能源无小事 | 电力行业数据安全痛点与解决思路

2018年9月13日，国家能源局发布《关于加强电力行业网络安全工作的指导意见》，内容全面覆盖《网络安全法》、《电力监管条例》及相关法律法规要求，对强化关键信息基础设施安全保护、加强电力企业数据安全保护等方面提出了要求。“十三五”阶段，电力行业的发展更肩负着全面建成小康社会与顺利实现“两个一百年”奋斗目标的历史重任。

当今世界，能源行业的安全关乎一个国家的繁荣发展与社会稳定。而在我国，电力行业更是最早开始落实安全建设的领域。

电力企业面临的安全与挑战

近年来，大多数电力企业虽在持续加强信息安全建设，但由于自身网络复杂、业务特殊、系统繁多等特性，依然面临严峻的安全威胁与挑战，而数据安全正是其中的重要一环。置身互联网、大数据的时代下，电力企业、尤其是规模巨大的电网公司，其业务的高效运转越来越依赖于对数据的传输和使用。正因如此，电力企业的营销、人资、财务、资产、协同、综合等核心系统中也存储着大量的业务往来、用户隐私等重要敏感数据，如若发生盗用、泄露、篡改、删除等安全事件，不仅会对电力企业自身的业务、信誉和经济利益造成严重损害，甚至可能影响能源供应，导致社会恐慌，威胁国家安全。与此同时，国家在保障敏感数据安全方面积极制定相关法律法规。《网络安全法》、《中央企业商业秘密安全保护技术指引》、《电力行业网络与信息安全管理办法》等等，都在对电力企业开展数据安全保护提出更高、更严的要求。一方面，电力企业需要通过不断挖掘数据价值以支撑自身服务质量、工作效率和发展需要；另一方面，又要保证数据在复杂的场景、系统之间被安全、合理的访问和使用。很显然，这不是一项轻轻松松就能够实现的目标，需要电力企业看清问题所在，并有针对性的加以解决。

电力企业数据安全痛点威胁

1

敏感数据管理不足

随着电力行业信息化建设的持续推进，电力企业内部各部门以及跨组织、跨区域之间的电力数据传输与共享场景日渐普遍，需要通过对数据进行脱敏实现“用、护”结合。但是，部分电力企业仍存在采用脚本或人工脱敏的情况，脱敏规则也不统一，从而导致脱敏效率低下，以及脱敏后数据质量差、数据间关联关系被破坏等一系列问题。

2

风险行为监控不足

电力企业规模庞大、系统繁杂、人员众多，日常工作中发生越权访问、下载或篡改数据等违规操作行为难以及时发现和定位，往往对内部数据安全事件的预防和调查造成困扰；此外，根据国内风险评价机构调研情况显示，逾两成的电力企业数据库处于直接暴露在互联网中的风险状态，且大多使用的版本十分陈旧，很多在新版本中已经得到修复的安全漏洞依然存在，甚至可能成为外部黑客入侵内网的跳板。

3

数据库运维管控不足

电力企业的网络复杂、业务特殊、数据库众多，在运维专区中，通常是使用堡垒机来对运维人员进行管理，但这种管理方式在数据安全防护上存在一定问题：运维人员不按操作规范或既定方案进行数据库运维操作、非法导出敏感数据、数据库操作行为没有细粒度的审计记录等。

电力企业数据安全防护思路

1

梳理与脱敏

在数据共享场景下，电力企业应完成对自身数据资产的系统梳理，并根据数据的敏感程度进行分级分类，制定出数据库共享和分发的处理流程。同时，在执行数据共享的操作过程中，应遵循业务角色最小化原则，对数据进行有针对性的脱敏处理，做到安全、合理的使用数据。考虑到电力企业的数据错综复杂，各业务数据流转通道各不相同，应按照电力企业数据的分级分类标准，对存储在内网以及临时存储在外网的数据进行发现及标记。在对数据进行跨部门共享或外发到政府部门时，应针对重要数据进行脱敏降级，确保数据接收方不会对数据内容进行二次扩散。

2

审计与稽核

通过部署数据库安全审计产品，电力企业能够对数据库的访问及其他操作行为进行细粒度审计与分析，从而全程监控、记录包括非法访问、数据库违规操作、数据批量导出或篡改在内的一系列风险行为，实现对所有数据访问行为进行审计记录，然后通过数据分析技术结合电力企业数据操作审计典型策略要求，对风险行为进行挖掘和预警，并在安全事件发生后，做到准确、高效的溯源定责。

3

运维与管理

对于电力企业而言，应在确保不影响正常开展运维工作的前提下，建立数据库运维操作的审批机制和技术措施。通过数据库运维管理系统对所有涉及敏感数据的操作进行限制，强化对数据库运维操作的监管力度，及时阻断越权操作行为的发生，令运维工作实际操作与计划操作保持一致。为此，电力企业应对数据运维操作的关键动作进行划分，将那些敏感操作梳理出来并默认禁止。当检修期间确实存在数据运维需求时，通过发起运维审批流程，根据审批小组的审批意见，有序、安全的执行运维操作。

须知能源无小事！电力是攸关国家安全、社会稳定与经济发展的关键行业，电力企业对数据安全的防护工作更加不容有失。安华金和深耕电力行业多年，能够为电力企业及广大能源行业客户提供适合的数据安全产品与解决方案，让数据使用更安全~

扩展内容，点击了解