做好“第五空間”的安全與保護云南電網信息安全取得好成績

2013-11-19 14:06:17 大云網　點擊量：評論 (0)

信息作為一種資源，它的普遍性、共享性、增值性、可處理性和多效用性，使其對于人類具有特別重要的意義。信息安全的實質就是要保護信息系統或信息網絡中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的

信息作為一種資源，它的普遍性、共享性、增值性、可處理性和多效用性，使其對于人類具有特別重要的意義。信息安全的實質就是要保護信息系統或信息網絡中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的安全性。信息安全性主要是指信息的完整性、可用性、保密性和可靠性。

云南電網公司信息中心成立以來，以“管理提升年”活動為契機，大力加強信息安全管理工作力度，堅持管理與技術并重，從管理體系、風險控制、基礎設備和運行服務等方面入手，積極推進信息系統安全等級保護、南網一體化信息安全風險評估、“十八大”信息安全保障等各項工作，不斷提高信息安全綜合防護能力，采取多種措施防范信息安全事件的發生，確保公司網絡與信息系統的安全運行。全年未發生影響公司安全與形象的信息安全事件，圓滿完成了年度各項信息安全任務,確保了信息安全零事故。

萬丈高樓平地起

“在今天的世界上，網絡空間已經成為繼海陸空天之后的‘第五空間’”。云南電網公司信息中心安生部主任張建文這樣形容網絡與信息的重要性，“‘第五空間’其實不是我的發明，只是我比較認同這種說法，它比較形象地說明了信息網絡安全的重要性。如何保障這一空間的安全是我們成立信息中心以來考慮得最多的問題，而我們認為制度建設是最為基礎的工作，所以，我們牢牢抓住這一切入點，大力加強標準制度的調研、分析和擬定”。在云南電網公司信息部的指導下，信息中心根據南方電網公司相關標準，結合云南電網公司信息化現狀和“十二五”信息化發展要求，配合省公司信息部編制完成《云南電網公司綜合網絡及綜合網絡安全建設規范》、《云南電網公司信息機房建設規范》、《云南電網公司供電局信息安全建設技術規范》和《云南電網公司局域網建設技術規范》，通過一系列的標準、規范，明確各地市供電局的IT基礎設施建設基準要求，對各供電局的IT基礎設施建設提供參考基線。配合公司信息部，完成《云南電網公司信息安全保障體系》以及信息安全相關制度的修編工作，構建了信息安全的堅實基礎。

“清理、優化、規范”一個都不能少

“‘木桶理論’特別適用于我們信息安全，安全往往會從最短板處被突破，”張建文告訴記者，“去年我們重點進行了互聯網出口清理優化工作，清理那些低矮的門，把不規范的門關掉，主要開展了業務合并、統一和分類等工作，嚴格對外服務審批制度，防止堡壘從最低處被攻破。”張建文用通俗易懂的語言解釋了信息中心開展的清理優化工作。為加強對外服務應用系統安全，降低信息安全風險，按照云南電網公司要求，信息中心開展了互聯網出口清理優化工作，一是完成公司對外服務應用系統清理工作，共清理出121臺對外服務主機，最終關閉了70臺主機對外服務，剩余51臺對外提供服務的主機已進行備案登記；二是完成對外服務應用系統域名使用規范清理工作，將公司所有對外應用系統的互聯網域名按南網要求統一到了csg.cn上；三是對各單位提供在對外互連出口及互聯網域名整改時的相關技術支持及配合工作，確保各項整改工作順利實施，業務平穩過渡，實現了全公司省、地、縣互聯網統一出口；四是完成對外服務網站安全掃描工作、互聯網統一出口的信息安全檢查工作，督促對外服務責任單位采取有效措施，避免了信息安全風險。

“針對各單位多級企業及縣級供電單位安全防護水平較弱，已成為云南電網網絡與信息安全短板問題，我們配合省公司信息部積極研究，對關聯企業和內部信息化應用互通模式進行深入分析，確定了可行的關聯企業安全防護技術手段。”信息中心安生部信息安全管理專責蘇永東對信息安全的“短板”情況了然于心，“但是我們也不能過度管理而不服務，信息安全追求一種‘適合度’，在剛性要求外，我們也要做好服務。”蘇永東對如何把握信息安全管理的“符合度”與 “適合度”很有心得，“大家可能都會覺得使用信息設備時不設置任何限制用起來最順手，但是因為安全的需要，我們必須要部署各種策略。比如在進行綠色桌面部署時，我們也聽到了很多不理解的聲音。我們的技術人員只有盡量做好安全設防與優質服務，有時還要包容一些不理解的聲音……”在信息部的領導下，信息中心落實了省公司網絡信息安全管理責任和控制措施，有效防范了信息安全風險，建立了關聯企業信息安全管控模式。

加強“健康體檢”，管好“出入口”

“每年，我們都要組織開展信息安全風險評估，所謂信息安全風險評估，就是類似我們身體的健康體檢，這樣的體檢非常重要，它幫助我們及時發現問題、及時解決問題，防患于未然……”蘇永東向記者解釋道。為切實做好信息安全風險評估，信息中心按照南方電網公司一體化信息安全風險評估工作要求，制定了工作方案，明確了工作職責，編制了《云南電網公司一體化信息安全風險評估工作方案》，組織安排開展了信息系統的資產識別、漏洞掃描、系統加固、安全核查等自查工作，每周召開協調會，對發現的問題及時處理，制定了整改計劃和整改方案，通過加強安全措施和管理、增加安全設備、修改配置、開展安全策略及賬戶清理優化、應用系統代碼修改優化等多種技術和管理手段，完成了所有發現風險的整改。

“管理信息安全還要注重‘出入口’的管理。”蘇永東加重了語氣，“信息中心作為省級信息系統運維單位，采取了多種有效措施加強該項工作，比如加強全網安全軟件的部署，提高網絡準入系統、防病毒系統的部署率和補丁的更新率。另外，為了進一步加強移動存儲設備安全管理，在公司本部、信息中心、昆明供電局還組織開展了移動存儲介質注冊認證試點工作……進行綠色桌面應用實施部署，開展信息安全基線檢查及漏洞掃描工作……”說到這些專業工作，這位工作多年的信息安全專家侃侃而談。

在日常的信息安全工作中，信息中心不斷加強對重要信息系統、對外服務系統以及互聯網出口的防火墻、入侵防御、上網行為管理等安全設備的定期巡查，嚴格訪問控制策略，增強抵抗惡意攻擊和非法入侵的能力，防止有害信息進入和向外擴散。在重要時段做到每日對網絡設備、IPS、互聯網審計、防病毒系統、外部網站進行監控，統計每天的監控情況，對發現的問題及時進行處理。

通過打基礎、強管理等一些列措施，云南電網公司取得了全年零安全事件的優異成績。