自中國和俄羅斯的網(wǎng)絡(luò)間諜侵入美國電網(wǎng)后，留下了可能用來破壞電力系統(tǒng)的軟件程序。對(duì)于這則報(bào)道，我們姑且不論是否是間諜所為，但從信息安全的角度分析我們可以得到以下兩點(diǎn)收獲：

 

　　美國電力核心網(wǎng)又一次被證明可以從互聯(lián)網(wǎng)侵入。

 

　　這一事實(shí)告訴我們，電力核心網(wǎng)并不是與世隔絕的世外桃源。雖然這是個(gè)老生長(zhǎng)談的話題，但是就國內(nèi)電網(wǎng)來說，如果SG186工程造成通信數(shù)據(jù)網(wǎng)SGTnet的信息安全保障強(qiáng)度減弱，安全風(fēng)險(xiǎn)增加，那么對(duì)于調(diào)度數(shù)據(jù)網(wǎng)SGDnet中各系統(tǒng)來說，其被侵入的風(fēng)險(xiǎn)也將會(huì)大大增加。

 

　　美國又一次發(fā)現(xiàn)了電力系統(tǒng)的信息安全隱患。

 

　　如果說上一點(diǎn)是美國電網(wǎng)信息安全防護(hù)的恥辱的話，那么這一點(diǎn)應(yīng)該是值得我們思考和學(xué)習(xí)的地方，為什么美國總能夠及時(shí)的找到自身存在的這些弱點(diǎn)和所面臨的威脅呢?自從2003年發(fā)生電網(wǎng)災(zāi)難之后，美國更注意加強(qiáng)在電網(wǎng)信息安全防范和檢測(cè)上的力度、深度和廣度。這次的事件就是由美國情報(bào)部門的例行檢查時(shí)發(fā)現(xiàn)的。就這一點(diǎn)來說，如果同樣的事件發(fā)生在我國，我們能夠及時(shí)識(shí)別么?

 

　　“安全的前提在于正確識(shí)別出風(fēng)險(xiǎn)。”安言咨詢張威如是說。誠然，美國電網(wǎng)，雖然不斷在發(fā)現(xiàn)隱患，發(fā)現(xiàn)問題，引起公眾的恐慌，但是我們并不能認(rèn)為它是不安全的，反而它可能會(huì)比世界上大部分國家的電網(wǎng)更安全。而對(duì)于對(duì)于國網(wǎng)，現(xiàn)在或者將來一段時(shí)間內(nèi)必須要做的是，識(shí)別出SG186工程所來帶的安全隱患，評(píng)價(jià)它們可能造成后果的嚴(yán)重程度。因?yàn)橹挥姓业侥切┌踩[患，并正確的評(píng)價(jià)它之后，所有采取的安全保障措施才是有的放矢的、有效的。

 

　　在這個(gè)層面上，引入全面而準(zhǔn)確的信息安全風(fēng)險(xiǎn)評(píng)估將對(duì)SG186工程，乃至電網(wǎng)以后的信息化建設(shè)起到至關(guān)重要的作用。

 

　　對(duì)于風(fēng)險(xiǎn)評(píng)估，其實(shí)國網(wǎng)進(jìn)行過實(shí)踐，因?yàn)殚L(zhǎng)久以來，國網(wǎng)對(duì)于電力生產(chǎn)安全工作的開展一直是不遺余力的，很早便引入風(fēng)險(xiǎn)管理體系，做為安全工作的輸入和導(dǎo)向，本著防范于未然的理念，幫助國網(wǎng)形成了生產(chǎn)監(jiān)督檢查機(jī)制，建立了各級(jí)的應(yīng)急響應(yīng)預(yù)案，確保了國家基礎(chǔ)設(shè)施的使用安全。

 

　　但這之前的風(fēng)險(xiǎn)評(píng)估更傾向于生產(chǎn)電路設(shè)備和二次系統(tǒng)等方面。對(duì)于支撐企業(yè)業(yè)務(wù)流運(yùn)轉(zhuǎn)的通信數(shù)據(jù)網(wǎng)SGTnet信息化建設(shè)所引發(fā)的信息系統(tǒng)安全保障問題，卻更多的停留在硬件的購置及監(jiān)控系統(tǒng)的上線上，很多情況是，技術(shù)手段上的防護(hù)已經(jīng)達(dá)到，但其他方面的要求卻不盡如人意。即使2008年在全網(wǎng)開展的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作，也只是對(duì)各服務(wù)器及信息系統(tǒng)進(jìn)行了漏洞掃描和滲透測(cè)試，雖然發(fā)現(xiàn)和解決一部分問題，但是僅以此，便想得到信息安全的有效保障還是遠(yuǎn)遠(yuǎn)不夠的。因此國網(wǎng)很有必要引入全面的信息安全風(fēng)險(xiǎn)評(píng)估和管理體系，來達(dá)到信息化過程中可持續(xù)的風(fēng)險(xiǎn)識(shí)別和控制。

 

　　在此過程中，可以開展以下階段工作：

 

　　1. 員工信息安全意識(shí)教育

 

　　對(duì)于信息安全工作的開展，不是系統(tǒng)管理部門的事，也不是系統(tǒng)使用部門的事，而是全體員工的事，必須要提高全體員工的信息安全意識(shí)。通過培訓(xùn)和考核等措施，提高員工對(duì)公司信息安全的認(rèn)識(shí)，讓信息安全成為業(yè)務(wù)開展的一部分，才能有效提高公司整體信息安全水平，也是信息安全工作得到有效的支持和推進(jìn)。

 

　　2. 從下自上全面風(fēng)險(xiǎn)評(píng)估

 

　　在員工對(duì)信息安全工作有一定認(rèn)識(shí)的條件下，可以按操作層、服務(wù)層、管理層，自下而上的開展風(fēng)險(xiǎn)評(píng)估工作。從各角度，審視公司軟硬件、人員、數(shù)據(jù)、服務(wù)等資產(chǎn)管理狀況，從技術(shù)和管理角度分析系統(tǒng)和流程漏洞，達(dá)到脆弱點(diǎn)全面識(shí)別的目的。

 

　　3. 風(fēng)險(xiǎn)評(píng)估日常化

 

　　信息安全不是一蹴而就的事，也并不是短期工作就能達(dá)到較高水平的，需要形成日常弱點(diǎn)發(fā)現(xiàn)，匯報(bào)，管理的機(jī)制，從日常基礎(chǔ)工作人員開始，發(fā)現(xiàn)問題，識(shí)別問題，分析問題，匯報(bào)問題，處理問題。建立從下到上的無障礙流轉(zhuǎn)的解決流程。這將使信息安全工作開展的更實(shí)際和有效。

 

　　浙江電力公司總經(jīng)理趙義亮曾表示“信息安全與電力安全同等重要，要像抓電力安全生產(chǎn)一樣抓好信息安全工作。”并在省網(wǎng)內(nèi)嘗試引入ISO27001國際標(biāo)準(zhǔn)，建立基于信息安全風(fēng)險(xiǎn)評(píng)估的信息安全管理體系。在風(fēng)險(xiǎn)識(shí)別和管理方面取得了一定的效果。

 

　　相信在“十二五”國網(wǎng)的信息化建設(shè)規(guī)劃中，一方面會(huì)要求在更廣的范圍內(nèi)推廣SG186工程成果，另一方面，應(yīng)該會(huì)更關(guān)注信息化進(jìn)程對(duì)企業(yè)造成的信息安全威脅的控制。對(duì)于這一點(diǎn)，本文提供了一些思路和看法，但是更多有成效的工作還需要通過實(shí)踐的探求和摸索，才能達(dá)到最佳的實(shí)踐。

 

　　“對(duì)于安全保障來說，沒有問題是最大問題。”安言咨詢左金龍如是說。對(duì)于電網(wǎng)的信息化建設(shè)，或者對(duì)于SG186工程來說，引入全面的信息安全風(fēng)險(xiǎn)評(píng)估機(jī)制，從資產(chǎn)、構(gòu)架、系統(tǒng)、工具、技術(shù)、流程、管理等各方面和角度著手，識(shí)別弱點(diǎn)，發(fā)現(xiàn)威脅，評(píng)價(jià)風(fēng)險(xiǎn)危害。將是信息安全體系最好的起點(diǎn)。