合規性管理在水電廠IT治理中的應用及其效果

2013-12-16 14:24:56 電力信息化　點擊量：評論 (0)

　　素有北有豐滿，南有古田之稱的古田溪水電廠是一個一廠多站集中管理的國有中型發電企業。全廠由4個梯級電站、12臺機組組成，總裝機容量為27 6萬千瓦，多年平均發電量約8億多千瓦時，在福建電網中擔負著調峰、

　　素有“北有豐滿，南有古田”之稱的古田溪水電廠是一個一廠多站集中管理的國有中型發電企業。全廠由4個梯級電站、12臺機組組成，總裝機容量為27.6萬千瓦，多年平均發電量約8億多千瓦時，在福建電網中擔負著調峰、調頻、調壓和事故備用任務。近年來，古田溪水電廠不斷完善健全經營管理機制，始終貫徹“安全第一、預防為主”的方針，堅持安全文明生產，不斷夯實安全生產基礎，強化企業管理，企業整體素質逐年提高;進一步加快設備更新改造步伐，不斷提高設備的健康水平和自動化水平，梯級電站逐步實現微機監控，企業生產正朝著“無人值班、少人值守”的現代化一流管理目標邁進。

　　1 水電廠IT系統對合規性管理的迫切需求

　　目前水電廠的網絡系統主要由電力調度網絡和辦公應用網絡兩部分構成。

　　電力調度網絡具有分散控制、統一聯合運行、高度依賴信息化的特點，因此其安全級別甚至超過了電信行業。此外，水電廠信息化已經深入電力生產和管理的全過程，建立在網絡架構上的跨地區信息網開始逐步建立，水電廠對信息系統的合規性管理要求日漸趨高，并把合規性管理納入電廠生產、經營和管理體系。由于信息共享的需要，水電廠內部網絡需要24×7與網絡相連接，以便于異地分支機構、合作伙伴、用戶的各種訪問，這在提高工作效率的同時也使電力企業對于信息資源共享環境下的權限管理、內容管理、資源管理變得更加重要。另外，水電廠內部人員在使用過程當中，發生的誤刪文件、誤操作等行為也極易造成系統故障甚至崩潰，必須引起重視。

　　同時，水電廠辦公網絡運行著電力經營系統、OA系統、ERP系統、財務系統等其它管理辦公類應用系統，如何保障這些系統的高效運行，必須加強合規性管理，結合企業管理政策、企業發展戰略和規劃，實現善治的IT系統管理。

　　古田溪水力發電廠目前的應用系統主要有：計算機監控系統、DMIS(檢修申請、電量上報、模擬市場)、電力市場系統、故障錄波等。在生產數據網絡建設之前，主要是通過微波、電力廣域網(MIS網)和撥號與調度數據傳送。

　　通過對水電廠IT系統現狀的分析和安全需求分析，我們認為必須加強IT信息系統的合規性管理，尤其迫切需要解決以下幾方面的安全問題：

　　1. 引入集中用戶管理技術，將全系統的用戶進行集中管理，一方面降低系統管理的復雜度和難度，更重要的是通過用戶的集中管理來規避用戶管理混亂的問題，從而使得全系統的用戶管理可以嚴格地按照相關的安全規定、安全策略來有效地實施。

　　2. 引入強身份認證技術，提升原有的身份認證強度，杜絕出現口令泄漏、共用賬號、盜用賬號等問題。

　　3. 引入審計機制，不僅要對網絡訪問的結果進行監督，更重要的是要對訪問過程進行全程的監督，其目的就是要加強內部控制;作為一個高度信息化的行業，水電廠的IT系統成為內控的重點。

　　4. 在審計的基礎上，引入訪問控制機制，更合理地管理IT系統的資源及其訪問權限。審計是一種事后稽查機制，更多地起到威懾和事后追查的作用;而控制機制則可以有效地遏制信息資源的盜用、濫用，避免信息資產遭到人為破壞。

　　在充分理解水電廠IT系統合規性管理的前提下，加強IT系統的安全建設，最終的目的是要使IT系統更加穩定、有序，因此，對安全系統提出了很高的要求，即：安全技術的實施，應盡量減少對原系統的繞動，包括對原系統穩定性、處理能力的影響等，應該降低到最小的程度。

　　基于上述情況，我們采用了以啟明星辰天玥網絡安全審計系統(業務網型)為核心，加強水電廠合規性管理的解決方案。

　　2 合規性管理在水電廠IT治理中的應用

　　2.1 合規性審計系統工作原理

　天玥網絡安全審計系統基于“IP數據俘獲→應用層數據分析→審計和響應”實現各項功能，設計中充分貫徹了平臺化的思路;由于采用旁路接入的工作模式，使得天玥系統在實現各種安全功能的同時，對原系統的繞動和影響降到最低。

　　圖1 天玥網絡安全審計系統的工作原理

　　天玥網絡安全審計系統主要實現以下安全功能。

　　1. 應用級的安全審計和響應：特有的“審計策略庫”可以深入到應用層協議(如操作命令、業務操作過程)實現詳細的安全審計，并根據安全策略采取諸如記錄、審計、告警、阻斷等響應。

　　2. 提供多視角的審計報告：根據實時記錄的網絡訪問情況，提供多種安全審計報告，更清晰地了解系統的使用情況以及安全事件的發生情況，并可根據這些安全審計報告進一步修改和完善“審計策略庫”。

　　2.2 合規性審計系統應用部署

　　天玥系統通過網絡旁路偵聽的方式對網絡數據流進行采集、分析和識別，并對應用層協議進行完整還原，根據制定的安全審計策略進行審計響應。網絡旁路監聽技術的優勢是：不影響用戶的網絡結構;不影響用戶的網絡性能;不影響用戶的應用業務。

天玥網絡安全審計系統由以下3大部分構成。

　　1. 管理軟件：天玥管理控制臺，安裝于Windows系列操作系統之上，提供管理控制界面，審計報表的輸出等。

　　2. 天玥審計引擎：基于專門硬件構建，根據安全策略對俘獲的數據進行比對、分析，并做出響應動作，如告警、阻斷等。審計引擎的“嗅探端口”需要連接到交換機的“鏡像目的”端口上，以獲取網絡通信數據;“管理和阻斷”端口需要分配一個合法的IP地址，連接到交換機的普通通信端口上。

　　3. 天玥審計數據中心：基于專門硬件構建，主要用于接收天玥審計引擎的數據、負責審計數據的存儲。需要分配一個合法的IP地址，連接到交換機的普通通信端口上。

　　1.1 通過實時審計和控制實現合規性管理

　　實時審計和控制功能由天玥網絡審計引擎完成，天玥網絡審計引擎有兩種類型的端口。通過“管理端口”接受管理，并從天玥審計數據中心那里獲取所有的安全策略;通過“信息嗅探端口”獲取通信流量進行解析，使用“審計策略庫”對過往的信息進行實時的比對，當發現越權訪問或違規操作時，通過“管理端口”同時向客戶端和受保護的主機和服務發出阻斷信息;需要審計記錄的原始信息、審計信息則通過“管理端口”發送給天玥審計數據中心進行存儲和整理。

　　天玥系統獨具特色的“審計策略庫”設計，使得天玥系統不但具備了功能強大的安全審計功能，更使得天玥系統具備了網絡安全分析工具及“應用層IDS”的特征。用戶可以自己定義符合業務特征的“應用策略庫”。

　　天玥系統在配置不同類型的“審計策略庫”后，即具備了應用層審計及響應的功能。“審計策略庫”可以靈活地制定數據俘獲、安全審計及響應策略，根據系統實際的運行情況輸出恰當的審計報告，更全面、更有重點地了解和掌握系統的運行狀況。

　1.2 審計信息的整理和輸出

　　審計信息的整理、輸出，以及各種安全策略的解析、存儲、分發等，均由天玥審計數據中心完成。

　　天玥審計數據中心采用經裁減、加固、改進的Linux操作系統，自行設計的數據庫，各種審計信息、安全策略信息均存儲在該數據庫中。

　　在天玥管理控制臺上，提供了多種查詢方法，并能自行定義審計報表的內容。

　　天玥系統同時也提供了用戶可自定義內容的審計報表輸出功能，通過天玥管理控制臺，可以自定義審計報表。

　　Web日志管理中心是一個功能強大的審計報表系統，系統是Web的形式對外提供服務，用戶可以在任何一臺機器上通過IE瀏覽器登錄Web日志管理中心進行審計數據的查詢和統計。

　　2 合規性管理的價值回報

　　目前天玥系統在古田溪水力發電廠已得到了初步的應用，通過實施以天玥系統為基礎的合規性管理系統，水電廠從以下五個方面獲得IT治理的價值回報。

　　2.1 滿足合規性要求，順利通過IT審計

　　目前，越來越多的單位面臨一種或者幾種合規性要求。電力企業面臨電監會等相關政策和法規并遵循等級保護的合規性要求。天玥系統提供了一種獨立的審計方案，有助于完善組織的IT內控與審計體系，從而滿足各種合規性要求，并且使組織能夠順利通過IT審計。

　　2.2 有效減少核心信息資產的破壞和泄漏

　　對電力企業的業務系統來說，真正重要的核心信息資產往往存放在少數幾個關鍵系統上(如數據庫服務器、應用服務器等)，通過使用天玥系統，能夠加強對這些關鍵系統的訪問控制與審計，從而有效減少核心信息資產的破壞和泄漏。

　　2.3 有效控制運維操作風險，便于事后追查原因與界定責任

　　電力企業里負責運維的部門通常擁有目標系統或者網絡設備的最高權限(掌握root帳號的口令)，因而也承擔著很高的風險(誤操作或者是個別人員的惡意破壞)。由于目標系統不能區別不同人員使用同一個帳號進行維護操作，所以不能界定維護人員的真實身份。天玥系統提供基于角色的訪問控制與審計，不但能夠有效地控制運維操作風險，還能夠有效地區分不同維護人員的身份，便于事后追查原因與界定責任。

　　2.4 有效控制業務運行風險，直觀掌握業務系統運行的安全狀況

　　業務系統的正常運行需要一個安全、穩定的網絡環境。對運維部門來說，網絡環境的安全狀況事關重大。天玥系統提供業務流量監控與審計事件統計分析功能，能夠直觀地反映網絡環境的安全狀況。

　　2.5 實現獨立審計與三權分立，完善IT內控機制

　　從內控的角度來看，IT系統的使用權、管理權與監督權必須三權分立。在三權分立的基礎上實施內控與審計，有效地控制操作風險(包括業務操作風險與運維操作風險)。天玥系統基于網絡旁路監聽的方式實現獨立的審計與三權分立，完善IT內控機制。

　　3 小結

　　合規性管理的這五個方面指明了電力企業中高層管理者為保證IT 運作有效實施而必須重點關注的工作內容。而為了使這五個方面能夠落實到具體的IT 管理工作中，IT 系統合規性管理還必須能夠保證總體戰略目標從上而下的分解與執行，并且確保在組織的全部范圍內深入推行。