[摘? 要]本文具體分析了電力系統(tǒng)信息安全的現(xiàn)狀，存在的安全風(fēng)險(xiǎn)，對信息安全的解決方案從技術(shù)和治理兩個(gè)方面進(jìn)行了探討
???????? [關(guān)鍵詞] 電力 信息安全 解決方案
??????????? 近年來，我國電力系統(tǒng)走向市場步伐的加快，國家電力產(chǎn)業(yè)體制開始向市場轉(zhuǎn)變，各級(jí)供電企業(yè)紛紛建立信息系統(tǒng)和基于Internet的治理應(yīng)用，以進(jìn)步勞動(dòng)生產(chǎn)率，進(jìn)步治理水平，加強(qiáng)信息反饋，進(jìn)步?jīng)Q策的科學(xué)性和正確性，進(jìn)步企業(yè)的綜合競爭力。但是，隨著電力信息網(wǎng)的互聯(lián)和完全溶進(jìn)Internet，電力信息網(wǎng)絡(luò)面臨日益突出的信息系統(tǒng)安全題目。在電力企業(yè)的綜合信息治理系統(tǒng)中，必須從網(wǎng)絡(luò)、操縱系統(tǒng)、應(yīng)用程序和業(yè)務(wù)需求等各方面來保證系統(tǒng)的安全。研究電力系統(tǒng)信息網(wǎng)絡(luò)安全題目、開發(fā)相應(yīng)的應(yīng)用系統(tǒng)、設(shè)計(jì)系統(tǒng)的安全防護(hù)方案，制訂切實(shí)可行的在電力信息網(wǎng)遭受外部攻擊時(shí)的防范措施與系統(tǒng)災(zāi)難時(shí)恢復(fù)措施等信息安全應(yīng)急預(yù)案是當(dāng)前信息化工作的重要內(nèi)容。電力系統(tǒng)信息安全已經(jīng)成為電力企業(yè)生產(chǎn)、經(jīng)營和治理的重要組成部分。特別是在電力系統(tǒng)體制改革使得廠網(wǎng)分開后，發(fā)電廠信息網(wǎng)和供電信息網(wǎng)在網(wǎng)絡(luò)上緊密聯(lián)系，在治理上卻相互獨(dú)立，又給電力信息網(wǎng)的安全提出新的課題。
??????? 一．電力信息化應(yīng)用和發(fā)展
??????? 1.電力信息化應(yīng)用
??????? 目前電力企業(yè)信息化建設(shè)硬件環(huán)境已經(jīng)基本構(gòu)建完成，硬件設(shè)備數(shù)目和網(wǎng)絡(luò)建設(shè)狀況良好，在電力生產(chǎn)、電力調(diào)度、輸變電、配網(wǎng)自動(dòng)化等關(guān)鍵環(huán)節(jié)已大部分實(shí)施了信息化。在網(wǎng)絡(luò)硬件方面，基本上已經(jīng)實(shí)現(xiàn)千兆骨干網(wǎng)，百兆交換到桌面，三層交換，VLAN, MPLS等技術(shù)也在普及使用。在軟件方面，應(yīng)用主要包括電網(wǎng)(國調(diào)、網(wǎng)、省、地市以及縣級(jí))調(diào)度自動(dòng)化系統(tǒng)、電力市場技術(shù)支持系統(tǒng)、用電營銷信息系統(tǒng)、配網(wǎng)自動(dòng)化以及企業(yè)ERP等。計(jì)算機(jī)及信息網(wǎng)絡(luò)系統(tǒng)在電力生產(chǎn)、建設(shè)、經(jīng)營、治理、科研、設(shè)計(jì)等各個(gè)領(lǐng)域有著十分廣泛的應(yīng)用，尤其在電網(wǎng)調(diào)度自動(dòng)化、廠站自動(dòng)控制、治理信息系統(tǒng)、電力市場技術(shù)支持系統(tǒng)、電力營銷系統(tǒng)、辦公自動(dòng)化系統(tǒng)、財(cái)務(wù)治理信息系統(tǒng)、客戶服務(wù)支持系統(tǒng)、電力負(fù)荷治理、計(jì)算機(jī)輔助設(shè)計(jì)、科學(xué)計(jì)算以及教育培訓(xùn)等方面取得了較好的應(yīng)用效果，在安全生產(chǎn)、節(jié)能降耗、降低本錢、縮短工期、進(jìn)步勞動(dòng)生產(chǎn)率等方面取得了明顯的社會(huì)效益和經(jīng)濟(jì)效益，同時(shí)也逐步健全和完善了信息化治理機(jī)制，培養(yǎng)和建立了一支強(qiáng)有力的技術(shù)隊(duì)伍，有力促進(jìn)了電力產(chǎn)業(yè)的發(fā)展。
??????? 2.電力信息網(wǎng)絡(luò)建設(shè)
??????? 　　電力通訊網(wǎng)以光纖通訊為主、微波通訊為輔組成電力通訊傳輸干線網(wǎng)絡(luò)，為高速數(shù)據(jù)通訊提供了網(wǎng)絡(luò)平臺(tái)。信息網(wǎng)絡(luò)分為兩大部分，一是電力調(diào)度信息網(wǎng)，主要由國家電力調(diào)度數(shù)據(jù)一級(jí)網(wǎng)，大區(qū)電網(wǎng)和省級(jí)網(wǎng)的二級(jí)調(diào)度信息網(wǎng)，區(qū)、市建成三級(jí)調(diào)度信息網(wǎng)以及縣級(jí)供電公司的電力調(diào)度信息四級(jí)網(wǎng)，覆蓋各級(jí)調(diào)度中心和發(fā)電廠、變電站，主要傳輸電力調(diào)度實(shí)時(shí)信息，國調(diào)及各級(jí)調(diào)度均配有調(diào)度自動(dòng)化系統(tǒng)，各級(jí)調(diào)度、廠、站實(shí)時(shí)信息按調(diào)度管轄權(quán)限劃分送至有關(guān)調(diào)度。二是電力治理信息網(wǎng)，主要由國家電網(wǎng)公司一級(jí)電力信息網(wǎng)、大區(qū)和省級(jí)的二級(jí)電力信息網(wǎng)、 (區(qū)、市)建成三級(jí)電力信息網(wǎng)以及縣級(jí)供電公司的四級(jí)電力信息網(wǎng)。電力信息網(wǎng)是以電力信息主干網(wǎng)絡(luò)為中心，覆蓋各發(fā)、供電、施工、修造、學(xué)校、醫(yī)院等單位的計(jì)算機(jī)信息網(wǎng)絡(luò)系統(tǒng)。包括：電科院、電力醫(yī)院,供電公司、發(fā)電廠、水電站等和其它單位。通過各地的ISP接進(jìn)互聯(lián)網(wǎng)，同時(shí)還與地方政府網(wǎng)絡(luò)聯(lián)網(wǎng)，與銀行聯(lián)網(wǎng)實(shí)現(xiàn)實(shí)時(shí)代收費(fèi)等。
??????? 　　二．電力信息網(wǎng)安全現(xiàn)狀分析
??????? 　　電力系統(tǒng)信息安全是電力系統(tǒng)安全運(yùn)行和對社會(huì)可靠供電的保障，是一項(xiàng)涉及電網(wǎng)調(diào)度自動(dòng)化、繼電保護(hù)及安全裝置、廠、站自動(dòng)化、配電網(wǎng)自動(dòng)化、電力負(fù)荷控制、電力市場交易、電力營銷、信息網(wǎng)絡(luò)系統(tǒng)等有關(guān)生產(chǎn)、經(jīng)營和治理方面的多領(lǐng)域、復(fù)雜的大型系統(tǒng)工程。電力信息化的發(fā)展使電力生產(chǎn)、經(jīng)營很多環(huán)節(jié)完全依靠電力信息網(wǎng)的正常運(yùn)行與否，如電網(wǎng)調(diào)度自動(dòng)化系統(tǒng)對無人值班變電所的運(yùn)行影響，用電營銷信息系統(tǒng)對電費(fèi)回收的影響等。結(jié)合電力生產(chǎn)特點(diǎn)，從電力信息系統(tǒng)和電力運(yùn)行實(shí)時(shí)控制系統(tǒng)兩個(gè)方面，分析電力系統(tǒng)信息安全存在的題目。電力信息系統(tǒng)已經(jīng)初步建立其安全體系，將電力信息網(wǎng)絡(luò)和電力運(yùn)行實(shí)時(shí)控制網(wǎng)絡(luò)進(jìn)行隔離，網(wǎng)絡(luò)間設(shè)置了防火墻，購買了網(wǎng)絡(luò)防病毒軟件，有了數(shù)據(jù)備份設(shè)備。但電力信息網(wǎng)絡(luò)的安全是不平衡的，很多單位沒有網(wǎng)絡(luò)防火墻，沒有數(shù)據(jù)備份的觀念，更沒有對網(wǎng)絡(luò)安全做同一、長遠(yuǎn)的規(guī)劃，網(wǎng)絡(luò)中有很多的安全隱患。
??????? 　　三．電力信息網(wǎng)安全風(fēng)險(xiǎn)分析
??????? 1．計(jì)算機(jī)及信息網(wǎng)絡(luò)安全意識(shí)亟待進(jìn)步。由于近十幾年計(jì)算機(jī)信息技術(shù)高速發(fā)展，計(jì)算機(jī)信息安全策略和技術(shù)也取得了非常大的進(jìn)展。電力系統(tǒng)各種計(jì)算機(jī)應(yīng)用對信息安全的熟悉間隔實(shí)際需要差距較大，對新出現(xiàn)的信息安全題目熟悉不足。
??????? 2．缺乏同一的信息安全治理規(guī)范。電力系統(tǒng)固然對計(jì)算機(jī)安全一直非常重視，但由于各種原因，目前還沒有一套同一、完善的能夠指導(dǎo)整個(gè)電力系統(tǒng)計(jì)算機(jī)及信息網(wǎng)絡(luò)系統(tǒng)安全運(yùn)行的治理規(guī)范。
??????? 3．急需建立同電力行業(yè)特點(diǎn)相適應(yīng)的計(jì)算機(jī)信息安全體系。近幾年來，計(jì)算機(jī)在整個(gè)電力系統(tǒng)的生產(chǎn)、經(jīng)營、治理等方面應(yīng)用越來越多。但是，在計(jì)算機(jī)安全策略、安全技術(shù)、和安全措施投進(jìn)較少。所以，為保證電力系統(tǒng)安全、穩(wěn)定、高效運(yùn)行，應(yīng)建立一套結(jié)合電力計(jì)算機(jī)應(yīng)用特點(diǎn)的計(jì)算機(jī)信息安全體系。
??????? 4．計(jì)算機(jī)網(wǎng)絡(luò)化使過往孤立的局域網(wǎng)在聯(lián)成廣域網(wǎng)后，面臨巨大的外部安全攻擊。電力系統(tǒng)較早的計(jì)算機(jī)系同一般都是內(nèi)部的局域網(wǎng)，并沒有同外界連接。所以，早期的計(jì)算機(jī)安全只是防止意外破壞或者內(nèi)部職員的安全控制就可以了，但現(xiàn)在就必須要面對國際互聯(lián)網(wǎng)上各種安全攻擊，如網(wǎng)絡(luò)病毒和電腦“黑客”等。
??????? 5．?dāng)?shù)據(jù)庫數(shù)據(jù)和文件的明文存儲(chǔ)：電力系統(tǒng)計(jì)算機(jī)網(wǎng)絡(luò)中的信息一般存儲(chǔ)在由數(shù)據(jù)庫治理系統(tǒng)維護(hù)的數(shù)據(jù)庫中或操縱系統(tǒng)文件中。這些以明文形式存儲(chǔ)的信息存在泄漏的可能，由于拿到存儲(chǔ)介質(zhì)的人可以讀出這些信息；黑客可以繞過操縱系統(tǒng)、數(shù)據(jù)庫治理系統(tǒng)的控制獲取這些信息；系統(tǒng)后門使軟硬件系統(tǒng)制造商很輕易得到這些信息。
??????? 6．信息的明文傳輸：現(xiàn)代應(yīng)用系同一般采用C/S（客戶/服務(wù)器）或B/S（瀏覽器/服務(wù)器）結(jié)構(gòu)，都在網(wǎng)絡(luò)上運(yùn)行，所處理的信息也必須在網(wǎng)絡(luò)主機(jī)間頻繁傳輸。在電力行業(yè)的計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中，信息傳輸基本上是明文方式。偶有采用SSL（安全套接字層）等加密傳輸?shù)?，但由于外國安全系統(tǒng)出口的限制，所能夠用到的SSL是低安全級(jí)別的。這些明文或只受到低安全保護(hù)的信息在網(wǎng)絡(luò)上傳輸，不具有信息安全所要求的保密、完整和發(fā)送方的不可抵賴性要求。
??????? 7．弱身份認(rèn)證：電力行業(yè)應(yīng)用系統(tǒng)基本上基于商用軟硬件系統(tǒng)設(shè)計(jì)和開發(fā)，用戶身份認(rèn)證基本上采用基于口令的鑒別模式，而這種模式很輕易被攻破。有的應(yīng)用系統(tǒng)還使用自己的用戶鑒別方法，將用戶名、口令以及一些安全控制信息以明文的形式記錄在數(shù)據(jù)庫或文件中，這種脆弱的安全控制措施在操縱職員計(jì)算機(jī)應(yīng)用水平不斷進(jìn)步，信息敏感性不斷增強(qiáng)的今天不能再用了。
??????? 8．沒有完善的數(shù)據(jù)備份措施：很多單位只是選擇一臺(tái)工作站備份一下數(shù)據(jù)就了事，沒有完善的數(shù)據(jù)備份設(shè)備，沒有數(shù)據(jù)備份策略，沒有數(shù)據(jù)備份的治理制度，沒有對數(shù)據(jù)備份的介質(zhì)妥善保管。
??????? 四．電力信息網(wǎng)安全防護(hù)方案
??????? 1．加強(qiáng)電力信息網(wǎng)安全教育
??????? 安全意識(shí)和相關(guān)技能的教育是企業(yè)安全治理中重要的內(nèi)容，實(shí)在施力度將直接關(guān)系到企業(yè)安全策略被理解的程度和被執(zhí)行的效果。為了保證安全的成功和有效，高級(jí)治理部分應(yīng)當(dāng)對企業(yè)各級(jí)治理職員、用戶、技術(shù)職員進(jìn)行安全培訓(xùn)。所有的企業(yè)職員必須了解并嚴(yán)格執(zhí)行企業(yè)安全策略。在安全教育具體實(shí)施過程中應(yīng)該有一定的層次性和普遍性：
??????? ⑴.主管信息安全工作的高級(jí)負(fù)責(zé)人或各級(jí)治理職員，重點(diǎn)是了解、把握企業(yè)信息安全的整體策略及目標(biāo)、信息安全體系的構(gòu)成、安全治理部分的建立和治理制度的制定等。