廣州石化：網(wǎng)絡(luò)安全實(shí)現(xiàn)主動(dòng)防御動(dòng)態(tài)管控
中國石化新聞網(wǎng)訊 廣州石化以信息HSSE“十大風(fēng)險(xiǎn)”管控工作為抓手，落實(shí)網(wǎng)絡(luò)安全主體責(zé)任，立足互聯(lián)網(wǎng)安全、工業(yè)控制安全、核心業(yè)務(wù)系統(tǒng)安全和終端安全等領(lǐng)域，著力打造網(wǎng)絡(luò)安全五大能力，逐步實(shí)現(xiàn)“主動(dòng)防御、動(dòng)態(tài)管控”的安全體系建設(shè)目標(biāo)，助力公司安穩(wěn)長滿優(yōu)運(yùn)營，交出一份廣州石化網(wǎng)絡(luò)安全治理方案。在中國石化2018年信息化工作會(huì)議上，廣州石化被授予“中國石化2017年度網(wǎng)絡(luò)安全先進(jìn)單位”。
構(gòu)建企業(yè)“大安全”管理格局
隨著工業(yè)互聯(lián)網(wǎng)的發(fā)展，工業(yè)生產(chǎn)和網(wǎng)絡(luò)世界深度聯(lián)通，網(wǎng)絡(luò)空間攻擊直接影響到工業(yè)運(yùn)行安全，并擴(kuò)散、滲透到城市安全、人身安全、關(guān)鍵基礎(chǔ)設(shè)施安全乃至國家安全，網(wǎng)絡(luò)安全已從“信息安全”時(shí)代進(jìn)入了“大安全”時(shí)代。
廣州石化一直高度重視網(wǎng)絡(luò)安全治理，有機(jī)結(jié)合地將信息安全管理融入HSSE管理體系，成立信息HSSE分委員會(huì)，成為廣州石化HSSE體系中六大主專業(yè)之一，將信息安全管理作為常規(guī)議題，列入公司總經(jīng)理主持的HSSE月度及年度會(huì)議，著力構(gòu)建企業(yè)“大安全”管理格局。
“網(wǎng)絡(luò)安全治理的重點(diǎn)不僅限于技術(shù)，需要更多的管理和規(guī)范?！痹谛畔SSE分委員會(huì)主任、公司副總經(jīng)理周峰看來，頂層設(shè)計(jì)是網(wǎng)絡(luò)安全管理的重中之重。在他主持下，信息HSSE分委員會(huì)每月召開專題會(huì)議，分析企業(yè)在生產(chǎn)經(jīng)營中存在的信息安全管理問題、影響因素以及部署企業(yè)信息安全管理工作。
建立整套信息安全管理制度體系，發(fā)布《廣州石化信息安全管理規(guī)定》等系列規(guī)章制度，作為對(duì)出現(xiàn)安全隱患或事件的責(zé)任部門，執(zhí)行經(jīng)濟(jì)責(zé)任制考核的重要依據(jù)。建立信息安全通報(bào)機(jī)制，2017年發(fā)布4期信息安全簡報(bào)和5次緊急通報(bào)，對(duì)信息安全隱患堅(jiān)決“零容忍”。
建立在線化權(quán)限矩陣管理機(jī)制，明確管理流程，細(xì)分部門職責(zé)，不相容崗位得到有效落實(shí)。持續(xù)開展關(guān)鍵崗位人員信息安全審計(jì)和信息系統(tǒng)權(quán)限清理工作，去年清理總量超萬條。通過綜合應(yīng)用中石化統(tǒng)一身份管理平臺(tái)、IT服務(wù)管理平臺(tái)和堡壘機(jī)，建立安全、可控、可審計(jì)的運(yùn)維通道，權(quán)限管理得到有效控制。
讓信息安全“看得見”網(wǎng)絡(luò)“信得過”
梳理和識(shí)別企業(yè)在生產(chǎn)經(jīng)營中的信息安全風(fēng)險(xiǎn)，是讓信息安全“看得見”的基礎(chǔ)。廣州石化運(yùn)用安全風(fēng)險(xiǎn)矩陣標(biāo)準(zhǔn)和風(fēng)險(xiǎn)評(píng)估工具，識(shí)別信息HSSE“十大風(fēng)險(xiǎn)源”并形成清單，制定具體目標(biāo)/指標(biāo)/管控措施以及責(zé)任人、完成時(shí)間，在HSSE委員會(huì)月度會(huì)議上進(jìn)行落實(shí)情況跟蹤。每半年開展回顧工作，年底進(jìn)行后評(píng)估，結(jié)合本年度剩余風(fēng)險(xiǎn)滾動(dòng)評(píng)估更新下一年度清單，建成一套完整的信息安全風(fēng)險(xiǎn)管控PDCA模型。2017年，通過信息HSSE“十大風(fēng)險(xiǎn)源”識(shí)別與管控，90%以上主要風(fēng)險(xiǎn)源的剩余風(fēng)險(xiǎn)降低至可接受程度。
每個(gè)信息系統(tǒng)從它產(chǎn)生到銷毀是有生命周期的，廣州石化嚴(yán)格依據(jù)網(wǎng)絡(luò)安全“三同步”原則，做好信息系統(tǒng)全生命周期安全管理工作。立項(xiàng)階段，開展信息系統(tǒng)等級(jí)保護(hù)定級(jí)工作，在可行性研究報(bào)告、合同技術(shù)附件等技術(shù)文檔中加入信息安全專篇。項(xiàng)目實(shí)施階段，設(shè)置安全監(jiān)理崗位，監(jiān)督落實(shí)信息安全方案、安全基線。與項(xiàng)目建設(shè)單位簽訂信息安全責(zé)任書，明確建設(shè)單位信息安全責(zé)任和內(nèi)容。系統(tǒng)上線前，通過代碼靜態(tài)掃描、漏洞掃描等方式開展上線安全檢查，落實(shí)整改后方可上線。系統(tǒng)驗(yàn)收前，由項(xiàng)目主管部門組織安全復(fù)查，通過才允許驗(yàn)收。系統(tǒng)運(yùn)維階段，與運(yùn)維單位簽訂信息安全責(zé)任書，定期組織信息系統(tǒng)安全自查，對(duì)發(fā)現(xiàn)的安全隱患限期整改或下線處理。目前，廣州石化在用的48個(gè)關(guān)鍵信息系統(tǒng)，高危漏洞、互聯(lián)網(wǎng)應(yīng)用入侵事件均為零，系統(tǒng)應(yīng)用安全得到有效保障。
技術(shù)攻防是網(wǎng)絡(luò)安全的本質(zhì)，從去年延續(xù)至今年初的系列勒索病毒‘大爆發(fā)’，啟發(fā)了我們深度思考：企業(yè)網(wǎng)絡(luò)安全技術(shù)重在感知威脅，進(jìn)而嚴(yán)密防范。為此，我們建立了多點(diǎn)分層次防御體系，使企業(yè)網(wǎng)絡(luò)通路‘信得過’‘靠得住’?！毙畔⒅行募夹g(shù)委員會(huì)信息安全控制組負(fù)責(zé)人張亞堂副主任表示。一方面通過雙鏈路冗余，上網(wǎng)行為管理白名單，VPN訪問策略等措施，不斷加強(qiáng)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施保護(hù)。另一方面，使用國產(chǎn)化工控防火墻、防病毒軟件和中石化云DMZ區(qū)，持續(xù)對(duì)區(qū)域邊界實(shí)施保護(hù)。在計(jì)算環(huán)境保護(hù)方面，網(wǎng)絡(luò)準(zhǔn)入控制、桌面安全、防病毒客戶端安裝率達(dá)100%，為每個(gè)應(yīng)用系統(tǒng)制定安全基線、漏洞掃描計(jì)劃，定期進(jìn)行基線配置掃描，問題整改實(shí)施看板管理。2017年，信息基礎(chǔ)設(shè)施、信息系統(tǒng)安全運(yùn)行，重大信息安全事件均為零。
參考國際通用的IT基礎(chǔ)架構(gòu)最佳實(shí)踐指南，廣州石化經(jīng)過十余年摸索，創(chuàng)新性地建設(shè)了一套可度量的IT服務(wù)管理體系，并于2013年通過ISO/IEC 20000體系認(rèn)證，2016年通過CNAS C003-ITSM認(rèn)證，成為中國石化內(nèi)首家獲得IT服務(wù)管理體系雙認(rèn)證的單位。借鑒可度量的IT服務(wù)管理體系建設(shè)經(jīng)驗(yàn)，廣州石化應(yīng)用問題管理流程分析信息安全事故，變更流程和容量管理流程控制信息系統(tǒng)安全運(yùn)行風(fēng)險(xiǎn)，發(fā)布流程進(jìn)行信息系統(tǒng)上線前安全測(cè)試。一系列標(biāo)準(zhǔn)化、流程化的信息安全管理手段，促使企業(yè)信息系統(tǒng)可用性達(dá)到99%以上，有效保障了公司各業(yè)務(wù)板塊的持續(xù)運(yùn)行。
傳統(tǒng)的安全防護(hù)模式，更多依靠安全設(shè)備的單點(diǎn)防護(hù)能力，而廣州石化在網(wǎng)絡(luò)安全防護(hù)工作中，嵌入應(yīng)急預(yù)案模塊，打造可協(xié)同聯(lián)動(dòng)的安全防護(hù)模式。近年，廣州石化通過編制《計(jì)算機(jī)信息系統(tǒng)損害專項(xiàng)應(yīng)急預(yù)案》，完成了ERP、SMES、視頻會(huì)議系統(tǒng)等11個(gè)重要信息系統(tǒng)的應(yīng)急處置卡編制工作。2017年，模擬企業(yè)到廣州區(qū)域中心鏈路中斷故障，啟動(dòng)應(yīng)急預(yù)案進(jìn)行實(shí)操演練，系列勒索病毒高發(fā)期間，啟動(dòng)防范高危蠕蟲病毒的入侵緊急預(yù)案，通過網(wǎng)絡(luò)安全事件發(fā)現(xiàn)、報(bào)告、研判、應(yīng)急處置等流程，公司網(wǎng)絡(luò)安全防護(hù)多方協(xié)同聯(lián)動(dòng)作戰(zhàn)水平得到了驗(yàn)證。黨的十九大、《財(cái)富》全球論壇及全國“兩會(huì)”前夕，廣州石化進(jìn)一步加強(qiáng)網(wǎng)絡(luò)安全監(jiān)控，加強(qiáng)與總部及地方政府溝通，落實(shí)領(lǐng)導(dǎo)帶班24小時(shí)值班，嚴(yán)格執(zhí)行信息安全保障“零報(bào)告”制度，有效應(yīng)對(duì)各類網(wǎng)絡(luò)安全事件，保障了特殊時(shí)期的信息安全。
打造高效的網(wǎng)絡(luò)安全技術(shù)團(tuán)隊(duì)
“網(wǎng)絡(luò)安全競(jìng)爭歸根到底是人才的競(jìng)爭”信息中心主任高寧波認(rèn)為，企業(yè)網(wǎng)絡(luò)安全治理需要做好人才儲(chǔ)備，建立自己的網(wǎng)絡(luò)安全技術(shù)團(tuán)隊(duì)，將被動(dòng)防御變?yōu)橹鲃?dòng)防護(hù)，才能從根本上杜絕發(fā)生信息安全事件，企業(yè)才能夠真正掌握網(wǎng)絡(luò)安全的主動(dòng)權(quán)。
為了建設(shè)一支高素質(zhì)、懂安全的信息化建設(shè)和運(yùn)維隊(duì)伍，廣州石化堅(jiān)持推行“持證上崗”，打造有技術(shù)有能力的安全管理團(tuán)隊(duì)。以集團(tuán)公司信息安全技術(shù)競(jìng)賽金牌團(tuán)隊(duì)為班底，在信息中心技術(shù)委員會(huì)之下，設(shè)立了信息技術(shù)委員會(huì)安全控制組，目前成員6人，負(fù)責(zé)制定廣州石化信息安全規(guī)劃的具體內(nèi)容和技術(shù)路線。成立至今，安全控制組解決了100多項(xiàng)安全管理、技術(shù)問題，通過每月召開例會(huì)的形式，回顧技術(shù)工作成果，并形成月度工作報(bào)告向信息HSSE分委員會(huì)進(jìn)行匯報(bào)，有效促進(jìn)了企業(yè)信息安全管理及技術(shù)水平持續(xù)提升。
為保證安全控制組成員的信息安全管理、技術(shù)水平達(dá)到支撐公司信息安全管理的要求。廣州石化每年安排計(jì)劃要求安全控制組成員參加信息安全培訓(xùn)，并要求組員“持證上崗”參加注冊(cè)信息安全專業(yè)人員（CISP）資格考試，目前安全控制組成員均達(dá)到了此要求。（陸穎玉）
