【正文】 ...........................................................251 項目目標(biāo) ......................................................................251 項目范圍 ......................................................................252 項目內(nèi)容 ......................................................................252 項目實(shí)施要點(diǎn) ..................................................................253 項目周期和推進(jìn)步驟 ............................................................254 項目八 安全策略體系完善與推廣 ......................................................254 項目目標(biāo) ......................................................................254 項目內(nèi)容 ......................................................................255 項目周期和推 進(jìn)步驟 ............................................................256第 1 章 信息安全背景 綜述XX 電網(wǎng)公司（以下簡稱“XX 電網(wǎng)” ）是 中 國 南 方 電 網(wǎng) 有 限 責(zé) 任 公 司 （ 以 下 簡 稱 “南方 電 網(wǎng) ”） 下 屬 的 全 資 子 公 司 ， 負(fù)責(zé) XX 省內(nèi)的電網(wǎng)規(guī)劃、建設(shè)、運(yùn)行、管理和電力銷售。公司直屬單位 22 個，并對全省 88 個縣（市、區(qū)）供電（電力）局 （ 公 司 ） 進(jìn) 行 直 管 或 代管 。XX 電 網(wǎng) 深入踐 行 南 方 電 網(wǎng) 方 略 ， 立 足 于 XX 水 火 互 濟(jì) 的 能 源 優(yōu) 勢 ， 依 托 南 方 電 網(wǎng) 一體 化 平 臺 ， 著 眼 于 省 內(nèi) 外 電 力 市 場 發(fā) 展 前 景 ， 努 力 實(shí) 施 “西 電 東 送 ”戰(zhàn) 略 ， 以 提 高 供電 可 靠 率 為 總 抓 手 ， 以 創(chuàng) 先 為 載 體 ， 促 增 長 、 抓 建 設(shè) 、 強(qiáng) 基 礎(chǔ) ， 做 強(qiáng) 做 優(yōu) ， 實(shí) 現(xiàn) 科 學(xué) 發(fā)展 。隨著業(yè)務(wù)對信息系統(tǒng)的依賴性越來越高，XX 電網(wǎng) IT 的有序管理與運(yùn)維將成為業(yè)務(wù)有序運(yùn)行的前提。因此，XX 電網(wǎng)信息安全著眼于：? 確保國民經(jīng)濟(jì)發(fā)展? 確保社會和諧穩(wěn)定? 確保南方電網(wǎng)的“對中央負(fù)責(zé)、為南方五省區(qū)服務(wù)”宗旨的實(shí)現(xiàn)? 確保 XX 電網(wǎng)信息化對公司生產(chǎn)、經(jīng)營、服務(wù)及企業(yè)管理與決策的支撐為實(shí)現(xiàn)上述目標(biāo)，在技術(shù)建設(shè)方面，項目組參考 ISO15408（CC） 、等保等相關(guān)標(biāo)準(zhǔn)，以及 IBM 的企業(yè)信息安全框架模型（ESA） 、企業(yè)安全技術(shù)架構(gòu)方法（MASS ） ，制定 XX 電網(wǎng)信息安全技術(shù)體系規(guī)劃，滿足未來 5 年 XX 電網(wǎng)信息安全技術(shù)需求。 電網(wǎng)現(xiàn)狀概況信息系統(tǒng)建設(shè)現(xiàn)狀概況XX 電網(wǎng)的信息化建設(shè)在《XX 電網(wǎng)十一五信息發(fā)展規(guī)劃》 、 《XX 電網(wǎng)信息安全咨詢規(guī)劃》的指導(dǎo)下，完全遵循“統(tǒng)一領(lǐng)導(dǎo)、統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一組織開發(fā)”的四統(tǒng)一原則有序進(jìn)行。目前，XX 電網(wǎng)已經(jīng)實(shí)現(xiàn)四統(tǒng)一建設(shè)的信息系統(tǒng)共 17 個，涵蓋了生產(chǎn)、營銷、財務(wù)、人事等八大主營業(yè)務(wù)，覆蓋了公司及所屬供電局和綜合單位共計 23 家單位，信息系統(tǒng)的在線運(yùn)行，支撐了企業(yè)的生產(chǎn)、經(jīng)營、服務(wù)及管理過程。信息安全現(xiàn)狀概況XX 電網(wǎng)在信息安全方面做了大量的工作，先后部署了 IT 資源管理系統(tǒng)、網(wǎng)絡(luò)防病毒系統(tǒng)、PKI/CA 系統(tǒng)、網(wǎng)頁防篡改系統(tǒng)、上網(wǎng)行為管理系統(tǒng)等多種技術(shù)手段，并實(shí)現(xiàn)了 XX 電網(wǎng)統(tǒng)一互聯(lián)網(wǎng)出口，具備了較為完善安全防護(hù)能力。伴隨著我國電力需求的高速發(fā)展，電力信息化建設(shè)也進(jìn)入了快速發(fā)展階段，國家、企業(yè)對信息安全的要求不斷提高，XX 電網(wǎng)已有的信息安全技術(shù)手段不能滿足信息安全技術(shù)不斷發(fā)展的要求，主要體現(xiàn)在信息安全基礎(chǔ)設(shè)施缺乏系統(tǒng)化優(yōu)化整合，信息安全管理自動化水平存在差距，網(wǎng)絡(luò)信息安全監(jiān)管缺乏完整的技術(shù)手段。第 2 章 XX 電網(wǎng)工作方法說明項目組參考了 ISO15408 等國際安全標(biāo)準(zhǔn)，進(jìn)行了安全技術(shù)架構(gòu)規(guī)劃，總體工作思路如下圖所示，具有三個要點(diǎn)：? 統(tǒng)一遵循企業(yè)信息安全架構(gòu)模型（ESA） ，采用成熟的架構(gòu)化方法來規(guī)劃 XX 電網(wǎng)的安全技術(shù)架構(gòu)；? 基于 IBM 的規(guī)范化的架構(gòu)規(guī)劃方法（MASS） ，根據(jù)企業(yè)的業(yè)務(wù)需求來確定所需具備的信息安全技術(shù)能力，完成安全技術(shù)功能服務(wù)組件框架定義與部署設(shè)計；? 在安全技術(shù)功能服務(wù)組件定義和服務(wù)組件運(yùn)行部署設(shè)計確定的基礎(chǔ)上，根據(jù) XX 電網(wǎng)的安全技術(shù)現(xiàn)狀，提出 5 年的安全建設(shè)規(guī)劃。Product安全標(biāo)準(zhǔn)目 標(biāo)與 原 則流 程作 業(yè)指 南架 構(gòu)產(chǎn) 品建 議安全標(biāo)準(zhǔn)架 構(gòu) 化方 法規(guī) 劃Method for Architecting Secure Solution MASS核 心 層互聯(lián)網(wǎng)接入防火墻運(yùn) 行 管 理 區(qū)防火墻I n t e r n e tD M Z 區(qū)防火墻第三方接入（ 銀行 ）防火墻D C （ 數(shù) 據(jù) 中 心 ）防火墻防火墻第三方D M Z 區(qū)運(yùn)營商防火墻D M Z 區(qū)防火墻防火墻調(diào)通局I I 區(qū)調(diào)度數(shù)據(jù)網(wǎng)綜 合 數(shù) 據(jù) 網(wǎng) （ 廣 域 網(wǎng) ）防火墻調(diào)通局 D M Z綜 合 單 位 接 入防火墻省 辦 公 區(qū)防火墻隔離設(shè)施防 病 毒控 制 臺統(tǒng) 一 用戶 管 理企 業(yè) 用戶 目 錄數(shù) 據(jù) 證書集 中 身份 認(rèn) 證訪 問 授權(quán)準(zhǔn) 入 控制桌 面 管理統(tǒng) 一 事件 管 理日 志 審計操 作 審計入侵檢測防護(hù)遠(yuǎn) 程 安全 接 入網(wǎng) 頁 防篡 改入侵檢測防護(hù)網(wǎng) 頁 防篡 改入侵檢測防護(hù)入侵檢測防護(hù)安 全 符 合 性檢 查 A g e n t安 全 評 估入侵檢測防護(hù)信息流內(nèi)容檢測過濾日 志 審 計服 務(wù) A g e n t日 志 審 計 服務(wù) A g e n t入侵檢測防護(hù)入侵檢測防護(hù)信 息 防 泄漏安 全 評 估安 全 評 估拒絕服務(wù)攻擊安 全 符 合性 檢 查桌 面 管 理A g e n t準(zhǔn) 入 控制 A g e n t防 病 毒A g e n t日 志 審 計 服務(wù) A g e n t日 志 審 計 服務(wù) A g e n t日 志 審 計 服務(wù) A g e n t日 志 審 計 服務(wù) A g e n t日 志 審 計 服務(wù) A g e n t日 志 審 計 服務(wù) A g e n t桌 面 管 理A g e n t準(zhǔn) 入 控制 A g e n t防 病 毒A g e n t防 病 毒A g e n t桌 面 管 理A g e n t準(zhǔn) 入 控制 A g e n t準(zhǔn) 入 控制 A g e n t準(zhǔn) 入 控制 A g e n t補(bǔ) 丁更 新信息流內(nèi)容檢測過濾信息流內(nèi)容檢測過濾12345678910234567891023456789102345678910234567891021集 中 用 戶 管 理 、 身份 認(rèn) 證 及 授 權(quán)2終 端 安 全 管 理 及 域管 理3網(wǎng) 絡(luò) 安 全 優(yōu) 化4應(yīng) 用 安 全5主 機(jī) 及 設(shè) 備 安 全6統(tǒng) 一 事 件 管 理 平 臺7電 子 文 檔 安 全8安 全 策 略 體 系 完 善與 推 廣序 號 技 術(shù) 項 目 名 稱 省公司 地 市 省 公 司 試 點(diǎn) 地 市 推 廣試 點(diǎn) 小 規(guī) 模 推 廣 全 面 推 廣試 點(diǎn) 小 規(guī) 模 推 廣 全 面 推 廣試點(diǎn) 試點(diǎn) 地 市推 廣 試 點(diǎn) 推 廣完 善 與推 廣圖 21 安全技術(shù)架構(gòu)規(guī)劃總體工作思路 工作方法流程本項目采用的信息安全技術(shù)體系架構(gòu)規(guī)劃方法如圖 22 所示。 圖 22 信息安全技術(shù)體系架構(gòu)規(guī)劃方法圖如圖 23 所示，本項目工作流程由六個步驟組成，分別是安全需求梳理，安全技術(shù)架構(gòu)功能服務(wù)組件框架確定，網(wǎng)絡(luò)安全域確定，安全技術(shù)功能服務(wù)組件運(yùn)行部署，安全技術(shù)建設(shè)項目規(guī)劃和安全技術(shù)建設(shè)階段規(guī)劃。圖 23 工作方法流程圖? 步驟一 安全需求梳理，在本項目中，我們將從近期 XX 電網(wǎng)信息安全技術(shù)風(fēng)險需求、安全管理策略需求、南方電網(wǎng)公司考核需求、國家等保需求等角度來總結(jié)和梳理信息安全技術(shù)建設(shè)的要求，并在此基礎(chǔ)上總結(jié)安全技術(shù)目標(biāo)和安全技術(shù)架構(gòu)設(shè)計原則。? 步驟二 安全技術(shù)架構(gòu)功能服務(wù)組件框架（靜態(tài)模型） ，在步驟一工作的基礎(chǔ)上，制定 XX電網(wǎng)的安全技術(shù)架構(gòu)功能框架，它由一系列的安全技術(shù)功能服務(wù)組件所構(gòu)成，每個安全技術(shù)功能服務(wù)組件的選擇都是基于信息安全技術(shù)建設(shè)的需求，這些安全技術(shù)功能服務(wù)組件的實(shí)現(xiàn)，能夠形成獨(dú)立安全服務(wù)平臺，用于實(shí)現(xiàn) XX 電網(wǎng)的安全技術(shù)目標(biāo)。? 步驟三 網(wǎng)絡(luò)安全域梳理，步驟二確定了安全技術(shù)功能服務(wù)組件的靜態(tài)模型，在此基礎(chǔ)上，步驟三需要對 XX 電網(wǎng)的網(wǎng)絡(luò)部署環(huán)境進(jìn)行安全域梳理，為安全技術(shù)功能服務(wù)組件在網(wǎng)絡(luò)環(huán)境中的動態(tài)運(yùn)行部署打下基礎(chǔ)。? 步驟四 運(yùn)行部署設(shè)計（動態(tài)模型） ，步驟四是為了確立安全技術(shù)功能服務(wù)組件在 XX 電網(wǎng)網(wǎng)絡(luò)環(huán)境下的動態(tài)運(yùn)行部署，在步驟三網(wǎng)絡(luò)安全域梳理的基礎(chǔ)上，根據(jù)每個安全域的風(fēng)險點(diǎn)分析，提出安全防范要點(diǎn)，明確安全技術(shù)功能服務(wù)組件在不同安全域的運(yùn)行部署要求。? 步驟五 安全技術(shù)建設(shè)項目規(guī)劃，總結(jié) XX 電網(wǎng)的安全技術(shù)體系建設(shè)規(guī)劃的工作重點(diǎn)，定義安全技術(shù)建設(shè)項目。每個識別出 XX 電網(wǎng)需要進(jìn)行建設(shè)的安全技術(shù)項目，都是為了建設(shè) XX 電網(wǎng)的安全技術(shù)服務(wù)平臺。通過一系列項目建設(shè)來實(shí)現(xiàn) XX 電網(wǎng)安全技術(shù)架構(gòu)的構(gòu)建。? 步驟六 安全技術(shù)建設(shè)階段規(guī)劃，在每個安全技術(shù)項目定義明確的基礎(chǔ)上，分析每個項目建設(shè)的輕重緩急，整理出符合 XX 電網(wǎng)實(shí)際的安全建設(shè)階段劃分，為今后 5 年的信息安全技術(shù)建設(shè)規(guī)劃提供建議。 參考標(biāo)準(zhǔn)ISO/IEC 15408：“信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準(zhǔn)則（簡稱 CC） ，國際標(biāo)準(zhǔn)化組織在現(xiàn)有多種評估準(zhǔn)則的基礎(chǔ)上，統(tǒng)一形成的。2022 年，我國將 ISO/IEC15408 直接引入為國家標(biāo)準(zhǔn)，命名為 GB/T18336。ISO/IEC 27001：《信息技術(shù)、安全技術(shù)、信息安全管理體系 要求》ISO/IEC 27002：《信息技術(shù)、安全技術(shù)、信息安全管理實(shí)用規(guī)則》 。 工作方法參考. ESA 企業(yè)安全架構(gòu)模型下圖是 IBM 的 ESA（企業(yè)安全架構(gòu)模型） ，該模型首先要求根據(jù)企業(yè)的發(fā)展目標(biāo)和業(yè)務(wù)特點(diǎn)，制定企業(yè)的信息安全目標(biāo)與建設(shè)原則，從而保證信息安全策略與業(yè)務(wù)需求是一致的；隨即根據(jù)信息安全目標(biāo)和原則，制定企業(yè)的信息安全方針，方針承上啟下，為后續(xù)的體系規(guī)劃明確方向；在明確信息安全建設(shè)目標(biāo)和方針的基礎(chǔ)上，兩條腿走路，建立信息安全管理體系和信息安全技術(shù)體系。 Security Principle (安 全 目 標(biāo) 與 原 則 )描 述 信 息 安 全 的 業(yè) 務(wù) 需 求 價 值 ， 并 描 述 信 息 安 全 建 設(shè)的 基 本 原 則Security Policy (安 全 方 針 )將 信 息 安 全 的 目 標(biāo) 具 體 到 多 個 方 面 ， 為 后 續(xù) 建 設(shè) 提 供指 導(dǎo)Security Standr (安 全 標(biāo) 準(zhǔn) )信 息 安 全 實(shí) 施 規(guī) 則 ， 包 括 技 術(shù) 、 方 法 及 其 它 細(xì) 節(jié)Security Proces (安 全 流 程 )于 跨 部 門 實(shí) 施 政 策 標(biāo) 準(zhǔn) 的 活 動 、 工 作 及 程 序Security Procedurs (安 全 作 業(yè) 指 南 )描 述 個 人 在 流 程 上 的 詳 細(xì) 工 作Security Architectur (安 全 架 構(gòu) )信 息 安 全 技 術(shù) 如 何 結(jié) 合Security Products (安 全 產(chǎn) 品 )信 息 安 全 解 決 方 案 所 選 的 產(chǎn) 品 及 工 具 信 息 安 全 流 程信 息 安 全 作 業(yè) 程 序 信 息 安 全 架 構(gòu)信 息 安 全 產(chǎn) 品 建 議信 息 安 全 政 策信 息 安 全 原 則信息安全標(biāo)準(zhǔn)圖 24 IBM 企業(yè)信息安全架構(gòu)模型（ESA）ESA 的優(yōu)點(diǎn)如下：? ESA 在企業(yè)全方位考慮安全防務(wù) ，確保企業(yè)的安全策略與業(yè)務(wù)需求的一致性? 在企業(yè)內(nèi)確保一致安全方案，按照安全參考模式（成熟的方案）提供功能，少走彎路? 通過共享安全架構(gòu)的部件，達(dá)到方案實(shí)施費(fèi)用的減少，避免重復(fù)投資? 通過共享安全架構(gòu)的部件，達(dá)到方案實(shí)施時間的減少. 企業(yè)安全架構(gòu)技術(shù)方法企業(yè)安全架構(gòu)方法論（Method for Architecting Secure Solution MASS）的目的在于幫助安全咨詢顧問和架構(gòu)師在復(fù)雜的環(huán)境中設(shè)計滿足安全需求的、全面的企業(yè)