时间：2023-10-12 09:33:50
引言：易发表网凭借丰富的文秘实践，为您精心挑选了九篇国内信息安全认证范例。如需获取更多原创内容，可随时联系我们的客服老师。
日前，我国专门从事数字证书认证系统开发的吉大正元信息技术股份有限公司与公安部举行了“公安部信息安全认证管理系统（试点工程）”合同签字仪式。吉大正元将承担“公安部信息安全认证管理系统（试点工程）”的具体实施工作。
金盾工程(公安综合信息网络建设工程)是全国公安信息化工程，其实质是利用现代化信息通信技术，增强公安机关快速反应、协同作战的能力；提高公安机关的工作效率和侦察破案水平，适应新形式下社会治安的动态管理。目的是实现以全国犯罪信息中心（CCIC）为核心，以各项公安业务应用为基础的信息共享和综合利用，为各项公安工作提供强有力的信息支持。预计到2004年，金盾工程将在全国范围内准备100％完成联结公安部到各省、自治区、直辖市的一级网，以及联结省到各地市的二级网的建设。而“公安部信息安全认证管理系统（试点工程）”作为“金盾工程”安全保障体系的关键，主要解决公安信息网潜在的安全问题，进而建立有效的公安信息安全管理系统运行机制。
吉大正元信息技术股份有限公司是中国最大的数字证书厂商之一，是国家密码管理委员会办公室认定的商用密码产品生产、销售定点单位。公司自主开发的“吉大正元数字证书认证系统”处于国际先进、国内领先地位，通过了国家密码管理委员会办公室、中国国家信息安全测评认证中心和公安部计算机信息系统安全产品质量监督检验中心的审查和检测，并取得了销售许可证，在2001年度被国家经贸委评为国家级重点新产品。该系统是1999年10月国务院颁布《商用密码管理条例》以来，我国第一个通过国家级鉴定的拥有自主知识产权的数字证书认证系统。
据了解，吉大正元已经先后承担建设了6个国家级CA中心、6个省市级CA中心和20多个企业级CA中心。其中，承建的福建省电子商务证书安全认证中心、电子商务密钥管理中心是我国第一个通过国家级鉴定的区域性电子商务证书安全认证中心和电子商务密钥管理中心。吉大正元数字证书认证系统已经在银行、证券、税务、工商、邮政等行业得到广泛应用，市场占有率居于全国首位。
关键词 PKI；CA；RA；数字证书；信息安全；双因素认证；数字签名；加密
中图分类号：TM769 文献标识码：A 文章编号：1671-7597（2013）15-0119-02
随着国内外网络与信息技术飞速发展和广泛应用，发电企业信息化也在不断深入开展，信息安全形势更加严峻，网络与信息安全工作问题更加突出和重要。发电企业在保证发电安全生产的基础上，逐步通过信息化建设，梳理管理流程，加强内部管控，从而达到提升竞争力的作用。
信息安全是信息化建设的基础和前提，基于PKI技术的数字证书机制构建的应用层信息安全保障体系，已经作为信息安全基础设施，在政府、金融、电信等领域得到广泛应用。如何合理构建安全认证体系，既能满足信息安全管理要求，又能保证投资和信息安全管理可控在控，已经成为发电企业越来越关注的问题。
1 发电企业信息安全现状分析
在发电企业构建电子认证体系以保障业务安全的过程中，主要面临着如下需求和问题。
1）缺少完整的电子认证基础设施，企业内部多级管理体系和独立分支机构的不同信息系统使用的数字证书不统一。
2）自建的电子认证基础设施，有可能不具备相关运营资质，并且建设和运营维护成本较大，而只采购第三方认证机构颁发的数字证书，又不能完全满足企业内部信息化管理的需要。
3）重要核心信息系统未采用双因素认证、数字签名和数据加密等技术手段，无法保证数据保密性、完整性、抗抵赖性等信息安全要求。
为了很好的解决以上问题，结合发电企业信息化建设实际情况，提出以下几点建议。
1）针对发电企业内部多级管理体系和独立分支机构，建设统一的RA注册审核机构，与第三方认证机构PKI/CA基础设施配合，将完整的电子认证服务引入到现有信息系统中，既满足了安全体系完整性，又方便了内部安全认证服务管理。
2）针对不同的信息系统特性，制定双因素认证、数字签名和数据加密等安全认证策略和实施规范，RA系统设计上应方便的与业务系统进行对接和交互，避免成为“信息孤岛”，保证数据保密性、完整性、抗抵赖性等信息安全要求。
3）针对已经使用了数字证书等安全认证的信息系统，应考虑能够实现平滑过渡和无缝对接，防止出现安全体系设计重大变更和大规模系统改造等情况。
2 PKI/CA/RA简介
1）PKI为“公钥基础设施”，是一个用非对称密码算法原理和技术实现的、具有通用性的安全基础设施。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。
2）CA认证机构是采用PKI公开密钥基础架构技术，专门提供网络身份认证服务，负责签发和管理数字证书，且具有权威性和公正性的第三方信任机构。它是PKI公钥基础设施的核心，主要完成生成/签发证书、生成/签发证书撤销列表（CRL：Certificate Revocation List）、证书和CRL到目录服务器、维护证书数据库和审计日志库等功能，即证书的颁发、证书的更新、证书的查询、证书的作废、证书的归档等功能。
3）RA注册审核机构：RA是数字证书的申请、审核和注册中心。从广义上讲，RA是CA的一个组成部分，主要负责数字证书的申请、审核和注册。
3 基于PKI/CA/RA的安全认证服务平台
3.1 平台架构
通过对发电企业安全现状和需求分析，根据证书签发、证书使用两种应用环境和职责不同，将RA系统划分为RA子系统、证书验证子系统两个子系统。
1）RA子系统：负责证书的申请、签发、更新、状态变更等证书业务功能。RA子系统结构由CA能力接入、系统管理、证书服务、用户自服务等功能模块组成。CA能力接入模块面向第三方CA系统，系统管理模块面向RA系统管理员，证书服务模块面向业务系统，用户自服务模块面向使用证书业务的用户（个人用户、企业用户）。
2）证书验证子系统：负责证书有效性验证、签名验签等证书应用功能，提供非对称密钥运算、摘要运算、签名验签运算、证书验证等证书应用服务。
3.2 数字证书设计
3.2.1 设计原则
RA系统签发的数字证书应具有以下特点。
1）数字证书符合X509v3国际通用标准，可以同发电企业目前的电子认证体系无缝对接，平滑过渡。
2）数字证书获得国家电子认证服务资质认可，受《电子签名法》保护，可以对外使用。
3）支持签发软/硬两种形式的数字证书。
软证书符合PKCS12标准，能方便的在手机、PDA等终端上使用。
硬证书保存在USBKEY等硬件存储介质上，安全可靠。
3.2.2 数字证书类型
按照数字证书的颁发对象不同，数字证书主要分为个人数字证书、机构数字证书和设备数字证书等。
1）个人数字证书，主要用于标识数字证书自然人所有人的身份，包含了个人的身份信息及其公钥，如用户姓名、证件号码、身份类型等。
2）机构数字证书，主要用于标识数字证书机构所有人的身份，包含机构的相关信息及其公钥，如：企业名称、组织机构代码等。
3）设备数字证书，用于在网络应用中标识网络设备的身份，主要包含了设备的相关信息及其公钥，可用于服务器或网络设备标识和验证设备身份。
3.2.3 证书使用范围
从使用范围上来说，企业数字证书分为内部证书、外部
证书。
1）内部证书限于企业内部人员、业务使用，承担行政责任，可以用于企业内部安全保障；企业重要人员的证书采用USBKEY存放，其他人员采用软件存储。
2）外部证书限于企业外部人员、业务使用，如电子商务平台的供应商。承担法律责任，在对外业务出现纠纷时，可以用于法律鉴定，采用USBKEY存放证书。
3.2.4 证书用途
根据数字证书的密钥用途，将证书分为以下两种。
1）签名证书：其私钥可用于对信息的签名。用户在使用私钥对信息签名时，应知晓并确认签名的内容。对于具有身份鉴别用途的证书，其私钥可用于对鉴别方提交的挑战信息签名；在可能的情况下，具有身份鉴别用途的证书及信任链上的证书（根证书除外）应提交给验证方。
2）加密证书：其私钥可用于对采用对应公钥加密的信息
解密。
根据国家密码管理局的相关要求以及发电企业对证书的使用需求，个人证书、企业证书都需要签发双证书（加密证书、签名证书）。
3.2.5 证书存储形态
根据数字证书的存储形态不同，可以将证书存储在以下介质中。
1）软证书：证书以软件形式存放，包括以文件形式或者将证书导入到IE存储；根据信息系统对证书的要求，可以将个人证书（大部分）以软件形态存放。
2）USBKEY证书：证书存储在USBKEY中；企业重要人员的证书采用USBKEY存放，企业外的个人证书、企业证书全部采用USBKEY存储，便于保管。
4 应用实践
目前对于发电企业来讲，PKI/CA/RA安全认证服务主要可应用于以下几个方面。
1）办公自动化系统电子印章管理，采用数字签名及证书对称加密、非对称加密等技术，防止电子文件被篡改、电子印章被非法利用。
2）企业资源计划（ERP）、燃料管理、办公自动化、资金管理、电子商务等重要信息系统的双因素认证，为IT审计提供依据，防止抵赖，进一步保证系统安全。
3）无线网络、VPN网络等网络接入认证管理。
5 结束语
PKI/CA/RA安全认证服务平台实现了统一、完整的电子认证基础设施，为发电企业提供数字证书申请、受理、审批、签发、更新、吊销、等业务功能，数字证书与企业资源计划（ERP）、电子印章、电子商务等信息系统集成，全面支持企业内部和对外电子商务应用，以及重要信息系统、设备的双因素认证。
实践证明，PKI/CA/RA安全认证服务平台在发电企业信息安全工作中，已发挥了不可替代的重要作用，可有效提高信息系统安全性和可靠性，下一步将加强核心业务信息系统中的重要操作、重要信息系统中敏感信息加密、移动办公等方面的研究和应用。
参考文献
[1]龙玉江，白雪，汪浩.PKI/CA技术在电力信息系统安全保障方面的应用研究[J].贵州电力技术，2009（1）：40.
[2]刘欣.PKI/CA技术在电力信息系统中的应用研究[J].电力信息化，2009，7（10）：30.
2008年,国家质量监督检验检疫总局、国家认证认可监督管理委员会联合公告,决定对部分信息安全产品实施强制性认证,《第一批信息安全产品强制性认证目录》也同时公布,数据备份与恢复产品位列其中。凡列入强制性认证目录内的信息安全产品,未获得强制性产品认证证书和未加施中国强制性认证标志的,不得出厂、销售、进口或在其他经营活动中使用。
2009年,国家质量监督检验检疫总局、财政部、国家认证认可监督管理委员会联合公告,决定将对部分信息安全产品进行强制性认证的强制实施时间从2009年5月1日延至2010年5月1日。如今,强制实施时间已经过去了4个多月,数据备份和恢复产品的认证情况如何呢?记者查阅了中国信息安全认证中心公布的信息安全产品认证获证名单,目前已通过认证的数据备份和恢复产品只有两款――爱数备份软件V3.0、火星企业级跨平台数据备份软件V3.0。
国内厂商积极性更高
记者采访了几家国内外主要的数据备份与恢复软件厂商,发现国内厂商在3C认证方面比较积极,现已通过产
品认证的两个厂商都是国内厂商,包括上海爱数软件有限公司和火星高科(天津火星科技有限公司是火星高科在天津的产业基地)。国外厂商的行动相对较慢。记者目前了解的情况是,CommVault已经提交了相关资料,目前正在等待回复,准备进行实际的产品测试。
火星高科市场总监郭竞远介绍说:“早在2004～2005年,我公司曾参与政府部门组织的数据备份技术标准的制定工作。后来,此技术标准没有成为国家标准,而是被国家质量监督检验检疫总局采纳为部级标准,并用于对数据备份与恢复产品的3C认证。”
以前3C认证主要针对硬件产品,而数据备份与恢复产品主要是软件。为此,2008年,国家质量监督检验检疫总局曾就数据备份与恢复产品的认证广泛征求过意见,EMC、赛门铁克、火星高科等厂商都曾被邀请参与过讨论。
火星高科是较早申请数据备份与恢复产品认证的公司,其产品已在2009年获得了3C认证。根据《关于部分信息安全产品实施强制性认证的公告》规定,数据备份与恢复产品增加相应的安全功能是必须的。这里说的数据备份与恢复产品是指实现和管理信息系统数据备份和恢复过程的软件。数据备份软件的安全功能包括许多内容,人们经常用到的可能有以下几项:第一,在系统登录时进行安全保护,比如设置用户名和密码;第二,如果有人超长时间使用备份系统,系统要具备自动锁定功能;第三,建立完善的日志系统。火星高科曾经花费近半年的时间对现有的数据备份软件进行改进,以符合3C认证中关于信息安全的规定。
“我们在项目销售过程中得知数据备份产品要通过3C认证的消息。公司对各种相关的专业权威认证一直都比较重视,所以立即启动了3C认证项目。”上海爱数软件有限公司负责技术支持和资质认证业务的许女士介绍说,“通过申报材料、产品检测、工厂现场检验等一系列步骤,大约用了几个月的时间,公司当时的主打产品爱数备份软件V3.0顺利通过了3C认证。”
政府行业采购有变数
今年9月,财政部、工业和信息化部、国家质量监督检验检疫总局、国家认证认可监督管理委员会联合下发的关于信息安全产品实施政府采购的通知中说,各级国家机关、事业单位和团体组织(以下统称采购人)使用财政性资金采购信息安全产品的,应当采购经国家认证的信息安全产品。对采购人或其委托的采购机构未按要求采购的,有关部门要按照有关法律、法规和规章予以处理,财政部门视情况可以拒付采购资金。
2008年,《第一批信息安全产品强制性认证目录》公布时,并没有任何关于行业应用的限定。但是2009年,当相关机构宣布强制实施时间延至2010年5月1日时明确提出,信息安全产品强制认证只适用于政府采购。记者从中国信息安全认证中心获得的消息是,如果厂商的产品不涉及政府采购,而只是一般的商业用途,并不受强制认证的限制。对于国内数据备份厂商来说,政府采购是收入来源中非常重要的一部分。因此,国内厂商对3C认证的态度比较积极顺理成章。CommVault公司市场经理杨涛表示:“虽然目前在政府项目采购中,我们还没有遇到有关强制性认证的问题。不过,既然有这样的规定,我们会积极响应,不希望因此而影响日后可能进行的政府项目采购。”
虽然强制认证的实施已经有几个月的时间,但是记者采访了几位政府部门的采购负责人,他们均表示还没有看到相关的文件。备份软件厂商BakBone公司市场部的刘欣告诉记者:“2007年,我曾经听说过软件产品要经过认证的事情。后来,因为工作转换的原因,我也没再留意相关认证的事情。”
有法可依 执法必严
十几年来，勤劳智慧的蓝盾人凭借高度民族使命感和责任感，自主研发出十个系列、近50个型号的产品，多项产品通过公安、保密、军队等权威主管部门的检测认证。
蓝盾拥有AAA级企业信用等级，在经营活动中始终坚持“诚信服务”，追求细致卓越，高效服务客户，以客户需求为导向，在发展过程中逐步形成了涵盖安全产品研发及销售、安全集成及安全服务的完整业务体系，形成了强大的综合服务能力。蓝盾已成为一家安全产品、安全服务、安全集成多业务齐头并进的综合性信息安全企业。
蓝盾建立了以广州营销总部为中心，以北京、上海、重庆为支点，辐射全国的营销和技术服务体系。作为华南地区信息安全第一品牌，蓝盾目前已拥有覆盖全国，涉及政府、电信、金融、军队、能源、交通、教育、流通、邮政、制造等行业的近千余家客户。蓝盾雄厚的实力和一流的服务为公司赢得了广大客户的高度赞誉。
1.安全产品
蓝盾拥有包括安全网关、安全审计、应用安全在内的三大类、十大系列、50多个品种的安全产品线，可基本满足客户在网络边界安全、安全审计与合规、应用安全等方面的信息安全需求。
2.安全集成
作为主营业务之一，蓝盾安全集成业务包括自有的和第三方的信息系统安全产品销售、基础信息系统建设、应用信息系统开发、信息系统运维服务、信息系统安全运营等。蓝盾已为政府、教育、金融、电力、医疗等行业的多家客户提供了信息安全系统整体解决方案。
有别于传统的系统集成业务，蓝盾安全集成业务以公司自有信息安全产品和业务整合为基础，以信息系统安全运营服务平台为基础结构，建立了覆盖产品研发、方案设计、销售和集成、工程实施、管网建设和运营服务的一整套信息系统安全运营业务支持体系，成功实现了从传统信息系统集成业务到以信息安全产品为基础、提供信息系统安全运营整体服务的战略跨越，从而确立了公司整体解决方案在信息安全市场中的领先地位。
3.安全服务
蓝盾提供的安全服务主要包括安全咨询与评估、专业化安全检测与防护、安全认证培训服务、安全运营及管理、安全技术支持等。经过多年积累，蓝盾已为上百家客户提供了专业化的服务，构建了覆盖不同行业客户及客户不同发展阶段的信息安全服务体系。
信息安全产品的研发、生产和销售是蓝盾业务体系的基础。它对信息安全集成及信息安全服务的发展起着至关重要的作用。安全产品业务能够有效促进公司安全集成与安全服务业务的实现和业务量的提升。安全集成与安全服务业务同时还会促进安全产品技术和应用水平的提升。随着技术实力和安全产品竞争力的提高，蓝盾提供整体解决方案的能力也在逐渐增强。在安全集成业务收入快速增长的同时，蓝盾自有安全产品的销售额也在快速增加。
技术创新 缔造优势
蓝盾始终以自主创新为发展原动力，以领先的技术研发抢占市场。经过多年的探索和积累，蓝盾已掌握了信息安全领域内的主要核心技术，并拥有该领域内近百项软件著作权。蓝盾目前掌握的主要技术处于国内领先地位，其中蓝盾DDoS防御网关采用的零积累智能识别技术达到了国际先进水平。
凭借领先的技术实力，蓝盾先后实施了包括公安部科技攻关项目在内的多项国家级、部级、省市区级的重点信息安全科研项目，并在公安部等部委制定服务器安全类产品和安全审计类产品行业技术标准的过程种发挥了重要作用。
此外，蓝盾还成功地为北京奥运会和残奥会提供了信息安全产品和服务，并因此获得了北京奥组委颁发的荣誉奖章。
专业资质 彰显实力
安全行业是国家强制性保护的行业，获得资质或许可的多少是衡量信息安全企业竞争实力的重要标准。
蓝盾具有技术优势及综合服务能力，已拥有商用密码产品销售许可证、军队网络采购信息资格认证、信息系统产品检测证书、军用信息安全产品认证证书、产品销售许可证、中国信息安全认证中心产品认证证书、广州市自主创新产品证书，并取得了计算机信息系统安全服务一级资质证书、计算机信息系统集成一级资质证书、计算机信息系统集成乙级证书、信息安全应急处理服务资质、信息安全风险评估服务资质等业务资质，还获得了包括信息安全产品、信息安全集成及信息安全服务在内的所有业务类别的较高级别资质和许可，是业内获得资质和许可最全的企业之一。
综合服务 铸就品牌
蓝盾的各业务模块能相互促进，共同发展，从而形成了较强的综合服务能力。
蓝盾的信息安全产品可满足客户在网络边界安全、安全审计与合规、应用安全等方面的信息安全需求，并能为客户设计和实施信息安全方面的整体解决方案，满足客户系统化、个性化的安全需求。
此外，蓝盾还可以为客户提供安全咨询与评估、安全检测与防护、安全认证培训服务等专业化的安全服务。蓝盾完整的业务体系及丰富的产品种类可满足不同行业客户的信息安全需求，增强公司的综合竞争力。
蓝盾建立了辐射全国的营销和技术服务体系，这为公司掌握信息安全领域的最新市场动态、及时响应客户需求提供了重要保证。
客户稳定 促进增长
信息安全行业的特殊性决定了下游客户对信息安全提供商存在一定的依赖性。随着社会各界对信息安全要求的逐步提高，下游客户在信息安全系统建设和升级的过程中会对安全产品、安全集成及安全服务产生交叉消费和重复消费。
因此，下游用户对信息安全领域的投入是持续性的。蓝盾现有的客户资源既是稳定的业务来源，也是宣传品牌、扩大影响力的最好载体，这有利于新市场及新客户的开拓，也为公司的持续盈利提供了重要保障。
精英汇聚 引领成功
日前《数据中心服务能力成熟度评价要求》行业标准正式。该行业标准由招商银行数据中心和中国信息安全认证中心组织，中国惠普有限公司、万国数据服务有限公司和北京趋势引领信息咨询有限公司共同研究、编写。《数据中心服务能力成熟度评价要求》历时一年多，提出的数据中心服务能力成熟度模型从实现收益、控制风险和优化资源的基本诉求出发，确立了数据中心的目标以及实现这些目标所应具备的服务能力，并以此为基础建立数据中心成熟度评价对象模型，提出了适用于数据中心成熟度评价的具体评价方法和指标体系。
中国信息安全认证中心魏昊主任告诉本报记者：“在模型的建立过程我们参考了国际上比较成熟的成熟度评价模型和管理体系，具有先进性和前瞻性，同时也充分考虑了行标的广泛应用问题，可以应用到各种大型数据中心。”
魏昊主任还强调，《数据中心服务能力成熟度评价要求》在成熟度模型方面汲取了CMMI、COBIT等模型通行的基于过程评价的思路，采取了典型的5级分级；而在管理体系方面汲取了服务管理体系和信息安全管理体系的部分管理过程，但自己独立建立了对数据中心服务能力进行评价的成熟度评价模型，提出基于3个一级管理域、15个管理子域的42个管理过程为评价对象，7个评价要素、15个评价子要素和30个评价点的评价模型，特别是基于证据指数的加权平均计算过程成熟度、过程域成熟度和总体成熟度的方法完全是自主创新。
招商银行数据中心是《数据中心服务能力成熟度评价要求》的研究原型，也是该标准的首个试点单位。招商银行信息技术部数据中心总经理高旭磊谈及标准的产生过程时表示，现有的标准还不能覆盖数据中心管理的各个方面，在数据中心管理成熟度精细度方面也有不足，这些基本诉求再加上招商银行正在进行的二次转型服务的大背景，促使其开始考虑编写该标准。“我们目标是要把数据中心的管理从全面过程管理转换成全面质量管控，最终把数据中心管理工作进一步科学化，以提高管理效率。”他说。
关键词：火电厂；控制系统；信息安全；策略
1我国工业控制系统信息安全发展态势
从2011年底起，国家各部委了一系列关于工业控制系统信息安全的文件，把工控信息安全列为“事关经济发展、社会稳定和国家安全”的重要战略，受到国家层面的高度重视。在国家层面的推动下，工控信息安全工作轰轰烈烈展开，大批行政指令以及标准应运而生；在行政和市场双重动力的推动下，安全信息产业如雨后春笋般发展，工控信息安全产业联盟迅速壮大。这种形势下，我国电力、石化、钢铁等各大行业的集团和公司面临着如何迅速研究工控信息安全这个新课题，学习这一系列文件精神和标准，加强工控信息安全管理，研究采取恰当的信息安全技术措施等，积极稳妥地把工控信息安全工作踏踏实实地开展起来这一系列紧迫任务。但是，当前面临的困难是，从事信息安全产业的公司大多不太熟悉特点各异的各行业工控系统，有时还不免把工控系统视作一个互联网信息系统去思考和防护,而从事工控系统应用行业的人们大多还来不及了解信息安全技术，主导制定本行业的相关标准和本行业控制系统信息安全的工作策略，并推动两支力量的紧密配合。这正是当前面临的困境和作者力图要与同仁们一起学习和探讨的问题。
2从工控系统特点出发正确制定信息安全发展策略
火电厂控制系统与传统信息系统相比，相对来说，与外部完全开放的互联网联系极少，分布地域有限，接触人员较少，而对实时性、稳定性和可靠性却要求极高。这正是我们制定火电厂控制系统信息安全工作策略的基本出发点。为了形象起见，我们以人类抵抗疾病为例。人要不生病，一方面要自身强壮，不断提高肌体的免疫系统和自修复能力；另一方面，要尽可能营造一个良好的外部环境（不要忽冷忽热，空气中污染物少，无弥漫的病菌和病毒）。人类积累了丰富的经验，根据实际情况采取非常适当的保护措施。例如，对于一般人来说，他们改变环境的可行性较差。因此，确保自身强壮以及发现病兆及时吃药修复等是其保护自己的主要手段。但是，对于新生儿，因为自身免疫系统还比较脆弱，短时间也不可能马上提高。刚出生时医生也有条件将其暂时置于无菌恒温保护箱中哺养，以隔绝恶劣的环境。信息安全与人类抵抗病十分相似。对于一般互联网信息系统，分布地域极广，接触人员多而杂，因此信息安全策略重点，除了在适当地点采取一些防火墙等隔离措施外，主要依靠提高自身健壮性，以及查杀病毒等措施防御信息安全。对于工控系统，特别是火电厂控制系统，它与外部互联网联系较少，分布地域有限，接触人员较少。因此，对火电厂应该首先把重点放在为控制系统营造一个良好环境上。也就是说，尽可能与充斥病毒和恶意攻击的源泉隔离，包括从互联网进来的外部入侵，以及企业内外人员从内部的直接感染和入侵。前者可采取电力行业中证明行之有效的硬件网络单向传输装置（单向物理隔离装置）等技术手段；后者则主要通过加强目前电厂内比较忽视和薄弱的信息安全管理措施。火电厂控制系统采取这种信息安全策略可以达到事半功倍的效果。从当前国内外出现的不少工控系统遭受恶意攻击和植入病毒导致的严重事故来看，几乎大多数是没有或者隔离措施非常薄弱经互联网端侵入，或者通过企业内外人员从内部直接植入病毒导致。当然，我们不能忽视提高控制系统自身健壮性的各种努力和措施，以便万一恶意攻击和病毒侵入的情况下仍能万无一失确保安全。但是，开展这方面工作，特别是在已经投运的控制系统上进行这方面工作要特别慎重，这不仅因为这些工作代价较高，而且在当前信息安全产业中不少公司还不太熟悉相关行业工控系统特点，有些产品在工控系统中应用尚不成熟，而火电厂控制系统厂家对自身产品信息安全状态研究刚刚开始，或者由于种种原因没有介入和积极配合的情况下风险较高。这不是耸人听闻，实践已经发生，有的电厂为此已经付出了DCS停摆，机组误跳的事故代价。
3火电厂控制系统供应侧和应用侧两个信息安全战场的不同策略及相互协调
火电厂控制系统，主要是DCS，不仅是保证功能安全的基础，也是提高自身健壮性，确保信息安全的关键，它包括供应侧和应用侧两个信息安全战场。在DCS供应侧提高自身健壮性，并通过验收测收，确保系统信息安全有许多明显的优点。它可以非常协调地融入信息安全策略，可以离线进行危险性较大的渗透性测试，发现的漏洞对应用其控制系统的电厂具有一定的通用性等。此外，DCS供应侧在提高信息安全方面积累的经验和措施，培养起来的队伍，也将有助于现有电厂DCS的测试评估，以及安全加固等直接升级服务或配合服务。与信息安全产业的公司提供服务扩大了公司的市场不同，DCS供应侧提高其信息安全水平增加了DCS成本。因此，为了推动DCS供应侧提高信息安全水平，除了目前已经在发挥作用的行政手段外，我们还必须加强市场手段的动力。为此，当前我们电力行业应尽快从信息安全角度着手制定DCS准入标准，制定火电厂DCS信息安全技术标准和验收测试标准，以及招标用典型技术规范书等。火电厂DCS应用侧，是当前最紧迫面临现实信息安全风险，而且范围极广的战场，必须迅速有步骤地点面结合提高信息安全，降低风险。具体意见如下：
3.1应迅速全面开展下列三方面工作
（1）全面核查DCS与SIS及互联网间是否真正贯彻落实了发改委2014年14号令和国家能源局2015年36号文附件中关于配置单向物理隔离的规定，没有加装必须尽快配置，已配置的要检查是否符合要求。（2）迅速按照《工业控制系统信息安全防护指南》加强内部安全管理，杜绝内部和外部人员非法接近操作、介入或在现场总线及其它接入系统上偷挂攻击设备等，并适度开展一些风险较小的安全测评项目。上述两项工作，在已投运系统上实施难度较低，实施风险相对较低，但是却能起到抵御当前大部分潜在病毒侵袭和恶意攻击的风险。（3）通过试点，逐步开展对已运DCS进行较为深入的安全测评，适度增加信息安全技术措施，待取得经验后，再组织力量全面推广，把我国火电厂控制系统信息安全提高到一个新的水平。为了提高这项工作的总体效益，建议针对国内火电厂应用的各种型号的DCS品牌出发，各大电力集团互相协调，统筹规划，选择十个左右试点电厂，由应用单位上级领导组织，国家级或重点的测评机构、实验室技术指导，相关DCS供应商、优秀信息安全产品生产商以及电厂负责DCS的工程师一起成立试点小组。这样不仅可以融合DCS厂家的经验，包括他们已经开展的信息安全测评和信息安全加强措施，减少不必要的某些现场直接工作带来的较大风险。也有利于当前复合人才缺乏的情况下，确保工控系统技术和工控系统信息安全技术无缝融合，防止发生故障而影响安全生产（目前已经有电厂在测试和加入安全措施导致DCS故障而停机的事件）。
4DCS信息安全若干具体问题的建议
4.1关于控制大区和管理大区隔离的问题
根据国家发改委2014年14号令颁发的《电力监控系统安全防护规定》，以及国家能源局36号文附件《电力监控系统安全防护总体方案》的要求：（1）生产拉制大区和管理信息大区之间通信应当部署专用横向单向安全隔离装置，是横向防护的关键设备。（2）生产控制大区内的控制区与非控制区之间应当采取具有访问功能的设施，实现逻辑隔离。2016年修订的电力行业标准《火电厂厂级监控信息系统技术条件》（DL/T 924-2016）对隔离问题做了新的补充规定：（1）当MIS网络不与互联网连接时，宜采用SIS与MIS共用同一网络，在生产控制系统与SIS之间安装硬件的网络单向传输装置（单向物理隔离装置）。（2）当MIS网络与互联网连接时，宜采用SIS网络独立于MIS网络，并加装硬件的网络单向传输装置（单向物理隔离装置），而在生产控制系统与SIS之间安装硬件防火墙隔离。根椐当前严峻的网络安全形势，应当重新思考单向物理隔离装置这个行之有效的关键安全措施的设置点问题。建议无论是刚才提到的哪一种情况，单向物理隔离装置均应设置在生产控制系统（DCS）与SIS之间，理由是：（1）生产控制系统（DCS）对电厂人身设备危害和社会影响极大，而且危险事件瞬间爆发。因此，一定要把防控恶意操作、网络攻击和传播病毒的区域限制在尽可能小的范围内，这样可以最大限度提高电厂控制系统应对网络危害的能力。（2）SIS是全厂性的，涉及人员相对广泛，跟每台机组均有联系。因此，一旦隔离屏障被攻破，故障将是全厂性的，事故危害面相对较大。
4.2DCS信息安全认证和测试验收问题
火电厂在推广应用DCS的30年历史中，从一开始就适时提出了供编制招标技术规范书参考的典型技术规范书，进而逐步形成了标准， 明确规定了功能规范、性能指标以及验收测试等一系列要求。随后又根据发展适时增加了对电磁兼容性和功能安全等级认证的要求。当前，为确保得到信息安全的DCS产品，历史经验可以借鉴。笔者认为，宜首先对控制系统供应侧开展阿基里斯认证（Achilles Communications Certification，简称ACC）作为当前提高DCS信息安全的突破口。众所周知，ACC已得到全球前十大自动化公司中八个公司的确认，并对其产品进行认证；工业领域众多全球企业巨头，均已对其产品供应商提供的产品强制要求必须通过ACC认证。目前，ACC事实上已成为国际上公认的行业标准。国内参与石化和电厂市场竞争的不少外国主流DCS均已通过了ACC一级认证。至于国产主流DCS厂家，他们大多也看到了ACC认证是进入国际市场的门槛，也嗅到了国内市场未来的倾向，都在积极为达到ACC一级认证而努力（紧迫性程度明显与行业客户对ACC认证紧迫性要求有关）。此外，我国也已建立了进行测试认证的合格机构，具备了国内就地认证的条件。根据调查判断，如果我们电力行业侧开始编制技术规范书将ACC一级认证纳入要求，相信在行政推动和市场促进双重动力下，国产主流DCS在一年多时间内通过ACC一级认证是可以做到的。除ACC认证外，如前所述，当前还急需编制招标用火电厂信息安全技术规范和验收测试标准，使用户在采购时对其信息安全的保障有据可依。从源头抓起，取得经验，必将有利于在运DCS信息安全工作，少走弯路。
5结语
以下是当前影响传统安全领域的五大因素：
1．技术融合。企业安全服务如视频监控、访问控制及欺诈检测与数据库的关系越来越密切，并且通过网络来提供。换句话说，信息安全与物理安全的关系比以往更加紧密。
2．厂商融合。不久前，信息安全厂商只保护网络，物理安全厂商只保护场地，两者毫不交叉。而如今，越来越多的安全公司涉足这两个领域，以及与风险相关的其他领域：装甲车公司Brink's开始提供托管网络安全服务；昔日的大型机供应商优利系统公司现在提供有关供应链安全的咨询业务；软件业巨擘冠群正与智能卡厂商合作，共同开发名为PhysBits的网络和大楼访问标准；历来是物理安全服务提供商的Kroll现在拥有了数字取证部门Ontrack Data Recovery。
Savvis的CSO兼全球安全解决方案副总裁Bill Hancock指出，厂商融合是一种最简单的融合。不过，Hancock预计厂商会继续把这些不同的产品线合并到更加紧密集成的产品当中。
3．协会融合。安全领域是由行业协会推动的领域，但多年来，许多协会很少承认对方的存在。这种情况在2004年和2005年出现了重大变化，尤其是信息系统安全认证专业人员（CISSP）的者（ISC）2（属于信息安全领域）、认证保护专业人员（CPP）的认证方ASIS International（来自企业安全领域）和信息系统审计与控制协会（ISACA）宣布要团结一致。Williams等观察人士预计，这些协会将在近期开展更具体的合作。
通过安全认证
随着国航信息系统建设的飞速发展,在奥运安全保障工作中,安全不再只是空防安全和飞行安全,信息安全已成为奥运安保的重要环节,并纳入公司和信息管理部2008年重点工作之中。国航信息安全规划咨询项目就是在奥运安保和国航信息系统跨越式发展的大背景下立项建设的,它旨在为国航信息安全体系建设打下坚实的理论基础。
国航也是通过这个项目完成了未来3~5年信息安全建设的发展规划,建立了信息安全管理体系,于近日最终通过了ISO 27001信息安全管理体系认证,使国航成为国内首家通过此国际认证的航空企业,进一步提升了公司的综合竞争实力。
记者了解到,ISO 27001是国际信息安全领域的重要标准,它的前身源自英国标准协会(British Standards Institute,BSI)在1995年2月制定的信息安全管理标准 BS 7799,经修订后,于2005年10月15日作为国际标准ISOIEC 27001/2005。该标准基于风险评估的风险管理理念,可用于信息安全管理体系的建立和实施,保障信息安全,全面系统地持续改进安全管理。国航的信息安全管理体系已于2008年12月就通过了国际权威认证机构的现场审核,具备了获取ISO 27001信息安全管理体系国际认证的条件。
在国航发展战略中,信息安全占有非常重要的位置,几乎所有业务都与信息技术相关,特别是涉及到飞行安全、客户信任度的商务及财务方面信息等,都需要信息安全管理体系这张保护网的保障,在这种发展趋势下,国航以建立起成熟的、具备国际水平的信息安全保障体系,保障核心业务不中断、核心系统不被攻击、客户信息不泄露为信息安全愿景目标,
中国国际航空股份有限公司信息管理部总经理刘东说,国航有几百个系统每天运营着国航所有的正常航线、飞机维护、机组人员的管理、人员的编排,还有财务的收益管理,以及订座系统、离岗系统、网络收益系统。对于航空公司来讲,每个系统都不能失控,也不能出问题。
安全跷跷板
曾经主抓飞行安全如今管信息安全的中国国际航空股份有限公司副总裁贺利,在回顾国航在信息安全方面取得建设的一些建设成果时表示,“信息安全的体系是一个很复杂的体系,我们在业界经常叫“安全跷跷板”,这个跷跷板主要是在IT基础结构的基础上,包括三方面内容:一是技术平台,二是组织和人员,三是制度和流程,由这三方面一起通过我们来执行,去构成信息安全体系。”
国航信息管理部技术管理办公室高级经理李宗琦表示,如果没有信息安全管理体系这张保护网,应该说国航的飞行安全可能也无法得到保障。
第一要保证国航的核心业务不中断,第二要保证国航信息系统不被攻击,第三要保证重要客户的信息不被泄漏,通过这样的保障体系为国航的业务愿景的目标实现保驾护航。
成为知名品牌
能士已经成为我国信息安全领域的知名品牌。
深圳能士公司秉承“惟精惟一，唯士为能”的企业精神，不断开拓进取，现已在信息安全及以信息安全为支撑的应用领域居领先地位。
深圳能士公司在身份认证、加密存储、人脸识别等技术领域具有很强的技术实力，处于世界先进、国内领先水平，在互联网、物联网、云计算等方面具有多项技术创新。
深圳能士公司下属的深圳市能信安物联网技术有限公司注册资本为800万元。它是由深圳能士公司投资的专注于物联网和云计算技术开发及运营的专业技术公司。能信安物联网技术公司拥有专业的物联网技术研发中心。
该研发中心设有硬件部、软件部、测试部、生产部等多个部门，同时建立了一整套的研发、生产、产品检测流程。能信安物联网技术公司拥有加密智能卡、加密ZIGBEE卡、活体指纹强身份认证、人脸识别等技术，在智能交通、安防等领域的应用处于领先地位。
能信安物联网技术公司自主开发的《能信安驾驶人培训质量监管及计时计程管理系统》在国内相关领域具有多项创新，已成为国内较先进、全面、科学的行业应用解决方案。
获得多个资质
深圳市能士信息安全有限公司作为信息技术领域优秀的专业技术公司，已获得如下资质：
・ 国家保密局颁发的《涉及国家秘密的计算机信息系统集成资质证书》
・ 国家保密局系统保密技术防护研发生产指定单位
・工业和信息化部颁发的《计算机信息系统集成资质证书》
・ 中国信息安全认证中心颁发的《ISCCC信息安全应急响应服务资质证书》
・ 中国信息安全测评中心颁发的《信息安全服务资质证书》
・ 广东省公安厅颁发的《广东省计算机信息系统安全服务资质证》
・ 广东省公安厅和深圳市公安局指定的等级保护技术支持单位
・ 国家密码管理局商用密码生产定点单位
・ 国家密码管理局商用密码销售许可单位
・ ISO9001∶2008质量管理体系认证证书
・ 深圳市《高新技术企业认定证书》
・ 深圳市“软件企业资质”
在新形势下，深圳能士公司致力于为客户提供建立在可靠、安全保障平台基础上的系统集成服务。深圳能士公司拥有一支高素质、长期从事信息系统集成工程的技术团队，以及完善的设计、施工、管理、维护服务体系，为客户提供优质工程及完善服务保障，相关工程曾多次获得省部级主管部门“试点工程”或“样板工程”荣誉称号。公司已发展成为大规模的企业级信息系统集成完整解决方案提供商。
深圳能士公司从2008年即开始着手研究网络综合布线的安全问题，致力于塑料光纤在我国系统部署中的应用研究，并形成全面的系统塑料光纤综合布线解决方案。这是因为塑料光纤传输频带很宽，通信容量大，对人体影响小，随着社会信息化应用的不断发展，可以满足光纤到桌面的技术需求。据悉，深圳能士公司的民用信息系统塑料光纤综合布线的整体解决方案在技术方面在国内处于领先水平。
深圳能士公司下属的深圳能信安物联网技术公司致力于应用引导和技术研发的互动式发展，带动物联网的产业发展。深圳能信安物联网技术公司在物联网和云计算领域的专业信息安全方面有领先的技术优势，在业界享有较高的声誉，并且基于安全识别核心技术、物联网、云计算等多个领域开发了多款自主知识产权软硬件产品。
深圳能士公司具有非常稳定的技术队伍。鉴于国家对集成单位的严格管理规定和信息安全行业的特殊性，公司按照国家相关规定制定了严格的人事管理制度，为核心技术人员（人员）提供深造机会和期权激励机制，保证了技术人员的稳定性。公司管理严格，技术人员政治上可靠，业务上过硬。公司成立了专门的保密领导小组，制定了人员保密管理制度、技术保密管理制度等，从而进一步保证公司所提供的安全产品和安全服务的可靠性、安全性和保密性，从而保护国家秘密和客户利益。
深圳能士公司表示，未来公司将再接再厉，巩固行业领军企业的地位，为用户提供更多更好的安全产品和服务产品。
