合規(guī)性管理在水電廠IT治理中的應(yīng)用及其效果

2013-12-16 14:24:56 電力信息化　點(diǎn)擊量：評(píng)論 (0)

　　素有北有豐滿(mǎn)，南有古田之稱(chēng)的古田溪水電廠是一個(gè)一廠多站集中管理的國(guó)有中型發(fā)電企業(yè)。全廠由4個(gè)梯級(jí)電站、12臺(tái)機(jī)組組成，總裝機(jī)容量為27 6萬(wàn)千瓦，多年平均發(fā)電量約8億多千瓦時(shí)，在福建電網(wǎng)中擔(dān)負(fù)著調(diào)峰、

　　素有“北有豐滿(mǎn)，南有古田”之稱(chēng)的古田溪水電廠是一個(gè)一廠多站集中管理的國(guó)有中型發(fā)電企業(yè)。全廠由4個(gè)梯級(jí)電站、12臺(tái)機(jī)組組成，總裝機(jī)容量為27.6萬(wàn)千瓦，多年平均發(fā)電量約8億多千瓦時(shí)，在福建電網(wǎng)中擔(dān)負(fù)著調(diào)峰、調(diào)頻、調(diào)壓和事故備用任務(wù)。近年來(lái)，古田溪水電廠不斷完善健全經(jīng)營(yíng)管理機(jī)制，始終貫徹“安全第一、預(yù)防為主”的方針，堅(jiān)持安全文明生產(chǎn)，不斷夯實(shí)安全生產(chǎn)基礎(chǔ)，強(qiáng)化企業(yè)管理，企業(yè)整體素質(zhì)逐年提高;進(jìn)一步加快設(shè)備更新改造步伐，不斷提高設(shè)備的健康水平和自動(dòng)化水平，梯級(jí)電站逐步實(shí)現(xiàn)微機(jī)監(jiān)控，企業(yè)生產(chǎn)正朝著“無(wú)人值班、少人值守”的現(xiàn)代化一流管理目標(biāo)邁進(jìn)。

　　1 水電廠IT系統(tǒng)對(duì)合規(guī)性管理的迫切需求

　　目前水電廠的網(wǎng)絡(luò)系統(tǒng)主要由電力調(diào)度網(wǎng)絡(luò)和辦公應(yīng)用網(wǎng)絡(luò)兩部分構(gòu)成。

　　電力調(diào)度網(wǎng)絡(luò)具有分散控制、統(tǒng)一聯(lián)合運(yùn)行、高度依賴(lài)信息化的特點(diǎn)，因此其安全級(jí)別甚至超過(guò)了電信行業(yè)。此外，水電廠信息化已經(jīng)深入電力生產(chǎn)和管理的全過(guò)程，建立在網(wǎng)絡(luò)架構(gòu)上的跨地區(qū)信息網(wǎng)開(kāi)始逐步建立，水電廠對(duì)信息系統(tǒng)的合規(guī)性管理要求日漸趨高，并把合規(guī)性管理納入電廠生產(chǎn)、經(jīng)營(yíng)和管理體系。由于信息共享的需要，水電廠內(nèi)部網(wǎng)絡(luò)需要24×7與網(wǎng)絡(luò)相連接，以便于異地分支機(jī)構(gòu)、合作伙伴、用戶(hù)的各種訪問(wèn)，這在提高工作效率的同時(shí)也使電力企業(yè)對(duì)于信息資源共享環(huán)境下的權(quán)限管理、內(nèi)容管理、資源管理變得更加重要。另外，水電廠內(nèi)部人員在使用過(guò)程當(dāng)中，發(fā)生的誤刪文件、誤操作等行為也極易造成系統(tǒng)故障甚至崩潰，必須引起重視。

　　同時(shí)，水電廠辦公網(wǎng)絡(luò)運(yùn)行著電力經(jīng)營(yíng)系統(tǒng)、OA系統(tǒng)、ERP系統(tǒng)、財(cái)務(wù)系統(tǒng)等其它管理辦公類(lèi)應(yīng)用系統(tǒng)，如何保障這些系統(tǒng)的高效運(yùn)行，必須加強(qiáng)合規(guī)性管理，結(jié)合企業(yè)管理政策、企業(yè)發(fā)展戰(zhàn)略和規(guī)劃，實(shí)現(xiàn)善治的IT系統(tǒng)管理。

　　古田溪水力發(fā)電廠目前的應(yīng)用系統(tǒng)主要有：計(jì)算機(jī)監(jiān)控系統(tǒng)、DMIS(檢修申請(qǐng)、電量上報(bào)、模擬市場(chǎng))、電力市場(chǎng)系統(tǒng)、故障錄波等。在生產(chǎn)數(shù)據(jù)網(wǎng)絡(luò)建設(shè)之前，主要是通過(guò)微波、電力廣域網(wǎng)(MIS網(wǎng))和撥號(hào)與調(diào)度數(shù)據(jù)傳送。

　　通過(guò)對(duì)水電廠IT系統(tǒng)現(xiàn)狀的分析和安全需求分析，我們認(rèn)為必須加強(qiáng)IT信息系統(tǒng)的合規(guī)性管理，尤其迫切需要解決以下幾方面的安全問(wèn)題：

　　1. 引入集中用戶(hù)管理技術(shù)，將全系統(tǒng)的用戶(hù)進(jìn)行集中管理，一方面降低系統(tǒng)管理的復(fù)雜度和難度，更重要的是通過(guò)用戶(hù)的集中管理來(lái)規(guī)避用戶(hù)管理混亂的問(wèn)題，從而使得全系統(tǒng)的用戶(hù)管理可以嚴(yán)格地按照相關(guān)的安全規(guī)定、安全策略來(lái)有效地實(shí)施。

　　2. 引入強(qiáng)身份認(rèn)證技術(shù)，提升原有的身份認(rèn)證強(qiáng)度，杜絕出現(xiàn)口令泄漏、共用賬號(hào)、盜用賬號(hào)等問(wèn)題。

　　3. 引入審計(jì)機(jī)制，不僅要對(duì)網(wǎng)絡(luò)訪問(wèn)的結(jié)果進(jìn)行監(jiān)督，更重要的是要對(duì)訪問(wèn)過(guò)程進(jìn)行全程的監(jiān)督，其目的就是要加強(qiáng)內(nèi)部控制;作為一個(gè)高度信息化的行業(yè)，水電廠的IT系統(tǒng)成為內(nèi)控的重點(diǎn)。

　　4. 在審計(jì)的基礎(chǔ)上，引入訪問(wèn)控制機(jī)制，更合理地管理IT系統(tǒng)的資源及其訪問(wèn)權(quán)限。審計(jì)是一種事后稽查機(jī)制，更多地起到威懾和事后追查的作用;而控制機(jī)制則可以有效地遏制信息資源的盜用、濫用，避免信息資產(chǎn)遭到人為破壞。

　　在充分理解水電廠IT系統(tǒng)合規(guī)性管理的前提下，加強(qiáng)IT系統(tǒng)的安全建設(shè)，最終的目的是要使IT系統(tǒng)更加穩(wěn)定、有序，因此，對(duì)安全系統(tǒng)提出了很高的要求，即：安全技術(shù)的實(shí)施，應(yīng)盡量減少對(duì)原系統(tǒng)的繞動(dòng)，包括對(duì)原系統(tǒng)穩(wěn)定性、處理能力的影響等，應(yīng)該降低到最小的程度。

　　基于上述情況，我們采用了以啟明星辰天玥網(wǎng)絡(luò)安全審計(jì)系統(tǒng)(業(yè)務(wù)網(wǎng)型)為核心，加強(qiáng)水電廠合規(guī)性管理的解決方案。

　　2 合規(guī)性管理在水電廠IT治理中的應(yīng)用

　　2.1 合規(guī)性審計(jì)系統(tǒng)工作原理

　天玥網(wǎng)絡(luò)安全審計(jì)系統(tǒng)基于“IP數(shù)據(jù)俘獲→應(yīng)用層數(shù)據(jù)分析→審計(jì)和響應(yīng)”實(shí)現(xiàn)各項(xiàng)功能，設(shè)計(jì)中充分貫徹了平臺(tái)化的思路;由于采用旁路接入的工作模式，使得天玥系統(tǒng)在實(shí)現(xiàn)各種安全功能的同時(shí)，對(duì)原系統(tǒng)的繞動(dòng)和影響降到最低。

　　圖1 天玥網(wǎng)絡(luò)安全審計(jì)系統(tǒng)的工作原理

　　天玥網(wǎng)絡(luò)安全審計(jì)系統(tǒng)主要實(shí)現(xiàn)以下安全功能。

　　1. 應(yīng)用級(jí)的安全審計(jì)和響應(yīng)：特有的“審計(jì)策略庫(kù)”可以深入到應(yīng)用層協(xié)議(如操作命令、業(yè)務(wù)操作過(guò)程)實(shí)現(xiàn)詳細(xì)的安全審計(jì)，并根據(jù)安全策略采取諸如記錄、審計(jì)、告警、阻斷等響應(yīng)。

　　2. 提供多視角的審計(jì)報(bào)告：根據(jù)實(shí)時(shí)記錄的網(wǎng)絡(luò)訪問(wèn)情況，提供多種安全審計(jì)報(bào)告，更清晰地了解系統(tǒng)的使用情況以及安全事件的發(fā)生情況，并可根據(jù)這些安全審計(jì)報(bào)告進(jìn)一步修改和完善“審計(jì)策略庫(kù)”。

　　2.2 合規(guī)性審計(jì)系統(tǒng)應(yīng)用部署

　　天玥系統(tǒng)通過(guò)網(wǎng)絡(luò)旁路偵聽(tīng)的方式對(duì)網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行采集、分析和識(shí)別，并對(duì)應(yīng)用層協(xié)議進(jìn)行完整還原，根據(jù)制定的安全審計(jì)策略進(jìn)行審計(jì)響應(yīng)。網(wǎng)絡(luò)旁路監(jiān)聽(tīng)技術(shù)的優(yōu)勢(shì)是：不影響用戶(hù)的網(wǎng)絡(luò)結(jié)構(gòu);不影響用戶(hù)的網(wǎng)絡(luò)性能;不影響用戶(hù)的應(yīng)用業(yè)務(wù)。

天玥網(wǎng)絡(luò)安全審計(jì)系統(tǒng)由以下3大部分構(gòu)成。

　　1. 管理軟件：天玥管理控制臺(tái)，安裝于Windows系列操作系統(tǒng)之上，提供管理控制界面，審計(jì)報(bào)表的輸出等。

　　2. 天玥審計(jì)引擎：基于專(zhuān)門(mén)硬件構(gòu)建，根據(jù)安全策略對(duì)俘獲的數(shù)據(jù)進(jìn)行比對(duì)、分析，并做出響應(yīng)動(dòng)作，如告警、阻斷等。審計(jì)引擎的“嗅探端口”需要連接到交換機(jī)的“鏡像目的”端口上，以獲取網(wǎng)絡(luò)通信數(shù)據(jù);“管理和阻斷”端口需要分配一個(gè)合法的IP地址，連接到交換機(jī)的普通通信端口上。

　　3. 天玥審計(jì)數(shù)據(jù)中心：基于專(zhuān)門(mén)硬件構(gòu)建，主要用于接收天玥審計(jì)引擎的數(shù)據(jù)、負(fù)責(zé)審計(jì)數(shù)據(jù)的存儲(chǔ)。需要分配一個(gè)合法的IP地址，連接到交換機(jī)的普通通信端口上。

　　1.1 通過(guò)實(shí)時(shí)審計(jì)和控制實(shí)現(xiàn)合規(guī)性管理

　　實(shí)時(shí)審計(jì)和控制功能由天玥網(wǎng)絡(luò)審計(jì)引擎完成，天玥網(wǎng)絡(luò)審計(jì)引擎有兩種類(lèi)型的端口。通過(guò)“管理端口”接受管理，并從天玥審計(jì)數(shù)據(jù)中心那里獲取所有的安全策略;通過(guò)“信息嗅探端口”獲取通信流量進(jìn)行解析，使用“審計(jì)策略庫(kù)”對(duì)過(guò)往的信息進(jìn)行實(shí)時(shí)的比對(duì)，當(dāng)發(fā)現(xiàn)越權(quán)訪問(wèn)或違規(guī)操作時(shí)，通過(guò)“管理端口”同時(shí)向客戶(hù)端和受保護(hù)的主機(jī)和服務(wù)發(fā)出阻斷信息;需要審計(jì)記錄的原始信息、審計(jì)信息則通過(guò)“管理端口”發(fā)送給天玥審計(jì)數(shù)據(jù)中心進(jìn)行存儲(chǔ)和整理。

　　天玥系統(tǒng)獨(dú)具特色的“審計(jì)策略庫(kù)”設(shè)計(jì)，使得天玥系統(tǒng)不但具備了功能強(qiáng)大的安全審計(jì)功能，更使得天玥系統(tǒng)具備了網(wǎng)絡(luò)安全分析工具及“應(yīng)用層IDS”的特征。用戶(hù)可以自己定義符合業(yè)務(wù)特征的“應(yīng)用策略庫(kù)”。

　　天玥系統(tǒng)在配置不同類(lèi)型的“審計(jì)策略庫(kù)”后，即具備了應(yīng)用層審計(jì)及響應(yīng)的功能。“審計(jì)策略庫(kù)”可以靈活地制定數(shù)據(jù)俘獲、安全審計(jì)及響應(yīng)策略，根據(jù)系統(tǒng)實(shí)際的運(yùn)行情況輸出恰當(dāng)?shù)膶徲?jì)報(bào)告，更全面、更有重點(diǎn)地了解和掌握系統(tǒng)的運(yùn)行狀況。

　1.2 審計(jì)信息的整理和輸出

　　審計(jì)信息的整理、輸出，以及各種安全策略的解析、存儲(chǔ)、分發(fā)等，均由天玥審計(jì)數(shù)據(jù)中心完成。

　　天玥審計(jì)數(shù)據(jù)中心采用經(jīng)裁減、加固、改進(jìn)的Linux操作系統(tǒng)，自行設(shè)計(jì)的數(shù)據(jù)庫(kù)，各種審計(jì)信息、安全策略信息均存儲(chǔ)在該數(shù)據(jù)庫(kù)中。

　　在天玥管理控制臺(tái)上，提供了多種查詢(xún)方法，并能自行定義審計(jì)報(bào)表的內(nèi)容。

　　天玥系統(tǒng)同時(shí)也提供了用戶(hù)可自定義內(nèi)容的審計(jì)報(bào)表輸出功能，通過(guò)天玥管理控制臺(tái)，可以自定義審計(jì)報(bào)表。

　　Web日志管理中心是一個(gè)功能強(qiáng)大的審計(jì)報(bào)表系統(tǒng)，系統(tǒng)是Web的形式對(duì)外提供服務(wù)，用戶(hù)可以在任何一臺(tái)機(jī)器上通過(guò)IE瀏覽器登錄Web日志管理中心進(jìn)行審計(jì)數(shù)據(jù)的查詢(xún)和統(tǒng)計(jì)。

　　2 合規(guī)性管理的價(jià)值回報(bào)

　　目前天玥系統(tǒng)在古田溪水力發(fā)電廠已得到了初步的應(yīng)用，通過(guò)實(shí)施以天玥系統(tǒng)為基礎(chǔ)的合規(guī)性管理系統(tǒng)，水電廠從以下五個(gè)方面獲得IT治理的價(jià)值回報(bào)。

　　2.1 滿(mǎn)足合規(guī)性要求，順利通過(guò)IT審計(jì)

　　目前，越來(lái)越多的單位面臨一種或者幾種合規(guī)性要求。電力企業(yè)面臨電監(jiān)會(huì)等相關(guān)政策和法規(guī)并遵循等級(jí)保護(hù)的合規(guī)性要求。天玥系統(tǒng)提供了一種獨(dú)立的審計(jì)方案，有助于完善組織的IT內(nèi)控與審計(jì)體系，從而滿(mǎn)足各種合規(guī)性要求，并且使組織能夠順利通過(guò)IT審計(jì)。

　　2.2 有效減少核心信息資產(chǎn)的破壞和泄漏

　　對(duì)電力企業(yè)的業(yè)務(wù)系統(tǒng)來(lái)說(shuō)，真正重要的核心信息資產(chǎn)往往存放在少數(shù)幾個(gè)關(guān)鍵系統(tǒng)上(如數(shù)據(jù)庫(kù)服務(wù)器、應(yīng)用服務(wù)器等)，通過(guò)使用天玥系統(tǒng)，能夠加強(qiáng)對(duì)這些關(guān)鍵系統(tǒng)的訪問(wèn)控制與審計(jì)，從而有效減少核心信息資產(chǎn)的破壞和泄漏。

　　2.3 有效控制運(yùn)維操作風(fēng)險(xiǎn)，便于事后追查原因與界定責(zé)任

　　電力企業(yè)里負(fù)責(zé)運(yùn)維的部門(mén)通常擁有目標(biāo)系統(tǒng)或者網(wǎng)絡(luò)設(shè)備的最高權(quán)限(掌握root帳號(hào)的口令)，因而也承擔(dān)著很高的風(fēng)險(xiǎn)(誤操作或者是個(gè)別人員的惡意破壞)。由于目標(biāo)系統(tǒng)不能區(qū)別不同人員使用同一個(gè)帳號(hào)進(jìn)行維護(hù)操作，所以不能界定維護(hù)人員的真實(shí)身份。天玥系統(tǒng)提供基于角色的訪問(wèn)控制與審計(jì)，不但能夠有效地控制運(yùn)維操作風(fēng)險(xiǎn)，還能夠有效地區(qū)分不同維護(hù)人員的身份，便于事后追查原因與界定責(zé)任。

　　2.4 有效控制業(yè)務(wù)運(yùn)行風(fēng)險(xiǎn)，直觀掌握業(yè)務(wù)系統(tǒng)運(yùn)行的安全狀況

　　業(yè)務(wù)系統(tǒng)的正常運(yùn)行需要一個(gè)安全、穩(wěn)定的網(wǎng)絡(luò)環(huán)境。對(duì)運(yùn)維部門(mén)來(lái)說(shuō)，網(wǎng)絡(luò)環(huán)境的安全狀況事關(guān)重大。天玥系統(tǒng)提供業(yè)務(wù)流量監(jiān)控與審計(jì)事件統(tǒng)計(jì)分析功能，能夠直觀地反映網(wǎng)絡(luò)環(huán)境的安全狀況。

　　2.5 實(shí)現(xiàn)獨(dú)立審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制

　　從內(nèi)控的角度來(lái)看，IT系統(tǒng)的使用權(quán)、管理權(quán)與監(jiān)督權(quán)必須三權(quán)分立。在三權(quán)分立的基礎(chǔ)上實(shí)施內(nèi)控與審計(jì)，有效地控制操作風(fēng)險(xiǎn)(包括業(yè)務(wù)操作風(fēng)險(xiǎn)與運(yùn)維操作風(fēng)險(xiǎn))。天玥系統(tǒng)基于網(wǎng)絡(luò)旁路監(jiān)聽(tīng)的方式實(shí)現(xiàn)獨(dú)立的審計(jì)與三權(quán)分立，完善IT內(nèi)控機(jī)制。

　　3 小結(jié)

　　合規(guī)性管理的這五個(gè)方面指明了電力企業(yè)中高層管理者為保證IT 運(yùn)作有效實(shí)施而必須重點(diǎn)關(guān)注的工作內(nèi)容。而為了使這五個(gè)方面能夠落實(shí)到具體的IT 管理工作中，IT 系統(tǒng)合規(guī)性管理還必須能夠保證總體戰(zhàn)略目標(biāo)從上而下的分解與執(zhí)行，并且確保在組織的全部范圍內(nèi)深入推行。

責(zé)任編輯：和碩涵

免責(zé)聲明：本文僅代表作者個(gè)人觀點(diǎn)，與本站無(wú)關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對(duì)本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，請(qǐng)讀者僅作參考，并請(qǐng)自行核實(shí)相關(guān)內(nèi)容。

我要收藏

個(gè)贊