电力技术协作平台

观安信息:观大千数据,安无尽网络

来源:上海观安日期:2021-08-13 10:19:48

【背景目的】

重点对赞助商企业进行报道宣传。以案例分享的模式,对企业产品特色、应用场景、应用效果等内容进行全面展示,促进企业品牌宣传,展现企业的综合实力及行业影响力。

随着电力企业业务快速发展、信息化建设日趋完善以及互联需求的逐步演进,企业在网络与信息安全管理上面临越来越多的网络安全等级保护、安全督查、一体化风险评估、入网安评等合规标准的检查和执行压力。行业监管部门和企业内部对安全合规工作的要求持续加强,每年会定期下发相关检查要求,通过现场检查、远程扫描、配置核查、渗透测试等方式对电力企业进行合规性安全检查,要求企业加强网络环境、信息系统、安全设备等对象的安全合规管理,因而企业对集中化安全合规管控能力的需求日益迫切。 


1. 案例项目预期成效

安全合规管控平台围绕“合规数据管理、合规检测管理、合规处置管理”三大核心模块,辅以“工具管理、权限管理、接口管理、视图管理”等功能,搭建安全合规平台架构,通过技术手段实现合规检查工作的调度、执行、核查、处置、报告功能,建立标准化的安全合规管理检测及问题闭环能力平台,可有效地提升电力企业的安全合规管理工作效率和水平。


2. 案例项目产品要求

为解决电力行业单位网络安全合规管控面临的问题,建立集中化的安全合规管控能力平台,安全合规管控平台需具备以下功能:

1、建立多标准的合规体系。梳理各信息安全检查的要求、目的和目标,对比分析各检查要求的异同点,梳理整合形成合理的合规项和统一的执行标准。

2、利用平台实现管理和技术的有效融合。安全合规平台为信息安全工作人员提供统一的工作平台,把制度要求以控制矩阵的形式下发到各责任人,实现控制矩阵的要求与安全工具能力进行有机的整合,把检查要求落实到具体的资产上,实现技术与管理的有效融合。

3、精细化的技术合规工具。安全合规平台充分利用“自动化”的合规检查与证据收集方式,有效地避免人工核查方式导致的结果不准确、人力资源投入巨大,以及审核周期漫长等问题,确保信息安全合规工作的最终落地。

4、多平台协作。安全合规平台与IT资产管理系统、统一安全管理平台无缝衔接,形成多平台协作进行资产信息的交互,有效的保护资产、账号、密码等信息。


3. 企业介绍

示例:

 

1.png

业务方向:观安信息核心发展方是以大数据分析为基础,大数据分析+泛安全为业务主线,泛安全方向包括数据、安全、大数据分析安全和工业互联网安全几大核心方向。 技术储备:公司具备信息安全领域的完整研发和服务资质。 人才团队:核心团队人员具备20年信息安全行业大数据安全研发和服务经验,大数据安全研发、服务人员占85%,公司成长为上海本土最大的安全厂商。 服务行业:运营商、政府、公安、金融、能源、交通、互联网、行业机构单位、大型制造业等。 


4. 产品介绍

安全合规管控平台集成了系统漏洞、Web漏洞、基线、弱口令等检测工具,通过任务调用工具实现自动化安全合规检测,该平台所具备的功能如下:

(1)合规数据管理:合规数据管理包括安全合规策略管理、安全合规项管理及合规模板管理。安全合规策略是从安全管理制度要求、技术规范、安全法律法规中抽取出来的、必须被管控的安全合规管理要求;安全合规项是从安全合规策略中抽取出来的检查要点,按照检查方式的不同分为自动检查和人工检查,其中人工检查定义为管理合规项,而自动检查定义为技术合规项。安全合规项应具备结果可评价、各个合规项之间相对独立(即侧重点、落实方法、检查方法等存在明显差异,无交叉)的特点;安全合规模板是由一个或多个安全合规项组成,形成具有特定业务意义的合规检查模板。 

(2)合规检测管理:合规检测管理包括综合检测任务和各类单一检测任务。综合检测任务是通过对基线检测、弱口令检测、系统漏洞检测、Web漏洞检测、内容合规检测等单一类型或多个类型的检测进行综合性检测,根据任务类型驱动各类检测工具进行综合性检测;单一检测任务,是指通过基线检测、弱口令检测、系统漏洞检测、Web漏洞检测、内容合规检测中的某一类检测任务进行检测。

(3)合规处置管理:合规处置管理是通过合规检测发现的基线、弱口令、系统漏洞、Web漏洞、内容合规等方面问题的处置管理中心。合规问题处置有两种方式:问题整改和问题报备,其中问题报备是由省公司业务系统管理员发起,经省公司安全管理员审批后,集团审批通过报备生效。合规处置管理的主要功能包含问题中心、问题确认、问题整改、问题验证、报备申请、报备审批等。

(4)综合视图和报告管理: 综合视图包括整体合规情况视图、分类合规统计视图和专题类合规情况视图。整体合规情况视图以图块形式展示合规平台发现的所有不合规情况数量以及问题资产的数量;分类合规统计视图展示省公司整体层面对资产连通情况、安全基线合规情况、弱口令合规情况、系统漏洞情况、Web漏洞合规情况以及内容合规情况在内的六类分项合规情况的整体统计,按照基础安全、应用安全、管理安全、内容安全四类合规进行多维度分析展示;专题合规率统计视图则是按照专题类别进行合规项的统计;报告管理是通过历史时间维度的纵向数据分析和多种内部或外部检测工具横向数据分析并按照模板格式展示合规整体情况的报告功能,包括报告展示、报告导入、报告订阅管理等内容。

(5)系统管理:系统管理主要实现对安全合规平台自身的维护和配置管理,包括用户管理、权限管理、备份管理、日志管理、检测工具管理、基础数据管理等功能。

(6)平台接口:平台接口包括第三方平台接口和检查工具接口。第三方平台接口主要对接其他第三方平台,包括账号管理平台、资产管理平台、工单管理平台等其他基础信息平台;检查工具接口则主要是对各类检查工具的接口。

 2.png

图1 安全合规管控平台架构


5. 应用成效

本平台目前已在某省电网公司部署使用,作为信息安全合规管理的集中化支撑平台,通过与漏洞管理平台、基线安全配置核查系统等基础平台的功能集成,提供合规检查模板管理、漏洞闭环管理、基线合规管理、人工检查类合规管理、IT资产信息校验等功能,实现了信息安全合规管理工作的平台化、全覆盖和闭环管控。对发现的合规问题进行跟踪、告警、数据汇总和数据分析,完善IT资产数据质量,有效提升了电网公司信息安全合规管理工作的效率和水平。以下图2至图5为平台部分功能展示。

 3.png

图2:于某省电网公司部署使用的安全合规管控平台(首页)

 4.png

图3:于某省电网公司部署使用的安全合规管控平台(任务列表)

 5.png

图4:于某省电网公司部署使用的安全合规管控平台(合规问题中心)

 6.png

图5:于某省电网公司部署使用的安全合规管控平台(接口数据确认)


6. 总结与展望

在此基础上,通过结合本期项目对合规平台的建设和运行情况,后期可根据实际需求进行APP检测、内容检测、脱敏检测、动态行为检测等方面的规划和建设,扩展检测范围,加大数据集中,持续提升合规管控能力。