后SG186时代国网的信息安全

　　2008年某市电力局偶然发现，OA系统中竟然存在退休并已去世的前电力职工的帐号，并且该职工帐号权限仍有效。管理员尝试删除帐号，却发现由于各市局OA帐号信息互为备份，一天之后该职工帐号权限被自动恢复，死灰复燃……

　　SG186工程进行了三个年头，从2006年国网的一纸“十一五”规划，到如今，各省网系统相继验收，可以说是弹指一挥间，变化万万千。虽然整个工程还未最后完工，但通过强化信息采集能力，加快信息传递速度，提高信息处理效率，我们可以看到，国网信息化建设正呈现跨越式发展。“一个平台、八大应用、六大保障”的目标也正在一步步的实现。

　　不可否认，SG186工程对于国网公司，乃至对于整个电力行业都是一个跨时代的事件。建立“纵向贯通、横向集成”的一体化企业级信息集成平台，上下信息畅通传输和数据共享的理念将为中国电力行业的信息化进程和未来发展方向定下一个基调。

　　但回过头来，我们也不得不认识到SG186工程建设以来，反应出了一些问题，给国网整体信息化后的安全运营带来了不少问题。

　　就SG186的建设构思来看，六大保障体系中首当其冲的就是“安全防护体系”，这说明在SG186工程规划阶段，就已经考虑到安全在电网信息化过程中的重要性，可是就目前建设情况来看，各省网考虑更多的是赶快将系统上线，并等待验收，以完成任务。对于本当与信息化同步建设的安全防范管理，却明显滞后。造成这样情况的原因一方面是各级单位对信息安全管理认识不足，另一方面也因为SG186工程所带来的安全风险和威胁让人着实始料不及和无从下手。

　　让我们来看一个案例：

　　2008年某市电力局偶然发现，OA系统中竟然存在退休并已去世的前电力职工的帐号，并且该职工帐号权限仍有效。管理员尝试删除帐号，却发现由于各市局OA帐号信息互为备份，一天之后该职工帐号权限被自动恢复，死灰复燃……

　　以上案例是某省电力公司在通过国网SG186验收后发生的真实事件，可能可以做为现阶段SG186信息安全现状的一个代表。从中，我们至少可以看出两个方面威胁：

　　1. 访问权限管理缺失

　　SG186工程，制定了系统松紧耦合的建设方针，紧耦合系统的融会合流，松耦合系统一线贯通，无论如何建设都会造成系统的帐号设置和权限分配空前的繁复，如何有效的管理系统访问权限，防止帐号被非授权的使用？如何保证那些省、市、县各级单位离职的或是转岗的职工不再拥有已不应该属于他们的帐号和权限？这个问题将是未来一段时间内，电网信息安全的最大风险。

　　2. 系统漏洞风险

　　任何系统都有漏洞，微软近期又发布了windows的最新补丁，修补系统漏洞。那么，国网有没有建立各上线系统漏洞检测、漏洞报告、问题处置、补丁检测、补丁更新的控制呢？虽然，SG186工程中，主要引入的是已成熟的系统软件，但如果对系统漏洞缺乏管理，将会对电网信息安全造成严重威胁。案例中帐号无法彻底删除这个系统漏洞，就一线贯通的OA系统而言，其影响面是非常大的，如果没有对它的风险有足够的认识，一旦被利用，将会造成重大的后果。

　　三国赤壁，曹操举百万雄兵挥师南下，信心满满，却最后被一把大火烧的惨败而归。这是我们很熟悉的赤壁大战的故事，我们说曹操之所以失败，并不是在于他战船连横的策略，也不是在于东吴诡计的狡猾，而是因为他对现状和所存在的威胁认识不足，并且没有采取等量的化解风险的方法。他可能考虑到会受火攻，但是没有提前制定受火攻时的应急预案方法，或者考虑了防护方法，但没有对防护方法的有效性进行验证。最后造成了自己的惨败。

　　现在的SG186工程，在某种意义上是不是类似于曹操的连锁战船策略？原本漏洞对于信息系统来说只意味一个省局或者几个市局的小影响，是一个小隐患，到SG186后，成为一个全局性的、影响整个公司的大威胁。越是大规模的集合，其应对风险的能力将越弱，破坏所造成的后果也将越严重，这一点需要得到充分的认识。另外，对于这类系统漏洞，一般会影响很多部门和单位，如果没有一个有效的发现，报告，处理，解决的机制，在没有明确责任部门的情况下，是很难被彻底解决的。

　　以上分析的信息安全隐患只是抛砖引玉。可以确定的是，SG186工程各系统建设过程中会存在更多的信息安全隐患。

　　近期还发生了这样一件事，美报报道：来自中国和俄罗斯的网络间谍侵入美国电网后，留下了可能用来破坏电力系统的软件程序。对于这则报道，我们姑且不论是否是间谍所为，但从信息安全的角度分析我们可以得到以下两点收获：

　　美国电力核心网又一次被证明可以从互联网侵入。

　　这一事实告诉我们，电力核心网并不是与世隔绝的世外桃源。虽然这是个老生长谈的话题，但是就国内电网来说，如果SG186工程造成通信数据网SGTnet的信息安全保障强度减弱，安全风险增加，那么对于调度数据网SGDnet中各系统来说，其被侵入的风险也将会大大增加。

　　美国又一次发现了电力系统的信息安全隐患。

　　如果说上一点是美国电网信息安全防护的耻辱的话，那么这一点应该是值得我们思考和学习的地方，为什么美国总能够及时的找到自身存在的这些弱点和所面临的威胁呢？自从2003年发生电网灾难之后，美国更注意加强在电网信息安全防范和检测上的力度、深度和广度。这次的事件就是由美国情报部门的例行检查时发现的。就这一点来说，如果同样的事件发生在我国，我们能够及时识别么？

　　“安全的前提在于正确识别出风险。”安言咨询张威如是说。诚然，美国电网，虽然不断在发现隐患，发现问题，引起公众的恐慌，但是我们并不能认为它是不安全的，反而它可能会比世界上大部分国家的电网更安全。而对于对于国网，现在或者将来一段时间内必须要做的是，识别出SG186工程所来带的安全隐患，评价它们可能造成后果的严重程度。因为只有找到那些安全隐患，并正确的评价它之后，所有采取的安全保障措施才是有的放矢的、有效的。

　　在这个层面上，引入全面而准确的信息安全风险评估将对SG186工程，乃至电网以后的信息化建设起到至关重要的作用。

　　对于风险评估，其实国网进行过实践，因为长久以来，国网对于电力生产安全工作的开展一直是不遗余力的，很早便引入风险管理体系，做为安全工作的输入和导向，本着防范于未然的理念，帮助国网形成了生产监督检查机制，建立了各级的应急响应预案，确保了国家基础设施的使用安全。

　　但这之前的风险评估更倾向于生产电路设备和二次系统等方面。对于支撑企业业务流运转的通信数据网SGTnet信息化建设所引发的信息系统安全保障问题，却更多的停留在硬件的购置及监控系统的上线上，很多情况是，技术手段上的防护已经达到，但其他方面的要求却不尽如人意。即使2008年在全网开展的信息系统风险评估工作，也只是对各服务器及信息系统进行了漏洞扫描和渗透测试，虽然发现和解决一部分问题，但是仅以此，便想得到信息安全的有效保障还是远远不够的。因此国网很有必要引入全面的信息安全风险评估和管理体系，来达到信息化过程中可持续的风险识别和控制。

　　在此过程中，可以开展以下阶段工作：

　　1. 员工信息安全意识教育

　　对于信息安全工作的开展，不是系统管理部门的事，也不是系统使用部门的事，而是全体员工的事，必须要提高全体员工的信息安全意识。通过培训和考核等措施，提高员工对公司信息安全的认识，让信息安全成为业务开展的一部分，才能有效提高公司整体信息安全水平，也是信息安全工作得到有效的支持和推进。

　　2. 从下自上全面风险评估

　　在员工对信息安全工作有一定认识的条件下，可以按操作层、服务层、管理层，自下而上的开展风险评估工作。从各角度，审视公司软硬件、人员、数据、服务等资产管理状况，从技术和管理角度分析系统和流程漏洞，达到脆弱点全面识别的目的。

　　3. 风险评估日常化

　　信息安全不是一蹴而就的事，也并不是短期工作就能达到较高水平的，需要形成日常弱点发现，汇报，管理的机制，从日常基础工作人员开始，发现问题，识别问题，分析问题，汇报问题，处理问题。建立从下到上的无障碍流转的解决流程。这将使信息安全工作开展的更实际和有效。

　　浙江电力公司总经理赵义亮曾表示“信息安全与电力安全同等重要，要像抓电力安全生产一样抓好信息安全工作。”并在省网内尝试引入ISO27001国际标准，建立基于信息安全风险评估的信息安全管理体系。在风险识别和管理方面取得了一定的效果。

　　相信在“十二五”国网的信息化建设规划中，一方面会要求在更广的范围内推广SG186工程成果，另一方面，应该会更关注信息化进程对企业造成的信息安全威胁的控制。对于这一点，本文提供了一些思路和看法，但是更多有成效的工作还需要通过实践的探求和摸索，才能达到最佳的实践。

　　“对于安全保障来说，没有问题是最大问题。”安言咨询左金龙如是说。对于电网的信息化建设，或者对于SG186工程来说，引入全面的信息安全风险评估机制，从资产、构架、系统、工具、技术、流程、管理等各方面和角度着手，识别弱点，发现威胁，评价风险危害。将是信息安全体系最好的起点。