电力信息安全1

主讲：赵凤伟

个人介绍

赵凤伟

✓信息安全架构设计、信息安全体系规划、信息安全审计实践等相关领域的资深顾问

✓ISO27001国际授权讲师、CISSP（国际注册信息安全专家）、CISP（国家注册信息安全专家）、CISA（国家注册信息安全审计师）、等级保护测评师（中级）、黑客攻防APT攻击高级讲师

上图为美国ISC2 颁发的CISSP 注册信

息系统安全专家认证上图为中国信息安全测评中心颁发的信息安全注册审计师资质证书

目前是国内信息安全审计行业最高的资质认证、拥有此证书可以做信息安全审计相关工作

上图为中国信息安全测评中心颁发的注册信息

安全讲师授权证

上图为APMG机构颁发ITIL V3 Foundation 资质认证

证书

上图为APMG 颁发的iso27001 Foundation 证书

国际信息安全管理体系（isms）资质认证的证书，可以从事信息安全体系建设的咨询、安全服务等项目国际ISO 27001 国内唯一授权讲师

✓安全概念与原则✓安全体系框架✓安全治理实践

信息安全的定义

✓乌克兰电网安全事件引发的思考✓为什么有信息安全问题

✓什么是信息安全

乌克兰电网安全事件

2015年12月23日的“大规模故障”

导致数个区域断电几个小时这起

攻击用的恶意软件名为

BlackEnergy，攻击者应是被称

为“沙虫”(Sandworm)的俄罗

斯黑客组织，他们先前曾攻陷过

美国和欧洲的电力供应商。

BlackEnergy于2014年出现在西

方世界，人们以为这款恶意软件

已从目标网络中被清除。

BlackEnergy被用于向乌克兰能源企

业发起攻击。该公司还表示，这

起攻击的重点是造成破坏，而不

入侵步骤

捆绑病毒、伪装邮件

肉鸡分发邮件

打开邮件、病毒注入系统

反弹后门端口

远程控制电力系统

乌克兰电网安全问题引发的思考

✓运维人员安全意识匮乏

✓系统（windows、Apple IOS、Android）本身安全设计的缺陷windows—rookit攻击

Apple ios—假面攻击

Android—敏感权限攻击（通讯录、短信、位置）

✓整个系统网络缺乏安全架构整体规划

安全背景—国家能源安全

据熟悉这次事件内情的人

士说，是黑客关闭了警报、

切断了通信联系、给管道

内的原油大幅增压。

攻击30号阀门站的主要武

器就是一个键盘。

为什么会有信息安全问题？

因为有病毒吗？

•因为有黑客吗？•因为有漏洞吗？

这些都是原因，

但没有说到根源

安全问题根源（1）—业务应用业务系统的复杂化

安全问题根源（2）—内因人是复杂的

典型威胁群体(MOM)

国家安全威胁信息战士

减小国家决策空间、战略优势，

制造混乱，进行目标破坏

情报机构搜集政治、军事，经济信息

共同威胁恐怖分子

破坏公共秩序，制造混乱，发

动政变

商业间谍掠夺竞争优势，恐吓

犯罪团伙

施行报复，实现经济目的，

破坏制度

局部威胁社会型黑客

攫取金钱，恐吓，挑战，获取

声望

组织内部误操作、恶意破坏

全球安全态势(攻击演示)

思考

面对日趋复杂的业务和各种威胁群体、作为企业的

领导者和执行者该如何有效的治理企业的业务安全、数据安全、信息安全、应用安全、网络安全…… ?

什么是安全？

安全Security：事物保持不受损害

不该知道的人，不让他知道！

信息不能追求残缺美！

什么是信息安全？

信息要方便、快捷！

不能像某国首都二环早高

峰，也不能像春运的火车站

✓安全性与可用性

✓安全性与灵活性（易用性）

✓安全性与成本

安全风险=资产*威胁*脆弱性/控制措施

典型安全框架

人员技术操作/流程培训、意识、教育深度防御技术框架域－P2DR2安全运维、安全应急安全策略安全技术标准/指南安全流程、实践安全组织架构安全域分等级保护

安全惩罚安全监视、安全指针、安全基线安全检测、审计、应急

管理者执行力（安全实践）安全技术架构设计、

安全顶层设计

漏洞管理、威胁管理、风险

管理、变更管理、性能管理

安全治理

安全策略

安全标准与指南

安全流程、步骤、基线

战略

战术运维

安全治理实践

✓信息安全等级保护

✓ISO27001信息安全管理体系

等级保护ＩＳＯ２７００１

治理对象应用系统整个组织

治理原则１－５级ＰＤＣＡ过程改进治理重点五技术＋五管理三分技术＼七分管理治理目标合规性（强制）最佳实践

我国的信息安全管理体制

目前，我国信息安全管理格局是一个多方“齐抓共管”的体制，各相关主管部门分别执行各自的安全职能，共同维护国家的信息安全国家信息化领导小组（国家网络与信息安全协调小组）

公安部

工信部

国家安全部

国家保密局

国家密码管理委员会

能源局、银监会、证监会……