评估电力通信机房安全风险

评估电力通信机房安全风险

胡晓伟

国网青海省电力公司信息通信公司  青海 西宁  810001

摘要：作为与国计民生密切相关的重要行业，电力行业有效地推动了我国社会经济的快速发展。现在人们对电力具有越来越高的需求，在这一背景下，电力行业的通信的安全性也变得越来越高。然而因为受到很多原因的影响，导致我国的电力行业通信安全仍然面临着较大的威胁。安全风险评估是提升电网整体安全水平的的重要措施，为了保障电力通信机房的安全性，就必须要高度重视对通信机房的安全风险评估工作。

关键词：电力；通信机房；安全风险评估

电力信息通信网络的逐步扩大，使得电力系统的信息机房设备数量、信息运维工作量迅速增加。信息机房是一个集中数据存储、数据传送、数据管理的地方，其安全稳定对电力信息通信网络的运行起着至关重要的作用。对信息机房监测及安全评估可以让运维人员掌握目前信息机房的设备运行状况、内部动力环境等信息；通过对相关数据进行异常辨识，发现信息机房存在的安全隐患，为信息机房进行安全评估，对做出合理决策具有重要意义。：在电力事业不断发展的今天，我国的电力系统对信息系统和计算机网络系统具有越来越大的依赖程度，在这种情况下如何能够有效的保障电力通信机房的安全性变得越来越重要，这也属于电力通信机房安全风险评估工作必须要解决的一个问题。基于此，与当前电力系统信息化建设的现状相结合，对电力通信机房安全风险评估的方式和策略进行了分析。

一、电力通信机房安全风险评估内容

1、安全性评估。电力通信机房除了会受到地震、暴风雨导致的断电以及等自然灾害的威胁， 还存在着网络恶意攻击、员工错误操作、非法授权使用、员工使用方式不规范等等问题。因此，在电力通信机房的安全风险评估中， 通常将潜在的风险分为风险赋值和风险识别两个不同方面。其中风险赋值比较常用到，因为信息系统的运行环境各不相同，因此也无法从一而论，所以对风险的定义和查找都显得相对比较困难。因此，通过利用企业原本的入侵防御系统，调出其审计记录，并按照一定时间内的风险记录进行分析，并对所有可能存在的风险因素进行赋值操作，方便预防和管理。其中，风险赋值操作的具体流程为：根据风险发生之后对电力通信机房可能造成的后果的设想， 并对这些不良后果按照严重性进行分阶和赋值，风险赋值的阶级一般分为低、中、高三个阶段。

2、漏洞及弱点评估。在电力通信机房的信息系统的运行操作中， 可能存在着一些技术和软件方面的漏洞，这些漏洞存在着不稳定性，可能会被潜在的风险乘虚而入，使用合理的方式扫描范围内的电力通信机房网络设备及服务信号，再召集专家，就关键设备的合理性、安全性、使用效率性等等进行分析和研讨。其中需要重点勘测的硬件设施包括电力通信机房的安全设备、网络光缆线路、网络设施设备、网络拓扑以及其他种种。

二、电力通信机房安全风险评估的有效对策

1、建立安全风险评估体系。为了能够对传统风险评估方法存在的缺陷进行弥补，及时有效的评估与控制风险，就必须要建立健全安全风险评估体系。将通信机房作为研究对象，对安全评估企业标准和国际标准进行参考，同时纳入可以将通信机房信息基础设施特点反映出来的特色指标，从而构建与电力企业信息化环境相适应的安全风险评估指标体系，并且对其进行进一步的细化，总共包括七大类，也就是通信机房运行维护系统、网络安全系统、光缆设备安全、通信机房物理防护、人员安全管理、通信机房安全管理机构、通信机房安全管理制度等[2]。以每个指标的重要性为根据设置合适的分值，全部指标分数的总和就是最终的安全风险评估得分。工作人员可以分数将风险等级确定下来，越高等级就表明具有越大的风险。在确定风险评估结果之后，以风险等级为根据采用有效的应对措施，同时由专业人员对各项指标进行分析，并且将风险控制的具体方式提出来，对风险进行及时控制，最终使通信机房信息网络的安全性得到保障。图1 为安全风险评估内容。

2、制定明确的风险管理目标。建立健全风险评估指标的最为主要的目的就是以该指标体系作为。依据量化分析和管理安全风险，所以在将指标体系制定出来之前，要先将风险管理的目标设定好。风险管理目标主要包括以下内容：①监控安全状况。监控安全状况主要是对通信机房的潜在威胁和自身的弱点进行准确识别，从而让安全评估者正确地评估整个系统的状况，特别是在发生安全事件和故障的前期，通过对系统脆弱点的预警能够使系统的持续运行的安全防护能力获得极大的提升。②预测风险趋势：传统的安全防御系统和入侵检测系统只是可以将当前和过去的安全事件数据提供出来，而网络安全风险评估则能够以这些安全事件数据为根据预测和实时计算相关的风险，并且以计算结果为根据对系统进行评价，从而将系统的安全状态明确下来。③指导安全防护：指导安全防护的目标就是适度安全，以安全风险评估结果为根据将最优的安全解决方案和网络安全对策制定出来，不断的强化建设网络系统安全技术体系的水平，确保网络系统实现适度安全。

3、对安全风险评估过程进行分步骤实施。①资产评估：在系统的通信机房内需要保护的各种有价值的信息基础设施对象就是所谓的信息资产。与电力通信机房的实际情况相结合，笔者认为，其资产主要包括安全设备、网络设备、网络线路、机房物理环境等，利用相应的扫描和调查等方式就可以获得必要的资产信息。②安全威胁评估：通信机房主要面临的风险包括两个方面，一方面是包括火山爆发、地震等在内的各种非人为的威胁；另一方面是包括非授权访问、误操作和网络攻击等在内的各种人为威胁。威胁在信息安全风险评估工作中被划分为两个部分，也就是威胁识别和威胁赋值。通过已有的入侵防御系统能够收集入侵审计记录，并且定量分析潜在的威胁，最终针对潜在的威胁进行合理的赋值。③安全弱点评估：脆弱性评估主要包括三个方面，也就是运维、技术和管理。脆弱性评估过程实际上就是分析和发现存在于信息系统中的各种技术漏洞、运维缺陷，同时将脆弱性被利用的难易程度确定下来。在建立信机房安全风险评估工作中，与安全评估指标体系相结合，明确各种安全措施的强弱程度，并且评估各个安全措施的可规划特性、可管理特性、标准特性、集成特性、有效性和针对性等。④风险综合分析。将各个通信机房作为研究对象，对已有的安全控制手段、存在的弱点和威胁、信息资产列表进行综合，从而量化风险。电力通信机房安全风险评估工作可以划分为七个板块，分别为通信机房运行维护系统、网络安全、通信光缆设备安全、通信机房物理防护、人员安全管理、通信机房管理机构、通信机房安全管理制度等，板块的分值分别为26 分、32 分、18 分、24 分、10 分、10 分和10 分，130 分为满分。以评估所得的分数为根据对风险等级进行划分，其中的紧急风险为低于90 分的风险，一般风险为90~110 分的风险，正常风险为110~130 分之间的风险。以所界定的风险等级为根据，利用评估体系的具体打分情况就能够对形成风险的具体位置进行准确定位，同时利用相应的措施做好风险控制工作。  

在保障电力信息安全的工作中信息系统安全风险评估发挥了十分重要的作用，原来的信息安全评估体系过于大而全，其检查点的设置依据就是完整的信息系统环境，具有可操作性比较差、数量庞大等一系列的不足。在提出的电力系统机房安全风险评估体系，与当前电力系统的安全风险情况相适应。

参考文献：

[1]冯卫，张昱，何小伟.基于三维技术的机房智能管理系统应用研究[J].数字技术与应用，2017（04）：84.

[2]张水平，李有峰，童样，张凤琴.云数据中心心跳检测与故障评估[J].计算机工程与设计，2019，24（10）：31.

[3]杨延娇，王治和.异常数据挖掘在Web 服务器日志文件中的应用[J].西北师范大学学报（自然科学版），2018，11（06）：32~34.

[4]宣恒农，张润驰，左苗，刘田田.面向数据中心网络的分层式故障诊断算法[J].电子学报，2019（12）：22.