电力中小企业的网络安全管理.pdfVIP

电力中小企业的网络安全管理 隋 军 (太平哨发电厂) 摘要本文从分析电力中小企业网络安全问题入手，指出要保证其网络安全，在具备基本的 安全设备前提下，把工作重点放在安全管理上。对企业网络的安全管理，可以从以下几个 方面进行：首先对网络和系统安全进行评估，了解网络存在的不足和隐患；其次明确网络 要达到的安全程度，即确定网络的安全目标；最后从制定网络安全策略、建立安全管理系 统、对用户进行安全教育、明确网络安全管理方法和建立网络防火墙和安全通道五方面来实 现保证网络安全的目的。 关键字 电力中小企业；网络安全；管理 随着网络技术和计算机技术的飞速发展，许多电力中小企业进行了计算机网络建设，实现生产 管理和经营管理的网络化。相对大型企业，中小企业的网络相对简单，安全防范措施也相对薄弱， 这往往给数据安全带来巨大威胁。安全缺乏保障，网络的应用价值就大打折扣。企业网络需要安 全，网络管理人员也必须最大限度保证网络安全。 我们知道，网络安全性实际取决于安全技术和安全管理两个方面。先进的网络安全技术是实现 安全的基础，但技术的实现一般以购置昂贵的网络安全设备为代价，而且安全技术发展日新月异， 设备更新换代迅速，没有大量的资金投入，技术的实现就成为空话。资金问题正是困扰电力中小 企业解决安全问题的症结所在。没有先进的安全设备，网络就不讲安全?当然不是。俗话说：“工 作是三分技术，七分管理”，企业的网络安全也是这样。技术再先进，管理不好或不到位，技 术也不能充分发挥作用，安全还是没有保障。对于企业网络，整体安全性实际是取决于系统的最 薄弱的环节。所以，在具备基本的安全设备前提下，努力加强管理，以管理补偿设备的不足，最 大限度减少网络不安全程度，是电力中小企业网络安全应着重努力的方向。 一、评估网络和系统的安全性 要保证网络安全，必须知道有那些因素导致网络不安全，企业有什么样的安全需要，这就是 网络和系统评估要达到的目的。对于大公司，可以委托专业网络安全公司进行，但这需要一笔可 观的费用；对电力中小企业，由于资金问题这样做可能性似乎不大，况且中小企业业务和网络相 对简单，评估可以自己进行。 l、价值评估。明确保护重点，确定保护层次。不能花很大代价去保护“价值不大’’的东 西，也不能对“重要数据’’安全保护视而不见，要层层设防，保证万无一失。评估内容包括： 网络硬件、软件、应用数据等。一般来说，应用数据是要保护的核心内容。 2、威胁分析。威胁是一般性质的不安全隐患。威胁分析就是尽一切努力找出不安全的因素。 威胁包括人工威胁(有意的损害)和自然事件(火灾、过失损害)两种。安全分析针对性强， 要求的层次也有差别，只有威胁分析清楚才能采取有效的防范措施。 400 3、漏洞分析。漏}同分析是具体找出具体的网络安全隐患。任何新的软件系统，都有各种漏 洞或弱点，漏洞分析的任务就是弥补漏洞，克服原有缺点。分析包括：物理漏洞：进出控制不 严格，电源和防火措施不可靠；管理漏洞：管理措施不完善或不适当；硬件漏洞：硬件存在缺 陷、信号辐射；软件漏洞：由设计失误带来的功能缺陷，由软件的补丁造成的实现缺陷，发生 未经授权的变化引起的内容缺陷；网络漏洞：缺乏对干扰、窃听的防范措施，缺乏路由多余度等。 4、风险分析。安全是相对的，一个漏洞被弥补，新的漏洞还可能出现。事物就这样不断向 前发展，百分之百的安全是不存在的。价值评估和风险分析是紧密相关的。在价值和风险之间必 须做出权衡。风险分析不能笼统做出，而要一项一项做出。 5、防护措施。包括物理防护和逻辑防护。物理防护是采用硬件设备进行防护，如防火墙、 网络分段等。逻辑防护是采取有效的加密技术和各种访问控制技术来实现防护的目的，在逻辑防护 中特别强调密钥管理中心的有效控制。一般来说，在一个网络中，应同时采用两种方式来进行防 护。 6、监视响应。为及时发现和处理网络不安全因素，必须对网络事件进行监视，发现问题必 须能做出必要的响应，如断开网络连接、记录攻击过程、跟踪攻击源、处理事件和恢复系统等。 二、确定网络安全目标 ’安全目标是在评估网络和系统安全的基础上确定网络要达到的安全程度。电力中小企业的网络 安全应该突出重点，主