电力数据安全的暴露面与针对性防护思路

2019年12月11日，由中国电力大数据创新联盟、国网大数据中心等联合主办的“2019电力大数据协同创新高峰论坛暨电力大数据产品发布会”在北京召开。安华金和作为数据安全厂商代表受邀出席大会并做主题演讲。本届大会以“数聚赋能，协同创新”为主题，旨在贯彻落实国家大数据战略，深入挖掘能源大数据应用场景和价值。行业主管部门领导、专家学者、企业客户及安全厂商代表出席会议，共同围绕电力大数据应用、数据中台、数据安全等热点话题展开深入交流探讨，研判行业市场前景与技术发展趋势。

会上，安华金和能源行业解决方案高级咨询顾问 李航 结合电力行业现状、需求、场景等特征，进行了题为“基于数据敏感级别与暴露面的精准防护思路”的内容分享。

数据安全现状

李航在演讲中指出，随着“泛在电力物联网”建设的不断推进，实现业务协同和数据贯通已成为电网企业提升管理、优化服务、保障安全和发展业务的必由之路。电力数据已打破“被锁在盒子里”的模式，在共享、流动的过程中更加充分地发挥着自身的价值和作用。与此同时，数据价值变现催生了网络黑产的日益泛滥，电力数据所面临的安全风险也水涨船高：

1

数据泄露在逐年增长

据悉，全球数据泄露事件及所造成的经济损失至2019年“创新高”为止，已连续5年呈增长态势，网络攻击的主要目的从单纯破坏向窃取数据牟利转变。有统计显示，2016年全球共发生数据泄露事件1673起，造成7.07亿条数据泄露；而仅仅在两年后，这一数字就猛增至4600起和35亿条。

2

数据泄露的单位分布

第一梯队：互联网企业，或业务带有互联网性质的企业第二梯队：公共服务机构，涵盖能源、医疗、金融等行业第三梯队：政府机构

3

数据泄露的主要原因

· 数据安全防护未能由点及面：数据安全风险是多点并存的，仅对某一个环节或某一项技术进行的实践应用，无法做到全面的防护，则威胁依然存在；· 数据安全防护未能内外兼顾：以往将注意力倾注在“防外”上的观念要及时转变，通过近年来发生的安全事件可以看出，来自“内部”的数据安全问题往往更具破坏性。

数据的暴露面增多

李航表示，除了互联网企业陷于重灾区外，近年来大力开展信息化建设与数字化转型的能源行业亦身处“十面埋伏”之中，对电力数据的挖掘使用和开放共享，令其无可避免的暴露在更多风险面前：

1

互联网业务的暴露面

“网上国网”等互联网应用的普及，使费用查询、电费缴纳乃至搜索充电桩、电动汽车购买、光伏新装等主要电力服务更加便捷高效，用户可直接通过外网对相关数据进行访问。但在享受这些便利的同时，来自互联网的数据安全威胁也接踵而至。

· 互联网上以窃取数据为目的的黑客攻击；· 互联网业务数据运维人员恶意获取数据；· 互联网用户身份被仿冒导致数据被盗走。

2

数据中台的暴露面

数据中台作为电力企业内部各专业及外部协同单位的数据共享支撑层，汇聚并管理着海量的数据，也因此面临着更为严峻的数据安全挑战。

· 由于内部人员操作不当引起的数据泄露；· 数据中台对海量数据的汇聚与管理问题；· 数据中台对外提供数据服务的安全问题。

3

各业务系统的暴露面

对于电力企业而言，包括营销、运检等主要的业务系统虽已具备基础的数据安全保障能力，但风险和隐患依然存在，不可不防。· 数据访问：内部业务及运维人员对数据进行非法访问；· 数据共享：开发测试环境中存在的数据使用安全问题；· 数据分发：面向外部单位提供数据时的安全风险问题。

暴露面针对性防护思路

1

针对互联网业务

· 访问请求内容识别：杜绝因SQL注入、漏洞攻击等恶意行为导致的拖库风险；· 数据访问遮蔽：针对敏感数据访问进行脱敏遮蔽处理，确保数据访问安全；· 运维数据访问控制：禁止批量数据操作行为，并对高敏感数据进行脱敏返回。

2

针对数据中台

· 数据采集：对数据敏感级别和数据价值进行研判，并附上数据标签；· 数据存储：对数据中台内的敏感、重要数据采用存储层加密，确保数据存储安全；· 数据使用：建立数据使用的全流程审计机制，并对违规数据操作、恶意数据获取等行为进行实时分析；· 数据服务：数据中台在提供数据服务时，对访问者身份进行鉴权，并返回经安全回脱敏后的数据。

3

针对各业务系统

· 业务访问：结合数据的分级分类情况，对前台的业务数据执行差异化访问控制；· 运维访问：结合数据的分级分类情况，采用运维审批和脱敏机制进行数据处理；· 数据共享：根据不同共享环境的差异，对敏感数据进行脱敏后访问；· 数据分发：采用数据水印技术，在分发场景下对敏感数据进行防护。

对数据安全实行针对性防护是一个体系化的工作，涵盖体系建设、数据资产梳理、敏感数据发现以及数据安全防护与管控建设、数据安全分析、合规稽核等完整的数据安全治理环节。安华金和作为中国数据安全治理理念的提出者和倡导者，对电力行业的数据安全防护有着丰富的实践经验，致力为电力企业及广大能源行业客户提供有针对性的、适合的数据安全全线产品与定制化解决方案。