"電力數(shù)據(jù)是'金礦'，要交換和流轉(zhuǎn)才能創(chuàng)造更大價值，但這個過程面臨的安全風(fēng)險是最為復(fù)雜的。從外部的釣魚攻擊、勒索軟件、蠕蟲木馬，到內(nèi)部的非授權(quán)訪問、U盤外拷、郵件外發(fā)等行為，都可能導(dǎo)致敏感數(shù)據(jù)的泄露，造成巨大損失。"國家電網(wǎng)山東省電力公司（簡稱：山東電力）互聯(lián)網(wǎng)部副主任王勇這樣談到。

經(jīng)濟(jì)要發(fā)展，電力須先行。電網(wǎng)作為國家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，其安全性和可靠性需要進(jìn)行重點(diǎn)保障。近年來，隨著電力企業(yè)數(shù)字化轉(zhuǎn)型的深入推進(jìn)，大、云、物、移、智、鏈等數(shù)字技術(shù)被廣泛應(yīng)用，電力企業(yè)的信息化水平進(jìn)一步提高，電網(wǎng)安全和服務(wù)水平得到大幅提升，但新技術(shù)深化應(yīng)用的同時也帶來新的安全隱患，其中數(shù)據(jù)安全面臨的挑戰(zhàn)尤其嚴(yán)峻。

[[404697]]

圖：國網(wǎng)山東電力網(wǎng)絡(luò)監(jiān)測響應(yīng)與指揮調(diào)度中心

國網(wǎng)山東電力服務(wù)的電力客戶大約4915萬，全省2020年用電量約6940億千瓦時，位居全國第一。為了應(yīng)對新的安全形勢，更好保障電網(wǎng)安全運(yùn)行，從2018年開始，國網(wǎng)山東省電力公司構(gòu)建了以"四梁八柱"為核心框架的網(wǎng)絡(luò)安全防護(hù)體系。尤其在數(shù)據(jù)安全防護(hù)方面采用零信任安全解決方案，構(gòu)建了"沒有授權(quán)進(jìn)不去，未經(jīng)許可拿不走、數(shù)據(jù)泄密賴不掉"的全過程數(shù)據(jù)安全防護(hù)體系。

電力數(shù)據(jù)是"金礦" 安全挑戰(zhàn)迫在眉睫

農(nóng)業(yè)社會，經(jīng)濟(jì)發(fā)展的決定因素是土地和勞動力；工業(yè)時代，資本、技術(shù)等成為核心生產(chǎn)要素；而在數(shù)字經(jīng)濟(jì)時代，數(shù)據(jù)成為推動經(jīng)濟(jì)增長的核心力量，被中央明確為"第五大生產(chǎn)要素"。

近年來，數(shù)據(jù)安全事件頻發(fā)。公開數(shù)據(jù)顯示，2020年全球數(shù)據(jù)泄漏的記錄達(dá)到310億條，超過了過去15年的總和。今年的數(shù)據(jù)泄露可能會更嚴(yán)重，就在3月份，國際外匯交易平臺FBS超過160億條用戶信息遭到泄露，全球數(shù)百萬客戶受到影響。不久前，由于軟件供應(yīng)鏈被攻擊，多個日本政府部門敏感數(shù)據(jù)泄露，包括參與東京奧運(yùn)會網(wǎng)絡(luò)安全演習(xí)的約90家組織安全管理人員的個人信息被泄露。

"電力大數(shù)據(jù)好比是一座'金礦'，有人想從中'淘金'，有人想往里'灌沙子'，無論是開采利用，還是流轉(zhuǎn)傳輸，都會引發(fā)各種安全事件。"王勇表示。對于山東電力的數(shù)據(jù)特點(diǎn)，王勇歸納了三個方面：

首先是規(guī)模大：電力企業(yè)存儲的電網(wǎng)數(shù)據(jù)量巨大。以山東電力為例，電網(wǎng)運(yùn)行每天產(chǎn)生的數(shù)據(jù)超過2TB，其中還不包含視頻、圖像等非結(jié)構(gòu)化數(shù)據(jù)。

其次是種類多：電網(wǎng)數(shù)據(jù)既包含電網(wǎng)運(yùn)行產(chǎn)生的實(shí)時數(shù)據(jù)，又包含企業(yè)經(jīng)營產(chǎn)生的業(yè)務(wù)數(shù)據(jù)。既有結(jié)構(gòu)化數(shù)據(jù)、非結(jié)構(gòu)化數(shù)據(jù)又有采集量測類數(shù)據(jù)。

第三是價值高：電力數(shù)據(jù)準(zhǔn)確而及時，通過電力數(shù)據(jù)可以為經(jīng)濟(jì)（比如電力看經(jīng)濟(jì)）、民生（比如住宅空置率分析、電力旅游發(fā)展指數(shù)、精準(zhǔn)扶貧成效評估）、產(chǎn)業(yè)發(fā)展（比如小微企業(yè)復(fù)產(chǎn)分析）、征信（企業(yè)電力信用評級）等宏觀分析提供有效數(shù)據(jù)支持。

"由于電力行業(yè)數(shù)據(jù)規(guī)模大、價值高等特征，很容易成為攻擊者目標(biāo)。電力企業(yè)信息安全尤其是電網(wǎng)數(shù)據(jù)安全防護(hù)日益成為企業(yè)、政府乃至整個社會關(guān)注的焦點(diǎn)。山東電力將網(wǎng)絡(luò)安全與人身安全、電網(wǎng)安全、設(shè)備安全一起列為公司四大安全，進(jìn)行重點(diǎn)保障。"王勇表示。

"四梁八柱"為整體框架 四步完成"零信任"建設(shè)

"數(shù)據(jù)安全防護(hù)工作需要做到知己知彼，電網(wǎng)數(shù)據(jù)面臨的安全威脅主要來自內(nèi)部和外部兩個方面。"王勇談到，從外部來看，由于電力高價值的特性，導(dǎo)致電力公司面臨的外部攻擊居高不下，每天互聯(lián)網(wǎng)出口監(jiān)測到的外部攻擊平均超過15000次；從內(nèi)部來看，隨著社會工程學(xué)等攻擊逐年增加，數(shù)據(jù)泄密風(fēng)險與日俱增。根據(jù)業(yè)內(nèi)有關(guān)調(diào)查數(shù)據(jù)顯示，在涉及用戶個人隱私的泄密事件中，內(nèi)部泄密比例高達(dá)2/3。

為了應(yīng)對新的安全形勢，更好保障電網(wǎng)安全運(yùn)行，山東電力構(gòu)建了以"四梁八柱"為核心框架的網(wǎng)絡(luò)安全體系。

圖： "四梁八柱"網(wǎng)絡(luò)安全框架

四梁包括管理、技防、運(yùn)營、隊伍等四個方面；而八柱則包含數(shù)據(jù)、終端、系統(tǒng)、工控、研發(fā)、運(yùn)行、作業(yè)、攻防八個細(xì)分場景的安全。四梁為橫，構(gòu)建安全上層建筑；八柱為縱，筑牢網(wǎng)絡(luò)安全之基。

其中，數(shù)據(jù)作為安全防護(hù)的重中之重，結(jié)合內(nèi)外部數(shù)據(jù)安全威脅，山東電力提出了以保障數(shù)據(jù)安全為核心，采用零信任及縱深防御的安全理念，構(gòu)建"沒有授權(quán)進(jìn)不去，未經(jīng)許可拿不走、數(shù)據(jù)泄密賴不掉"的全過程數(shù)據(jù)安全防護(hù)體系的數(shù)據(jù)安全防護(hù)建設(shè)目標(biāo)。

在項(xiàng)目實(shí)施方面，山東電力通過與奇安信集團(tuán)合作，引入其零信任安全解決方案構(gòu)建數(shù)據(jù)安全防護(hù)體系，主要針對數(shù)據(jù)中心的業(yè)務(wù)入口和數(shù)據(jù)接口進(jìn)行匯聚、收斂，綜合引用了軟件定義邊界、身份安全、API安全、終端安全等相關(guān)技術(shù)，形成一個整體的解決方案。

在項(xiàng)目建設(shè)中，山東電力與奇安信基于對電力系統(tǒng)及其網(wǎng)絡(luò)安全態(tài)勢的評估，將數(shù)據(jù)安全建設(shè)按照以下四個層次進(jìn)行開展：

首先是實(shí)施數(shù)據(jù)分級分類，以數(shù)據(jù)分級分類結(jié)果作為數(shù)據(jù)安全防護(hù)的主要依據(jù)，明確防護(hù)重點(diǎn)。山東電力通過制定《電網(wǎng)企業(yè)數(shù)據(jù)安全分類分級指南》對數(shù)據(jù)進(jìn)行分級分類，按照數(shù)據(jù)的重要程度分為1-4四級，按照數(shù)據(jù)敏感性分為公共、企業(yè)、個人三類，以數(shù)據(jù)分級分類結(jié)果作為安全防護(hù)的依據(jù)。

第二是構(gòu)建零信任數(shù)據(jù)安全訪問平臺，利用技術(shù)手段實(shí)現(xiàn)數(shù)據(jù)訪問控制，強(qiáng)化數(shù)據(jù)訪問過程管控。其中包括利用可信應(yīng)用代理，進(jìn)行基于用戶和終端風(fēng)險的應(yīng)用訪問控制；利用可信API代理進(jìn)行基于數(shù)據(jù)訪問風(fēng)險的接口訪問控制，滿足數(shù)據(jù)中臺+微應(yīng)用新形勢下的動態(tài)可信訪問控制要求。

圖：零信任安全訪問平臺

第三是夯實(shí)數(shù)據(jù)訪問的可信環(huán)境，將身份認(rèn)證貫穿數(shù)據(jù)訪問全程，實(shí)現(xiàn)訪問數(shù)據(jù)的人員可信和設(shè)備可信。在人員可信層面，實(shí)現(xiàn)基于動態(tài)令牌的多因子身份認(rèn)證，減少賬戶冒用風(fēng)險，保證數(shù)據(jù)訪問過程人員可信。在設(shè)備可信方面，利用可新環(huán)境感知客戶端構(gòu)建終端安全狀態(tài)評估能力，當(dāng)用戶終端出現(xiàn)風(fēng)險事件（如感染木馬、開啟錄屏等）時，零信任體系實(shí)時阻斷此終端對敏感數(shù)據(jù)的訪問。

最后是完善數(shù)據(jù)泄露事后應(yīng)急機(jī)制，利用數(shù)字水印與日志分析，實(shí)現(xiàn)數(shù)據(jù)泄露追蹤溯源。通過部署數(shù)據(jù)防泄漏工具，阻止通過即時通訊、U盤、郵件、打印機(jī)等方式導(dǎo)出敏感信息的行為；即便是拍照外發(fā)，也可以通過暗水印技術(shù)找到泄露源頭。與此同時，將訪問控制日志、應(yīng)用訪問流量與終端DLP日志匯總關(guān)聯(lián)分析，追蹤數(shù)據(jù)泄密鏈路，確定泄密數(shù)據(jù)范圍，溯源泄密人員。

讓數(shù)據(jù)流轉(zhuǎn)可查可控 內(nèi)外兼防構(gòu)筑安全防線

據(jù)國網(wǎng)山東省電力公司互聯(lián)網(wǎng)部建設(shè)運(yùn)行技術(shù)處網(wǎng)絡(luò)安全專責(zé)陳劍飛介紹，零信任體系經(jīng)過公司一年多的運(yùn)行，取得了如下的效果。

在訪問控制方面，通過用戶訪問持續(xù)評估，實(shí)現(xiàn)安全風(fēng)險聯(lián)防聯(lián)控。零信任的全面身份化原則，打破了傳統(tǒng)基于網(wǎng)絡(luò)邊界、分區(qū)分域的防護(hù)理念，適應(yīng)電網(wǎng)信息化當(dāng)前發(fā)展實(shí)際，尤其是微應(yīng)用場景下邊界模糊的環(huán)境。零信任數(shù)據(jù)安全防護(hù)體系基于用戶身份、終端身份、應(yīng)用身份和接口身份執(zhí)行訪問控制，讓數(shù)據(jù)流轉(zhuǎn)過程中每一個環(huán)節(jié)都可查可控，使數(shù)據(jù)流轉(zhuǎn)更安全更可信。

在防內(nèi)鬼方面，通過零信任體系對內(nèi)形成強(qiáng)大震懾，有效防范內(nèi)部人泄密。根據(jù)威瑞森發(fā)布《2021年數(shù)據(jù)泄露調(diào)查報告》稱，61%的數(shù)據(jù)泄露與憑證數(shù)據(jù)有關(guān)，85% 的違規(guī)行為與人為因素有關(guān)。通過和奇安信合作的零信任數(shù)據(jù)安全防護(hù)體系實(shí)施，尤其是離線多因子身份認(rèn)證和終端可信環(huán)境感知的知識普及，大大提高了山東電力全員安全意識。尤其是公司員工防泄密、防社工意識大大加強(qiáng)，起到了防患于未然的效果。

在協(xié)同聯(lián)動方面，對外形成協(xié)同聯(lián)動，共同打擊犯罪。當(dāng)前網(wǎng)絡(luò)攻擊犯罪的情況愈演愈烈，山東電力形成了與網(wǎng)信辦、公安廳協(xié)同聯(lián)動的工作機(jī)制，在上合組織峰會等歷次重大活動的網(wǎng)絡(luò)安全保障工作中取得了較好成績。

零信任作為一個架構(gòu)級解決方案，工程實(shí)施是否會很復(fù)雜？是否需要業(yè)務(wù)做較多改造呢？陳劍飛表示，得益于奇安信零信任解決方案良好的業(yè)務(wù)適配能力，在整個適配過程中，業(yè)務(wù)和現(xiàn)有身份認(rèn)證基礎(chǔ)設(shè)施幾乎沒有做任何改造就完成了對接，這大大增強(qiáng)了后續(xù)場景推廣應(yīng)用的信心。

數(shù)據(jù)安全的防護(hù)只有起點(diǎn) 沒有終點(diǎn)

"網(wǎng)絡(luò)安全的本質(zhì)是人與人的對抗，數(shù)據(jù)安全的防護(hù)只有起點(diǎn)沒有終點(diǎn)。"王勇談到。自從實(shí)施零信任體系以來，山東電力從邊、端兩個維度有效完成了敏感數(shù)據(jù)流轉(zhuǎn)、存儲和外發(fā)的識別和管控，未發(fā)生數(shù)據(jù)安全事件，有效保護(hù)了電網(wǎng)數(shù)據(jù)安全。

對于未來，王勇表示，山東電力將踐行人民電業(yè)為人民的企業(yè)使命，保障電網(wǎng)安全可靠運(yùn)行，確保數(shù)據(jù)安全。一方面，將通過人工智能技術(shù)加大對異常行為的智能分析，實(shí)現(xiàn)策略自動優(yōu)化和風(fēng)險提前預(yù)警；另一方面，將加大零信任體系與中臺的全面融合，實(shí)現(xiàn)數(shù)據(jù)的內(nèi)生安全防護(hù)。