构建电力企业信息安全管理体系的探讨

《构建电力企业信息安全管理体系的探讨》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2008年第l0期《贵州电力技术》(总第1l2期)构建电力企业信息安全管理体系的探讨西南民族大学计算机学院罗洪杨杰[610041]摘要随着电力系统信息化的高速发展，信息安全对电力信息系统正常高效地运行具有重要意义。本文讨论了电力信息安全的主要风险来源，阐述了在中小电力企业中参考PDCA模型建立信息安全管理体系的思路。关键词信息安全管理体系PDCA风险评估制定通过ISO／IECl7799—1：2000标准。BS7799—21引言在2002年也由BSI进行了重新的修订。ISO组织随着互联网技术的发展，公司、企业等组织的网在2005年对ISO17799

2、再次修订，BS7799—2也于络被黑客攻击导致机密信息泄露等信息安全问题日2005年被采用为ISO／IEC27001：2005。益突出，信息系统的安全已经成为人们高度关注的ISO／IEC27001：2005是国际信息安全领域的重社会性问题。伴随着电力行业的改革和发展，电力要标准，是建立信息安全管理体系(ISMS)的一套规企业已建立起庞大复杂的电力调度数据网和综合信范，其中详细说明了建立、实施和维护信息安全管理息网，信息安全面临的危险同时也渗透到电力企业体系的要求，指出实施机构应该遵循的风险评估标生产、经营的各个方面。电力系统的信息安全必然准。一个

3、组织的ISMS的设计和实施受业务需求和对电力生产安全、经济安全产生重大影响，信息安全目标、安全需求、所采用的过程以及组织的规模和结已成为影响电力安全生产和运行的重要因素之一，构的影响。上述因素及其支持过程会不断发生变因此在电力企业参考有关标准和模型建立健全信息化。IS0／IEC27001：2005最终目的在于帮助企业建安全管理体系具有重要意义。立、实施、运行、监视、评审、保持和改进适合自身需要的信息安全管理体系。2信息安全管理体系及标准3电力系统的信息安全风险的主要来源信息系统安全的一种内涵定义为：确保信息内容在各个物理位置、逻辑区域、存储和传输

4、介质中，近年来，我国电力企业信息化得到长足发展，处于动态和静态过程中的机密性、完整性、可用性、同时由于电力生产运行的特殊行业特点，在信息化可审查性和抗抵赖性的，与人、网络、环境有关的技方面具有相对其他行业更具优势的特征。如信息化术和管理规程的有机集合⋯。从这个定义中我们基础设施相对完善；电力生产、调度自动化系统应用可以看出。信息系统安全的最终目标是确保信息的成熟，电网的三级调度100％实现了自动化；电力营机密性、完整性、可用性、可审查性和抗抵赖性，以及销管理系统得到广泛应用；国家、南方电网和各发电信息系统主体对信息资源的控制。信息系统安全是集团公

5、司所属各级分、子公司开发了生产、设备、安一项复杂的系统工程，它的实现不仅是纯粹的技术全监督、电力负荷、营销管理等企业管理信息系统。方面向题，而且还需要法律、管理、社会因素的配合，然而目前中小电力企业信息安全管理方面也仍然存从信息系统安全需求来看信息系统安全体系由技术在较多问题。如信息化机构建设尚需进一步健全，体系、组织体系和管理体系共同构建。“三分技术信息部门未受到应有的重视；信息安全管理在电力七分管理”充分体现了管理体系的重要性。管理体企业安全文化建设中，信息安全管理仍然处于从属系包括组织结构、方针策略、规划活动、职责、实践、地位；网络信息安全

6、风险的存在等问题J。程序、过程和资源。而信息安全管理体系(ISMS，目前电力系统的信息安全工作现状是：重产品、InformationSecurityManagementSystem)是整个管理轻管理、忽视运维。常规化的安全防护措施基本普体系的一部分，它是基于业务风险方法，来建立、实及，高档的技术产品比例很大，然而充分发挥防护功施、运行、监视、评审、保持和改进信息安全的。效的不多；制度定的很多，真正落实的不多，部分重信息安全管理体系标准的前身为英国标准协会要环节的管理工作还处于空白。一个完整的安全体(BSI)制定的信息安全管理标准——Bs7799。

7、2000系由管理体系、运维体系、技术体系构成。安全管理年，国际标准化组织(ISO)在BS7799—1的基础上是纲，表达了安全工作的目标与要求，管理目标需要．47．2008年第lO期《贵州电力技术》(总第112期)在具体的运行维护工作中体现、落实，技术只是运行业高层领导应该充分重视，企业各部门通力配合。维护的有效支持手段之一。相当一部分安全目标，应该成立专门的信息安全组织机构，并为该机构配可以不依赖于技术措施实现，但不能没有运行维护置相关人力资源。应对相关人员并进行培训，落实工作的支持。另外，还需要适当的独立于管理体系信息安全管理职责，明晰责任，确

8、定ISMS的安全方的监督检查机制，保证管理要求在运行维护时得以针、目标、战略和策略。贯彻执行J。总的来说电力信息安全风险主要有三个来源：