摘 要 從國家推行信息安全等級保護工作以來，電力行業結合行業信息系統功能特點和安全防護現狀，擬定了行業相關標準。本文在介紹電力行業信息安全等級保護要求的同時，描述了國家基本指標和行業特殊指標應用于等級保護測評工作的方法。

        1 引言

        電力信息系統不僅包括發電、輸電、變電、配電、用電等環節的生產、調度與控制系統，還包括生產、營銷等工作管理系統。此前，電力行業監管部門一直高度重視信息安全工作，于2005年頒發了《電力二次系統安全防護規定》(電監會5號令)[1]，后陸續制定了《電力二次系統安全防護總體方案》、《省級及以上調度中心二次系統安全防護方案》、《變電站二次系統安全防護方案》等。根據《關于開展全國重要信息系統安全等級保護定級工作的通知》(公信安[2007]861號文)[2]要求，電力行業作為首個行業單位率先組織開展信息安全等級保護工作。

        在電力生產不同環節中的信息系統在部署環境、系統功能、安全保障需求中存在非常大的差異，電力行業在開展信息安全等級保護工作時，采取了謹慎的態度，在試點示范的基礎上，持續挖掘電力系統自身的特點，逐漸形成了具有行業特色的信息安全等級保護需求。同時，國家公安部在《關于開展信息安全等級保護安全建設整改工作的指導意見》(公信安[2009]1429文)明確指出，重點行業信息系統主管部門可以按照《信息系統安全等級保護基本要求》[3]的具體指標，在不低于等級保護基本要求的情況下，結合系統安全保護的特殊需求，在有關部門指導下制定行業標準規范或細則，指導本行業信息系統安全建設整改工作。電力行業積極貫徹國家管理要求，在深入分析行業現狀和特點的同時，研究國家信息安全等級保護相關標準和管理規范，制定《電力行業信息系統安全等級保護基本要求》(送審稿)[4]，并選擇行業內具有代表性的信息系統，開展等級保護測評試點工作。

        本文在綜述電力行業信息系統安全等級保護基本要求的基礎上，具體描述了電力行業在開展信息安全等級保護測評工作時，協調應用等級保護要求基本指標和行業特殊指標的測評方法。

         2 電力行業信息安全等級保護標準綜述

        電力行業信息安全等級保護要求中貫徹鞏固了電力行業信息安全工作成果，在總體要求部分提出了電力企業應劃分不同安全分區、不同安全分區應具有不同安全防護要素的安全保護要求，并根據信息安全等級保護工作思路，總體要求由整體技術要求和通用管理要求組成。其中，整體技術要求中規定，電力生產企業、電網企業、供電企業內部基于計算機和網絡技術的業務系統，原則上劃分為生產控制大區和管理信息大區，生產控制大區可分為控制區和非控制區。并根據電力企業信息化工作管理要求，提出了不同安全保護等級的信息系統應成獨立的安全域[5]、電力企業的互聯網出口應歸集統一、調度數據網上應實現縱向數據認證加密傳輸等具有行業特色的安全保護要求。

       同時，電力行業根據電力行業信息系統特點以及電力行業信息系統安全防護的保障需求，將電力信息系統細分為管理信息系統類和生產控制系統兩大類，并根據這兩類系統的差異，在行業信息安全等級保護標準中對管理信息系統和生產控制系統分別提出了不同安全分區、不同安全防護等級、不同安全防護要點的信息系統等級保護要求。雖然電力行業針對不同類別的信息系統分別提出了具有一定差異的安全等級保護要求，但總的來說，行業要求是落實并強化國家信息安全等級保護要求。通過對國家標準和行業標準進行差異分析，可發現生產控制類系統和管理信息類系統的安全等級保護要求較國標中相應條款而言，存在的差異僅有落實、細化、加強、新增四種。并且電力行業信息安全等級保護要求中生產控制信息系統、管理信息系統的安全等級要求也具有逐漸加強的特點。

        3 電力行業信息安全等級保護標準的應用

       在電力行業信息安全等級保護測評中心組織的國家電網公司信息安全等級保護測評試點工作中，依據信息系統重要程度和使用范圍、覆蓋不同安全等級的原則，選取了具有代表性的二、三級管理信息系統共6個開展試點測評工作，被測評單位為網省級電力企業。

       某電力企業財務(資金)管理信息系統為試點測評信息系統之一，安全保護等級為三級，具體安全級別為S2A3G3。該系統包括財務應用相關的各系統，主要功能包括預算管理、核算管理、資金管理、電子支付等。

        3.1 等級保護測評工作中測評指標的選取

        開展電力企業信息安全等級保護測評工作時，一般來說，測評指標包括基本指標和特殊指標兩部分。基本指標依據信息系統確定的業務信息安全保護等級和系統服務安全保護等級，選擇國家標準《信息系統安全等級保護基本要求》中對應級別的安全要求作為等級測評的基本指標。基本指標的指標類別和數量見表3-1。

 

測評指標
技術/管理	安全類	數量
		S類	A類	G類	小計
		(2級)	(3級)	(3級)
安全技術	物理安全	1	4	25	30
	網絡安全	1	0	31	32
	主機安全	9	5	12	26
	應用安全	11	9	6	26
	數據安全	2	4	0	6
安全理	安全管理制度	0	0	11	11
	安全管理機構	0	0	20	20
	人員安全管理	0	0	16	16
	系統建設管理	0	0	45	45
	系統運維管理	0	0	62	62
合      計					274（控制點）

 

表3-1 基本指標

        同時，應結合行業和系統的實際，依據信息系統確定的業務信息安全保護等級和系統服務安全保護等級，選擇《電力行業信息系統安全等級保護基本要求》中對應級別的安全要求作為本次等級測評的特殊指標。特殊指標的指標類別和數量見表3-2。

 

測評指標
技術/管理	安全類	數量
		S類	A類	G類	小計
		(2級)	(3級)	(3級)
安全技術	物理安全	1	4	25	30
	網絡安全	1	0	37	38
	主機安全	9	5	12	26
	應用安全	11	9	6	26
	數據安全	2	3	0	5
安全管理	安全管理制度	0	0	11	11
	安全管理機構	0	0	20	20
	人員安全管理	0	0	16	16
	系統建設管理	0	0	45	45
	系統運維管理	0	0	62	62
合      計					279（控制點）

 

 

表3-2 特殊指標

        此外，還有總體要求指標。《電力行業信息系統安全等級保護基本要求》(送審稿)中管理信息系統類和生產控制類系統總體要求均由整體技術要求和通用管理要求組成，如管理信息類系統整體技術要求規定：管理信息大區網絡與生產控制大區網絡應物理隔離;兩網之間有信息通信交換時應部署符合電力系統要求的單向隔離裝置;管理信息大區網絡可進一步劃分為內部網絡和外部網絡，兩網之間有信息通信交換時防護強度應強于邏輯隔離;具有層次網絡結構的單位可統一提供互聯網出口;二級系統統一成域，三級系統單獨成域;三級系統域由獨立子網承載，每個域有唯一網絡出口，可在網絡出口處部署三級等級保護專用裝置為系統提供整體安全防護。通用管理要求規定：如果本單位管理信息大區僅有一級信息系統時，通用管理要求等同采用一級;如果本單位管理信息大區含有二級及以下等級信息系統時，通用管理要求等同采用二級;如果本單位管理信息大區含有三級及以下等級信息系統時，通用管理要求等同采用三級。

         3.2等級保護測評工作中測評指標的應用

        在信息安全等級保護試點測評工作中，由于被評估單位信息資產種類、數量多，在一段時間內不可能逐一進行全面檢測，三級系統的檢測采用抽樣方法進行，其目的是確定技術脆弱性檢測的重點對象和目標。抽樣檢測的對象和目標必須要能代表信息系統的安全現狀，否則評估結果就會偏離實際情況。試點測評工作中，對電力企業的電力財務(資金)管理系統資產抽樣時遵循了典型性、全面性兩原則。典型性原則即對同一應用中軟件配置完全相同的資產抽樣部分資產，全面性原則即對財務(資金)管理系統中每一類資產都要抽樣。

        根據選取的指標項以及系統測評對象選取結果，在前期系統調研的成果上，現場需要開發作業指導書以及編制實施方案。在測評工作中，通過測評以及核查的結果綜合分析可給出系統面臨的風險，并在安全技術測試和安全管理核查的基礎上，根據系統的特點，發現和分析安全控制間、層面間以及區域間的相互關聯關系，以及安全控制間、層面間和區域間是否存在安全功能上的增強、補充和削弱作用以及系統整體結構安全性、不同系統之間整體安全性等，最終給出改進建議。

        總體要求測評時，可分別從技術和管理的角度進行測評。進行整體技術要求測評工作時，通過查看和核實網絡拓撲圖、人員訪談等方法，了解到電力公司信息網絡分為管理信息大區和生產管理大區，兩大區之間有信息通信交換的需求，因此采用了正/反向隔離裝置，以滿足管理信息大區至生產管理大區、生產管理大區至管理信息大區之間的數據交換需求。根據公司信息系統安全防護總體方案要求，公司管理信息大區又分為信息內網和信息外網，兩網之間采用強邏輯隔離裝置，且雙網隔離方案已實施。電力企業財務管理信息系統重要應用部署在內網，有外網交互功能的應用將前端署在外網，關鍵數據處理部分部署在內網。電力公司信息內網采用冗余技術設計網絡結構，并且單個系統由獨立子網承載，單獨劃分安全域，每個域的網絡出口唯一。系統與系統之間、二級單位與本部之間均部署了防火墻，啟用了訪問控制功能。進行通用管理要求測評工作時，由于電力公司管理信息大區含三級及以下等級信息系統，所以確定通用管理要求等同采用三級。

        應用基本指標和特殊指標進行測評時，一般是按照測評項一條一條分別進行測評的。具體可采取的測評方式有：使用問卷調查表，對通信系統進行初步的系統調研，掌握系統的主要功能和業務流程。調閱定級報告，詳細了解評估范圍內的二次系統及其包含的信息資產，為下一步測評指標的選取做好準備;在用戶許可的情況下，對通信系統的關鍵設備和關鍵系統進行安全漏洞掃描、手工配置檢查等安全技術測試，對網絡拓撲結構進行合理性分析，對應用系統進行安全性分析，發現和分析系統安全技術方面所面臨的風險;采用安全核查表的形式從管理層面和技術規范執行角度，對通信系統進行現場的安全管理核查，了解到包括人的因素在內的系統運行狀況。通過對核查結果的分析，發現和分析系統安全管理方面所面臨的風險。根據不同的測評方式、測評內容等，執行現場測評后，會得到多個測評證據。對多個測評證據需進行單項結果判定、單元測評結果判定，最終進行整體測評。

         4 結論

        本文介紹了電力行業信息安全工作和信息安全等級保護工作的開展情況，對國家信息安全等級保護基本要求和電力行業信息安全等級保護基本要求進行了差異比較。在電力行業開展信息安全等級保護試點測評工作的背景下，本文描述了協調應用等級保護要求基本指標和行業特殊指標的測評方法以及具有電力系統特色的總體要求的測評方法。電力行業信息安全等級保護試點測評工作范圍逐漸擴大，各電力企業之間存在一定的差異和差距，等級保護試點工作的開展較大程度上的推動了電力行業信息安全工作的進展，同時由于智能電網等新技術的應用，電力信息系統的自動化、互動化、信息化特征越來越明顯，這些都將對電力行業等級保護測評工作的測評方法提出更大的挑戰。