本文基于電力基建企業(yè)的現(xiàn)狀，分析了企業(yè)信息安全的若干問(wèn)題：信息安全機(jī)構(gòu)、信息安全管理制度、系統(tǒng)安全風(fēng)險(xiǎn)、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)、災(zāi)備缺失，并提出了相應(yīng)的對(duì)策。

一、電力基建企業(yè)在信息安全問(wèn)題上的特點(diǎn)

近年來(lái)，我國(guó)的企業(yè)信息化建設(shè)在取得長(zhǎng)足進(jìn)步的同時(shí)，企業(yè)信息安全面臨的形式卻日益嚴(yán)峻。隨意列舉幾個(gè)近兩年的信息安全事件便可略窺一斑：2011年2月，多家全國(guó)性的商業(yè)銀行和地方城市銀行客戶(hù)遭遇大批量網(wǎng)絡(luò)詐騙；同年，QQ病毒“我的照片”廣泛傳播；同年年末，中國(guó)互聯(lián)網(wǎng)發(fā)生大規(guī)模泄密，CSDN、天涯等眾多互聯(lián)網(wǎng)公司的賬戶(hù)密碼信息被公開(kāi)下載；2012年，國(guó)內(nèi)幾家大型電力企業(yè)遭受網(wǎng)絡(luò)惡性攻擊。

電力基建企業(yè)在信息安全上同樣面臨諸多問(wèn)題，但其自身的特點(diǎn)決定其在信息安全上也有與其它電力企業(yè)不同的情況：

電力基建企業(yè)屬于電力類(lèi)企業(yè)，在信息安全上的標(biāo)準(zhǔn)（參照電監(jiān)會(huì)要求）比較高，但其在信息建設(shè)上投入的實(shí)際力度又往往弱于電廠(chǎng)類(lèi)企業(yè)。原因在于：電廠(chǎng)類(lèi)企業(yè)往往將信息安全設(shè)備作為電廠(chǎng)的必備資產(chǎn)（如發(fā)電機(jī)）加以購(gòu)置，因?yàn)槿魏慰赡苡尚畔踩l(fā)的電力事故都可能產(chǎn)生重大的社會(huì)影響，是企業(yè)不可承受的；而在電力基建企業(yè)，這方面的影響顯然沒(méi)有那么明顯——簡(jiǎn)單地理解是，習(xí)慣于使用電力的現(xiàn)代公民會(huì)對(duì)哪怕是一分鐘的斷電提出強(qiáng)烈的不滿(mǎn)，但對(duì)建設(shè)中的電力項(xiàng)目的延期則鮮有質(zhì)疑——電力基建企業(yè)中的信息安全設(shè)備也就變成了可選項(xiàng)。

另一方面，基建企業(yè)以項(xiàng)目管理為主，項(xiàng)目部遠(yuǎn)離公司總部分布于各地，在信息安全管理上因此產(chǎn)生一系列的新問(wèn)題：如項(xiàng)目部的信息安全人員的缺失、項(xiàng)目部對(duì)總部的大量遠(yuǎn)程訪(fǎng)問(wèn)引發(fā)的安全問(wèn)題等。

二、電力基建企業(yè)信息安全的主要問(wèn)題：

信息安全機(jī)構(gòu)及人員的問(wèn)題

信息安全機(jī)構(gòu)包括信息安全領(lǐng)導(dǎo)小組和信息安全工作小組。

在大多數(shù)電力企業(yè)，信息安全領(lǐng)導(dǎo)小組通常由企業(yè)的總經(jīng)理或副總領(lǐng)銜，成員是各個(gè)部門(mén)的負(fù)責(zé)人。這樣的安排本身并沒(méi)有什么問(wèn)題，問(wèn)題在于：大多數(shù)企業(yè)依舊未設(shè)置真正懂信息技術(shù)的CIO（首席信息官），信息安全領(lǐng)導(dǎo)小組的大多數(shù)成員不是信息技術(shù)的專(zhuān)家，這讓信息安全領(lǐng)導(dǎo)小組的能力大打折扣。

信息安全工作小組中，專(zhuān)職的信息安全管理崗位是必不可少的，對(duì)該崗位有不能兼任網(wǎng)絡(luò)管理員、系統(tǒng)管理員或數(shù)據(jù)庫(kù)管理員的要求。而很多企業(yè)的專(zhuān)職信息人員本來(lái)就缺乏，因此很難滿(mǎn)足這一要求。

在電力基建企業(yè)中，還有一個(gè)特別的因素，就是分散在遠(yuǎn)離公司本部的各項(xiàng)目部。那里的信息安全人員比較饋乏——在這種情況下，即使有總部信息中心的強(qiáng)力支持，該項(xiàng)目部的信息安全風(fēng)險(xiǎn)仍是相當(dāng)大。

缺乏系統(tǒng)、完整的信息安全管理制度

“沒(méi)有規(guī)矩，不成方圓。”要想做好企業(yè)信息安全工作，系統(tǒng)的、完整的信息安全管理制度是必不可少的。

一個(gè)完整的企業(yè)信息安全管理制度應(yīng)包括從對(duì)信息安全的規(guī)劃、設(shè)計(jì)、建設(shè)、運(yùn)維等全過(guò)程的支持，涵蓋到對(duì)方方面面的信息安全風(fēng)險(xiǎn)進(jìn)行識(shí)別、衡量、分析、評(píng)價(jià)、防范和控制的指導(dǎo)性條款。

比如機(jī)房準(zhǔn)入制度。經(jīng)常會(huì)有不同廠(chǎng)商的技術(shù)人員帶著設(shè)備進(jìn)入企業(yè)機(jī)房進(jìn)行維修，必須對(duì)其準(zhǔn)入、攜帶設(shè)備、允許操縱的設(shè)備進(jìn)行全方位的監(jiān)控，如果沒(méi)有相應(yīng)的制度來(lái)規(guī)范這些步驟，安全風(fēng)險(xiǎn)便可能在其中的任何一個(gè)環(huán)節(jié)滋生。

對(duì)基層企業(yè)而言，這個(gè)信息安全管理制度不能生搬硬套國(guó)家層面的或集團(tuán)層面的相關(guān)制度，只能以此為參照，根據(jù)自身企業(yè)的實(shí)際情況編制，并在實(shí)踐中不斷改正。

中心機(jī)房的物理安全風(fēng)險(xiǎn)

中心機(jī)房的物理安全涉及到多個(gè)內(nèi)容，包括物理位置的選擇、物理訪(fǎng)問(wèn)控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電等。

在電力基建企業(yè)，通常會(huì)有這樣那樣的缺陷。畢竟，信息安全建設(shè)與企業(yè)整體信息化建設(shè)融而為一，信息安全成為企業(yè)IT建設(shè)的關(guān)鍵環(huán)節(jié)之一，是2010年以后的事。而國(guó)內(nèi)大多數(shù)電力基建企業(yè)的中心機(jī)房的建設(shè)早于此。

系統(tǒng)的安全風(fēng)險(xiǎn)

系統(tǒng)的安全風(fēng)險(xiǎn)主要指操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)和各種應(yīng)用系統(tǒng)所存在的安全風(fēng)險(xiǎn)。

操作系統(tǒng)風(fēng)險(xiǎn)

使用最廣的Windows系列操作系統(tǒng)就像一個(gè)千瘡百孔的大廈，存在著大量已知和未知的漏洞，這些漏洞可以導(dǎo)致入侵者獲得管理員的權(quán)限，可以被用來(lái)植入木馬，可以被用來(lái)實(shí)施拒絕服務(wù)攻擊……總之，如果沒(méi)有足夠的防備，我們的電腦隨時(shí)會(huì)發(fā)生泄密、數(shù)據(jù)篡改、系統(tǒng)崩潰等可怕的災(zāi)難。

數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)

數(shù)據(jù)庫(kù)系統(tǒng)的安全特性主要是針對(duì)數(shù)據(jù)而言的，包括數(shù)據(jù)獨(dú)立性、數(shù)據(jù)安全性、數(shù)據(jù)完整性、并發(fā)控制、故障恢復(fù)等幾個(gè)方面。這里不展開(kāi)進(jìn)一步討論。值得指出的是，很多電力企業(yè)有許多相對(duì)“古老”的應(yīng)用系統(tǒng)，使用同樣“古老”的SQLSERVER2000數(shù)據(jù)庫(kù)，而在這個(gè)版本早已停止升級(jí)補(bǔ)丁后，這種數(shù)據(jù)庫(kù)的諸多漏洞成為永遠(yuǎn)關(guān)不上的后門(mén)——除了升級(jí)數(shù)據(jù)庫(kù)版本，沒(méi)有其它的方法。

應(yīng)用系統(tǒng)風(fēng)險(xiǎn)

應(yīng)用系統(tǒng)同樣會(huì)有各種各樣的安全問(wèn)題，早期開(kāi)發(fā)的應(yīng)用系統(tǒng)甚至可能是用明碼存儲(chǔ)用戶(hù)名及密碼。這種情況仍然上演于擁有領(lǐng)先IT技術(shù)的互聯(lián)網(wǎng)企業(yè)內(nèi)部，比如2011年中國(guó)互聯(lián)網(wǎng)賬號(hào)密碼泄露事件中，令人驚詫的一點(diǎn)就是賬戶(hù)信息的明文儲(chǔ)存。

電力基建企業(yè)最重要的業(yè)務(wù)系統(tǒng)是基建MIS，該系統(tǒng)通常是定制開(kāi)發(fā)的，當(dāng)然也有很多商用的基建MIS供選擇?；∕IS的安全問(wèn)題很大部分在于用戶(hù)的準(zhǔn)入控制：由于需要設(shè)計(jì)、監(jiān)理、施工單位填報(bào)數(shù)據(jù)，軟件的客戶(hù)端裝于多處（WEB界面的甚至不需要安裝特定的客戶(hù)端），通過(guò)MIS系統(tǒng)里的用戶(hù)名/密碼的方式進(jìn)行用戶(hù)認(rèn)證，密碼大多沒(méi)有復(fù)雜性要求；在各單位人員頻繁的工作交互中，密碼泄露的可能性相當(dāng)大，由此便造成數(shù)據(jù)泄密風(fēng)險(xiǎn)。

網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)

來(lái)自Internet的風(fēng)險(xiǎn)

1974年ARPA的羅伯特.卡恩和斯坦福的溫登.澤夫提出TCP/IP協(xié)議的時(shí)候，只是定義了在電腦網(wǎng)絡(luò)之間傳送報(bào)文的方法，而并沒(méi)有針對(duì)網(wǎng)絡(luò)的安全問(wèn)題做設(shè)計(jì)。今天當(dāng)TCP/IP協(xié)議成為局域網(wǎng)、Internet上最常用的協(xié)議時(shí)，網(wǎng)絡(luò)安全問(wèn)題帶著先天的缺陷依然困擾著我們。

其中，計(jì)算機(jī)病毒由于對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的災(zāi)難性影響，成為企業(yè)網(wǎng)絡(luò)最嚴(yán)重的安全風(fēng)險(xiǎn)之一。網(wǎng)絡(luò)存儲(chǔ)、電子郵件系統(tǒng)、萬(wàn)維網(wǎng)的廣泛使用，使得計(jì)算機(jī)病毒的擴(kuò)散速度大大加快，網(wǎng)絡(luò)成了病毒傳播的最好途徑。

電力企業(yè)網(wǎng)絡(luò)同樣難以幸免，幾乎所有電力企業(yè)的網(wǎng)絡(luò)通過(guò)外網(wǎng)與互聯(lián)網(wǎng)連接。

雖然今天的IT廠(chǎng)商們已研制出各種各樣的網(wǎng)絡(luò)安全技術(shù)，如何謹(jǐn)慎、合理地使用它們，對(duì)很多企業(yè)用戶(hù)仍然是個(gè)難題。

來(lái)自?xún)?nèi)網(wǎng)的風(fēng)險(xiǎn)

對(duì)電力企業(yè)而言，來(lái)自?xún)?nèi)網(wǎng)的風(fēng)險(xiǎn)和來(lái)自互聯(lián)網(wǎng)的風(fēng)險(xiǎn)幾乎是同等的。

內(nèi)網(wǎng)的風(fēng)險(xiǎn)在于：內(nèi)部人員不經(jīng)意之間泄露的重要信息，或是不小心從互聯(lián)網(wǎng)上下載的木馬，都將可能成為導(dǎo)致系統(tǒng)受攻擊的最致命的安全威脅。

在電力基建項(xiàng)目部，通常還會(huì)有這樣的問(wèn)題：為了工作方便，項(xiàng)目部成員與設(shè)計(jì)、監(jiān)理、施工等其它單位共享一個(gè)局域網(wǎng)。這其中的風(fēng)險(xiǎn)是不言而喻的，比如簡(jiǎn)單的文件夾共享最后會(huì)演變成文件的不可控。

來(lái)自遠(yuǎn)程訪(fǎng)問(wèn)的風(fēng)險(xiǎn)

電力基建單位的諸多項(xiàng)目分布于全國(guó)，對(duì)遠(yuǎn)程訪(fǎng)問(wèn)的需求比較大。遠(yuǎn)程訪(fǎng)問(wèn)有多種不同的技術(shù)方案，這些方案大多會(huì)有不同程度的安全風(fēng)險(xiǎn)。以用戶(hù)名/密碼的簡(jiǎn)單認(rèn)證方式具有較大的安全隱患。

災(zāi)備缺失的風(fēng)險(xiǎn)

災(zāi)備是需要經(jīng)濟(jì)投入的。信息主管們并非不知道災(zāi)備缺失的風(fēng)險(xiǎn)，只是當(dāng)他們考慮用有限的資金來(lái)申請(qǐng)購(gòu)置IT設(shè)備時(shí)，權(quán)衡再三的結(jié)果通常是首先購(gòu)置更能滿(mǎn)足員工需求的IT設(shè)備，比如更寬的帶寬、更快的CPU。

在很多企業(yè)，災(zāi)備通常是缺失的，由此產(chǎn)生的問(wèn)題是顯而易見(jiàn)的。災(zāi)備的經(jīng)濟(jì)效益在大多數(shù)時(shí)候幾乎為零，災(zāi)備的演練總是讓人不勝其煩，它的真正作用也只有當(dāng)災(zāi)難真正來(lái)臨的時(shí)候才會(huì)顯現(xiàn)。

三、電力基建企業(yè)信息安全的對(duì)策

針對(duì)以上提出的六個(gè)方面的企業(yè)信息安全問(wèn)題，結(jié)合實(shí)踐工作中的經(jīng)驗(yàn)，筆者試著給出相應(yīng)的對(duì)策。

信息安全機(jī)構(gòu)與人員

這個(gè)其實(shí)是最難的部分，因?yàn)檫@事關(guān)人的問(wèn)題。在一個(gè)業(yè)務(wù)繁忙的企業(yè)中，似乎每個(gè)部門(mén)都在喊“缺人”，但鮮有提及缺CIO的。在具有中國(guó)特色的國(guó)企中，CIO的缺位其實(shí)是很普遍的現(xiàn)象，更多的是由類(lèi)似信息中心主任、信息部主任、信息主管們的“準(zhǔn)CIO”；反而是一些跨國(guó)企業(yè)和采用現(xiàn)代管理制度的民營(yíng)企業(yè)、合資企業(yè)中，大多有明確的CIO職位。不過(guò)慶幸的是，國(guó)企的信息部門(mén)并非單兵作戰(zhàn)，因?yàn)樵趪?guó)企的環(huán)境里，往往有更上一級(jí)的集團(tuán)公司的信息部門(mén)指導(dǎo)他們的業(yè)務(wù)工作。

信息安全人員不能兼任網(wǎng)管等其它信息技術(shù)崗位，人們往往會(huì)擔(dān)心他們的工作量是否足夠飽滿(mǎn)？其實(shí)，當(dāng)信息工作真正按照標(biāo)準(zhǔn)的信息安全流程來(lái)進(jìn)行時(shí)，這個(gè)問(wèn)題的答案就顯而易見(jiàn)了。

即使這樣，在電力基建企業(yè)的項(xiàng)目部的實(shí)際環(huán)境中，各項(xiàng)目部的信息安全人員配置仍然是一個(gè)繞不開(kāi)去的問(wèn)題。為此，位于企業(yè)總部的信息主管們的態(tài)度是明確的：盡可能地為每個(gè)項(xiàng)目部配備合適的信息安全專(zhuān)職。

完善制度

完善，再完善，當(dāng)然還要嚴(yán)格地執(zhí)行制度。

較好的做法是將信息安全管理制度發(fā)布在ISO文件中，借助于企業(yè)ISO的貫標(biāo)過(guò)程，逐步提高信息安全水平。

中心機(jī)房的物理安全

如果正好遇到企業(yè)總部搬遷，新的中心機(jī)房可以按照相應(yīng)的安全等級(jí)要求建設(shè)。不然，如果仍然只有使用多年的機(jī)房可用，也仍有很多技術(shù)措施可以采用，以彌補(bǔ)先天的安全缺陷。

比如把機(jī)房凌亂的網(wǎng)線(xiàn)重新理一下，讓它們?nèi)繌牡匕逑麓┻^(guò)；增設(shè)溫濕度計(jì)、抽濕器（用于我國(guó)南方地區(qū)）；增設(shè)簡(jiǎn)單的視頻監(jiān)控報(bào)警設(shè)備，等等。

當(dāng)然有一些硬傷可能是無(wú)法修補(bǔ)的，比如高層建筑中的機(jī)房正好不幸位于年久失修的水管的下方，如果你不能找人把水管移位，那只能指望機(jī)房早日搬遷了。

系統(tǒng)安全

對(duì)于操作系統(tǒng)及數(shù)據(jù)庫(kù)安全，事情相對(duì)會(huì)簡(jiǎn)單點(diǎn)?？梢云刚?qǐng)專(zhuān)業(yè)的信息安全公司對(duì)這此進(jìn)行修補(bǔ)，或進(jìn)行系統(tǒng)的升級(jí)（當(dāng)然可能會(huì)有與應(yīng)用軟件不兼容的麻煩）。

對(duì)于應(yīng)用系統(tǒng)的安全問(wèn)題，如果當(dāng)初購(gòu)買(mǎi)的是通用的商用軟件，你可以試著去找找其升級(jí)版本；不過(guò)以筆者的經(jīng)驗(yàn)，不要報(bào)太大的希望——升級(jí)版本通常會(huì)有BUG的修復(fù)、功能的更新，但很少會(huì)在安全方面考慮更多；如果是定制開(kāi)發(fā)的，則可以去找原開(kāi)發(fā)商求助。已運(yùn)行多年的應(yīng)用軟件可能找不到原開(kāi)發(fā)商，也沒(méi)有其它軟件公司愿意來(lái)修改古老的代碼，這時(shí)候就該考慮重新開(kāi)發(fā)。

基建MIS的密碼泄露問(wèn)題，除了提高使用人員的安全意識(shí)，也可以考慮更安全的用戶(hù)認(rèn)證方式，比如智能卡、動(dòng)態(tài)口令（如手機(jī)令牌）、USBKEY、生物識(shí)別——雖然某些技術(shù)在基建這一領(lǐng)域看起來(lái)有些超前，但仍不失為可考慮的選項(xiàng)之一。

網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全是一個(gè)更具專(zhuān)業(yè)意味的命題，因此最好找專(zhuān)業(yè)的網(wǎng)絡(luò)安全服務(wù)公司來(lái)幫你做這件事。當(dāng)然你還需要采購(gòu)防火墻、網(wǎng)絡(luò)版殺毒軟件、入侵防御系統(tǒng)、行為管理系統(tǒng)、日志審記系統(tǒng)等等價(jià)值不菲的軟硬件設(shè)備。

在電力基建企業(yè)，網(wǎng)絡(luò)安全的問(wèn)題有其特殊性。項(xiàng)目部的人員應(yīng)該劃分出自己獨(dú)立的局域網(wǎng)，而不是與外單位人員共用。至于因此而喪失的無(wú)法共享文件夾的便利，完全可以通過(guò)設(shè)立簡(jiǎn)單的文件服務(wù)器來(lái)解決。

遠(yuǎn)程訪(fǎng)問(wèn)有多種技術(shù)，包括基于Internet的WEB、VPN、專(zhuān)線(xiàn)城域網(wǎng)等，不同的技術(shù)方案下，相應(yīng)的信息安全程度、使用的便利性、付出的經(jīng)濟(jì)代價(jià)都是不同的。必須綜合考慮這幾方面的因素才能最終確定合適的技術(shù)方案，并制定相應(yīng)的制度、流程、實(shí)施方案，以確保最大程度的信息安全。

基于電力基建企事業(yè)的普遍情況，筆者推薦VPN方式。如果暫時(shí)只能沿用簡(jiǎn)單的用戶(hù)名/密碼的認(rèn)證方式，那就加強(qiáng)管理。比如去掉公共的VPN帳號(hào)，一人一號(hào)，發(fā)現(xiàn)同一個(gè)帳號(hào)多個(gè)連接的用戶(hù)予以堅(jiān)決制止與糾正。

災(zāi)備

根據(jù)電力基建企業(yè)的實(shí)際情況，建議至少采用國(guó)際標(biāo)準(zhǔn)SHARE78第1級(jí)容災(zāi)方案，即將關(guān)鍵數(shù)據(jù)備份到本地磁帶介質(zhì)上，然后送往異地保存。

此外，關(guān)鍵設(shè)備及線(xiàn)路的冗余與備份也是必不可少的。

四、結(jié)語(yǔ)

做好信息安全其實(shí)并不難，很久之前，中國(guó)人就有著樸素的辯證法的觀點(diǎn)：有矛，就有盾。在企業(yè)信息安全問(wèn)題上，電力基建企業(yè)有其特殊性，但更多的是共性。本文希望能讓全國(guó)的電力基建企業(yè)及其它行業(yè)有所借鑒。