- 相關(guān)推薦
省級(jí)電網(wǎng)公司信息安全技術(shù)監(jiān)督體系設(shè)計(jì)與實(shí)現(xiàn)論文
為確保省級(jí)電網(wǎng)公司電力安全生產(chǎn)和穩(wěn)定運(yùn)營(yíng)，省級(jí)電網(wǎng)公司應(yīng)形成完善的信息安全技術(shù)監(jiān)督體系。本文提出了一套完整的信息安全技術(shù)監(jiān)督體系的解決方案，具體包括組織架構(gòu)的設(shè)計(jì)，工作組織形式，主要技術(shù)手段，人力資源資格審核和培訓(xùn)，以及制度體系。江蘇省電力公司的運(yùn)轉(zhuǎn)經(jīng)驗(yàn)表明，這套體系經(jīng)受住了企業(yè)繁重的改革、發(fā)展任務(wù)的考驗(yàn)，有效保障了電網(wǎng)公司的信息安全。
1.引言
省級(jí)電網(wǎng)公司信息安全防護(hù)工作事關(guān)電力安全生產(chǎn)和電網(wǎng)公司穩(wěn)定運(yùn)營(yíng)，意義重大[1]。由于大多數(shù)業(yè)務(wù)應(yīng)用已經(jīng)省級(jí)集中，常規(guī)信息安全技術(shù)監(jiān)督工作多被認(rèn)為是省級(jí)公司層面的問(wèn)題。省級(jí)單位監(jiān)督力量不足，久而久之，信息安全監(jiān)督工作流于形式，檢查前重視、檢查后忽視，信息安全地區(qū)差異大，網(wǎng)絡(luò)末端安全防護(hù)不足。究其根源在于：(1)信息安全技術(shù)監(jiān)督未成體系，監(jiān)督力量多依靠公司級(jí)監(jiān)督隊(duì)伍，市、縣公司專(兼)職信息安全員未被賦予督查的權(quán)力，導(dǎo)致基層單位日常督查的力度和效果不夠，各項(xiàng)技術(shù)措施落實(shí)情況管控不足。(2)基層單位地區(qū)經(jīng)濟(jì)水平、單位領(lǐng)導(dǎo)信息安全重視程度、信息從業(yè)人員技術(shù)水平存在差異，造成信息安全意識(shí)宣貫和管理手段不同，且各單位缺乏安全技術(shù)交流。
為此，本文結(jié)合作者單位實(shí)際，提出一種電力企業(yè)信息安全技術(shù)監(jiān)督體系，從組織架構(gòu)、工作組織形式、主要技術(shù)手段、人力資源資格審核與培養(yǎng)以及制度規(guī)范等5個(gè)方面具體分析工作機(jī)制，并總結(jié)其實(shí)際工作成效。
2.電力企業(yè)信息安全技術(shù)監(jiān)督體系的設(shè)計(jì)
2.1 組織架構(gòu)
信息安全技術(shù)監(jiān)督不僅僅是公司層面的問(wèn)題，為充分發(fā)揮信息安全監(jiān)督體系的整體作用，促進(jìn)信息安全管理水平的不斷提升，電力企業(yè)應(yīng)建立貫穿所屬各單位的信息安全監(jiān)督網(wǎng)絡(luò)，健全完善信息安全技術(shù)督查工作體系，如圖1所示。
2.1.1 省公司級(jí)信息安全監(jiān)督網(wǎng)絡(luò)
由省級(jí)單位信息管理部門、省級(jí)信息技術(shù)研究單位信息安全分管領(lǐng)導(dǎo)和專職組成。主要負(fù)責(zé)貫徹落實(shí)上級(jí)單位有關(guān)信息通信系統(tǒng)安全的方針政策、規(guī)范和標(biāo)準(zhǔn);組織公司信息通信安全技術(shù)督查工作，督促有關(guān)單位及時(shí)有效整改，建立常態(tài)信息通信安全技術(shù)督查機(jī)制;根據(jù)公司實(shí)際情況，組織制定公司信息通信安全技術(shù)督查工作實(shí)施細(xì)則、考核細(xì)則;健全公司信息通信安全技術(shù)督查執(zhí)行隊(duì)伍，定期組織督查執(zhí)行人員的培訓(xùn)和考核，負(fù)責(zé)督查資質(zhì)證書的認(rèn)定工作。
2.1.2 市公司級(jí)信息安全監(jiān)督網(wǎng)絡(luò)
由市級(jí)單位信息管理部門信息安全分管領(lǐng)導(dǎo)和信息安全專職組成，主要負(fù)責(zé)依據(jù)信息安全技術(shù)督查有關(guān)政策、法規(guī)、標(biāo)準(zhǔn)、規(guī)程、制度，執(zhí)行公司級(jí)信息安全督查執(zhí)行隊(duì)伍安排的信息安全技術(shù)督查和跨單位互查工作;開展本單位運(yùn)維范圍內(nèi)的日常督查，將運(yùn)行維護(hù)階段的督查內(nèi)容融入日常安全工作中，對(duì)督查要求執(zhí)行情況進(jìn)行檢查，及時(shí)發(fā)現(xiàn)問(wèn)題并提出處理意見和技術(shù)措施建議;參與本單位信息通信系統(tǒng)重大技術(shù)措施與技術(shù)改造方案的制訂，督查、促進(jìn)和檢查本單位范圍內(nèi)的技術(shù)標(biāo)準(zhǔn)、反事故措施、改造方案的貫徹和執(zhí)行。
2.1.3 縣級(jí)信息安全監(jiān)督網(wǎng)絡(luò)
由縣級(jí)單位信息管理部門信息安全分管領(lǐng)導(dǎo)和專(兼)職信息安全員組成，主要負(fù)責(zé)開展本單位日常督查，將運(yùn)行維護(hù)階段的督查內(nèi)容融入各自單位的日常安全工作中，對(duì)本單位運(yùn)行維護(hù)階段的督查要求執(zhí)行情況進(jìn)行檢查，及時(shí)發(fā)現(xiàn)問(wèn)題并提出處理意見和技術(shù)措施建議。
2.2 工作組織形式
監(jiān)督工作應(yīng)包括年度督查、日常督查、專項(xiàng)督查三種類型，以遠(yuǎn)程檢查、區(qū)域互查、現(xiàn)場(chǎng)抽查等多種形式加強(qiáng)監(jiān)督工作，監(jiān)測(cè)分析當(dāng)前信息通信安全形勢(shì)，及時(shí)發(fā)現(xiàn)和消除安全隱患。
2.2.1 年度督查
公司級(jí)信息安全監(jiān)督網(wǎng)應(yīng)根據(jù)全年信息化和通信工作情況，按照橫向到邊、縱向到底的原則，每年至少實(shí)施兩次由公司級(jí)和市級(jí)督查執(zhí)行隊(duì)伍聯(lián)合開展的年度督查工作，以區(qū)域互查的方式，全方位的查找信息系統(tǒng)安全隱患，督促隱患整改。
2.2.2 日常督查
市級(jí)和縣級(jí)督查執(zhí)行隊(duì)伍應(yīng)在日常工作中履行信息安全管理員的職責(zé)，每月對(duì)本單位的信息內(nèi)外網(wǎng)網(wǎng)絡(luò)與信息系統(tǒng)、桌面終端、存儲(chǔ)介質(zhì)等進(jìn)行全方位督查。
2.2.3 專項(xiàng)督查
根據(jù)具體信息項(xiàng)目或信息安全工作需求，由省公司級(jí)督查執(zhí)行隊(duì)伍對(duì)信息系統(tǒng)的規(guī)劃、設(shè)計(jì)、實(shí)施、運(yùn)行維護(hù)、廢棄等過(guò)程，安全評(píng)估、等級(jí)測(cè)評(píng)等信息安全技術(shù)服務(wù)開展專項(xiàng)督查。
2.3 主要技術(shù)要求
2.3.1 風(fēng)險(xiǎn)評(píng)估及漏洞掃描
通過(guò)定期開展的信息安全風(fēng)險(xiǎn)評(píng)估及漏洞掃描，對(duì)現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)、核心路由器、交換機(jī)等網(wǎng)絡(luò)及設(shè)備、數(shù)據(jù)庫(kù)服務(wù)器、郵件服務(wù)器、應(yīng)用服務(wù)器等關(guān)鍵服務(wù)器，業(yè)務(wù)流程、安全策略的安全漏洞，安全威脅及潛在影響進(jìn)行分析，并提出合理的安全建議和解決方案;對(duì)全網(wǎng)網(wǎng)絡(luò)設(shè)備、服務(wù)器、桌面終端進(jìn)行漏洞掃描，及時(shí)發(fā)現(xiàn)各種安全漏洞，并根據(jù)危害程度以保證系統(tǒng)資產(chǎn)的機(jī)密性、完整性和可用性的基本安全屬性[2]。
2.3.2 應(yīng)用系統(tǒng)安全測(cè)評(píng)
每年各單位都有新應(yīng)用系統(tǒng)上線運(yùn)行，由于系統(tǒng)開發(fā)人員信息安全意識(shí)不足，存在不少安全漏洞。按照信息安全技術(shù)監(jiān)督工作要求，在系統(tǒng)上線前由信息安全技術(shù)監(jiān)督人員參與信息系統(tǒng)技術(shù)措施與技術(shù)改造方案的制訂，審核信息安全技術(shù)與工作內(nèi)容。在系統(tǒng)投運(yùn)前開展系統(tǒng)穩(wěn)定性、安全性測(cè)試。通過(guò)上線前安全測(cè)評(píng)及時(shí)發(fā)現(xiàn)并排除應(yīng)用系統(tǒng)存在的安全隱患。
2.3.3 安全監(jiān)控及遠(yuǎn)程檢查
利用信息外網(wǎng)安全監(jiān)測(cè)系統(tǒng)、信息運(yùn)維綜合監(jiān)管系統(tǒng)、信息安全綜合工作平臺(tái)等各類安全技術(shù)手段，對(duì)各單位互聯(lián)網(wǎng)出口、桌面終端、移動(dòng)存儲(chǔ)介質(zhì)、弱口令等開展安全監(jiān)控;利用互聯(lián)網(wǎng)出口部署的入侵監(jiān)測(cè)設(shè)備和上網(wǎng)行為管理系統(tǒng)，對(duì)互聯(lián)網(wǎng)攻擊情況和上網(wǎng)行為進(jìn)行內(nèi)容審計(jì)和處理。
2.4 人力資源資格與培養(yǎng)
2.4.1 持證上崗
各級(jí)督查執(zhí)行人員需持證上崗，經(jīng)公司統(tǒng)一組織的安全督查培訓(xùn)和考核后，分級(jí)別發(fā)放《信息安全技術(shù)督查證》。公司級(jí)督查執(zhí)行人員還應(yīng)通過(guò)注冊(cè)信息安全專業(yè)人員(CISP)培訓(xùn)及認(rèn)證。
2.4.2 技術(shù)培訓(xùn)
邀請(qǐng)系統(tǒng)內(nèi)、外信息安全領(lǐng)域?qū)＜�，定期開展信息安全技術(shù)培訓(xùn)和講座，宣貫國(guó)家和公司信息安全形勢(shì)和要求，學(xué)習(xí)當(dāng)前最新信息安全技術(shù)和裝備，分析典型信息安全風(fēng)險(xiǎn)隱患案例。
2.5 制度規(guī)范
制度規(guī)范是信息安全監(jiān)督工作執(zhí)行的依據(jù)，根據(jù)國(guó)網(wǎng)公司制定并下發(fā)的信息安全政策標(biāo)準(zhǔn)和管理規(guī)定，公司編制和發(fā)布實(shí)施細(xì)則和《信息安全督查作業(yè)指南》，對(duì)日常督查工作中各個(gè)流程的工作要求、工作模板進(jìn)行描述。
3.工作成效
公司信息安全督查體系建立完善期間正值“三集五大”建設(shè)的關(guān)鍵時(shí)期，各單位業(yè)務(wù)切換、人員調(diào)動(dòng)頻繁，管理難度大為增加，如果沒(méi)有很好的監(jiān)督體系，各項(xiàng)管理制度和技術(shù)措施的落實(shí)，特別是管理末端桌面終端的安全漏洞就會(huì)暴露出來(lái)。經(jīng)過(guò)短短幾個(gè)月監(jiān)督工作的開展，各單位信息安全工作井然有序，沒(méi)有發(fā)生一起因信息安全引發(fā)的信息系統(tǒng)運(yùn)行事故。
(1)通過(guò)各種形式督查工作的開展，對(duì)檢查暴露的安全隱患積極整改，有效消缺，保障了公司發(fā)展、運(yùn)營(yíng)和改革工作;通過(guò)對(duì)新上線系統(tǒng)的應(yīng)用系統(tǒng)安全測(cè)評(píng)，有力支撐了改革期間大量應(yīng)用的開發(fā)和運(yùn)行工作。(2)通過(guò)持證上崗和各種培訓(xùn)工作，培養(yǎng)了一支信息安全人才隊(duì)伍。目前所有公司級(jí)督查人員全部通過(guò)了CISP認(rèn)證，市、縣級(jí)專職督查人員逐步實(shí)現(xiàn)持證上崗，提高了公司各單位信息安全從業(yè)人員的技術(shù)素質(zhì)。(3)通過(guò)區(qū)域間安全互查，加強(qiáng)了各單位信息安全經(jīng)驗(yàn)交流，對(duì)消除地區(qū)差異，以弱帶強(qiáng)，提升公司整體信息安全防護(hù)能力具備積極意義。
4.結(jié)論
通過(guò)信息安全技術(shù)監(jiān)督體系的建立和實(shí)現(xiàn)，實(shí)現(xiàn)了貫穿公司各單位的信息安全督查網(wǎng)絡(luò)，各地區(qū)信息安全從業(yè)人員技術(shù)水平平衡發(fā)展，監(jiān)督和保障信息安全技術(shù)措施和管理要求有效落實(shí)，推進(jìn)了公司整體信息安全管理水平。
【省級(jí)電網(wǎng)公司信息安全技術(shù)監(jiān)督體系設(shè)計(jì)與實(shí)現(xiàn)論文】相關(guān)文章：
工業(yè)技術(shù)體系知識(shí)自動(dòng)化論文04-12
城市旅游網(wǎng)站的設(shè)計(jì)與實(shí)現(xiàn)論文（精選6篇）05-07
藥品技術(shù)監(jiān)督管理機(jī)構(gòu)政策的論文05-17
企業(yè)知識(shí)管理的實(shí)現(xiàn)技術(shù)和工具的電商論文05-02
網(wǎng)絡(luò)信息安全技術(shù)管理下計(jì)算機(jī)應(yīng)用論文04-26
計(jì)算機(jī)信息安全論文07-20
信息安全管理論文07-29
信息技術(shù)與幼兒教育的整合論文05-23