电力行业网络安全等级保护及关键信息基础设施保护.pdf

责任编辑赵志远SpecialProject特别企划电力行业网络安全等级保护及关键信息基础设施保护长春嘉诚信息技术股份有限公司同陈旭壮朱琳编者按：探讨了新能源发电企业电力监控系统的安全状况，分析了电力行业关键信息基础设施建设的要点。电力行业中的发电企业是公共基础设施。其中，装机容量较大的发电企业的重要信息系统被确定为国家关键信息基础设施。国家能源局出台相关规定并提出：需完善发电力行业网络安全治理和综合防控，加强行业关键信息基础设施安全保护；组织认定电力行业关键信息基础设施，制定关键信息基础设施安全规划，建立关键信息基础设施网络安全监测预警制度，组织开展关键信息基础设施网络安全检查检测，做好网络安全事件应对处置，实施关键信息基础设施保护；有效提升电力行业中信息系统网络安全监测预警和主动防御能力，积极应对电力行业由于系统互联导致的各类网络攻击、数据安全等各类安全风险，落实国家网络安全法律法规和关键信息基础设施安全保护要求，推动电力行业网络安全建设，实现电力行业网络安全发展目标。网络安全现状及面临的问题近些年，新能源发电企业中的风电和光伏等新能源电厂建设较多，而且新能源电厂中部署有风功率预测和光功率预测系统。这类系统需要连接互联网，内部网络与企业的核心生产发电系统相连接，存在较大的安全隐患许多电厂在建设时，按照等级保护相关要求进行了系统安全规划。在系统建设方案中规划并配置了相应的入侵检测、防火墙和网络安全监测设备。在系统建设实施过程中，按照建设方案采购了相应的安全设备，所采购的安全产品均具有计算机信息系统安全专用产品销售许可证，安全产品符合关键信息基础设施安全保护条例（以下简称条例第十九条要求，进一步提高了电厂系统的安全性。但在实施过程中，有部分单位并未严格按照等级保护相关要求进行安全策略的配置。在系统上线前，未进行安全监测和风险评估，未对系统的设施设计、建设、运行和维护等服务实施全流程安全管理，未按照条例相关要求，在等级保护基础上进一步加强防护。在系统上线后，未实施严格的安全管理和应急响应管理，未定期进行系统应急预案的演练，或者演练后未针对演练过程中发现的问题进行完善。在系统日常运维中，未实现用户管理权限的分离，存在一人身兼系统管理员、安全管理员投稿信箱 2023.1141SpecialProject特别企划/责任编辑赵志远和审计管理员等安全问题。例如，某电厂三级系统经等保测评后，发现主要存在以下安全问题。安全物理环境层面：机房内部署设备无法实现温度和湿度自动调节，存在因管理不及时导致机房湿度失衡使设备损坏的风险；未部署自动消防系统，一旦发生火灾，无法自动灭火。安全通信网络层面：通信网络层面未基于可信根，对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，存在因遭受网络攻击而影响业务连续性的风险。安全区域边界层面：未基于可信根，对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，存在因遭受网络攻击而影响业务连续性的风险。安全计算环境层面：网络设备未限制管理终端接入方式或网络地址范围，存在攻击者在任意地点登录系统攻击网络的风险；安全设备未对登录的用户分配账户和权限，仅具有超级管理员，未禁用默认账户的访问权限，存在用户权限过大导致非授权访问的风险；服务器仅具有超级管理员，未禁用默认账户的访问权限；服务器未禁用或限制默认账户，存在用户权限过大导致非授权访问的风险；数据库未设置登录失败处理参数；数据库连续登录失败次数过多，登录连接超时的时间过长，存在口令被暴力破解的风险；应用系统数据和业务数据未进行异地备份，存在数据丢失且无法及时恢复的风险。安全管理中心层面：部分设备未配置审计管理员，均由超级管理员审计特定的命令及操作，存在被越权滥用的风险。安全管理人员层面：由相关职能部门专门负责人员录用工作，具有明确规定负责人员录用工作的部门或人员的制度，对被录用人员进行审查，审查内容包括学历、学位要求，专业技术水平要求，以及安全管理知识要求等，但缺少对被录用人员的审查记录。安全建设管理层面：已明确保护对象的安全保护等级，说明定级的方法和理由；安全设计文档已根据信息系统确定的网络安全等级，采取相应等级的安全防护措施，并根据安全需求调整安全措施；系统的安全性测试验收独立进行，审查主机端口开放情况，只开放业务必须使用的端口，使用网络分析工具分析通信数据包在局域网内的传输情况，未采用加密方式进行数据通信，与地方和总部之间的通信传输采用加密方式，使用恶意代码检测软件，对相关软件进行检测，未发现系统中存在恶意代码；由系统主管部门负责工程实施过程的管理。安全运维管理层面：已指定专人负责维护机房基本设施，具有机房进出登记表和机房出入登记记录，主要记录来访时间、来访人员、离开时间及具体携带的物品等相关信息，以及机房的基础设施维护记录、维护人、维护设备、故障原因、维护结果等方面内容；对机房访问控制、机房物品带入带出、机房环境安全等进行规定，执行情况与制度规定一致；对员工调离、办公桌面安全、人员离开座位、敏感文件等进行规定，已明确不存储敏感数据和不在重要办公地点接待外来人员；但系统不具备数据备份和恢复记录，存在数据丢失无法恢复的风险。关键信息基础设施建设重点建立健全本单位网络安全保护制度和责任制，保障人力、财力、物力投入。明确企业主要负责人 2023.11投稿信箱责任编辑赵志远SpecialProject特别企划领导关键信息基础设施安全保护，对本单位作为关键信息基础设施的重要系统安全保护负总责，及时应对重大网络安全事件处置工作，定期组织研究解决重大网络安全问题。建立健全个人信息和数据安全保护制度，严格履行个人信息和数据安全的保护责任，对关键信息基础设施从设计到建设、运行、维护等全流程实施安全管理。需设置专门的网络安全管理机构，同时配置相应的负责人、技术人员和管理人员，组织认定网络安全关键岗位，并对关键岗位的负责人、管理人员和重要技术人员进行安全背景审查。健全网络安全管理及评价考核制度，制定重要信息系统的关键信息基础设施保护计划；组织推动重要信息系统网络安全防护能力建设，同时对重要信息系统开展网络安全监测工作，定期进行网络安全测评和风险评估。定期组织开展网络安全工作考核，针对考核结果，提出奖励和惩处建议；每年组织网络安全教育、网络安全培训。按照国家法律法规及电力行业网络安全事件应急预案编制要求，制定符合本单位实际情况的应急预案。要定期开展针对应急预案的演练，在演练后，及时进行总结，不断改进预案。当发生网络安全事件时，能够及时处置各类网络安全事件。要在等级保护基础上加强安全防护。目前，新能源发电企业基本上已经落实等级保护制度，按照等级保护要求，每年对三级系统进行测评，每两年对二级系统进行测评。但是在系统测评过程中，某些企业仍然存在较多的安全问题未进行整改。为保障电力企业信息系统安全稳定运行，信息系统应同步规划、同步建设、同步使用，严格按照规划进行系统建设，确保实施过程中相关安全策略配置到位。在日常使用过程中，严格实现系统管理员、安全管理员和审计管理员“三员”用户操作权限分离。在日常运行过程中，设置专门的网络安全管理机构。在系统运行期间，做好系统运行监测和网络安全监测，每年至少进行一次安全检测、风险评估和等级保护测评。针对以上工作中发现的安全问题，及时进行安全整改。当发生信息系统中断运行或者主要功能故障，影响发电机组运行或者电力输出，造成较大经济损失，或者发现特别重大网络安全威胁时，网络安全管理部门应及时将相关问题向电力行业主管部门、国家网信部门、公安机关等部门报告。结语总的来说，严格执行条例、等级保护制度的电力企业，提升了企业重要信息系统网络安全防护能力，提升了电力企业整体安全防护能力。1.电力企业网络安全建设应在等保合规基础上，针对重要信息系统、重要网络和业务数据做到针对性监控与保护，具备应对常见攻击行为的网络安全监测及防御能力。2.建立电力企业网络安全管理体系，有利于企业及时发现网络安全事件，及时采取有效的防护措施，提高人员网络安全意识，有效规避企业关键信息基础设施建设和运维过程中存在的安全风险。3.电力企业应建立集安全防护、态势感知、应急处置为一体的动态网络安全防护体系，及时发现网络攻击行为，并进行合理处置。4.电力企业建立有效的风险评估体系，定期对本单位信息系统进行风险评估和等级保护测评，为本单位的网络安全建设、网络安全防护策略的调整、网络安全管理制度的优化提供有力支撑。N投稿信箱 2023.1143