- 相关推荐
电网企业基于PDCA的信息安全治理提升方法研究与应用论文
1 引言
“十一五”期间，国网公司按照“双网双机、分区分域、等级防护、多层防御”的信息安全防护总体策略，完成了等级保护纵深防御体系建设，信息安全整体防护能力显著增强。但是，深入分析信息安全现状，部分单位还存在人员意识不强、自建系统防护能力不高、管理技术措施落实不严格等问题；另外，传统分专业条块式的信息安全管理模式制约整体安全管理水平提升。更重要的是，随着智能电网和“三集五大”的快速推进，对现有信息安全工作提出了更高的要求。
2 治理提升的目标
通过对全部在运的电力二次系统、管理信息系统、电力通信网络、统推系统及自建系统存在的信息安全风险隐患进行治理提升，最终实现如图1所示的信息安全治理提升目标全景视图。
（1）解决长期以来信息安全分专业条块式管理被遗漏的问题，实现统一管理、多方联动，从查漏补缺、被动防御向整体掌控、主动防御转变。
（2）解决各级单位、各专业存在的问题和薄弱环节，避免信息安全“碎片化”和“木桶效应”，有效降低县供电企业信息化延伸覆盖建设带来的信息安全风险。
（3）实现信息安全责任全面覆盖、措施全面落实、对象全面管控、风险全面监控，消除思想认识的误区、管理与技术的盲区、执行规定的死区。
（4）深入落实12项安全管理手段和8项技术措施，实现生产控制大区和管理信息大区的物理安全、设备安全和数据安全等覆盖所有对象和环节的全方位安全。
3 基于PDCA的三段式治理提升方法
3.1 PDCA循环
PDCA循环又名戴明环，包括Plan（计划）、Do（执行）、Check（检查）和Act（修正）四个环节，是全面质量管理所应遵循的科学程序，具体含义：（1）P （P lan） 计划，包括方针和目标的确定，以及活动规划的制定；（2）D （Do） 执行，根据已知信息设计具体方法、方案和计划，再具体运作，实现计划；（3）C （Check） 检查，总结执行计划的结果，明确效果，找出问题；（4）A （Act）修正，对检查结果进行处理，对成功经验加以肯定并标准化，对失败教训进行总结，引起重视。对于没有解决的问题，提交下一个PDCA循环解决。以上四个过程周而复始进行，一次循环结束，解决一些问题，未解决的问题进入下一次循环，如此阶梯式上升。
3.2 治理提升理念
基于业界关于信息安全治理提升方法的研究成果并结合实践经验，提出了一个实效性更强的模式，如图2所示。通过清查摸底、达标治理、长效提升三个主要阶段开展工作，将PDCA 方法融入治理提升各个阶段，坚持“严清查、抓治理、促提升”的三段式理念，站在覆盖“全业务、全单位、全系统、全过程”的高度，按照“横向到边、纵向到底”的原则，有效解决当前信息安全工作的缺陷和不足，从根本上降低信息安全风险，加快信息安全主动防御体系建设。
3.3 治理提升的流程
如图3所示，治理提升工作主要分三个阶段开展：第一阶段是清查摸底，完成宣贯培训、问题自查和安全备案等工作；第二阶段是达标治理，依据顶层优化设计开展问题隐患整改实施；第三阶段是长效提升，制定持续整改方案，巩固治理成效，推进长效提升。专项活动由省、市、县三级工作组整体管控，各单位具体开展各项工作，最终实现信息安全长效提升。
3.3.1 严格清查摸底
该阶段工作应抓好几个关键方面。
（1）重视方案编制、创新培训宣贯。通过编制总体工作方案等指导性文件，明确做什么、谁来做、怎么做，分解工作任务，列出工作重点，通过任务表明确具体内容、责任单位和时间节点。编制人员应涉及各部门，以及省、市、县各层面的代表单位。
为规范工作方法，统一工作标准，采取现场集中、电视电话、网络视频等多种形式，省市县三级联动，三级联训，三级释疑，演示讲解工作方法，答疑解惑，提炼方法。通过网站、海报、滚动屏等多种途径，大力宣传治理提升工作。编制专项工作简报，建立各单位学习交流平台，共享典型经验和创新做法。
（2）注重工作方法、严抓工作落实。问题自查方面，检查对象要涵盖系统、终端、网络、通信、责任、机房等六个方面，检查内容包括管理责任、运维责任、督查责任、安 监责任、安全准入、建设安全、运行安全、数据安全、安全审计及监测九大项涉及的所有检查点。通过设计科学合理的考核指标（自查阶段发现上报问题隐患但数量越多、质量越高予以加分）来激励各单位充分发现暴露问题隐患。安全备案方面，对在用信息资产全部进行备案，生成唯一备案编号；根据备案信息逐个核查安全现状，以及参数配置、防护拓扑等关键信息与实际现状的符合情况。
实行省市县三级专人包干负责制，省级工作组每人负责2家地市公司（直属单位），地市级工作组每人负责1家县公司。包干负责人要既管进度、又控质量，每日跟踪进度、汇总问题、督促指导。
3.3.2 狠抓达标治理
组织开展现场检查督导，彻底摸清信息通信安全方面存在的风险和隐患，确保治理提升各项工作扎实开展、取得实效。事前制定标准化检查大纲，确定检查详细内容，为量化评价提供依据。检查大纲应包括责任落实、机房基础环境、网络边界、业务系统、终端、通信安全、安全备案等工作，涵盖管理制度、反措、机房供电、机房环境、通信网络、信息网络、信息系统、信息安全、通信光缆、通信设备、备品备件、应急管理十二个方面的所有检查内容。
通过汇报座谈，资料查阅、现场查看等方式，对照大纲逐项逐条检查，主要采取现场测试查验的方式。检查完毕即刻组织召开反馈会议，指出存在的问题隐患，分析具体原因，深入讨论整改措施和意见，形成整改指导意见和手册，督促各单位实施整改。
3.3.3 督促长效提升
（1）树典型、立标杆。根据阶段工作审查结果和现场检查督导情况，综合分析各单位的优势和劣势，树立机房基础环境、设备线缆标签、日常运行维护、办公终端安全和通信网络安全等单项工作典型示范单位，由典型示范单位编制单项工作优化提升经验方案，促动各单位向典型示范单位学习。建立对口帮扶关系，典型示范单位联系对应帮扶单位，指导问题整改，实现工作提升。将帮扶成效纳入年度同业对标，形成典型示范单位深入帮扶、扎实帮扶的良好氛围，确保被帮扶单位问题隐患得到整改。
（2）强化管控、落实整改。将各单位还未完成整改的问题列入管控表，同时纳入信息安全督查管理。强化安全督查工作，严格执行“红黄牌”制度和整改督办机制，指定专人负责并明确职责，对限期内未整改的发放黄牌督办警告，对督办期内未整改的发放红牌通报处理，并对其进行约谈，采用“说清楚”方式，晓以利害，让其分析原因，陈述理由，签订军令状，做出承诺保证。
4 治理提升经验与主要做法
4.1 重点工作目录机制
为做到既突出重点，又弥补短板，建立了重点工作目录机制，将信息安全重中之重和日常关注较少的内容进行重点治理，针对每一项重点工作设立专门的管控组跟踪负责，管控组成员涵盖主专业和相关专业，实行一人多责制。重点治理内容包括生产控制大区系统设备、配网自动化建设等多个方面，可根据自身实际情况确定。如图4所示。
4.2 反常规检查机制
长期以来，电网企业缺乏对信息安全和保密工作负责部门相应工作进行有效监督的机制。信息安全工作方面，安全督查由信通部门组织，督查队伍具体执行，督查工作中信通部门和督查队伍所在单位的问题隐患发现处理的真实性和有效性不能得到有效保证。保密管理工作方面，保密委员会下设保密办，挂靠在办公室，保密检查工作开展过程中对办公室问题隐患发现处理的真实性和有效性也不能得到严格保证。深入分析这一现实问题，首次将回避原则引入监督检查，建立反常规检查机制，如图5所示，将信息安全督查和保密管理检查有机结合，保密部门参与信息安全督查，对信息安全工作部门和单位督查时承担牵头负责职能；信息安全部门和督查队伍参与保密检查，对保密工作部门检查时承担牵头负责职能。
4.3 人力资源保证和绩效考核
成立以主管领导为组长，治理提升主要部门负责人为副组长的领导小组，领导小组下设工作组和检查组。工作组组长设置打破惯例，由信通、调控、运检、营销部门主要负责人共同担任，向领导小组汇报工作。工作组下设联络小组和重点工作管控小组，联络小组负责日常工作的通知传达，管控小组对重点治理工作专门负责。检查组人员覆盖省、市、县三个层面，信息安全、保密管理、调控、运检、营销五个专业。实现多专业协同工作，各层面顺畅沟通，如图6所示。
制定绩效考核办法，将治理提升工作开展情况纳入同业对标考核范围，一是自查阶段发现上报问题隐患分数量和质量两个维度进行考核，数量超过平均数、发现重大问题予以加分；创新点二是现场检查督导发现非常规问题和较难发现的隐患不考核，但对自查阶段发现问题隐患的整改和计划制定情况进行考核。
5 结束语
本文提出的基于PDCA的三段式信息安全治理提升方法通过在国网甘肃省电力公司进行实践应用，取得了较好的成效，问题隐患得到有效治理，信息安全总体水平有了一定提升，补丁安装率提升8%，漏洞整改率提升12.7%，疑似敏感邮件数降低9.6%，月度内网扫描发现中高危漏洞数降低17%，月度互联网途径扫描发现中高危漏洞数降低至0个。该方法的成功实践是电网企业的典型案例，并入选国网公司2013年同业对标信息通信管理专业典型经验，对于各级电网企业开展信息安全治理提升工作具有一定借鉴价值。
【电网企业基于PDCA的信息安全治理提升方法研究与应用论文】相关文章：
企业应用信息管理系统的问题研究论文10-09
基于网络信息安全技术的计算机应用探析论文10-11
基于当前信息安全与数学科学研究论文10-10
基于电子商务的管理理论与方法研究论文10-09
关于基于电子商务的CRM应用系统研究论文10-09
电网企业人力资源薪酬与绩效管理研究论文10-08
基于企业社会责任的企业文化建设研究的论文10-08
电力信息安全监控研究论文10-12