隨著寬帶網(wǎng)絡(luò)和用戶規(guī)模的不斷增長，用戶對寬帶接入業(yè)務(wù)的高可用性要求不斷增強，對電信運營商在IP城域、接入網(wǎng)絡(luò)和支撐系統(tǒng)提出了更高的安全性要求。本文從信息安全管理的理念、方法學和相關(guān)技術(shù)入手，結(jié)合電信IP城域網(wǎng)，提出電信IP城域網(wǎng)安全管理、風險評估和加固的實踐方法建議。

關(guān)鍵字（Keywords）：

安全管理、風險、弱點、評估、城域網(wǎng)、IP、AAA、DNS

1信息安全管理概述

普遍意義上，對信息安全的定義是“保護信息系統(tǒng)和信息，防止其因為偶然或惡意侵犯而導致信息的破壞、更改和泄漏，保證信息系統(tǒng)能夠連續(xù)、可靠、正常的運行”。所以說信息安全應(yīng)該理解為一個動態(tài)的管理過程，通過一系列的安全管理活動來保證信息和信息系統(tǒng)的安全需求得到持續(xù)滿足。這些安全需求包括“保密性”、“完整性”、“可用性”、“防抵賴性”、“可追溯性”和“真實性”等。

信息安全管理的本質(zhì)，可以看作是動態(tài)地對信息安全風險的管理，即要實現(xiàn)對信息和信息系統(tǒng)的風險進行有效管理和控制。標準ISO15408－1（信息安全風險管理和評估規(guī)則），給出了一個非常經(jīng)典的信息安全風險管理模型，如下圖一所示：

摘要：面對煙草行業(yè)網(wǎng)絡(luò)安全工作的新形勢、新變化和新要求，結(jié)合行業(yè)信息化發(fā)展的特點及和行業(yè)各單位信息化資產(chǎn)的應(yīng)用情況，以行業(yè)“分級分域、整體保護、積極預防、動態(tài)管理”的總體安全方針為指導，以網(wǎng)絡(luò)安全“雙線思維”為目標要求，構(gòu)建基于信息化資產(chǎn)的網(wǎng)絡(luò)安全工作體系。該體系以信息資產(chǎn)為中心，以人和信息資產(chǎn)為管理對象，涵蓋安全形勢、政策體系、管理體系、技術(shù)體系、工作保障體系5項重點內(nèi)容。網(wǎng)絡(luò)安全工作體系的建立可以全面指導行業(yè)各單位開展網(wǎng)絡(luò)安全工作，形成規(guī)范、有序、高效、全面的網(wǎng)絡(luò)安全工作機制。

關(guān)鍵詞：煙草行業(yè)網(wǎng)絡(luò)安全；資產(chǎn)；體系

近年來，在信息化飛速發(fā)展的同時，網(wǎng)絡(luò)安全形勢也日趨嚴峻和復雜。國家、行業(yè)以及各級主管部門，對網(wǎng)絡(luò)安全工作越來越重視，要求也越來越高。多次強調(diào)“網(wǎng)絡(luò)安全與信息化是一體之兩翼，驅(qū)動之雙輪”，“沒有網(wǎng)絡(luò)安全就沒有國家安全”。網(wǎng)絡(luò)安全工作已上升到國家戰(zhàn)略層面。因此網(wǎng)絡(luò)安全工作，除了關(guān)系到企業(yè)的自身利益外，也具有一定的政治意義。面對當前網(wǎng)絡(luò)安全工作的新形勢、新變化和新要求，以及煙草行業(yè)本身的特殊性。必須理清網(wǎng)絡(luò)安全工作的方方面面，形成一套相對完整的網(wǎng)絡(luò)安全工作體系，才能把網(wǎng)絡(luò)安全工作做的有條理、更全面、更輕省、見成效。

1構(gòu)建基于網(wǎng)絡(luò)安全工作體系的原因

（1）網(wǎng)絡(luò)安全工作的本質(zhì)是保護信息資產(chǎn)的安全。近些年網(wǎng)絡(luò)安全工作的開展，基本上也是圍繞信息化資產(chǎn)來開展的。如2014年開展的煙草行業(yè)信息系統(tǒng)全面梳理、全面診斷、全面加固整改情況專項檢查工作，2015年煙草行業(yè)信息系統(tǒng)賬號安全專項檢查工作，2016年開展的煙草行業(yè)信息系統(tǒng)應(yīng)用安全專項檢查及同年開展的工控系統(tǒng)摸底調(diào)查，2017年業(yè)務(wù)信息系統(tǒng)風險調(diào)研都是圍繞信息系統(tǒng)資產(chǎn)開展的工作。2018年開展的煙草行業(yè)網(wǎng)絡(luò)安全檢查。將檢查范圍擴大到信息系統(tǒng)、終端計算機、網(wǎng)絡(luò)架構(gòu)、安全產(chǎn)品的配備和使用情況、以及網(wǎng)絡(luò)安全主體責任落實情況等方面，也都是圍繞企業(yè)信息化資產(chǎn)進行；2019年開展的企業(yè)重要數(shù)據(jù)和個人信息梳理工作是圍繞數(shù)據(jù)資產(chǎn)開展。即將于2019年出臺的網(wǎng)絡(luò)安全等級保護制度，所針對的對象也是信息系統(tǒng)、基礎(chǔ)網(wǎng)絡(luò)、云平臺、物聯(lián)網(wǎng)、大數(shù)據(jù)、移動平臺等信息資產(chǎn)。由此可見網(wǎng)絡(luò)安全一切工作的根本和中心就是信息化資產(chǎn)。（2）缺乏系統(tǒng)的網(wǎng)絡(luò)安全工作體系來指導工作開展。網(wǎng)絡(luò)安全近幾年才開始重視，大多數(shù)企業(yè)網(wǎng)絡(luò)安全工作都是處在初級階段，網(wǎng)絡(luò)安全管理體系、技術(shù)體系、工作保障體系等還沒有完全建立起來。網(wǎng)絡(luò)安全工作錯綜復雜，大多數(shù)情況下，很多企業(yè)只是在做好日常網(wǎng)絡(luò)安全管理工作的同時，跟著上級主管部門的要求來開展各類工作，工作往往非常被動。若有相關(guān)工作體系來指導，網(wǎng)絡(luò)安全工作的開展將會更加主動。做起事來不至于東一榔頭西一棒槌，能夠清楚的知道“做什么，怎么做，什么時候做，做的效果如何”。

2基于信息化資產(chǎn)的網(wǎng)絡(luò)安全工作框架設(shè)計

1信息安全事件回顧

2013年中國網(wǎng)民遇到的各種安全問題的整體發(fā)生率如圖1所示。與2012年相比，2013年個人信息泄漏的比例有大幅的上升。從上圖也可看出，雖然個人信息泄漏被作為一個單獨項進行統(tǒng)計，但排在前三位的安全事件也是由個人信息的泄漏造成的。所以，綜合來看，個人的信息泄漏事件不容小覷。在這些事件的背后我們看到的是人員信息安全意識的缺失，企業(yè)信息安全管理的不足。為了幫助企業(yè)和個人提高信息安全意識水平，2012年底某IT企業(yè)了《2012年度中國企業(yè)員工信息安全意識調(diào)查報告》，經(jīng)過對被調(diào)查企業(yè)的管理層人員及普通員工的大量數(shù)據(jù)分析和統(tǒng)計，參與本次接受調(diào)查訪問者的信息安全意識評價平均得分為77.48分。其中，受訪者在移動存儲介質(zhì)安全方面的得分最高，為96.1分；在社會工程學信息安全方面的得分最低，為49.6分。因此，中國企業(yè)的信息安全意識依然有較大的提升空間。很多企業(yè)為保障企業(yè)數(shù)據(jù)信息安全，不惜花巨資投資購進防火墻、入侵檢測、防病毒等網(wǎng)絡(luò)安全產(chǎn)品。然而，企業(yè)內(nèi)的安全事件遠比管理者的預想更為復雜、更為寬泛，人員的誤操作或無作為也會使這些工具失去其應(yīng)有的作用。只有提高人員的安全意識和技能，才能真正使企業(yè)的信息安全設(shè)備發(fā)揮應(yīng)有的作用。

2目前企業(yè)人員的信息安全管理主要存在的問題

（1）全體工作人員的信息安全意識不高；

（2）信息安全專業(yè)人員數(shù)量較少，工作流程不清晰；

（3）信息安全崗位職責劃分模糊；

【摘要】隨著電力改革的不斷推進、科學技術(shù)的快速發(fā)展，復雜大電網(wǎng)形勢帶來的一系列挑戰(zhàn)日漸嚴峻，基于此，本文簡單分析了復雜大電網(wǎng)下電力調(diào)度數(shù)據(jù)網(wǎng)面臨的安全管理問題，并深入探討了復雜大電網(wǎng)下電力調(diào)度數(shù)據(jù)網(wǎng)的安全管理模式，希望由此能夠為相關(guān)業(yè)內(nèi)人士帶來一定啟發(fā)。

【關(guān)鍵詞】復雜大電網(wǎng)；電力調(diào)度數(shù)據(jù)網(wǎng)；安全管理

前言

近年來我國電力調(diào)度數(shù)據(jù)網(wǎng)的建設(shè)及應(yīng)用不斷深化，網(wǎng)絡(luò)復雜度也隨著其規(guī)模的增大、承載數(shù)量的增多出現(xiàn)了顯著提高，但在復雜大電網(wǎng)的影響下，電力調(diào)度數(shù)據(jù)網(wǎng)的安全仍面臨著多方面的威脅，如缺乏高水平的網(wǎng)絡(luò)安全管理模式與數(shù)據(jù)網(wǎng)安全測試方法、安全設(shè)備配置不夠等，而為了盡可能消除這類威脅，正是本文圍繞復雜大電網(wǎng)下電力調(diào)度數(shù)據(jù)網(wǎng)安全管理模式開展具體研究的原因所在。

1復雜大電網(wǎng)下電力調(diào)度數(shù)據(jù)網(wǎng)面臨的安全管理問題

1.1問題分析

摘要：

隨著寬帶網(wǎng)絡(luò)和用戶規(guī)模的不斷增長，用戶對寬帶接入業(yè)務(wù)的高可用性要求不斷增強，對電信運營商在IP城域、接入網(wǎng)絡(luò)和支撐系統(tǒng)提出了更高的安全性要求。本文從信息安全管理的理念、方法學和相關(guān)技術(shù)入手，結(jié)合電信IP城域網(wǎng)，提出電信IP城域網(wǎng)安全管理、風險評估和加固的實踐方法建議。

關(guān)鍵字（Keywords）：

安全管理、風險、弱點、評估、城域網(wǎng)、IP、AAA、DNS

1信息安全管理概述

普遍意義上，對信息安全的定義是“保護信息系統(tǒng)和信息，防止其因為偶然或惡意侵犯而導致信息的破壞、更改和泄漏，保證信息系統(tǒng)能夠連續(xù)、可靠、正常的運行”。所以說信息安全應(yīng)該理解為一個動態(tài)的管理過程，通過一系列的安全管理活動來保證信息和信息系統(tǒng)的安全需求得到持續(xù)滿足。這些安全需求包括“保密性”、“完整性”、“可用性”、“防抵賴性”、“可追溯性”和“真實性”等。