针对电力信息安全风险的研究

一、电力信息安全风险分析

信息安全风险不仅和信息化应用情况有密切关系，和采用的信息技术也密切相关。目前电力生产、经营管理等活动已经离不开信息系统，但高技术在带来便利与效率的同时，也带来了新的安全风险和问题。图一所列的就是电力信息安全所面临的主要威胁：

图一 信息安全威胁归类

1.计算机病毒的威胁

计算机病毒是目前信息安全中最严重的威胁，它发生的频度大，影响的面广，并且能对信息网络造成极大的破坏。在当前的网络条件下，计算机病毒的传播迅速，若一台计算机感染病毒，在一两天甚至几小时内可以感染到系统内所有的计算机，使网络通信阻塞，系统数据和文件系统破坏，最后导致系统根本无法提供服务。

2.各个信息系统之间的互联以及外联的安全隐患

电力信息系统有发电信息网、供电信息网、电网调度自动化系统、管理信息系统(MIS)、办公自动化系统、财务管理信息系统、客户服务支持系统、远程教育培训系统、ERP系统等应用信息系统。他们之间的互联是必不可少的。

3.来自身份鉴别的安全隐患

当前电力系统拥有的众多信息系统一般为特定范围的用户使用，所包含的信息和数据也只对一定范围的用户开放，没有得到授权的用户不能访问。各个信息系统中都设计了用户管理模块，该模块具有建立用户、设置权限、管理和控制用户对本信息系统资源的访问的功能。这些措施在一定程度上能够加强系统的安全性，但在实际应用中仍然存在拨号号码、用户名和密码等资料有可能外泄;静态用户名和密码容易被黑客试探猜出的隐患。

4.企业内系统漏洞和使用非法工具的安全隐患

目前电力信息系统拥有大量用户，其中个别用户出于好奇的心理或者蓄意破坏的动机，利用系统漏洞和非法工具，对网络上连接的计算机系统和设备进行入侵、攻击等行为，影响网络上信息的传输，破坏软件系统和数据等。因此如何杜绝系统漏洞和防止使用非法工具，保护网上的信息系统和信息资源的安全，保证对网络和信息资源的合法使用，是电力面临的另一个非常突出的安全性问题。

二、信息安全事件发生原因分析

针对电力系统以往发生的信息安全事件，分析发生原因，主要有以下几方面因素：

1.信息安全防护意识不强，思想麻痹，没有重视内外黑客入侵将造成的严重后果而舍不得或不知道要投入必要的人力、物力、财力来加强信息的安全防护。

2.信息技术人员总体业务水平较低，缺少必要的技术培训，跟不上信息技术快速发展的要求。

3.缺乏先进可靠的信息安全技术、工具和产品。

4.对重要系统缺少应急预案，并缺乏防事故演练;大多数县局缺乏可靠的系统备份、恢复技术和工具。

5.重信息化建设，轻信息化管理。

三、加强电力信息安全的对策

1.针对计算机防病毒的安全对策

计算机防病毒系统是发展时间最长的信息安全技术，技术成熟且应用效果非常明显。电力目前已统一安装了企业版Norton防病毒系统，架设了微软SUS打补丁服务系统，能够提供系统集中管理、服务器自动升级、客户端自动更新等功能。

2.对各个信息系统之间的互联以及外联网络安全对策

目前电力信息网络在与外单位、系统单位间、重要服务器等关键关口处设置了防火墙，下一步将考虑逐步实施漏洞扫描、入侵检测、网站保护等安全措施。

3.开展全员信息安全教育和培训活动

开展安全教育和培训应该注意安全教育知识的层次性。主管信息安全工作的负责人和各级信息安全员，重点要了解和掌握信息安全的整体策略及目标、安全管理部门的建立和管理制度的制定等;负责信息安全运行管理及维护的技术人员，重点要充分理解信息安全管理策略，掌握安全管理的基本方法，精通信息系统的安全维护技术等;广大信息系统用户重点要学习各种安全操作流程和行为规范，了解和掌握与其相关的信息安全策略，包括自身应该承担的安全职责等。

参考文献：

[1] 潘明惠,偏瑞琪,李志民,陈学允. 电力系统信息安全应用研究[J]中国电力, 2001,(S1) .

[2] 李文武,王先培,孟波,贺鹏. 电力行业信息安全体系结构初探[J]中国电力, 2002,(05) .

[3] 黄成哲. 信息安全风险评估工具综述[J]黑龙江工程学院学报, 2006,(01) .