|
|
随着能源互联网的加快速度进行发展，电力系统的数字化转型已成行业发展的必然趋势。在电力系统的数字化转型浪潮中，以数据驱动，算力赋能，虚拟化、智能化规划电网建设及运行的数字电网相关核心技术无疑是电力企业未来的发展建设的重点。以“云大物移智”为代表的信息行业新技术趋势的发展，为电力系统的数字化转型提供了技术“脚手架”，与此同时也引入了传统安全防护能力无法覆盖的新型网络安全风险。
“云大物移智”，分别对应着云计算、大数据、物联网、移动互联网、人工智能五项近年来极具代表性的信息产业新技术。得益于硬件设备的快速的提升及以5G为代表的通信能力的大幅度的提高，电力行业可以从办公OA、邮箱IM、网上缴费等传统办公数字化能力出发，进一步将数据和算力“触手”铺设到电厂、变配电设施及千家万户的电表上，通过移动物联网设备，对需求侧、供给侧及运行环境进行数据采集与汇聚。同时，通过云计算技术实现的算力共享，使得需要大量算力的大数据清洗技术有了用武之地，可以对海量数据实现提纯，最后通过各类专用智能算法，在时空维度上将传统需要投入大量人力进行的分析大幅优化，进而支撑起大幅融入新能源与虚拟电厂的低碳化、柔性数字电网构想。
不难看出，同传统信息与消费互联网行业相比，数字电网的建设从网络安全防护的角度看，具备物理环境复杂、网络通道、数据来源分散的特点，同时又兼具部分行业防御难点，如金融行业等对计算时效性与可靠性的高要求、大规模的公司对网络边界与内部资产盘点困难等。同时，由于电力在民生及军事上起到的基础性支撑作用，及其不同于供水、燃油等的脆弱性，使其成为非热战状态下的网络攻击破坏与数据窃取重点。
相较于新型电力系统的网络安全防护需求，传统的安全企业及机构往往将网络边界、内网与端点防护作为安全防御的重点。自1971年第一个计算机病毒Creeper诞生以来，安全专家围绕病毒开展了数十年的计算机攻防，战场也从单台计算机扩展到网络，诞生出杀毒软件、防火墙、防病毒墙等各种安全设备。随着基于HTTP协议的万维网发展，网络边界进一步扩宽，任何一个人都有机会领略到互联网的魅力，SQL注入、XSS攻击等应用层攻击技术也开始蒸蒸日上，新型企业们开始使用WAF、IDS、IPS为自己的信息系统资产筑起“长城”。攻防对抗技术的提高也为脚本小子们的入侵筑高了壁垒，从而使得公司开始注重网络安全体系中人的影响，进而出现了上网行为管理、基线管理等基于既定规则开展合规管控的新装备，进一步将技术防线推进到员工面前。
这一网络安全发展简史，同时也代表着我们熟知的网络安全产业成熟的防护现状。但技术的车轮仍在加速前行，尽管学术界与工业界都在传统网络安全、信任模型构建、数据全过程保护等领域不断推陈出新，许多企业仍无法在防护思维上跟上技术的进步，或将其视为无用需求，或简单买进新产品而不考虑其同现有体系的兼容性，从而在企业的安全建设与运营上花费大量无用功，安全系统之间安全能力分散，缺乏联动与协同，没办法发挥整体防护效能，网络安全防御能力与保障数字化业务运营的高标准要求尚有差距。
针对电力系统数字化转型下的新安全挑战，应从系统化防护的角度思考，建立网络安全的顶层设计。以“全域防御、纵深防御、实战引领、攻防兼备”为理念，围绕“三化六防”构建结合新型电力系统特性的网络安全综合保护体系，并强化责任体系、组织体系、制度标准体系、监督管理体系，筑牢数字电网的安全保护屏障。从技术防护角度来说，主要应从四方面发力。
一是应开展常态化监测。重点监测互联网空间能源系统设备，全面掌握系统类别、类型、安全性现状，把握能源基础设施的安全基本态势。全面加强网络安全风险管控，保障能源信息系统安全，确保系统安全稳定运行。实现从基础结构安全、纵深防御、态势感知、积极防御再到威胁情报的网络安全能力，构建动态综合的网络安全防御体系。对互联网空间内计算机、网络设备、安防设施等设备上的行为，加强完善电网电力监控系统安全防护体系。加强现有能源系统的安全测评工作，尽早发现自身隐患并积极处置，如利用网络流量审计技术，对电网等基础设施IP网络内外网流量进行收集、分析和检测，实时监测外部流入的流量是不是真的存在可能会引起控制管理系统异常的攻击行为和恶意代码，及时有效地发现网络攻击行为并予以预警处置。同时，强化网络安全专业运行机制，通过电力系统网络安全监控中心开展7×24小时值班，落实网络安全异常监测和应急处置机制，确保网络安全。
二是应重视物联网安全防护能力。针对新型电力系统多样化业务，首先，要厘清职责界面，研究分布式终端统一网络安全技术标准和网络安全分区原则，构建责权清晰、高效协同的管理机制。其次，基于源代码审计、网络安全审查、入网检测的供应链管控，通过工控设备、物联网设备及协议漏洞的挖掘，防范新型电力系统终端侧漏洞、协议脆弱性等安全风险，提升系统本质安全水平。再次，要开展物联网可信计算体系的研究，基于可信计算、态势感知、工控流量基线等技术，从身份可信、程序可信、配置可信、行为可信多个层面进行全方位检查和主动防御，保证分布式终端的可信接入，加强安全威胁智能分析和异常自动处置。最后通过覆盖所有的环节，开展“感知层防御、接入层防御、平台层防御”的多重防护手段建设，打造“精准防护、高效防护”的新型电力系统全场景网络安全防护体系，实现智能主动防御。
三是建立数据安全保障体系。建立数据全生命周期安全保障体系，制定电力数据运营制度、分级分类标准和数据使用规范，贯穿数据接入、数据传输、数据存储、数据共享、数据运营、数据开发安全的全生命周期的各环节。建立并优化跨网络分区的数据安全交换通道，完善数据交换策略，通过敏感数据保护、安全审计、数据安全治理、数据访问控制等方式智能化保障电力数据在各能源链间的安全、合规流动。重点做好数据规划阶段、数据建设阶段、数据使用阶段的安全管控。在数据规划阶段，从信息系统的可研阶段对统一模型、数据标准和技术路线进行审核检查，确保符合技术方面的要求和安全要求。在数据建设阶段，进行数据接入管控，明确数据类别、安全等级、共享条件、数据责任部门、数据责任岗位等内容。数据接入大数据平台、数据商场和统一指标库进行统一管理。在数据使用阶段，建设数据资产管理平台，针对数据使用安全，落实谁申请、谁使用、谁负责的原则；在数据汇聚、数据共享、数据开放环节加强保护、加强授权审计、加强敏感数据控制保护等。
四是强化供应链安全。快速推进国产自主可控替代计划。互联与智能慢慢的变成了我国能源系统的发展趋势，但我国工控系统技术发展与世界先进水平相比还存在差距，在高端控制系统领域还不能实现自主可控，核心技术依然受制于人。建议做好科技创新，实现国产化替代，打造自主可控的信息技术产品，同时，在政策机制上进行推进，对于自主研发的新技术、新产品要强制使用，为自主研发的产品提供发展空间;如确实需要进口国外产品，则要对能源系统进口供应商提供的产品进行严格的安全测评，防患于未然。
五是关注新技术安全。在数字化转型过程中，数字电网融合“云大物移智链”等新一代技术推动数字电网业务和应用深度融合，打造新型电力系统新场景新应用。同时也进行了基于网络切片的5G物联网关键技术研究及应用等一批优秀数字新技术实践。以人工智能支撑的强大算力和先进算法，重塑数据形态，辅助智能决策，发挥数据价值，助力数字电网和新型电力系统建设。建议大力推进数字新技术安全技术攻关和安全标准研究，推动建立“云大物移智链”等新技术安全检测体系。融合新技术构建和提升相应的安全能力，统筹做好网络设施安全、应用安全、数据安全等工作。
网络安全不仅是技术问题，也是管理难题。在做好安全技术防护的同时，也应对安全管理进一步规范。具体包括：
一是健全网络安全架构管控机制。全面对接国家和公司安全战略，坚持企业架构引领，深化企业网络安全架构建设，深度融合人工智能等新兴创新技术，实现安全架构与业务、应用、技术、数据等企业架构的“三同步”。强化安全架构管控，建立安全架构管控专业团队并常态化运转。
二是健全网络安全合规管控机制。建议组建国家政策与规范研究团队，深入解读和落实国家政策规范，持续优化完善公司网络安全合规库。构建公司网络安全管理业务架构，全面梳理网络安全管理工作，明确合规流程，提升网络安全合规管控。
三是健全网络安全风险管控机制。深化安全生产风险管理体系在网络安全的应用，设计一套系统性的网络安全风险管控体系；培养专业的风险管控体系应用研究队伍；打造一个风险管控技术支撑平台，固化风险管控工作流程，实现穿透式管理；研究解决一批“频发性”痛点难点隐患；总结提炼一系列风险管控标准；建设夯实一批典型示范单位，全面开展网络安全风险管控落地建设。
四是健全网络安全监督审计机制。建立企业网络安全监督队伍，健全网络安全跨级监督、穿透监督机制，强化对网络安全风险控制措施落实的监督管理。通过例行检查、专项检查、技术监督、安全巡查等手段，采取“四不两直”的方式，即不发通知、不打招呼、不听汇报、不用陪同、直奔基层、直插现场，定期开展网络安全督查检查，加强对改革后企业的督查检查，加强问题闭环跟踪整改，健全监督问责、信息通报机制，坚决克服宽松软问题。建立网络安全审计制度，明晰审计内容，落实网络安全审计职能，充分借鉴国内外金融行业先进审计经验，开展网络安全审计。
五是加强数据安全管理。完善数据安全分类分级管理制度，建立数据安全风险评估、检测认证机制，加强数据全生命周期安全防护。针对重要数据保护目录，建立数据安全通报与重要数据监管机制。
没有网络安全就没有国家安全，没有网络安全就没有电网安全。在电力系统数字化转型大趋势下，新业务、新场景、新模式层出不穷，电力系统网络安全风险不断加大。只有通过管理和技术层面构建新型电力系统网络安全风险管控体系，才能实现电力系统本质安全，为新型电力系统建设和安全稳定运行保驾护航。
（明哲系南网数字集团信通公司董事长，樊凯系南网数字集团信通公司总经理，张佳发系南网数字集团信通公司网络安全专家）
随着能源互联网的快速发展，电力系统的数字化转型已成行业发展的必然趋势。在电力系统的数字化转型浪潮中，以数据驱动，算力赋能，虚拟化、智能化规划电网建设及运行的数字电网相关核心技术无疑是电力企业发展建设的重点。以“云大物移智”为代表的信息行业新技术趋势的发展，为电力系统的数字化转型提供了技术“脚手架”，与此同时也引入了传统安全防护能力无法覆盖的新型网络安全风险。
“云大物移智”，分别对应着云计算、大数据、物联网、移动互联网、人工智能五项近年来极具代表性的信息产业新技术。得益于硬件设备的飞速发展及以5G为代表的通信能力的大幅提升，电力行业可以从办公OA、邮箱IM、网上缴费等传统办公数字化能力出发，进一步将数据和算力“触手”铺设到电厂、变配电设施及千家万户的电表上，通过移动物联网设备，对需求侧、供给侧及运行环境进行数据采集与汇聚。同时，通过云计算技术实现的算力共享，使得需要大量算力的大数据清洗技术有了用武之地，可以对海量数据实现提纯，最后通过各类专用智能算法，在时空维度上将传统需要投入大量人力进行的分析大幅优化，进而支撑起大幅融入新能源与虚拟电厂的低碳化、柔性数字电网构想。
不难看出，同传统信息与消费互联网行业相比，数字电网的建设从网络安全防护的角度看，具备物理环境复杂、网络通道、数据来源分散的特点，同时又兼具部分行业防御难点，如金融行业等对计算时效性与可靠性的高要求、大型企业对网络边界与内部资产盘点困难等。同时，由于电力在民生及军事上起到的基础性支撑作用，及其不同于供水、燃油等的脆弱性，使其成为非热战状态下的网络攻击破坏与数据窃取重点。
相较于新型电力系统的网络安全防护需求，传统的安全企业及机构往往将网络边界、内网与端点防护作为安全防御的重点。自1971年第一个计算机病毒Creeper诞生以来，安全专家围绕病毒开展了数十年的计算机攻防，战场也从单台计算机扩展到网络，诞生出杀毒软件、防火墙、防病毒墙等各种安全设备。随着基于HTTP协议的万维网发展，网络边界进一步扩宽，每个人都有机会领略到互联网的魅力，SQL注入、XSS攻击等应用层攻击技术也开始蓬勃发展，新型企业们开始使用WAF、IDS、IPS为自己的信息系统资产筑起“长城”。攻防对抗技术的提高也为脚本小子们的入侵筑高了壁垒，从而使得企业开始注重网络安全体系中人的影响，进而出现了上网行为管理、基线管理等基于既定规则开展合规管控的新装备，进一步将技术防线推进到员工面前。
这一网络安全发展简史，同时也代表着我们熟知的网络安全产业成熟的防护现状。但技术的车轮仍在加速前行，尽管学术界与工业界都在传统网络安全、信任模型构建、数据全过程保护等领域不断推陈出新，许多企业仍无法在防护思维上跟上技术的进步，或将其视为无用需求，或简单买进新产品而不考虑其同现有体系的兼容性，从而在企业的安全建设与运营上花费大量无用功，安全系统之间安全能力分散，缺乏联动与协同，无法发挥整体防护效能，网络安全防御能力与保障数字化业务运营的高标准要求尚有差距。
针对电力系统数字化转型下的新安全挑战，应从系统化防护的角度思考，建立网络安全的顶层设计。以“全域防御、纵深防御、实战引领、攻防兼备”为理念，围绕“三化六防”构建结合新型电力系统特性的网络安全综合保护体系，并强化责任体系、组织体系、制度标准体系、监督体系，筑牢数字电网的安全保护屏障。从技术防护角度来说，主要应从四方面发力。
一是应开展常态化监测。重点监测网络空间能源系统设备，全面掌握系统类别、类型、安全性现状，把握能源基础设施的安全基本态势。全面加强网络安全风险管控，保障能源信息系统安全，确保系统安全稳定运行。实现从基础结构安全、纵深防御、态势感知、积极防御再到威胁情报的网络安全能力，构建动态综合的网络安全防御体系。对网络空间内计算机、网络设备、安防设施等设备上的行为，进一步完善电网电力监控系统安全防护体系。加强现有能源系统的安全测评工作，尽早发现自身隐患并积极处置，如利用网络流量审计技术，对电网等基础设施IP网络内外网流量进行收集、分析和检测，实时监测外部流入的流量是否存在可能导致控制系统异常的攻击行为和恶意代码，及时发现网络攻击行为并予以预警处置。同时，强化网络安全专业运行机制，通过电力系统网络安全监控中心开展7×24小时值班，落实网络安全异常监测和应急处置机制，确保网络安全。
二是应重视物联网安全防护能力。针对新型电力系统多样化业务，首先，要厘清职责界面，研究分布式终端统一网络安全技术标准和网络安全分区原则，构建责权清晰、高效协同的管理机制。其次，基于源代码审计、网络安全审查、入网检测的供应链管控，通过工控设备、物联网设备及协议漏洞的挖掘，防范新型电力系统终端侧漏洞、协议脆弱性等安全风险，提升系统本质安全水平。再次，要开展物联网可信计算体系的研究，基于可信计算、态势感知、工控流量基线等技术，从身份可信、程序可信、配置可信、行为可信多个层面进行检查和主动防御，保证分布式终端的可信接入，加强安全威胁智能分析和异常自动处置。最后通过覆盖各个环节，开展“感知层防御、接入层防御、平台层防御”的多重防护手段建设，打造“精准防护、高效防护”的新型电力系统全场景网络安全防护体系，实现智能主动防御。
三是建立数据安全保障体系。建立数据全生命周期安全保障体系，制定电力数据运营制度、分级分类标准和数据使用规范，贯穿数据接入、数据传输、数据存储、数据共享、数据运营、数据开发安全的全生命周期的各环节。建立并优化跨网络分区的数据安全交换通道，完善数据交换策略，通过敏感数据保护、安全审计、数据安全治理、数据访问控制等方式智能化保障电力数据在各能源链间的安全、合规流动。重点做好数据规划阶段、数据建设阶段、数据使用阶段的安全管控。在数据规划阶段，从信息系统的可研阶段对统一模型、数据标准和技术路线进行审查，确保符合技术要求和安全要求。在数据建设阶段，进行数据接入管控，明确数据类别、安全等级、共享条件、数据责任部门、数据责任岗位等内容。数据接入大数据平台、数据商场和统一指标库进行统一管理。在数据使用阶段，建设数据资产管理平台，针对数据使用安全，落实谁申请、谁使用、谁负责的原则；在数据汇聚、数据共享、数据开放环节加强保护、加强授权审计、加强敏感数据控制保护等。
四是强化供应链安全。加快推进国产自主可控替代计划。互联与智能已经成为中国能源系统的发展的新趋势，但我国工控系统技术发展与世界领先水平相比还存在差距，在高端控制管理系统领域还不能够实现自主可控，核心技术依然受制于人。建议做好科学技术创新，实现国产化替代，打造自主可控的信息技术产品，同时，在政策机制上进行推进，对于自主研发的新技术、新产品要强制使用，为自主研发的产品提供发展空间;如确实需要进口国外产品，则要对能源系统进口供应商提供的产品做严格的安全测评，防患于未然。
五是关注新技术安全。在数字化转型过程中，数字电网融合“云大物移智链”等新一代技术推动数字电网业务和应用深层次地融合，打造新型电力系统新场景新应用。同时也进行了基于网络切片的5G物联网关键技术探讨研究及应用等一批优秀数字新技术实践。以AI支撑的强大算力和先进算法，重塑数据形态，辅助智能决策，发挥数据价值，助力数字电网和新型电力系统建设。建议大力推进数字新技术安全技术攻关和安全标准研究，推动建立“云大物移智链”等新技术安全检测体系。融合新技术构建和提升相应的安全能力，统筹做好网络设施安全、应用安全、数据安全等工作。
网络安全不仅是技术问题，也是管理难题。在做好安全技术防护的同时，也应对安全管理进一步规范。具体包括：
一是健全网络安全架构管控机制。全面对接国家和公司安全战略，坚持企业架构引领，深化企业网络安全架构建设，深层次地融合人工智能等新兴创新技术，实现安全架构与业务、应用、技术、数据等企业架构的“三同步”。强化安全架构管控，建立安全架构管控专业团队并常态化运转。
二是健全网络安全合规管控机制。建议组建国家政策与规范研究团队，深入解读和落实国家政策规范，持续优化完善公司网络安全合规库。构建公司网络安全管理业务架构，全面梳理网络安全管理工作，明确合规流程，提升网络安全合规管控。
三是健全网络安全风险管控机制。深化安全生产风险管理体系在网络安全的应用，设计一套系统性的网络安全风险管控体系；培养专业的风险管控体系应用研究队伍；打造一个风险管控技术支撑平台，固化风险管控工作流程，实现穿透式管理；研究解决一批“频发性”痛点难点隐患；总结提炼一系列风险管控标准；建设夯实一批典型示范单位，全方面开展网络安全风险管控落地建设。
四是健全网络安全监督审计机制。建立企业网络安全监督队伍，健全网络安全跨级监督、穿透监督机制，强化对网络安全风险控制措施落实的监督管理。通过例行检查、专项检查、技术监督、安全巡查等手段，采取“四不两直”的方式，即不发通知、不打招呼、不听汇报、不用陪同、直奔基层、直插现场，定期开展网络安全督查检查，加强对改革后企业的督查检查，加强问题闭环跟踪整改，健全监督问责、信息通报机制，坚决克服宽松软问题。建立网络安全审计制度，明晰审计内容，落实网络安全审计职能，充分借鉴国内外金融行业先进审计经验，开展网络安全审计。
五是加强数据安全管理。完善数据安全分类分级管理制度，建立数据安全风险评估、检测认证机制，加强数据全生命周期安全防护。针对重要数据保护目录，建立数据安全通报与重要数据监管机制。
没有网络安全就没有国家安全，没有网络安全就没有电网安全。在电力系统数字化转型大趋势下，新业务、新场景、新模式层出不穷，电力系统网络安全风险不断加大。只有通过管理和技术层面构建新型电力系统网络安全风险管控体系，才能实现电力系统本质安全，为新型电力系统建设和安全稳定运行保驾护航。
（明哲系南网数字集团信通公司董事长，樊凯系南网数字集团信通公司总经理，张佳发系南网数字集团信通公司网络安全专家）
