APP下载

电力企业信息系统安全防护措施的研究

2015-09-21何伟明

电子测试 2015年12期
关键词:局域网信息系统信息安全

何伟明

(调峰调频发电公司,广东广州,510000)

电力企业在我国所占据的地位非常重要,是重点工业之一,这其中最为重要的一项工作当属信息安全,而在当前出现问题最多的也正是此部门,据有关人员的研究,导致出现问题的原因主要有如下内容,首先是人为原因,如恶意的黑客攻击、内部人员的信息外泄、低级错误的操作等,其次是自然灾害所引发的安全问题,最后就是系统自身存在不足,如网络协议存在问题。对此,需要对电力企业中信息系统做必要的防护,降低信息安全事故的发生几率,这也是本文需要研究的任务。

1 当前的现状和存在的问题

伴随着科技的不断发展,电力企业的信息化建设也得到了很大的发展,主要是从深度和广度两个层面做进一步拓展,这也从侧面体现出其所具有的重要性日渐突出。目前,威胁到电力企业信息安全的因素主要分为三个方面,第一是人为,如黑客攻击、人员外泄、低级错误,第二是自然因素,如意外事故、自然灾害,第三是系统自身,如网络协议存在不足。种种因素都对作为我国重点工业之一的电力企业的信息安全产生重要影响,改善我国的信息安全方面的措施,志在必得。

目前,由电力监督委员会所制定并颁布实施的《电力二次系统安全防护规定》是仅有一部法律,众多电力企业都是遵照此部法律,管理企业内部那些借助计算机和网络技术设定好的业务系统,其所设定的区主要有生产控制和信息管理两大区。

在仅有的这部法律中,针对电力企业管理信息区内部信息安全防护建设方面的规定非常模糊,这就导致诸多安全问题出现:

(1)无分级防护,掌管单一业务系统的服务器为分开;

(2)分管业务系统的服务器没有一定程度的对基本信息安全做防护;

(3)同一个局域网内,未将正式投入使用的业务系统服务器与测试服务器分隔使用;

(4)业务系统数据安全等级低易被盗;

(5)系统编码存在漏洞。

2 防护实施步骤

提升电力企业信息管理区内的业务系统信息安全防护,需要遵照“等保评级、分级防护”这样的路子执行。信息安全等级保护制度,在伴随着信息化社会的不断发展和国民经济的不断提升的过程中,在加强信息安全保障能力上,在保障国家、社会和公共利益上,以及关乎现代化信息化建设发展上,都是具有一定的保障作用,是一项最为基本的制度。

2.1 对业务系统进行等级保护评级

依据我国的一项法律(《信息安全等级保护管理办法》)中的第14条的规定,建设完成并投入使用的信息系统,其有关使用此系统的单位要严格按照本办法中的规定要求,选用符合要求的测评机构,遵照《信息系统安全等级保护测评要求》中的一些技术准则,需要对其系统的等级状况做定期的测评。所有的测评要送当地公安部门做备案处理。在聘请方面,电力企业要遵照要求选择具有资质的测评机构来对管理信息区的业务系统做等保测评工作。其所得到的结果如下表1所示:

表1 电力企业管理信息大区内部各业务系统等保测评结果

通常情况下,电力企业信息系统中不会出现第四级和第五级的系统。

2.2 对机房局域网划分安全区域

系统化的整改电力企业内的局域网是非常有必要的,具体的整改内容是,对业务系统服务器所处的位置坐细化,按照需求设置信息安全区域,主要有等级为一、二、三的三个业务区域,外加一个公共业务区域和一个测评业务区域。对于机房的划分,也需要按照上述样式做物理划分。见图1。

图1 局域网和机房业务系统服务器分区图

不同信息安全区域有不同等级的系统服务器所掌管着,等级为一、二、三的业务区域分别安装着对应的服务器,而公共业务区域的服务器主要是DNS或者是Windows域服务器,此类服务器是不存在保护分级,其功能主要为基础服务提供非业务系统服务,对于测评业务区主要的服务器是投入使用前的测试系统服务器。

2.3 按等级保护测评结果放置业务系统

不同信息安全区域内放置对应的等级保护的服务器的主要依据是等级保护测评结果,这种放置方式为后期的分级保护有一定程度上的促进作用。遵照其测评结果,表2所示的就是企业管理信息区,其主要业务系统对安全区域存放问题的展示。

表2 电力企业管理信息大区内部各业务系统和信息安全区域表

2.4 实现分级防护

从表2可以得到,相应的信息安全区域内的服务器,可以将信息安全设备存放在不同信息区域边界内,以此达到服务器分级防护目的。在这里,需要对信息安全区域边界做进一步解释,其所指的部位是局域网与信息安全区域之间的连接部。对于信息安全设备的内容主要是防火墙、查杀病毒、攻击防护、服务防护禁止、授权等。对于不同区域边界的信息安全的部署建议,电力企业要遵照各自的实际情况做周密的设置,表3为部署设备:

表3 电力企业管理信息大区内部信息安全区域边界防护表

将信息安全防护设备部署在是所在的区域边界,如此可以初步实现对电力企业管理信息区的信息安全防护。

3 结语

当前在防护方面所做的工作并不完善,若想很好的实现防护,需要对以下工作做进一步的完善,如规范化业务系统服务器,使其运维工作,对审计系统要加强安全建设,对扫描系统的缺陷要及时补救,对数据库方面的安全要实现防护,管理系统存在的隐患要及时维护,密码编程与数据加密方面需要进一步加强等。

为更好的建设企业信息安全,要秉着信息化建设与信息安全同步化发展的原则,在这样的情形下建设,对提高企业信息安全防护能力,有着巨大作用,同时对企业网络与信息系统安全的运行,有一定的保障作用。

[1]GBT 22239—2008,信息系统安全等级保护基本要求[S].

[2]GBT 22240—2008,信息系统安全等级保护定级指南[S].

[3]寇建涛.电力信息系统安全分析与思考[J]科技资讯.2013.9

[4]黄立文.浅谈网络与重要信息系统安全管理[J]计算机安全.2008,12,

猜你喜欢

局域网信息系统信息安全
企业信息系统安全防护
基于VPN的机房局域网远程控制系统
基于区块链的通航维护信息系统研究
保护信息安全要滴水不漏
信息系统审计中计算机审计的应用
高校信息安全防护
基于802.1Q协议的虚拟局域网技术研究与实现
局域网性能的优化
基于SG-I6000的信息系统运检自动化诊断实践
保护个人信息安全刻不容缓