信息安全就是数据的安全

文/国家电网重庆电力涪陵公司 唐振勇 唐湉湉

我国电力工业体制开始向市场经营模式转变。各级供电企业纷纷建立数据中心，信息存储系统和基于云计算的大集中管理应用，已成为提高生产效率、管理水平、加强信息反馈和提高企业经营决策以及综合竞争力的科学手段。随着电力信息网络的互联互通，电力信息网络面临日益突出的信息系统安全问题。

怎样才能保证我们信息的保密、完整和可用性呢？众所纷云的口头禅 “信息安全”到底是什么？我们曾经作过调查：70%的人认为“信息安全太广义了，包含的内容太多。如果指定哪方面的安全，我们加强重视和防范不就行了”，30%的人认为“信息安全问题，国家有专门的保障体系，我们只是在技术上采取策略和措施，将对信息的危害降到最低的程度。这是我们应尽的职责。”如表1所示。

表1  “IT运维网”注册用户对信息安全的调查报告

大集中云技术让我们感觉到数据中心近在眼前，而且越来越近，我们获取数据信息犹如撑手摘云。但前提是首先要加固网络安全，包括信息系统自身的安全，信息网络的安全和信息人员的安全。

确实，信息安全包含内容较多，分信息安全保障和信息安全技术两大类，正如“积极防御，综合防范，管理与技术并重”的方针，即在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提高安全保障要求，确保信息的机密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。

安全策略又分组织措施和技术措施。组织措施包括成立信息安全管理机构即信息安全领导小组；制定信息安全的目标，确保业务的连续性，并通过一系列预防措施将业务可能受到的损害降到最低，将安全事故产生的影响降到最小；实施信息安全管理办法，在确保信息系统资产受到保护的同时，确保信息能够在允许的范围内正常使用，保护每种资产的机密性、完整性、可用性等三个基本要素；颁布信息安全管理制度，如数据中心机房出入；门禁、视频监控、巡视、防护、检测、跟踪、响应、缺陷处理、恢复、终结以及人员管理和培训计划等等。技术措施包含很多综合的技术，如加解密技术、访问控制技术、审计和监控、入侵检测、深度防御、设备监控、网络架构以及攻防兼备技术。

信息安全就是数据的安全。在没有数据中心集中备份的条件下，管理层不考虑信息数据的安全问题，而片面追求系统运行速度，以最小的投入达到应用目的。这种理念在中、小型企业中普遍存在。信息系统自身的安全，包括硬件和软件系统，关键是磁盘阵列设备和架构的安全。

电力信息网络与互联网实行物理隔离，但仍要防止意外破坏或者内部人员的安全控制，也要面对如网络病毒、蠕虫、木马和电脑“黑客”等的各种攻击。电力企业信息传输基本上是明文方式，不具有信息安全所要求的保密、完整和发送方不可抵赖的要求。在数据库或操作系统文件中以明文形式存储的信息也存在泄露的可能，因为拿到存储介质的人可以读出这些信息；黑客可以绕过操作系统、数据库管理系统的控制获取这些信息；系统后门使软硬件系统制造商也很容易得到这些信息。

要加强信息人员的安全教育，保持信息人员特别是网络管理员和安全管理员的相对稳定，防止网络机密泄露，特别注意人员调离时的网络机密的泄露。对网络设备、服务器、存储设备的操作要履行签字许可制度和操作监护制度，杜绝误修改和非法修改。主管信息安全工作的高级负责人或各级管理人员，重点了解、掌握企业信息安全的整体策略及目标、信息安全体系的构成、安全管理部门的建立和管理制度的制定。负责信息安全运行管理及维护的技术人员，重点理解信息安全管理策略，掌握安全评估的基本方法，合理运用安全操作和维护技术。信息用户人员，重点学习各种安全操作流程，了解和掌握与其相关的安全策略，包括自身应该承担的安全职责。对特定的人员要进行特定的安全培训。安全教育应当定期的、持续的进行。

国家电网吹响了推行“三集五大” 的战斗号角，南方电网也全面推行信息系统一体化平台应用。大集中模式已经形成，数据中心近在眼前，犹如电力信息网络的一朵朵云彩。电力信息安全已经成为电力企业生产、经营和管理的重要组成部分，并被提高到新的高度。电力企业的综合信息管理系统中，必须从网络、操作系统、应用程序和业务需求等各方面来保证系统的安全，研究电力信息网络安全问题、制订切实可行的防范措施与系统灾难恢复等安全防护策略势在必行，信息安全应急预案是当前信息化工作的重要内容。在企业中建立安全文化并容纳到整个企业文化体系中才是最根本的解决办法。