【文章內(nèi)容簡介】 . 安全技術(shù) 審 計 通過對 局 現(xiàn)有 的安全技術(shù) 體系進(jìn)行審核，了解現(xiàn)有的技術(shù) 體系 與ISO1779 《 **省 **集團(tuán) 有限公司計算機(jī)信息系統(tǒng)安全策略規(guī)劃書 》 、 《 省公司公司信息安全檢查工作方案 》 等相關(guān)國家和行業(yè)標(biāo)準(zhǔn)的符合情況。安全技術(shù) 體 系的審計包括現(xiàn)有的 物理安全、 網(wǎng)絡(luò) 安全、 系統(tǒng) 安全以及 應(yīng)用安全等 。 3. 信息 資產(chǎn)識別 . 概述 資產(chǎn)是風(fēng)險評估的最終評估對象。在一個全面的風(fēng)險評估中，風(fēng)險的所有重要因素都緊緊圍繞著資產(chǎn) 為中心，威脅、脆弱性以及風(fēng)險都是針對資產(chǎn)而客觀存在的。威脅利用資產(chǎn)自身的脆弱性使得安全事件的發(fā)生成為可能，從而形成了風(fēng)險。這些安全事件一旦發(fā)生，將對資產(chǎn)甚至是整個系統(tǒng)都將造成一定的影響。因此資產(chǎn)的評估是風(fēng)險評估的一個重要的步驟，它被確定和估價的準(zhǔn)確性將影響著后面所有因素的評估。 . 網(wǎng)絡(luò) 結(jié)構(gòu) 圖 1 單位 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖 單位 目前是各地分支機(jī)構(gòu)的用戶通過 100M 的 ATM 網(wǎng)絡(luò)與核心交換機(jī)相連，通信中心用戶、物流中心用戶、配電用戶、輸變電用戶以及公司樓層用戶則通過局域網(wǎng)交換機(jī)與核心交換機(jī)相連，服務(wù)器群被分配 在同一個 VLAN 中。 . 應(yīng)用 系統(tǒng) ? OA辦公自動化系統(tǒng) OAK 具有公文管理、檔案管理、個人事務(wù)等功能。目前該系統(tǒng)已經(jīng)覆蓋了本部及 單位 。 ? 營銷管理系統(tǒng) 提供業(yè)擴(kuò)報裝、電能計量、電量電費、 WEB 查詢等，使用部門包括配電營業(yè)部、客服中心等； ? 生產(chǎn)管理系統(tǒng) 提供設(shè)備臺帳、高壓試驗、設(shè)備檢修、缺陷管理、電網(wǎng) GIS 等功能，全公司生產(chǎn)部門都在使用該系統(tǒng)。 ? 配網(wǎng) GIS 系統(tǒng) 配網(wǎng) GIS 系統(tǒng)，主要實現(xiàn)圖數(shù)建模、設(shè)備臺帳、運行管理、電網(wǎng)分析等。該系統(tǒng)目前主要使用部門為配電營業(yè)部、市場及客戶服務(wù)部、調(diào)度中心、鼎 湖農(nóng)電公司。 . 資產(chǎn)清單 4. 安全威脅現(xiàn)狀與分析 . 概述 威脅是指可能對資產(chǎn)或組織造成損害事故的潛在原因。作為風(fēng)險評估的重要因素，威脅是一個客觀存在的事物，無論對于多么安全的信息系統(tǒng)而言，它總是一定存在。威脅可能源于對系統(tǒng)直接或間接的攻擊，例如：信息泄露、篡改、刪除等，破壞了信息的機(jī)密性、完整性或可用性。威脅可能源于意外的，或有預(yù)謀的事件。一般來說，威脅總是要利用系統(tǒng)、應(yīng)用或服務(wù)的弱點才可能成功地對資產(chǎn)造成傷害。從宏觀上講，威脅按照安全事件的性質(zhì)可以分為人為錯誤、非授權(quán)蓄意行為、不可抗力、以及設(shè)施 /設(shè)備錯誤等 ；按照威脅的主體可以分為 系統(tǒng)合法用戶、系統(tǒng)非法用戶、系統(tǒng)組件和物理環(huán)境四種類型。 . 安全威脅分析 根據(jù) 局 的具體系統(tǒng)情況，結(jié)合歷年來在信息安全方面發(fā)生過的事件記錄及對系統(tǒng)管理員關(guān)于威脅發(fā)生可能性和發(fā)展趨勢的 交流 ， 局信息網(wǎng) 主要面臨 著如下 15 種安全威脅。按照威脅的主體劃分包括：系統(tǒng)合法用戶的威脅、系統(tǒng)非法用戶的威脅、系統(tǒng)組件的威脅和物理環(huán)境的威脅。下面分別對這些威脅及其可能發(fā)生的各種情形進(jìn)行簡單描述： . 安全 事件 列表 下面的表格是 局 近半年內(nèi)發(fā)生的較大的、或者發(fā)生次數(shù)較多的信息安全事件形成 的安全事件列表： 編號 安全事件 事件情況簡單說明（） 發(fā)生日期 后果 處理措施 1 網(wǎng)絡(luò)故障 電 信光纜中 租用電信通道的 通過協(xié)調(diào)電信公司威脅主體 威脅 簡稱 威脅描述 系統(tǒng)合法用戶 （包括系統(tǒng)管理員和其他授權(quán)用戶） 操作錯誤 合法用戶工作失誤 或疏忽的可能性 濫用授權(quán) 合法用戶利用自己的權(quán)限故意或非故意破壞系統(tǒng)的可能性 行為 抵賴 合法用戶對自己操作行為否認(rèn)的可能性 系統(tǒng)非法用戶 （包括權(quán)限較低用戶和外部攻擊者） 身份假冒 非法用戶冒充合法用戶進(jìn)行操作的可能性 密碼分析 非法用戶對系統(tǒng)密碼分析的可能性 利用 漏洞 非法用戶利用系統(tǒng)漏洞侵入系統(tǒng)的可能性 拒絕服務(wù) 非法用戶利用拒絕服務(wù)手段攻擊系統(tǒng)的可能性 惡意代碼 病毒、特洛伊木馬、蠕蟲、邏輯炸彈等感染的可能性 竊聽數(shù)據(jù) 非法用戶通過竊聽等手段盜取重要數(shù)據(jù)的可能性 物理 破壞 非法用戶利用各種手段對資產(chǎn)物理破壞的可能性 社會 工程 非法用戶利用社交等手段獲取重要信息的可能性 系統(tǒng)組件 意外 故障 系統(tǒng)的 硬件、軟件 發(fā)生意外故障的可能性 通信中斷 數(shù)據(jù)通信傳輸過程中發(fā)生意外中斷的可能性 物理環(huán)境 電源中斷 電源發(fā)生中斷的可能性 災(zāi)難 火災(zāi)、水災(zāi)、鼠害、地震等發(fā)生的可能性 斷，并時斷時續(xù)。 營銷系統(tǒng)客戶端連接不上服務(wù)器，不能進(jìn)行業(yè)務(wù)處理。 得以修復(fù)。 2 信息系統(tǒng)故障 營銷系統(tǒng)的數(shù)據(jù)增長迅猛，在業(yè)務(wù)繁忙期，出現(xiàn) 4 個集群節(jié)點會隨機(jī)自動宕機(jī)現(xiàn)象，當(dāng)日發(fā)生5 號服務(wù)器宕機(jī) 。 用電營銷客戶端要轉(zhuǎn)登陸到 4 號服務(wù)器處理業(yè)務(wù)，不影響正常工作。 在 ORACLE 維護(hù)商的配合下分析了故障的現(xiàn)象和原因，確定申請停運營銷系統(tǒng)，安裝oracle 數(shù)據(jù)庫，并且重新安裝 RMAN備份數(shù)據(jù)庫。處理后系統(tǒng)恢復(fù)正常使用。 5. 系統(tǒng)脆弱性現(xiàn)狀與分析 . 概述 脆弱性是指資產(chǎn)或資產(chǎn)組中能被威脅所利用的弱點，它包括物理環(huán)境、組織機(jī)構(gòu)、業(yè)務(wù)流程、人員、管理、硬件、軟件及通訊設(shè)施等各個方面，這些都可能被各種安全威脅利用來侵害一個組織機(jī)構(gòu)內(nèi)的有關(guān)資產(chǎn)及這些資產(chǎn)所支持的業(yè)務(wù)系統(tǒng)。這些表現(xiàn)出來的各種安全薄弱環(huán)節(jié)自身并不會造成什么危害，它們只有 在被各種安全威脅利用 后才可能造成相應(yīng)的危害。那些沒有安全威脅的弱點可以不需要實施安全保護(hù)措施，但它們必須記錄下來以確保當(dāng)環(huán)境、條件有所變化時能隨之加以改變。需要注意的是不正確的、起不到應(yīng)有作用的或沒有正確實施的安全保護(hù)措施本身就可能是一個安全薄弱環(huán)節(jié)。 在本次自評估中 ，系統(tǒng)脆弱性 調(diào)查 是通過對 我 局 信息系統(tǒng)進(jìn)行 安全管理審計、 手動檢查 以及 安全 技術(shù)審計 等管理 和技術(shù) 評估手段對 信息 系統(tǒng)安全性的總結(jié)。 系統(tǒng)的脆弱性狀況是 單位 整體信息系統(tǒng)基本安全狀況的直接反應(yīng)， 也是安全現(xiàn)狀分析的重要 數(shù)據(jù)來源。 . 管理 安全 信息 安全管理 是我 局信息系統(tǒng)當(dāng)前安全狀 況的主要保障，也是公司尤為重視的基本管理的重要組成部分。目前 局初步建立 并推行 以 ISO 27001 以及 ISO 17799 為基礎(chǔ)的信息安全管理體系， 以實現(xiàn)對 信息系統(tǒng)安全工作組織結(jié)構(gòu)和崗位職責(zé)的劃分，確定安全管理制度的分類和內(nèi)容形式，形成以策略為指導(dǎo)、以安全制度為形式、按照對各種角色進(jìn)行安全管理的安全體系架構(gòu) 。 根據(jù)國際信息安全管理標(biāo)準(zhǔn) ISO 17799，安全管理不只 局限于對人員的安全管理制度上的實現(xiàn)，還應(yīng)該包括安全組織建設(shè)、資產(chǎn)安全管理、人員安全管理、通信于操作管理、訪問控制管理、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性管 理等方面。 根據(jù) 集團(tuán) 和省公司的要求，在本次自評估工作中我們嚴(yán)格根據(jù) 《 省公司 公司信息安全檢查工作方案 》 要求的進(jìn)行 管理安全的自 評估。評估的內(nèi)容和結(jié)果詳見下表： 檢查項目 檢查內(nèi)容 檢查說明及存在問題 1 組織機(jī)構(gòu) 是否成立了信息安全領(lǐng)導(dǎo)機(jī)構(gòu)、工作機(jī)構(gòu)？ 成立了 信息化工作領(lǐng)導(dǎo)小組 （ 供電信［ 2021］ 4 號《關(guān)于成立 **集團(tuán) 供電分公司信息化工作領(lǐng)導(dǎo)小組的通知》 ）， 而在《 單位 信息安全管理規(guī)范》中明確定義 了 信息安全組織的架構(gòu)和職能，但由于人員編制 問題，目前還沒有完全按照該規(guī)范執(zhí)行 2 崗位職責(zé) 是否有 專職 網(wǎng)絡(luò)管理 人員 配備了 1 名 專職 網(wǎng)絡(luò)管理 員 。 是否有專職應(yīng)用 系統(tǒng)管理人員 由于信息部崗位配置不足，存在兼職的應(yīng)用系統(tǒng)管理 人員。 是否有專職 系統(tǒng)管理 人員 配備了 1 名 專職 系統(tǒng)管理 員 。 各專責(zé)的工作職責(zé)與工作范圍是否有制度明確進(jìn)行界定 。 《 單位 信息部崗位職責(zé) 》 有明確界定 。 是否實行主、副崗備用制度 由于信息部崗位配置不足，沒有 實行主、副崗備用制度 。 3 病毒管理 是否制定了計算機(jī)病毒防治管理制度 已 制定 《 單位 計算機(jī)病毒防范管理制度 》 。 是否制定了定期升級的安全策略 在 《 單位 計算 機(jī)病毒防范管理制度 》 中有具體的 規(guī)定。 而且 在病毒管理平臺上已經(jīng)配置了定期升級的安全策略。 是否制定了病毒預(yù)警和報告機(jī)制 病毒報告機(jī)制在 《 單位 安全事件應(yīng)急處理預(yù)案》 中體現(xiàn)。 病毒掃描策略是否規(guī)定了 1周內(nèi)至少進(jìn)行一次掃描？ 在 防 病毒管理平臺上已經(jīng)配置了每周的病毒掃描策略。 4 運行管理 是否建立 了 信息系統(tǒng)運行管理規(guī)程？ 按照省公司頒布的《 管理信息系統(tǒng)建設(shè)與運行維護(hù)管理導(dǎo)則 》， 每一個信息系統(tǒng)都制定了運行管理規(guī)程 。 重要操作是否實行工作票制度？ 供電信〔 2021〕 21 號《關(guān)于修定相關(guān)信息系統(tǒng)管 理制度的通知》 之《 省公司 單位 信息網(wǎng)絡(luò)入網(wǎng)工作票》文件規(guī)定了 重要操作實行工作票制度 。 機(jī)房出入管理制度是否上墻？近 3個月的機(jī)房進(jìn)出情況是否有記錄？ 供電信〔 2021〕 21 號《關(guān)于修定相關(guān)信息系統(tǒng)管理制度的通知》 》之《 省公司 單位 計算機(jī)專業(yè)機(jī)房工作需知》 文件規(guī)定 機(jī) 房管理制度 必須 上墻 。有 近 3 個月的機(jī)房進(jìn)出情況記錄 。 運行值班制度是否規(guī)定了普通情況下 5＊ 8 小時、關(guān)鍵時期的 7＊ 24 小時的現(xiàn)場值班內(nèi)容