專家講述：后SG186時代國網的信息安全

2014-07-15 10:15:34 大云網　點擊量：評論 (0)

2008年某市電力局偶然發現，OA系統中竟然存在退休并已去世的前電力職工的帳號，并且該職工帳號權限仍有效。管理員嘗試刪除帳號，卻發現由于各市局OA帳號信息互為備份，一天之后該職工帳號權限被自動恢復，死灰復

2008年某市電力局偶然發現，OA系統中竟然存在退休并已去世的前電力職工的帳號，并且該職工帳號權限仍有效。管理員嘗試刪除帳號，卻發現由于各市局OA帳號信息互為備份，一天之后該職工帳號權限被自動恢復，死灰復燃……

　　SG186工程進行了三個年頭，從2006年國網的一紙“十一五”規劃，到如今，各省網系統相繼驗收，可以說是彈指一揮間，變化萬萬千。雖然整個工程還未最后完工，但通過強化信息采集能力，加快信息傳遞速度，提高信息處理效率，我們可以看到，國網信息化建設正呈現跨越式發展。“一個平臺、八大應用、六大保障”的目標也正在一步步的實現。

　　不可否認，SG186工程對于國網公司，乃至對于整個電力行業都是一個跨時代的事件。建立“縱向貫通、橫向集成”的一體化企業級信息集成平臺，上下信息暢通傳輸和數據共享的理念將為中國電力行業的信息化進程和未來發展方向定下一個基調。

　　但回過頭來，我們也不得不認識到SG186工程建設以來，反應出了一些問題，給國網整體信息化后的安全運營帶來了不少問題。

　　就SG186的建設構思來看，六大保障體系中首當其沖的就是“安全防護體系”，這說明在SG186工程規劃階段，就已經考慮到安全在電網信息化過程中的重要性，可是就目前建設情況來看，各省網考慮更多的是趕快將系統上線，并等待驗收，以完成任務。對于本當與信息化同步建設的安全防范管理，卻明顯滯后。造成這樣情況的原因一方面是各級單位對信息安全管理認識不足，另一方面也因為SG186工程所帶來的安全風險和威脅讓人著實始料不及和無從下手。

　　讓我們來看一個案例：

　　以上案例是某省電力公司在通過國網SG186驗收后發生的真實事件，可能可以做為現階段SG186信息安全現狀的一個代表。從中，我們至少可以看出兩個方面威脅：

　　1. 訪問權限管理缺失

　　SG186工程，制定了系統松緊耦合的建設方針，緊耦合系統的融會合流，松耦合系統一線貫通，無論如何建設都會造成系統的帳號設置和權限分配空前的繁復，如何有效的管理系統訪問權限，防止帳號被非授權的使用?如何保證那些省、市、縣各級單位離職的或是轉崗的職工不再擁有已不應該屬于他們的帳號和權限?這個問題將是未來一段時間內，電網信息安全的最大風險。

　　2. 系統漏洞風險

　　任何系統都有漏洞，微軟近期又發布了windows的最新補丁，修補系統漏洞。那么，國網有沒有建立各上線系統漏洞檢測、漏洞報告、問題處置、補丁檢測、補丁更新的控制呢?雖然，SG186工程中，主要引入的是已成熟的系統軟件，但如果對系統漏洞缺乏管理，將會對電網信息安全造成嚴重威脅。案例中帳號無法徹底刪除這個系統漏洞，就一線貫通的OA系統而言，其影響面是非常大的，如果沒有對它的風險有足夠的認識，一旦被利用，將會造成重大的后果。

　　三國赤壁，曹操舉百萬雄兵揮師南下，信心滿滿，卻最后被一把大火燒的慘敗而歸。這是我們很熟悉的赤壁大戰的故事，我們說曹操之所以失敗，并不是在于他戰船連橫的策略，也不是在于東吳詭計的狡猾，而是因為他對現狀和所存在的威脅認識不足，并且沒有采取等量的化解風險的方法。他可能考慮到會受火攻，但是沒有提前制定受火攻時的應急預案方法，或者考慮了防護方法，但沒有對防護方法的有效性進行驗證。最后造成了自己的慘敗。

　　現在的SG186工程，在某種意義上是不是類似于曹操的連鎖戰船策略?原本漏洞對于信息系統來說只意味一個省局或者幾個市局的小影響，是一個小隱患，到SG186后，成為一個全局性的、影響整個公司的大威脅。越是大規模的集合，其應對風險的能力將越弱，破壞所造成的后果也將越嚴重，這一點需要得到充分的認識。另外，對于這類系統漏洞，一般會影響很多部門和單位，如果沒有一個有效的發現，報告，處理，解決的機制，在沒有明確責任部門的情況下，是很難被徹底解決的。

　　以上分析的信息安全隱患只是拋磚引玉。可以確定的是，SG186工程各系統建設過程中會存在更多的信息安全隱患。

　　近期還發生了這樣一件事，美報報道：來自中國和俄羅斯的網絡間諜侵入美國電網后，留下了可能用來破壞電力系統的軟件程序。對于這則報道，我們姑且不論是否是間諜所為，但從信息安全的角度分析我們可以得到以下兩點收獲：

　　美國電力核心網又一次被證明可以從互聯網侵入。

　　這一事實告訴我們，電力核心網并不是與世隔絕的世外桃源。雖然這是個老生長談的話題，但是就國內電網來說，如果SG186工程造成通信數據網SGTnet的信息安全保障強度減弱，安全風險增加，那么對于調度數據網SGDnet中各系統來說，其被侵入的風險也將會大大增加。

　　美國又一次發現了電力系統的信息安全隱患。

　　如果說上一點是美國電網信息安全防護的恥辱的話，那么這一點應該是值得我們思考和學習的地方，為什么美國總能夠及時的找到自身存在的這些弱點和所面臨的威脅呢?自從2003年發生電網災難之后，美國更注意加強在電網信息安全防范和檢測上的力度、深度和廣度。這次的事件就是由美國情報部門的例行檢查時發現的。就這一點來說，如果同樣的事件發生在我國，我們能夠及時識別么?

　　“安全的前提在于正確識別出風險。”安言咨詢張威如是說。誠然，美國電網，雖然不斷在發現隱患，發現問題，引起公眾的恐慌，但是我們并不能認為它是不安全的，反而它可能會比世界上大部分國家的電網更安全。而對于對于國網，現在或者將來一段時間內必須要做的是，識別出SG186工程所來帶的安全隱患，評價它們可能造成后果的嚴重程度。因為只有找到那些安全隱患，并正確的評價它之后，所有采取的安全保障措施才是有的放矢的、有效的。

　　在這個層面上，引入全面而準確的信息安全風險評估將對SG186工程，乃至電網以后的信息化建設起到至關重要的作用。

　　對于風險評估，其實國網進行過實踐，因為長久以來，國網對于電力生產安全工作的開展一直是不遺余力的，很早便引入風險管理體系，做為安全工作的輸入和導向，本著防范于未然的理念，幫助國網形成了生產監督檢查機制，建立了各級的應急響應預案，確保了國家基礎設施的使用安全。

　　但這之前的風險評估更傾向于生產電路設備和二次系統等方面。對于支撐企業業務流運轉的通信數據網SGTnet信息化建設所引發的信息系統安全保障問題，卻更多的停留在硬件的購置及監控系統的上線上，很多情況是，技術手段上的防護已經達到，但其他方面的要求卻不盡如人意。即使2008年在全網開展的信息系統風險評估工作，也只是對各服務器及信息系統進行了漏洞掃描和滲透測試，雖然發現和解決一部分問題，但是僅以此，便想得到信息安全的有效保障還是遠遠不夠的。因此國網很有必要引入全面的信息安全風險評估和管理體系，來達到信息化過程中可持續的風險識別和控制。

　　在此過程中，可以開展以下階段工作：

　　1. 員工信息安全意識教育

　　對于信息安全工作的開展，不是系統管理部門的事，也不是系統使用部門的事，而是全體員工的事，必須要提高全體員工的信息安全意識。通過培訓和考核等措施，提高員工對公司信息安全的認識，讓信息安全成為業務開展的一部分，才能有效提高公司整體信息安全水平，也是信息安全工作得到有效的支持和推進。

　　2. 從下自上全面風險評估

　　在員工對信息安全工作有一定認識的條件下，可以按操作層、服務層、管理層，自下而上的開展風險評估工作。從各角度，審視公司軟硬件、人員、數據、服務等資產管理狀況，從技術和管理角度分析系統和流程漏洞，達到脆弱點全面識別的目的。

　　3. 風險評估日常化

　　信息安全不是一蹴而就的事，也并不是短期工作就能達到較高水平的，需要形成日常弱點發現，匯報，管理的機制，從日常基礎工作人員開始，發現問題，識別問題，分析問題，匯報問題，處理問題。建立從下到上的無障礙流轉的解決流程。這將使信息安全工作開展的更實際和有效。

　　浙江電力公司總經理趙義亮曾表示“信息安全與電力安全同等重要，要像抓電力安全生產一樣抓好信息安全工作。”并在省網內嘗試引入ISO27001國際標準，建立基于信息安全風險評估的信息安全管理體系。在風險識別和管理方面取得了一定的效果。

　　相信在“十二五”國網的信息化建設規劃中，一方面會要求在更廣的范圍內推廣SG186工程成果，另一方面，應該會更關注信息化進程對企業造成的信息安全威脅的控制。對于這一點，本文提供了一些思路和看法，但是更多有成效的工作還需要通過實踐的探求和摸索，才能達到最佳的實踐。

　　“對于安全保障來說，沒有問題是最大問題。”安言咨詢左金龍如是說。對于電網的信息化建設，或者對于SG186工程來說，引入全面的信息安全風險評估機制，從資產、構架、系統、工具、技術、流程、管理等各方面和角度著手，識別弱點，發現威脅，評價風險危害。將是信息安全體系最好的起點。