廣州石化以信息HSSE“十大風(fēng)險”管控工作為抓手，落實網(wǎng)絡(luò)安全主體責(zé)任，立足互聯(lián)網(wǎng)安全、工業(yè)控制安全、核心業(yè)務(wù)系統(tǒng)安全和終端安全等領(lǐng)域，著力打造網(wǎng)絡(luò)安全五大能力，逐步實現(xiàn)“主動防御、動態(tài)管控”的安全體系建設(shè)目標(biāo)，助力公司安穩(wěn)長滿優(yōu)運營，交出一份廣州石化網(wǎng)絡(luò)安全治理方案。在中國石化2018年信息化工作會議上，廣州石化被授予“中國石化2017年度網(wǎng)絡(luò)安全先進單位”。
構(gòu)建企業(yè)“大安全”管理格局
隨著工業(yè)互聯(lián)網(wǎng)的發(fā)展，工業(yè)生產(chǎn)和網(wǎng)絡(luò)世界深度聯(lián)通，網(wǎng)絡(luò)空間攻擊直接影響到工業(yè)運行安全，并擴散、滲透到城市安全、人身安全、關(guān)鍵基礎(chǔ)設(shè)施安全乃至國家安全，網(wǎng)絡(luò)安全已從“信息安全”時代進入了“大安全”時代。
廣州石化一直高度重視網(wǎng)絡(luò)安全治理，有機結(jié)合地將信息安全管理融入HSSE管理體系，成立信息HSSE分委員會，成為廣州石化HSSE體系中六大主專業(yè)之一，將信息安全管理作為常規(guī)議題，列入公司總經(jīng)理主持的HSSE月度及年度會議，著力構(gòu)建企業(yè)“大安全”管理格局。
“網(wǎng)絡(luò)安全治理的重點不僅限于技術(shù)，需要更多的管理和規(guī)范�！痹谛畔SSE分委員會主任、公司副總經(jīng)理周峰看來，頂層設(shè)計是網(wǎng)絡(luò)安全管理的重中之重。在他主持下，信息HSSE分委員會每月召開專題會議，分析企業(yè)在生產(chǎn)經(jīng)營中存在的信息安全管理問題、影響因素以及部署企業(yè)信息安全管理工作。
建立整套信息安全管理制度體系，發(fā)布《廣州石化信息安全管理規(guī)定》等系列規(guī)章制度，作為對出現(xiàn)安全隱患或事件的責(zé)任部門，執(zhí)行經(jīng)濟責(zé)任制考核的重要依據(jù)。建立信息安全通報機制，2017年發(fā)布4期信息安全簡報和5次緊急通報，對信息安全隱患堅決“零容忍”。
建立在線化權(quán)限矩陣管理機制，明確管理流程，細(xì)分部門職責(zé)，不相容崗位得到有效落實。持續(xù)開展關(guān)鍵崗位人員信息安全審計和信息系統(tǒng)權(quán)限清理工作，去年清理總量超萬條。通過綜合應(yīng)用中石化統(tǒng)一身份管理平臺、IT服務(wù)管理平臺和堡壘機，建立安全、可控、可審計的運維通道，權(quán)限管理得到有效控制。
讓信息安全“看得見”網(wǎng)絡(luò)“信得過”
梳理和識別企業(yè)在生產(chǎn)經(jīng)營中的信息安全風(fēng)險，是讓信息安全“看得見”的基礎(chǔ)。廣州石化運用安全風(fēng)險矩陣標(biāo)準(zhǔn)和風(fēng)險評估工具，識別信息HSSE“十大風(fēng)險源”并形成清單，制定具體目標(biāo)/指標(biāo)/管控措施以及責(zé)任人、完成時間，在HSSE委員會月度會議上進行落實情況跟蹤。每半年開展回顧工作，年底進行后評估，結(jié)合本年度剩余風(fēng)險滾動評估更新下一年度清單，建成一套完整的信息安全風(fēng)險管控PDCA模型。2017年，通過信息HSSE“十大風(fēng)險源”識別與管控，90%以上主要風(fēng)險源的剩余風(fēng)險降低至可接受程度。
每個信息系統(tǒng)從它產(chǎn)生到銷毀是有生命周期的，廣州石化嚴(yán)格依據(jù)網(wǎng)絡(luò)安全“三同步”原則，做好信息系統(tǒng)全生命周期安全管理工作。立項階段，開展信息系統(tǒng)等級保護定級工作，在可行性研究報告、合同技術(shù)附件等技術(shù)文檔中加入信息安全專篇。項目實施階段，設(shè)置安全監(jiān)理崗位，監(jiān)督落實信息安全方案、安全基線。與項目建設(shè)單位簽訂信息安全責(zé)任書，明確建設(shè)單位信息安全責(zé)任和內(nèi)容。系統(tǒng)上線前，通過代碼靜態(tài)掃描、漏洞掃描等方式開展上線安全檢查，落實整改后方可上線。系統(tǒng)驗收前，由項目主管部門組織安全復(fù)查，通過才允許驗收。系統(tǒng)運維階段，與運維單位簽訂信息安全責(zé)任書，定期組織信息系統(tǒng)安全自查，對發(fā)現(xiàn)的安全隱患限期整改或下線處理。目前，廣州石化在用的48個關(guān)鍵信息系統(tǒng)，高危漏洞、互聯(lián)網(wǎng)應(yīng)用入侵事件均為零，系統(tǒng)應(yīng)用安全得到有效保障。
技術(shù)攻防是網(wǎng)絡(luò)安全的本質(zhì)，從去年延續(xù)至今年初的系列勒索病毒‘大爆發(fā)’，啟發(fā)了我們深度思考：企業(yè)網(wǎng)絡(luò)安全技術(shù)重在感知威脅，進而嚴(yán)密防范。為此，我們建立了多點分層次防御體系，使企業(yè)網(wǎng)絡(luò)通路‘信得過’‘靠得住’�！毙畔⒅行募夹g(shù)委員會信息安全控制組負(fù)責(zé)人張亞堂副主任表示。一方面通過雙鏈路冗余，上網(wǎng)行為管理白名單，VPN訪問策略等措施，不斷加強網(wǎng)絡(luò)和基礎(chǔ)設(shè)施保護。另一方面，使用國產(chǎn)化工控防火墻、防病毒軟件和中石化云DMZ區(qū)，持續(xù)對區(qū)域邊界實施保護。在計算環(huán)境保護方面，網(wǎng)絡(luò)準(zhǔn)入控制、桌面安全、防病毒客戶端安裝率達100%，為每個應(yīng)用系統(tǒng)制定安全基線、漏洞掃描計劃，定期進行基線配置掃描，問題整改實施看板管理。2017年，信息基礎(chǔ)設(shè)施、信息系統(tǒng)安全運行，重大信息安全事件均為零。
參考國際通用的IT基礎(chǔ)架構(gòu)最佳實踐指南，廣州石化經(jīng)過十余年摸索，創(chuàng)新性地建設(shè)了一套可度量的IT服務(wù)管理體系，并于2013年通過ISO/IEC 20000體系認(rèn)證，2016年通過CNAS C003-ITSM認(rèn)證，成為中國石化內(nèi)首家獲得IT服務(wù)管理體系雙認(rèn)證的單位。借鑒可度量的IT服務(wù)管理體系建設(shè)經(jīng)驗，廣州石化應(yīng)用問題管理流程分析信息安全事故，變更流程和容量管理流程控制信息系統(tǒng)安全運行風(fēng)險，發(fā)布流程進行信息系統(tǒng)上線前安全測試。一系列標(biāo)準(zhǔn)化、流程化的信息安全管理手段，促使企業(yè)信息系統(tǒng)可用性達到99%以上，有效保障了公司各業(yè)務(wù)板塊的持續(xù)運行。
傳統(tǒng)的安全防護模式，更多依靠安全設(shè)備的單點防護能力，而廣州石化在網(wǎng)絡(luò)安全防護工作中，嵌入應(yīng)急預(yù)案模塊，打造可協(xié)同聯(lián)動的安全防護模式。近年，廣州石化通過編制《計算機信息系統(tǒng)損害專項應(yīng)急預(yù)案》，完成了ERP、SMES、視頻會議系統(tǒng)等11個重要信息系統(tǒng)的應(yīng)急處置卡編制工作。2017年，模擬企業(yè)到廣州區(qū)域中心鏈路中斷故障，啟動應(yīng)急預(yù)案進行實操演練，系列勒索病毒高發(fā)期間，啟動防范高危蠕蟲病毒的入侵緊急預(yù)案，通過網(wǎng)絡(luò)安全事件發(fā)現(xiàn)、報告、研判、應(yīng)急處置等流程，公司網(wǎng)絡(luò)安全防護多方協(xié)同聯(lián)動作戰(zhàn)水平得到了驗證。黨的十九大、《財富》全球論壇及全國“兩會”前夕，廣州石化進一步加強網(wǎng)絡(luò)安全監(jiān)控，加強與總部及地方政府溝通，落實領(lǐng)導(dǎo)帶班24小時值班，嚴(yán)格執(zhí)行信息安全保障“零報告”制度，有效應(yīng)對各類網(wǎng)絡(luò)安全事件，保障了特殊時期的信息安全。
打造高效的網(wǎng)絡(luò)安全技術(shù)團隊
“網(wǎng)絡(luò)安全競爭歸根到底是人才的競爭”信息中心主任高寧波認(rèn)為，企業(yè)網(wǎng)絡(luò)安全治理需要做好人才儲備，建立自己的網(wǎng)絡(luò)安全技術(shù)團隊，將被動防御變?yōu)橹鲃臃雷o，才能從根本上杜絕發(fā)生信息安全事件，企業(yè)才能夠真正掌握網(wǎng)絡(luò)安全的主動權(quán)。
為了建設(shè)一支高素質(zhì)、懂安全的信息化建設(shè)和運維隊伍，廣州石化堅持推行“持證上崗”，打造有技術(shù)有能力的安全管理團隊。以集團公司信息安全技術(shù)競賽金牌團隊為班底，在信息中心技術(shù)委員會之下，設(shè)立了信息技術(shù)委員會安全控制組，目前成員6人，負(fù)責(zé)制定廣州石化信息安全規(guī)劃的具體內(nèi)容和技術(shù)路線。成立至今，安全控制組解決了100多項安全管理、技術(shù)問題，通過每月召開例會的形式，回顧技術(shù)工作成果，并形成月度工作報告向信息HSSE分委員會進行匯報，有效促進了企業(yè)信息安全管理及技術(shù)水平持續(xù)提升。
為保證安全控制組成員的信息安全管理、技術(shù)水平達到支撐公司信息安全管理的要求。廣州石化每年安排計劃要求安全控制組成員參加信息安全培訓(xùn)，并要求組員“持證上崗”參加注冊信息安全專業(yè)人員（CISP）資格考試，目前安全控制組成員均達到了此要求。