素有“北有丰满，南有古田”之称的古田溪水电厂是一个一厂多站集中管理的国有中型发电企业。全厂由4个梯级电站、12台机组组成，总装机容量为27.6万千瓦，多年平均发电量约8亿多千瓦时，在福建电网中担负着调峰、调频、调压和事故备用任务。近年来，古田溪水电厂不断完善健全经营管理机制，始终贯彻“安全第一、预防为主”的方针，坚持安全文明生产，不断夯实安全生产基础，强化企业管理，企业整体素质逐年提高;进一步加快设备更新改造步伐，不断提高设备的健康水平和自动化水平，梯级电站逐步实现微机监控，企业生产正朝着“无人值班、少人值守”的现代化一流管理目标迈进。
1 水电厂IT系统对合规性管理的迫切需求
目前水电厂的网络系统主要由电力调度网络和办公应用网络两部分构成。
电力调度网络具有分散控制、统一联合运行、高度依赖信息化的特点，因此其安全级别甚至超过了电信行业。此外，水电厂信息化已经深入电力生产和管理的全过程，建立在网络架构上的跨地区信息网开始逐步建立，水电厂对信息系统的合规性管理要求日渐趋高，并把合规性管理纳入电厂生产、经营和管理体系。由于信息共享的需要，水电厂内部网络需要24×7与网络相连接，以便于异地分支机构、合作伙伴、用户的各种访问，这在提高工作效率的同时也使电力企业对于信息资源共享环境下的权限管理、内容管理、资源管理变得更加重要。另外，水电厂内部人员在使用过程当中，发生的误删文件、误操作等行为也极易造成系统故障甚至崩溃，必须引起重视。
同时，水电厂办公网络运行着电力经营系统、OA系统、ERP系统、财务系统等其它管理办公类应用系统，如何保障这些系统的高效运行，必须加强合规性管理，结合企业管理政策、企业发展战略和规划，实现善治的IT系统管理。
古田溪水力发电厂目前的应用系统主要有：计算机监控系统、DMIS(检修申请、电量上报、模拟市场)、 电力市场系统、故障录波等。在生产数据网络建设之前，主要是通过微波、电力广域网(MIS网)和拨号与调度数据传送。
通过对水电厂IT系统现状的分析和安全需求分析，我们认为必须加强IT信息系统的合规性管理，尤其迫切需要解决以下几方面的安全问题：
1. 引入集中用户管理技术，将全系统的用户进行集中管理，一方面降低系统管理的复杂度和难度，更重要的是通过用户的集中管理来规避用户管理混乱的问题，从而使得全系统的用户管理可以严格地按照相关的安全规定、安全策略来有效地实施。
2. 引入强身份认证技术，提升原有的身份认证强度，杜绝出现口令泄漏、共用账号、盗用账号等问题。
3. 引入审计机制，不仅要对网络访问的结果进行监督，更重要的是要对访问过程进行全程的监督，其目的就是要加强内部控制;作为一个高度信息化的行业，水电厂的IT系统成为内控的重点。
4. 在审计的基础上，引入访问控制机制，更合理地管理IT系统的资源及其访问权限。审计是一种事后稽查机制，更多地起到威慑和事后追查的作用;而控制机制则可以有效地遏制信息资源的盗用、滥用，避免信息资产遭到人为破坏。
在充分理解水电厂IT系统合规性管理的前提下，加强IT系统的安全建设，最终的目的是要使IT系统更加稳定、有序，因此，对安全系统提出了很高的要求，即：安全技术的实施，应尽量减少对原系统的绕动，包括对原系统稳定性、处理能力的影响等，应该降低到最小的程度。
基于上述情况，我们采用了以启明星辰天玥网络安全审计系统(业务网型)为核心，加强水电厂合规性管理的解决方案。
2 合规性管理在水电厂IT治理中的应用
2.1 合规性审计系统工作原理
天玥网络安全审计系统基于“IP数据俘获→应用层数据分析→审计和响应”实现各项功能，设计中充分贯彻了平台化的思路;由于采用旁路接入的工作模式，使得天玥系统在实现各种安全功能的同时，对原系统的绕动和影响降到最低。
图1 天玥网络安全审计系统的工作原理
天玥网络安全审计系统主要实现以下安全功能。
1. 应用级的安全审计和响应：特有的“审计策略库”可以深入到应用层协议(如操作命令、业务操作过程)实现详细的安全审计，并根据安全策略采取诸如记录、审计、告警、阻断等响应。
2. 提供多视角的审计报告：根据实时记录的网络访问情况，提供多种安全审计报告，更清晰地了解系统的使用情况以及安全事件的发生情况，并可根据这些安全审计报告进一步修改和完善“审计策略库”。
2.2 合规性审计系统应用部署
天玥系统通过网络旁路侦听的方式对网络数据流进行采集、分析和识别，并对应用层协议进行完整还原，根据制定的安全审计策略进行审计响应。网络旁路监听技术的优势是：不影响用户的网络结构;不影响用户的网络性能;不影响用户的应用业务。
天玥网络安全审计系统由以下3大部分构成。
1. 管理软件：天玥管理控制台，安装于Windows系列操作系统之上，提供管理控制界面，审计报表的输出等。
2. 天玥审计引擎：基于专门硬件构建，根据安全策略对俘获的数据进行比对、分析，并做出响应动作，如告警、阻断等。审计引擎的“嗅探端口”需要连接到交换机的“镜像目的”端口上，以获取网络通信数据;“管理和阻断”端口需要分配一个合法的IP地址，连接到交换机的普通通信端口上。
3. 天玥审计数据中心：基于专门硬件构建，主要用于接收天玥审计引擎的数据、负责审计数据的存储。需要分配一个合法的IP地址，连接到交换机的普通通信端口上。
1.1 通过实时审计和控制实现合规性管理
实时审计和控制功能由天玥网络审计引擎完成，天玥网络审计引擎有两种类型的端口。通过“管理端口”接受管理，并从天玥审计数据中心那里获取所有的安全策略;通过“信息嗅探端口”获取通信流量进行解析，使用“审计策略库”对过往的信息进行实时的比对，当发现越权访问或违规操作时，通过“管理端口”同时向客户端和受保护的主机和服务发出阻断信息;需要审计记录的原始信息、审计信息则通过“管理端口”发送给天玥审计数据中心进行存储和整理。
天玥系统独具特色的“审计策略库”设计，使得天玥系统不但具备了功能强大的安全审计功能，更使得天玥系统具备了网络安全分析工具及“应用层IDS”的特征。用户可以自己定义符合业务特征的“应用策略库”。
天玥系统在配置不同类型的“审计策略库”后，即具备了应用层审计及响应的功能。“审计策略库”可以灵活地制定数据俘获、安全审计及响应策略，根据系统实际的运行情况输出恰当的审计报告，更全面、更有重点地了解和掌握系统的运行状况。
1.2 审计信息的整理和输出
审计信息的整理、输出，以及各种安全策略的解析、存储、分发等，均由天玥审计数据中心完成。
天玥审计数据中心采用经裁减、加固、改进的Linux操作系统，自行设计的数据库，各种审计信息、安全策略信息均存储在该数据库中。
在天玥管理控制台上，提供了多种查询方法，并能自行定义审计报表的内容。
天玥系统同时也提供了用户可自定义内容的审计报表输出功能，通过天玥管理控制台，可以自定义审计报表。
Web日志管理中心是一个功能强大的审计报表系统，系统是Web的形式对外提供服务，用户可以在任何一台机器上通过IE浏览器登录Web日志管理中心进行审计数据的查询和统计。
2 合规性管理的价值回报
目前天玥系统在古田溪水力发电厂已得到了初步的应用，通过实施以天玥系统为基础的合规性管理系统，水电厂从以下五个方面获得IT治理的价值回报。
2.1 满足合规性要求，顺利通过IT审计
目前，越来越多的单位面临一种或者几种合规性要求。电力企业面临电监会等相关政策和法规并遵循等级保护的合规性要求。天玥系统提供了一种独立的审计方案，有助于完善组织的IT内控与审计体系，从而满足各种合规性要求，并且使组织能够顺利通过IT审计。
2.2 有效减少核心信息资产的破坏和泄漏
对电力企业的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键系统上(如数据库服务器、应用服务器等)，通过使用天玥系统，能够加强对这些关键系统的访问控制与审计，从而有效减少核心信息资产的破坏和泄漏。
2.3 有效控制运维操作风险，便于事后追查原因与界定责任
电力企业里负责运维的部门通常拥有目标系统或者网络设备的最高权限(掌握root帐号的口令)，因而也承担着很高的风险(误操作或者是个别人员的恶意破坏)。由于目标系统不能区别不同人员使用同一个帐号进行维护操作，所以不能界定维护人员的真实身份。天玥系统提供基于角色的访问控制与审计，不但能够有效地控制运维操作风险，还能够有效地区分不同维护人员的身份，便于事后追查原因与界定责任。
2.4 有效控制业务运行风险，直观掌握业务系统运行的安全状况
业务系统的正常运行需要一个安全、稳定的网络环境。对运维部门来说，网络环境的安全状况事关重大。天玥系统提供业务流量监控与审计事件统计分析功能，能够直观地反映网络环境的安全状况。
2.5 实现独立审计与三权分立，完善IT内控机制
从内控的角度来看，IT系统的使用权、管理权与监督权必须三权分立。在三权分立的基础上实施内控与审计，有效地控制操作风险(包括业务操作风险与运维操作风险)。天玥系统基于网络旁路监听的方式实现独立的审计与三权分立，完善IT内控机制。
3 小结
合规性管理的这五个方面指明了电力企业中高层管理者为保证IT 运作有效实施而必须重点关注的工作内容。而为了使这五个方面能够落实到具体的IT 管理工作中，IT 系统合规性管理还必须能够保证总体战略目标从上而下的分解与执行，并且确保在组织的全部范围内深入推行。
1 水电厂IT系统对合规性管理的迫切需求
目前水电厂的网络系统主要由电力调度网络和办公应用网络两部分构成。
电力调度网络具有分散控制、统一联合运行、高度依赖信息化的特点，因此其安全级别甚至超过了电信行业。此外，水电厂信息化已经深入电力生产和管理的全过程，建立在网络架构上的跨地区信息网开始逐步建立，水电厂对信息系统的合规性管理要求日渐趋高，并把合规性管理纳入电厂生产、经营和管理体系。由于信息共享的需要，水电厂内部网络需要24×7与网络相连接，以便于异地分支机构、合作伙伴、用户的各种访问，这在提高工作效率的同时也使电力企业对于信息资源共享环境下的权限管理、内容管理、资源管理变得更加重要。另外，水电厂内部人员在使用过程当中，发生的误删文件、误操作等行为也极易造成系统故障甚至崩溃，必须引起重视。
同时，水电厂办公网络运行着电力经营系统、OA系统、ERP系统、财务系统等其它管理办公类应用系统，如何保障这些系统的高效运行，必须加强合规性管理，结合企业管理政策、企业发展战略和规划，实现善治的IT系统管理。
古田溪水力发电厂目前的应用系统主要有：计算机监控系统、DMIS(检修申请、电量上报、模拟市场)、 电力市场系统、故障录波等。在生产数据网络建设之前，主要是通过微波、电力广域网(MIS网)和拨号与调度数据传送。
通过对水电厂IT系统现状的分析和安全需求分析，我们认为必须加强IT信息系统的合规性管理，尤其迫切需要解决以下几方面的安全问题：
1. 引入集中用户管理技术，将全系统的用户进行集中管理，一方面降低系统管理的复杂度和难度，更重要的是通过用户的集中管理来规避用户管理混乱的问题，从而使得全系统的用户管理可以严格地按照相关的安全规定、安全策略来有效地实施。
2. 引入强身份认证技术，提升原有的身份认证强度，杜绝出现口令泄漏、共用账号、盗用账号等问题。
3. 引入审计机制，不仅要对网络访问的结果进行监督，更重要的是要对访问过程进行全程的监督，其目的就是要加强内部控制;作为一个高度信息化的行业，水电厂的IT系统成为内控的重点。
4. 在审计的基础上，引入访问控制机制，更合理地管理IT系统的资源及其访问权限。审计是一种事后稽查机制，更多地起到威慑和事后追查的作用;而控制机制则可以有效地遏制信息资源的盗用、滥用，避免信息资产遭到人为破坏。
在充分理解水电厂IT系统合规性管理的前提下，加强IT系统的安全建设，最终的目的是要使IT系统更加稳定、有序，因此，对安全系统提出了很高的要求，即：安全技术的实施，应尽量减少对原系统的绕动，包括对原系统稳定性、处理能力的影响等，应该降低到最小的程度。
基于上述情况，我们采用了以启明星辰天玥网络安全审计系统(业务网型)为核心，加强水电厂合规性管理的解决方案。
2 合规性管理在水电厂IT治理中的应用
2.1 合规性审计系统工作原理
天玥网络安全审计系统基于“IP数据俘获→应用层数据分析→审计和响应”实现各项功能，设计中充分贯彻了平台化的思路;由于采用旁路接入的工作模式，使得天玥系统在实现各种安全功能的同时，对原系统的绕动和影响降到最低。
图1 天玥网络安全审计系统的工作原理
天玥网络安全审计系统主要实现以下安全功能。
1. 应用级的安全审计和响应：特有的“审计策略库”可以深入到应用层协议(如操作命令、业务操作过程)实现详细的安全审计，并根据安全策略采取诸如记录、审计、告警、阻断等响应。
2. 提供多视角的审计报告：根据实时记录的网络访问情况，提供多种安全审计报告，更清晰地了解系统的使用情况以及安全事件的发生情况，并可根据这些安全审计报告进一步修改和完善“审计策略库”。
2.2 合规性审计系统应用部署
天玥系统通过网络旁路侦听的方式对网络数据流进行采集、分析和识别，并对应用层协议进行完整还原，根据制定的安全审计策略进行审计响应。网络旁路监听技术的优势是：不影响用户的网络结构;不影响用户的网络性能;不影响用户的应用业务。
天玥网络安全审计系统由以下3大部分构成。
1. 管理软件：天玥管理控制台，安装于Windows系列操作系统之上，提供管理控制界面，审计报表的输出等。
2. 天玥审计引擎：基于专门硬件构建，根据安全策略对俘获的数据进行比对、分析，并做出响应动作，如告警、阻断等。审计引擎的“嗅探端口”需要连接到交换机的“镜像目的”端口上，以获取网络通信数据;“管理和阻断”端口需要分配一个合法的IP地址，连接到交换机的普通通信端口上。
3. 天玥审计数据中心：基于专门硬件构建，主要用于接收天玥审计引擎的数据、负责审计数据的存储。需要分配一个合法的IP地址，连接到交换机的普通通信端口上。
1.1 通过实时审计和控制实现合规性管理
实时审计和控制功能由天玥网络审计引擎完成，天玥网络审计引擎有两种类型的端口。通过“管理端口”接受管理，并从天玥审计数据中心那里获取所有的安全策略;通过“信息嗅探端口”获取通信流量进行解析，使用“审计策略库”对过往的信息进行实时的比对，当发现越权访问或违规操作时，通过“管理端口”同时向客户端和受保护的主机和服务发出阻断信息;需要审计记录的原始信息、审计信息则通过“管理端口”发送给天玥审计数据中心进行存储和整理。
天玥系统独具特色的“审计策略库”设计，使得天玥系统不但具备了功能强大的安全审计功能，更使得天玥系统具备了网络安全分析工具及“应用层IDS”的特征。用户可以自己定义符合业务特征的“应用策略库”。
天玥系统在配置不同类型的“审计策略库”后，即具备了应用层审计及响应的功能。“审计策略库”可以灵活地制定数据俘获、安全审计及响应策略，根据系统实际的运行情况输出恰当的审计报告，更全面、更有重点地了解和掌握系统的运行状况。
1.2 审计信息的整理和输出
审计信息的整理、输出，以及各种安全策略的解析、存储、分发等，均由天玥审计数据中心完成。
天玥审计数据中心采用经裁减、加固、改进的Linux操作系统，自行设计的数据库，各种审计信息、安全策略信息均存储在该数据库中。
在天玥管理控制台上，提供了多种查询方法，并能自行定义审计报表的内容。
天玥系统同时也提供了用户可自定义内容的审计报表输出功能，通过天玥管理控制台，可以自定义审计报表。
Web日志管理中心是一个功能强大的审计报表系统，系统是Web的形式对外提供服务，用户可以在任何一台机器上通过IE浏览器登录Web日志管理中心进行审计数据的查询和统计。
2 合规性管理的价值回报
目前天玥系统在古田溪水力发电厂已得到了初步的应用，通过实施以天玥系统为基础的合规性管理系统，水电厂从以下五个方面获得IT治理的价值回报。
2.1 满足合规性要求，顺利通过IT审计
目前，越来越多的单位面临一种或者几种合规性要求。电力企业面临电监会等相关政策和法规并遵循等级保护的合规性要求。天玥系统提供了一种独立的审计方案，有助于完善组织的IT内控与审计体系，从而满足各种合规性要求，并且使组织能够顺利通过IT审计。
2.2 有效减少核心信息资产的破坏和泄漏
对电力企业的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键系统上(如数据库服务器、应用服务器等)，通过使用天玥系统，能够加强对这些关键系统的访问控制与审计，从而有效减少核心信息资产的破坏和泄漏。
2.3 有效控制运维操作风险，便于事后追查原因与界定责任
电力企业里负责运维的部门通常拥有目标系统或者网络设备的最高权限(掌握root帐号的口令)，因而也承担着很高的风险(误操作或者是个别人员的恶意破坏)。由于目标系统不能区别不同人员使用同一个帐号进行维护操作，所以不能界定维护人员的真实身份。天玥系统提供基于角色的访问控制与审计，不但能够有效地控制运维操作风险，还能够有效地区分不同维护人员的身份，便于事后追查原因与界定责任。
2.4 有效控制业务运行风险，直观掌握业务系统运行的安全状况
业务系统的正常运行需要一个安全、稳定的网络环境。对运维部门来说，网络环境的安全状况事关重大。天玥系统提供业务流量监控与审计事件统计分析功能，能够直观地反映网络环境的安全状况。
2.5 实现独立审计与三权分立，完善IT内控机制
从内控的角度来看，IT系统的使用权、管理权与监督权必须三权分立。在三权分立的基础上实施内控与审计，有效地控制操作风险(包括业务操作风险与运维操作风险)。天玥系统基于网络旁路监听的方式实现独立的审计与三权分立，完善IT内控机制。
3 小结
合规性管理的这五个方面指明了电力企业中高层管理者为保证IT 运作有效实施而必须重点关注的工作内容。而为了使这五个方面能够落实到具体的IT 管理工作中，IT 系统合规性管理还必须能够保证总体战略目标从上而下的分解与执行，并且确保在组织的全部范围内深入推行。
