檢查工作“滴水不漏”

    “這次檢查的重點是‘務(wù)實’，要有針對性，要當(dāng)成實戰(zhàn)來做，做到全方位不留漏洞不留死角。”網(wǎng)公司信息部主任尚春在檢查前指出：“不要怕問題，發(fā)現(xiàn)問題越多，證明檢查越有成效，說明做得越細(xì)，改進(jìn)的機會就越大。”

    此次網(wǎng)公司對云南電網(wǎng)的檢查對象包括公司信息中心的機房、5臺網(wǎng)絡(luò)防火墻、6臺核心交換機、9套應(yīng)用系統(tǒng)、6套現(xiàn)場檢查系統(tǒng)的部分主機和數(shù)據(jù)庫、50臺辦公終端、管理人員訪談和管理制度、表單、記錄等，以及昆明供電局、玉溪供電局的信息安全工作。檢查內(nèi)容有兩方面：一是管理層面，包括安全管理制度、安全管理機構(gòu)、人員安全管理、安全建設(shè)管理、安全運維管理等5項內(nèi)容；二是技術(shù)層面，包括物理、網(wǎng)絡(luò)、主機、應(yīng)用、數(shù)據(jù)、終端等6項安全內(nèi)容。公司信息中心安全測評部主任周靖介紹到：“這次網(wǎng)公司信息安全大檢查采取‘現(xiàn)場檢查’和‘遠(yuǎn)程檢查’兩種方式?，F(xiàn)場檢查包括訪談、文檔審查、配置檢查、工具測試和實地察看等；遠(yuǎn)程檢查是由檢查工作組統(tǒng)一提供檢查工具，云南電網(wǎng)按要求在本地自行開展檢查，并將檢查結(jié)果上報，由檢查組統(tǒng)一組織安排對外信息系統(tǒng)的遠(yuǎn)程滲透測試工作。”

    檢查組分成4個小組，分別從管理安全、網(wǎng)絡(luò)安全、物理/主機安全、應(yīng)用/數(shù)據(jù)安全方面，全面應(yīng)用網(wǎng)公司信息安全合規(guī)庫成果，融合歷年信息風(fēng)險評估發(fā)現(xiàn)的207項問題，覆蓋“兩大層面”、“十大安全域”，共計110項檢查要求、434項檢查指標(biāo)，真正做到了檢查工作“滴水不漏”。

    有效筑牢信息安全防線

    云南電網(wǎng)公司一直以來都在持續(xù)加強信息安全工作。規(guī)范信息系統(tǒng)等級保護(hù)備案，建立對外服務(wù)器DMZ區(qū)域，強化內(nèi)外網(wǎng)隔離及互聯(lián)網(wǎng)出口安全防護(hù)，全方位循環(huán)開展網(wǎng)絡(luò)、主機、應(yīng)用、數(shù)據(jù)、終端等信息安全加固和風(fēng)險評估，消除高風(fēng)險，大幅減少中、低風(fēng)險。完成全網(wǎng)3434臺（套）IT設(shè)備安全加固，強制部署4萬余臺終端準(zhǔn)入及防病毒軟件，及時消除OpenSSL、Bash等高危漏洞的威脅，開展系統(tǒng)安全測試，部署了覆蓋全網(wǎng)的信息安全審計系統(tǒng)，持續(xù)完善ITSM系統(tǒng)，形成了全面、完整的IT集中監(jiān)控體系，提高信息安全的分析處置能力。

    今年4月開始，云南電網(wǎng)公司對本部、信息中心、各供電局、縣級供電企業(yè)以及其他分子公司開展了2015年全網(wǎng)信息安全大檢查。采用各單位自查、公司組織專門隊伍現(xiàn)場檢查相結(jié)合的方式，由公司信息部聯(lián)合系統(tǒng)部統(tǒng)一部署信息安全大檢查的各項工作，并組織開展對各供電局的信息安全自查督導(dǎo)以及對各級單位的現(xiàn)場檢查，公司信息中心作為信息安全執(zhí)行機構(gòu)，負(fù)責(zé)具體落實信息安全管理制度和信息安全技術(shù)防護(hù)措施。4月，完成了包括公司本部在內(nèi)共計20家單位及其下屬單位、縣級供電企業(yè)的信息安全自查工作。5月，各單位以“即查即改”的方式完成了整改工作。6月，信息部組織檢查小組對供電局進(jìn)行現(xiàn)場檢查，截至目前，已完成4個供電局的現(xiàn)場檢查工作。

    “下一步，云南電網(wǎng)還將繼續(xù)認(rèn)真落實《關(guān)于開展2015年信息安全大檢查的通知》要求，深化執(zhí)行力度，針對網(wǎng)公司檢查發(fā)現(xiàn)的問題立即著手解決。繼續(xù)做好CSG II系統(tǒng)上線前的安全管控。完成網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)升級，完善桌面管理功能，進(jìn)一步強化終端安全管控策略，不斷提升終端安全防護(hù)能力。”公司信息部主任張葉談到。

    “云南電網(wǎng)信息安全工作做得比較好，進(jìn)步很快。”尚主任對云南電網(wǎng)信息安全工作給予了肯定，并從IT服務(wù)、IT調(diào)度、運行、人員能力培養(yǎng)等方面作了要求，他談到：“云南電網(wǎng)CSG II系統(tǒng)推廣工作走在南網(wǎng)各省前列，希望安全工作也能夠走在前列。”他強調(diào)，安全工作不是獨立存在的，在需求、設(shè)計、調(diào)試、驗收、應(yīng)用等方面都要融入安全，不要誤入“做風(fēng)險管控才考慮安全”這一歧途，要打破地域和封閉協(xié)同的觀念，引進(jìn)先進(jìn)思想，以求真務(wù)實的工作作風(fēng)把信息安全做實。尚主任還談到：“面對未來，企業(yè)管理信息系統(tǒng)推廣上線運行，信息化步入全速發(fā)展階段，信息安全還有很長的路要走，每一步都要走得踏實。”（作者：宋玥羲?。?/div>