引言

    信息安全等級保護是國家信息安全保障的一項基本性、制度性工作，也是公司確保信息系統(tǒng)安全穩(wěn)定運行和內(nèi)網(wǎng)安全的一件大事。2008年，為貫徹公安部、國家保密局、國家密碼管理局、電監(jiān)會等國家有關(guān)部門信息安全等級保護工作要求。國家電網(wǎng)公司完成了各業(yè)務(wù)系統(tǒng)等級保護定級工作。2009年，依照《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》(GB/T 22239—2008)，網(wǎng)省級電力公司對三級系統(tǒng)進行整改。

    三級系統(tǒng)是供電企業(yè)最關(guān)鍵的信息系統(tǒng)。如果這些系統(tǒng)遭到破壞造成數(shù)據(jù)丟失、信息泄露、無法正常運行等問題，將會對企業(yè)的牛產(chǎn)管理和經(jīng)濟效益造成不可估量的損失。

1 三級系統(tǒng)簡介

    根據(jù)蘭級系統(tǒng)的基本要求、三級系統(tǒng)承載業(yè)務(wù)情況，綜合平衡安全需求以及安全成本等因素，需要設(shè)計合理的、滿足等級保護要求的方案，以指導后續(xù)的信息系統(tǒng)安全建設(shè)工程實施。對于已投運的三級系統(tǒng)，采用需求分析和風險評估的方法，首先判斷信息系統(tǒng)的安全保護現(xiàn)狀與等級保護要求之間的差距。依據(jù)差距分析結(jié)果，設(shè)計系統(tǒng)的整改方案，使其能夠指導該系統(tǒng)后期具體的整改工作，使系統(tǒng)逐步具備三級系統(tǒng)的保護能力。

    三級信息系統(tǒng)等級保護分為技術(shù)、管理兩大措施，每一大類包含5個層面，每個層面又包括若干控制點。每個控制點囊括數(shù)個具體要求。我們需要逐條進行不同程度的整改，建屯起安全技術(shù)體系和安全管理體系，確保滿足三級系統(tǒng)的基本安傘要求。最終使業(yè)務(wù)系統(tǒng)具備三級系統(tǒng)安全保護能力(見圖1)。

2 技術(shù)措施

    2.1 物理安全

    物理安全就是保護信息系統(tǒng)的軟硬件設(shè)備免遭自然災(zāi)害和人為破壞的技術(shù)和手段。在安全技術(shù)體系中，物理安全是基礎(chǔ)。如果物理安全得不到保證。那么其他的一切安全措施都只是空中樓閣。物理安全一般分為3類：環(huán)境安全、設(shè)備安全和介質(zhì)安全。

    環(huán)境安全就是物理環(huán)境的選擇要防雷擊、防火、防水(潮)、防靜電、控制溫濕度。部分電力公司機房是由老式辦公室改造，不可避免有水管處于屋頂?shù)那闆r。這種情況建議進行管道改造，對于穿過墻壁和樓板的水管采取設(shè)置管套等方式進行處理。另外，很多公司機房配置柜式機房空調(diào)，不具有調(diào)節(jié)濕度的能力，所以配置精密窄調(diào)才是最好的選擇。

    設(shè)備安全主要包括計算機設(shè)備的防盜、防毀、抗電磁干擾及電源保護等。等級保護測評過程發(fā)現(xiàn)電力公司機房大多只配置了視頻監(jiān)控系統(tǒng)。而三級信息系統(tǒng)要求利用光、電技術(shù)設(shè)置機房防盜報警系統(tǒng)，所以應(yīng)該配置紅外報警系統(tǒng)，以便于主動探測機房人員活動。

    介質(zhì)安全包括媒體本身的安全及媒體數(shù)據(jù)的安全。最好能細化介質(zhì)的分類并以標示區(qū)分。根據(jù)重要性和機密性信息分為關(guān)鍵、霞要、有用、不重要4類。對于關(guān)鍵信息、重要信息，采取加密方法進行存儲。最好將前2類介質(zhì)存放在密碼箱并由專人管理，后2類用介質(zhì)柜保存。

    2.2網(wǎng)絡(luò)安全

    網(wǎng)絡(luò)是最根本的媒介，是承載應(yīng)用的基礎(chǔ)。隨著信息化建設(shè)的穩(wěn)步推進和深化。信息系統(tǒng)形成了大網(wǎng)絡(luò)、大系統(tǒng)、大集中、高可靠性、高安全性的“三大二高”局面。對網(wǎng)絡(luò)的要求也越來越高。網(wǎng)絡(luò)安全主要關(guān)注的方面包括：網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備自身安全以及網(wǎng)絡(luò)邊界等。三級網(wǎng)絡(luò)安全要求，網(wǎng)絡(luò)結(jié)構(gòu)不僅要滿足網(wǎng)絡(luò)安全運行的基本保障。同時還要考慮對網(wǎng)絡(luò)處理能力增加“優(yōu)先級”，保證重要主機在網(wǎng)絡(luò)擁堵時仍能夠正常運行；對網(wǎng)絡(luò)設(shè)備的防護主要關(guān)注鑒別信息；網(wǎng)絡(luò)邊界的訪問控制不僅能夠“防”，還應(yīng)能主動發(fā)出一些響應(yīng)，如報警、阻斷等。

    2.2.1 網(wǎng)絡(luò)結(jié)構(gòu)

    根據(jù)三級結(jié)構(gòu)安全的要求。以業(yè)務(wù)等級為綱將網(wǎng)絡(luò)進行區(qū)域劃分，以確定網(wǎng)絡(luò)邊界。在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備。通常是部署防火墻等邏輯隔離裝置，實現(xiàn)內(nèi)網(wǎng)與其他外部網(wǎng)絡(luò)連接嚴格控制。

    電力公司內(nèi)網(wǎng)采用3層架構(gòu)為佳。核心層采用2臺核心交換機，消除了單點故障的威脅。匯聚層采用多臺3層交換機，實現(xiàn)本地業(yè)務(wù)的區(qū)域匯接。接入層采用2層交換機。通過802，1x方式進行接入認證。

    有的公司省略了匯聚層。采用服務(wù)器直聯(lián)于核心交換機。這樣，無法滿足業(yè)務(wù)系統(tǒng)日益增長的需求，同樣也會增加核心交換機的負載。最好是在匯聚層實現(xiàn)網(wǎng)絡(luò)的訪問策略控制。核心層進行網(wǎng)絡(luò)的路由配置。充分考慮業(yè)務(wù)服務(wù)的重要次序。指定帶寬分配優(yōu)先級別。網(wǎng)絡(luò)設(shè)備全面啟用QoS策略，以保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要業(yè)務(wù)。

    2.2.2網(wǎng)絡(luò)設(shè)備

    三級業(yè)務(wù)系統(tǒng)中，網(wǎng)絡(luò)設(shè)備常見的問題有：本地認證口令采用明文方式存儲：口令長度和強度不夠：采用默認的SNMP通信字符串等。公司通常已經(jīng)部署了網(wǎng)絡(luò)管理系統(tǒng)。能夠?qū)崿F(xiàn)對網(wǎng)絡(luò)設(shè)備和安全設(shè)備的運行情況、異常流量、用戶行為等事件進行審計，并生成審計報告，定期對其進行分析找出異常事件的原因，但是未實現(xiàn)實時越界報警功能。部署短信通系統(tǒng)實現(xiàn)將網(wǎng)絡(luò)管理系統(tǒng)的E—mail內(nèi)容轉(zhuǎn)換短信，將其發(fā)送到相關(guān)責任人的手機。從而實現(xiàn)24 h實時報警。

    2.2.3網(wǎng)絡(luò)邊界

    對于內(nèi)網(wǎng)，根據(jù)信息系統(tǒng)等級不同進行網(wǎng)絡(luò)區(qū)域劃分。通常劃分為信息系統(tǒng)域和終端計算機域。三級系統(tǒng)域最好部署獨立的硬件防火墻，且訪問控制策略應(yīng)限制到端口級。三級系統(tǒng)域通常與外部單位需要進行數(shù)據(jù)交互。通常把要交換的數(shù)據(jù)推送到前置機，外部單位從外部接入網(wǎng)絡(luò)的前置機或中間件將數(shù)據(jù)取走。終端計算機域訪問信息系統(tǒng)域應(yīng)進行有效的控制，且控制粒度到單用戶。

    為實現(xiàn)對局域網(wǎng)核心和三級系統(tǒng)域內(nèi)的主要安全事件監(jiān)測、防止服務(wù)器遭受應(yīng)用層惡意攻擊，應(yīng)遵循盡可能靠近攻擊源和盡可能靠近受保護資源的原則，在公司核心交換機和三級域匯聚交換機上部署入侵檢測系統(tǒng)(IDS)，或者在核心交換機與防火墻之間部署入侵預防系統(tǒng)(IPS)。現(xiàn)場工作發(fā)現(xiàn)IPs和IDS的特征庫更新不及時，不利于及時識別最新的攻擊程序或有害代碼及其克隆和變種。

    2.3主機安全

    主機系統(tǒng)安全是包括服務(wù)器、終端／工作站等在內(nèi)的計算機設(shè)備在操作系統(tǒng)及數(shù)據(jù)庫系統(tǒng)層面的安全。主機系統(tǒng)是構(gòu)成信息系統(tǒng)的主要部分，其上承載著各種應(yīng)用。因此,主機系統(tǒng)安全是保護信息系統(tǒng)安全的中堅力量。

    大多數(shù)電力公司已經(jīng)在內(nèi)網(wǎng)部署一套微軟WSUS補丁分發(fā)系統(tǒng)，專供服務(wù)器域的主機進行補丁升級：服務(wù)器統(tǒng)一安裝網(wǎng)絡(luò)版防病毒系統(tǒng)；信息中心相關(guān)工作人員進行主機加同工作。但是在實際工作中，由于人員疏忽、服務(wù)器中毒等種種原因，導致補丁升級和主機加固工作沒有落實到位，最好是能部署一臺漏洞掃描設(shè)備。定期對系統(tǒng)進行掃描，及時處置服務(wù)器的風險，全面提高主機的安全防護能力。

    互級系統(tǒng)主機控制點著重提出了對服務(wù)器的監(jiān)視和最小服務(wù)水平的監(jiān)測和報警。電力公司大多部署了網(wǎng)絡(luò)管理系統(tǒng)，并將關(guān)鍵的服務(wù)器、數(shù)據(jù)庫和中間件納入監(jiān)控范圍，但是同樣存在無法實時越界報警的間題。

    2.4應(yīng)用安全

    通過網(wǎng)絡(luò)、主機系統(tǒng)的安全防護，最終應(yīng)用安全成為業(yè)務(wù)系統(tǒng)整體防御的最后一道防線。在應(yīng)用層面運行著基于網(wǎng)絡(luò)系統(tǒng)的應(yīng)用以及特定的業(yè)務(wù)應(yīng)用。

    三級應(yīng)用系統(tǒng)身份鑒別方面，要求采用口令、USB—Key、基于生物特征、數(shù)字證書及其他具有相應(yīng)安全強度的2種或2種以上的組合鑒別機制。在實際評測中。發(fā)現(xiàn)有些三級系統(tǒng)將IP地址作為第2種鑒別方式，安全強度欠佳。在資金允許的條件下，建議使用動態(tài)雙因子身份認證系統(tǒng)進行登錄鑒別。j級系統(tǒng)應(yīng)實現(xiàn)業(yè)務(wù)系統(tǒng)管理員、安全員和審計員的三權(quán)分離，并形成相互制約關(guān)系。在現(xiàn)有的三級系統(tǒng)中。往往系統(tǒng)管理員的操作界面中包含安全員和審計員的功能，建議三權(quán)分離，有利于增強對應(yīng)用系統(tǒng)的管理和事件的回溯。

    2.5數(shù)據(jù)安全以及備份

    信息系統(tǒng)在運行中要處理大量數(shù)據(jù)，一旦數(shù)據(jù)遭到破壞，會影響甚至危害到系統(tǒng)的正常運行。由于信息系統(tǒng)在網(wǎng)絡(luò)、主機、應(yīng)用等層面都對各類數(shù)據(jù)進行傳輸、存儲和處理等，因此，需要結(jié)合物理環(huán)境、網(wǎng)絡(luò)、操作系統(tǒng)和數(shù)據(jù)庫、應(yīng)用程序共同構(gòu)建數(shù)據(jù)安全�，F(xiàn)三級系統(tǒng)存在使用客戶端程序方式登錄系統(tǒng)，建議用IPsec協(xié)議和密碼算法對傳輸數(shù)據(jù)實現(xiàn)保密性和完整性保護。

    數(shù)據(jù)備份是防止數(shù)據(jù)被破壞后無法恢復的鶯要手段，硬件冗余是保證系統(tǒng)可用性的重要內(nèi)容，在三級信息系統(tǒng)中采用異地適時備份可有效地防治災(zāi)難發(fā)生時可能造成的系統(tǒng)危害。

3 管理措施

    俗話說，“三分技術(shù)、七分管理”，在信息安全中，人是信息安全中最關(guān)鍵的岡素，同時也是信息安全中最薄弱的環(huán)節(jié)。管理方面。最突出的問題是部分員工信息安全意識淡薄，防范意識差。公司職能部門最好對關(guān)鍵崗位人員、重要部門的員工定期開展信息安全意識教育。逐步形成群防群治的工作機制。

    信息安全是一個動態(tài)的持續(xù)改進過程。部分安全主管還沒有意識到這一點，仍采取傳統(tǒng)的靜態(tài)管理辦法，出了問題才去想補救的辦法。頭痛醫(yī)頭，腳痛醫(yī)腳。

    改變這種狀況，首先要建立一個完善的安全管理機構(gòu)，明確機構(gòu)成員的安全職責：其次。制定相關(guān)制度，包括信息安全總體方針，信息安全策略，各種安全管理活動的管理規(guī)范、日常操作規(guī)程、人員管理制度、系統(tǒng)建設(shè)管理制度和系統(tǒng)運維管理制度等。

    最重要的是，電網(wǎng)企業(yè)必須建立一整套從單位最高管理層到執(zhí)行管理層再到業(yè)務(wù)運營層的管理體系。從而約束和保證各項安全管理措施的執(zhí)行，同時加強內(nèi)部相關(guān)業(yè)務(wù)部門和安全管理部門之間的溝通協(xié)調(diào)，積極尋求與各類外部單位合作的機會、邀請專家定期開展安全檢查。

4 結(jié)語

    三級系統(tǒng)等級保護要求極為苛刻，內(nèi)容涵蓋從物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全到安全管理、安全組織建設(shè)等多個方面。信息安全是一個綜合的、動態(tài)的安全體系。這就要求我們每年對三級系統(tǒng)進行一次等級保護符合性測評。等級保護建設(shè)不是一次性任務(wù)。而是一個持續(xù)的動態(tài)過程。是一項長期不懈的工作。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標題：三級信息系統(tǒng)等級保護常見問題的整改建議

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/1083955259.html