基于网络信息设备资产的网络安全管理系统建设与应用

时间：2021-02-08 11:24:02 所属分类：计算机网络 浏览量:

当前电网企业生产运行高度依赖网络和信息化，网络安全已成电网安全新的防护重点。网络安全就是企业安全，电网遭受黑客攻击，除了会造成大面积停电、信息外泄等风险外，也会造成巨大经济损失。广西电网公司网络安全工作虽然久经考验，没有出现过重大安全问题

　　当前电网企业生产运行高度依赖网络和信息化，网络安全已成电网安全新的防护重点。网络安全就是企业安全，电网遭受黑客攻击，除了会造成大面积停电、信息外泄等风险外，也会造成巨大经济损失。广西电网公司网络安全工作虽然久经考验，没有出现过重大安全问题，但仍然要清醒认识到新形势下面临的挑战：网络接入用户不断增多，网络安全边界持续扩大，网络攻击威胁日益增加。作为电网企业，更应遵循《网络安全法》的规定，在安全意识、管控措施、应急储备、研发能力上全面提升，适应电力监控安全、数据安全新挑战，进一步加强信息安全体系建设，为电网安全稳定运行提供更加可靠的保障。

　　1现状

　　为更好的支撑广西电网公司网络安全实验室建设，电科院已完成信息安全运维、信息安全集成、信息安全风险评估、信息安全应急处理及信息安全管理体系等网络安全资质认证申请工作，在认证过程中，评审专家指出电科院网络安全管理存在过程管理不规范，材料规整有缺失，过程文档编制不细致、不合规，支撑材料分散无序、连贯性不强等问题。为持续开展网络安全管理工作，做好后续资质复审工作，有必要建设电科院网络安全管理系统。

　　2系统建设

　　2.1系统特点

　　该系统实现网络安全的全方位、全覆盖、全过程管控，有效落实南方电网公司各项网络安全管理和防护措施，提升安全态势感知能力和应急处置水平。(1)全方位管控。以网络信息设备资产为核心，建立以网络信息设备、网络安全项目、安全运维人员的多维度全方位管理的网络安全管控体系。(2)全覆盖管控。对网络信息设备资产包括IT终端类、服务器类、存储设备类、网络安全类、应用系统类、机房环境类设备进行巡检、预防性维护、故障诊断及排除/请求、性能优化等方面的安全运维。(3)全过程管控。事前管控。将网络安全管控前置，新建或因故下线重新上线的需进行系统安全测试和上线申请审批管控。系统上线并网前必须经过安全测试，符合安全要求后方可进行上线申请。同时上线申请审批材料中必须有第三方有资质的测评报告才允许上线。保证系统不带病上线运行，从源头控制网络安全隐患。事中管控。对任务和作业计划进行闭环管理。实现对任务和作业计划的全过程管控，防范任务或作业计划执行过程中出现的安全隐患。事后管控。对产生的网络安全事件进行分析总结，对同类安全隐患进行排查整改，防止事件再次发生。并举一反三，查找并预测其他存在的安全隐患并进行整改。

　　2.2系统主要功能

　　2.2.1设备管理主要实现网络信息设备基础台账以及使用的管理。可通过网络信息设备基础信息进行配置实现网络信息设备与项目、运维人员的关联。可通过网络信息设备台账查询该台账所有运维记录。网络信息设备使用过程出现变更，可填写变更记录，实现设备使用记录的全程跟踪。2.2.2项目管理主要实现项目、合同、资金支付申请的管理。项目与网络信息设备关联，可导出该项目下所有运维对象的运维记录;可填报项目进度情况。合同与项目关联，一个项目关联多个合同，合同编辑时确定该合同的支付次数、支付比例和支付时间，系统自动根据支付信息生成资金支付申请计划。资金支付申请计划经提交、审核、执行并确认支付完成，实现资金支付闭环管理。2.2.3任务管理主要实现网络安全工作任务的闭环管控。主要功能包括任务下达、任务接收分派、任务执行及回填、任务综合查询等。个人在任务下达列表只能查看自己下达的任务，任务单下达后也会为运维负责人插入待办提醒。进度栏通过红黄绿图标表示任务执行情况。运维负责人接收任务并进行分派，明确任务执行负责人。任务执行负责人按照任务内容和完成时间要求执行，完成后进行执行情况回填。2.2.4计划管理主要实现信息作业计划的闭环管理。作业计划关联网络信息设备台账，并且包含作业内容、影响范围、风险分析及控制措施，提交运维单位项目负责人、电科院信息中心负责人、以及业务部门审核(如果网络信息设备属于业务部门)通过后执行。并在执行完成后由作业负责人进行回填执行情况，系统自动将作业计划类型、作业内容和完成情况生成关联的网络信息设备的运维记录。2.2.5运维管理主要实现完成运维工作后运维记录的管理。运维记录包括巡检记录、预防性维护记录、故障诊断及排除/请求处理记录、性能优化记录、特殊时期保障记录。个人运维对象列表中系统默认只显示当前运维人员负责的运维对象，填报时先找到运维对象，根据实际运维类型进行相应运维记录的填报。其中巡检记录填报时，系统默认填充了各类网络信息设备的巡检项目。运维记录与运维对象(网络信息设备台账)、项目、运维人员关联，可实现通过运维对象(网络信息设备台账)、项目、运维人员查询相关的运维记录。2.2.6安全测试主要实现安全测试申请及安全测试计划闭环管控。电科院各部门有新建或因故下线重新上线的系统，提出系统安全测试申请，经业务部门负责人、信息中心审核通过后，由电科院信息中心网络安全测试专责进行申请汇总并编制安全测试计划。安全测试计划经电科院信息中心负责人审核通过后执行。并在安全测试完成后将安全测试报告上传到相应的安全测试申请中。2.2.7上线管理主要实现新建系统或因故下线重新上线系统的上线申请闭环管控。电科院各部门有新建或因故下线重新上线的系统，提出上线申请，经业务部门负责人、信息中心审核通过后，由电科院信息中心系统上线管理专责进行IT资源分配、上线实施方案制定并执行，完成系统上线后对上线申请进行完成情况回填。2.2.8体系文件管理主要ISO27001体系中体系文件和记录管理。根据体系管理目录，以树形结构展现体系文件和体系记录目录构点击目录结构时右侧显示该目录下的子目录或文件，并可进行目录或文件的增删查改，以及对已上传的文件进行在线编辑。

　　3社会经济效益

　　通过电科院网络安全管理系统的深入应用，有效解决了评审专家指出电科院网络安全管理存在过程管理不规范，材料规整有缺失，过程文档编制不细致、不合规，支撑材料分散无序、连贯性不强等问题。规范电科院网络安全管理工作流程，改进网络安全管理方法，提升网络安全管理工作效率。因此电科院网络安全管理系统的推广和应用具有较好的社会经济效益。

　　4结语

　　电科院网络安全管理系统实现对网络安全的全方位、全覆盖、全过程管控，有效落实南方电网公司各项网络安全管理和防护措施，进而提升电科院对广西电网公司网络安全服务的支撑能力。保障了电网网络安全，就是保障电网企业安全，因此网络安全管理系统开发建设，对社会和电网安全稳定运行具有重要意义。

　　《基于网络信息设备资产的网络安全管理系统建设与应用》来源：《数码世界》，作者：凌颖 刘振通 余通 杨春燕

转载请注明来自：http://www.zazhifabiao.com/lunwen/dzxx/jsjwl/47736.html