电力监控系统网络安全防护现状分析与反思

丁泽涛 赵金平 熊国恩 王震

摘   要：电力监控系统网络安全及防护工作的有效展开是保证系统能高效运转的关键，为了确保网络安全防护措施能发挥出预期作用，文章针对现阶段电力监控系统网络现状进行分析与反思，进而在此基础之上提出对应的防护措施和建议。

关键词：电力监控系统;网络安全;防护

1    电力监控系统安全问题

近年来，国内外发生多起针对能源系统的网络攻击行为，造成重大影响和损失，典型案例如乌克兰大面积停电事件、伊朗核电站病毒攻击事件，各行各业网络安全形势日益严峻。众所周知，电力监控系统作为国家关键信息基础设施，已成为国家间“网络战”首选攻击目标。从其中可以分析出许多内容，一方面是电力监控系统的重要性，预防是防护的第一选择;另一方面，也可以看到电力监控系统的防护难度，如果不时时更新，很难防范新型的攻击。现阶段，在电力监控系统防护工作过程中，存在诸如操作系统升级困难、杀毒软件更新滞后、必要安全防护软件缺乏、人岗不匹配等问题，严重制约着系统的网络安全防护水平。当前，网络安全问题越来越引起社会各界的关注，如何提高网络安全性能，完善网络安全防护，保证电力监控系统业务的安全性、连续性及可靠性，成为今后网络安全从业者面临的重要问题。

2    当前网络安全防护存在的突出问题

2.1  运维管理方面

现阶段，电力监控系统的安全防护体系建设和运维面临一系列问题：首先，在电力监控系统建设阶段，设施工作环境和条件通常较为恶劣，场地防尘、电磁防护、静电防护等防护要求不能完全满足建设需求。其次，外部的人为因素也会造成基础设施的损坏。系统网络结构的复杂性导致运行维护所使用的网络拓扑图、系统台账等技术资料内容和实际情况存在不一致的情况，当系统出现故障或异常情况时，网络维护人员不能在第一时间定位故障源头，增大了设备的风险控制难度。最后，还存在其他方面的问题，如机房门禁系统不稳定、出入登记备案制度不健全、物理入侵等现象未能有效防护，系统备份不及时、不连续，当系统受到攻击时难以及时恢复。

2.2  技术管理方面

当前，电力监控系统在安全防护技术管理中的问题主要集中于分区错误和跨区并联等方面。电力监控系统复杂性和多样化的特点，大大增加了网络维护人员分区的难度，极易导致分区错误，分区错误会给系统后续进行安全等级确定增添较多麻烦。将所有的系统划成同一安全等级，在技术实现上比较困难且经济性较差，依据系统的本身特性和重要程度不同，将不同特性和重要性的系统划分到不同安全分区，确立不同的安全等级防护要求，从而决定不同的安全等级和防护水平，确保安全防护具有较强的针对性和操作性。但目前普遍存在的情况是，实际进行电力监控系统安全防护时，尤其是在整个系统初期的规划和建设过程中，往往由于主观意识重视不够、系统建设前瞻性考虑不全或安全防护针对性不强等，导致系统建设完后容易出现设备和系统分区定义错误，安全防护策略与防护水平不满足相应等级保护要求的状况。

跨区互联问题主要产生于生产控制区和信息管理区进行单向安全隔离装置设立时。传统上一些非生产控制区、常规的信息管理区，只需要使用防火墙的基本功能就可以实现简单的访问控制，从而达到逻辑隔离的要求。在实际工作中，从安全等级较低的系统向安全等级较高的系统进行数据信息传递时，网络安全防护规定要对传输进行反向隔离，同时需要对传输数据进行加密处理。网络维护人员的技能水平不足和安全防护意识相对薄弱，也是监控系统跨区互联情况的重要原因之一。

2.3  人员管理方面

网络安全防护工作贯穿电力监控系统的各个环节，无论是在数据、应用、系统等工作层面，还是研发、建设、运营、管理、生产等业务流程，都需要有人承担网络安全职责。目前网络安全从业人员整体呈现全方位短缺的态势，一是网络安全人员规模总量不足。二是大量网络信息安全工作以“非专职”方式完成，网络安全“人岗不匹配”情况普遍。网络安全从业人员需要承担非网络信息安全内容的工作，且承担的非网络信息安全工作在日常工作中占比过大，部分从业人员专业能力达不到岗位要求，有的岗位名为网络信息安全专岗，但在岗人员从事的实为信息化等工作。三是网络信息安全意识普遍不强，或是对网络信息安全工作以及网络信息安全人才重要性的认知有待提升，在如何科学、有效地加强网络信息安全队伍建设方面缺乏工作抓手。四是教育培训投入不够，对网络信息安全人员普遍存在“使用多、培养少”的情况，内训制度实施效果不佳。

3    开展网络安全防护工作的建议

3.1  优化电力监控系统网络基础设施的安全管理

优化电力监控系统基础设施的安全管理和数据备份流程，根据不同系统基础设施的分布，形成与之对应的应急预案。为保证电力监控系统网络安全，应该从网络层面的安全管理和基础设施安全管理两个方面入手。根据当前系统稳定运行状况，确定基础设施的不同安全等级，制定相应的安全控制手段。依托先进的网络信息技术，对基础设施进行全方位的监控，一旦出现故障，可以及时发现并且进行故障诊断，及时找出故障发生位置和出现原因，根据应急预案的内容进行优先处理。对基础设施的安全管理，集中于设施的优化和防护设备的更新，通过平时的工作确保系统信息安全。按照“谁主管谁负责，谁运营谁负责”的原则，做好电力监控系统的安全管理，各个系统的数据备份应遵照系统使用原则和重要性顺序进行，进行备份工作时要保证业务的连续性。

3.2  完善电力监控系统网络安全防护管理制度

完善電力监控系统网络安全防护管理制度，切实做好电力监控系统的网络安全管理。通过层次化管理模式，划分系统网络层次，不同区域采取针对性的手段进行区域化管理。一方面能够适应电力监控系统网络安全管理特点，另一方面能够满足自身业务开展的实际需求，保证业务的连续性和可持续性。在管理层面建立、健全监督检查常态化工作机制，实现“以查促建、以查促管、以查促改、以查促防”机制。

3.3  強化电力监控系统网络安全防护技术措施

网络安全防护技术措施的实施重点关注传输数据的信息安全性，强化纵向加密装置的认证机制，来保证业务传输的可靠性和数据传输的保密性。根据网络分区的原则，加密装置一般部署在不同安全区或者局域网与广域网的交汇点，区与区、网与网的交换机之间。纵向防线的构建是纵向进行加密认证，可以有效保证数据传输的安全性，进而实现双向身份认证、数据加密和访问控制等功能。

3.4  增强安全防护人员的综合素质

网络安全防护工作贯穿电力监控系统的各个方面，每个不同的工作层面和业务流程，都需要人承担信息安全职责。信息安全从业人员的综合素质高低对电力监控系统网络安全防护好坏有直接影响。要强化工作人员的责任心、安全意识和使命感，在具体维护工作的管理中，需要专职的电力监控系统安全防护人员，确保相应的管理措施可以得到有效发挥和落实。随着电力监控系统发展的速度越来越快，对电力监控系统维护人员的要求也不断提升，对其专业素养提出了新的要求。一要加强资质管理，获得专业资质、持证作业，既是信息安全从业人员具备一定知识、能力和工作经验的凭证，更是网络安全防护的基本要求。二要提升专业人员技术水平，针对目前电力监控系统相关运维人员技术能力不足的情况，强化人员培训，提升人员技术水平。三要完善人才体制机制，完善从业人员考核评价手段，健全鼓励、激励机制，拓宽职业晋升通道，引导和鼓励从业人员提高自身素质和综合能力。

3.5  提高网络安全运行监视水平

以业务为中心，以数据为核心，对系统进行全方位的可用性及安全运行水平监测，对全网的安全态势进行全面感知，完善电力监控系统安全设备日志分析平台，提升日志信息展示的易读性，提高网络安全监视效率。加快推进网络安全态势感知平台建设实施，实现电力监控系统全覆盖，提升态势感知系统覆盖范围和实用化水平。推进安全防御技术应用，积极部署态势感知设备（实时监测及应急处置），利用态势感知设备对电力监控系统的网络及设备情况开展相关安全数据采集和监视，所需数据内容主要包括各类网络节点设备的配置信息、关键网络节点的流量信息及相关设备的日志信息等。通过边界设备日志分析、资产变化监视、流量分析等技术措施感知网络安全态势，及时开展应急处置工作。

4    结语

目前，电力监控系统网络安全防护要求已上升至国家安全战略层面，做好电力监控系统网络安全防护有助于整个电力系统安全、稳定地运行。需要不断加大安全防护的力度，完善电力监控系统的管理制度，增强网络信息安全从业人员的责任感和安全意识，从而更好地为电力监控系统网络的安全性、可靠性作出应有的贡献。

Abstract：The effective development of the network security and protection work of the power monitoring system cyber is the key to ensure the efficient operation of the system. In order to ensure that the cyber security protection measures can play the expected role， this paper analyzes and reflects on the current situation of the power monitoring system cyber， and then puts forward corresponding protection measures and suggestions on this basis.

Key words：electric power system; cyber security; protection