广东电网亚运信息安全保障纲要
第一章 概述
1.1 项目概述
在电力行业，控制、监管方式的信息化，网络的IP化已经是不可阻挡的趋势。计算机及其网络已成为基础设施，开发于IP网络上的应用已经超越了辅助工具的角色进入核心业务，成为重要的、不可顷刻离开的基础管理手段。
信息化和IP化带来通用性高、市场成熟、建设成本低廉、开发工具丰富、标准化高等各种好处的同时，也带来TCP/IP的固有缺点，带来病毒、蠕虫、黑客等各种威胁。因此，随之而来的就是信息安全保护成为重要的工作内容。
在我国，信息安全的重要性还没有能够充分被重视，信息安全的建设情况并不理想，一方面，由于我国文化中“绝对安全”的观念束缚着我们，难以接受和推动以“风险管理”为代表的先进安全管理观念；二方面，长期的安全意识淡薄压抑着信息安全的成长空间；三方面，缺乏工程意识，信息安全建设急于求成，难以静下心来按照系统工程原理扎实完成每一分部的工作，使得信息安全建设根基不牢，漏洞白出；四方面，缺乏严谨的安全管理，更加部署重视看得见的安全产品，却不知道信息安全的灵魂是风险管理。
2010年广州亚运会之际，政府对电力行业提出了亚运保障要求，信息安全保障任重而道远。广州中软立足于电力行业的信息安全现状，在多年服务于电力行业的基础上，认真总结奥运保障经验和各种服务经验，采纳CC国际标准的最小投资达到必须的保障水平的思想，设计了本保障纲要，为电力行业提供符合成本效益原则的，合格的亚运保障服务。
1.2 方案说明
1. 立足于电力行业当前的网络基础架构、信息安全建设情况； 2. 依托广州中软多年服务于电力行业的经验；
3. 重点关注的是等保三级以上系统、互联网出口、Web网站、网络边界； 4. 重点建设的内容是：
广州中软
1 广东电网亚运信息安全保障纲要
? 实时监控； ? 应急响应；
? 发现和弥补当前安全体系的弱点和漏洞；
5. 建设思想基于PDCA循环，争取在亚运前进行3-4个循环，显著提高防
护能力，并通过循环完善监控和应急响应；
6. 建设手段包括安全基线、扫描、评估、渗透、加固、产品部署、网络调
整、边界策略调整等等手段；发现弱点和漏洞，提出整改意见，弥补弱点，满足安全基线要求。
1.3 参考标准
为了保护信息安全，国际上从60年代开始就进行了很多工作，提出了各种安全标准，当前比较有影响的是ISO27001、ISO7799、ISO13335、IATF3.1等，国内也制定了实施等级保护的国家政策，而电力行业在信息安全方面也已经有一些必须遵守的行业要求。其中等级保护的相关标准和电力行业的相关标准是必须遵守的，其它标准如：IATF、ISO27001、ISO13335等有助于提供清晰有序的安全设计，本纲要中予以采纳。
1- 计算机信息系统 安全等级保护划分准则； 2- 信息安全技术 信息系统安全等级保护实施指南； 3- 信息安全技术 信息系统安全保护等级定级指南； 4- 信息安全技术 信息系统安全等级保护基本要求； 5- 信息安全技术 信息安全风险评估规范； 6- 信息安全技术 信息系统灾难恢复规范； 7- 信息安全技术 信息系统安全管理测评； 8- ISO27001； 9- ISO17799； 10-ISO13335；
11-IATF信息保障技术框架； 12-CVE公共漏洞命名规范 13-PMI项目管理方法学
广州中软
2 广东电网亚运信息安全保障纲要
14-电力系统5号令以及其它本行业信息安全规范。
广州中软
3 广东电网亚运信息安全保障纲要
第二章 设计原则
2.1 目的性原则
正确的方向来自明确的目的。如果信息安全的建设目标不明确，则只能走向歧路，而不能达到最终的目标。
本纲要是广州中软为用户的信息安全保障而提出的，在技术层面依据IATF信息安全保障（美国国家安全印发的《信息保障技术框架》，国家973信息与网络安全体系研究课题组翻译，北京中软电力出版社出版），在管理方面依据ISO27001、ISO27005等国际规范，在安全基线和风险评估方面，依据国家《信息安全技术 信息系统安全等级保护基本要求》，结合广州中软多年来在网络、系统、安全、集成、咨询、培训等方面的丰富经验，能够为用户带来较为完整和可行的安全建设思路。
纲要依据IATF的信息安全五要素：保密性、完整性、可用性、可控性（或叫做可审计性）、不可否认性（或叫做不可抵赖性），五个领域：网络与基础设施、边界与外部连接、计算环境、支撑性基础设施以及操作支持，依据信息安全的标准、原理、最佳实践对安全建设思路条分缕析，为用户打造安全的信息环境提供完善的解决思路。
2.2 深度防御原则
美国兰德公司提出的风险管理思想已经成为信息安全行业的共识，风险思想就蕴含着深度防御的原则，因为没有一个单独的设备、防御层次、方法可以解决所有的安全问题，其结果是安全必须如同洋葱圈一样的构成一个多层次的防御体系，使得各个层次之间优劣互补，融合成有效的防御整体。
广州中软坚持深度防御原则，从项目设计到项目实施遵循IATF信息安全保障框架的要求，将深度防御原则贯穿始终。
广州中软
4 广东电网亚运信息安全保障纲要
2.3 有效性原则
信息安全工程是一个极为复杂的工程，如果能够保证其以期望的方式达成期望的目标，如果能够对其正确性、完整性、一致性、互依赖性、冲突和可测试性做出适当的评估，无疑可以保证工程的质量。
广州中软的安全工程（含软件开发、集成、服务、实施等）遵循IATF信息保障技术框架和ISSE过程，强调信息系统保护的有效性，强调为系统所处理的或任务所要求的信息提供必要级别的保密性、完整性、可用性和不可否认性的系统能力，从而保障工程质量。广州中软是通过CMM3级别认证的企业，有实力实现这一点。
2.4 标准性原则
依据国际、国内、行业标准开展工作是广州中软在本次纲要编写时的工作指导原则，也是广州中软信息安全服务所坚持的一贯原则。
2.5 最小影响原则
对现有系统影响最小，对现网运行影响最低是信息安全行业的一条最佳工程实践经验。
广州中软将评估设计、实施所涉及的系统和网络情况，将可能的影响降低到最低限度，不会对现网的运行和业务的正常提供产生负面影响。
2.6 保密性原则
广州中软坚持保密性原则，对于接触到的数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害需求方的行为，广州中软与用户签署相关的保密协议和非侵害性协议。
广州中软
5