电力企业如何实施基于ISO 27001的信息安全管理体系

不仅是对前期信息安全体系建设工作的充分肯 定，而 且 对后 续信 息安全 管理 体系运 行工 作提 出 了新 的更 高的要求和 目标 。局信息运营中心要在局领导的正确 领导和大力支持下 ，在 以后局信 息安全 工作中，对现 有 体系 进行 持续 改进 ，使本体 系更 加符 合玉 溪供 电 局 的实 际情况 ，为玉溪供 电局 的信 息安全 工 作保驾
性的 。局项 目组成 员与上海天帷公司 的同事一起积极 探索 ，紧密 结合局信 息安全建设 的现状和要求 ，认为
的建立和实施 ，保障组织 的信息安全 。标准 的要求主
要包 括Ｉ 个 安全控制域 、３ 个安全控制 目标和 １ ３ １ ９ ３ 项 安全控制措施 。标准采用Ｐ Ｃ 过程方法 ，基于 风险评 ＤＡ 估 的风 险管理理念 ，全面系统地持续改进组织 的安全 管理 。其正式名称为： 《 Ｓ／ Ｅ ２ ０ １２ ０ 信 息 ＩＯＩＣ ７０ ：０５ 技术一 安全技术一信息安全管理体系一要求》。
风 险值 ：威胁发 生可 能性 ×影 响程度 等级 ×现有 控制措施有效性赋值 。通过制 定风 险等级划分标准来 确定风险等级。将等 级划分 为五级 ，等级越 高，风 险 越高。 对于不可接受风 险的确定和处理要慎重 ，不要一 味 的将 所有 的风 险都 归为 不可接 受风 险 ，要 时刻牢 记风 险的处理 是要付 出成本 的，所 以需要综合考虑风 险控制 成本与风 险造成 的影 响来制定风险 的可接受准 则 。风险 的处 置有４ 方式 ：规避风 险 、降低 风险 、 种
局领 导的大力支持 ，才能顺利的进行和更好 的实施。
（ ） 员参 与 二 全
安全不是某一个部 门或者某一个人的事情 ，而是 关乎全 局所有 部门。需要各个部 门的共 同努力和协调
一
致的工作，才 能保证真正意义上 的信息安全，任 何
个部 门出了问题都将对局信 息安全构成威胁 。 （ 持续改进 三） 信息安全工作不是一朝～夕的事情，需要持续改
风险评估是信息安全工作的一个重要步骤 ，通过
风 险评估 ，找到组织在信息安全方面的差距，才能有
针对性的制定相应 的策略和 改进措施。
通 过风险评估 ，形成 《 风险评 估表 》、 《 风险评
别 、风险评估 、体系建设和 实施 、内审和 审核 ，最后
取得 了认证证书 。在这个过程 当中，总结了一些实施
为 了响应云南 电网公司的一体化管理制度 ，在信 息安全建 设中将针对 信息安全标准Ｉ Ｏ Ｉ Ｃ ７ ０ 要 Ｓ ／ Ｅ ２ ０ １ 求 的文 件进行 统 一整理 ，对 原有 《 息安全 管 理办 信 法 》的修编 。形成 了新版的 《 信息安全管理办法》 ， 覆盖了２０ １ １ ７０ 的１个安全领域的要求 。 另外，为 了使新版的 《 信息安全管理办法》能够
护 航 。ｏ
７６ 多个操作性很强 的记录表格表单 ，以辅助各部 门 ＂０ 能够更好 的执行信息安全体系的要求， 比如： 《 机房 巡检记录表》 、 《 防范病毒管 理表》、 《 重要应用系 统权限评 审表》等。 （ 运行实施 四） 我局在 信息安全体系运行 实施的过程中采取 了多 种措施来促进体系的落地工作，比如进 行信息安全意
２ １ ０ｏ中珥 新 和 ０ １ ｌ高 妓 １

３ ５
三 、项 目实施方法论
玉溪供 电局在整个信 息安全体系建设过程 中，根
３ ｏ 中豳 新竣 企 ２ １ ． ４ 高 ＝ 业 ０１ ０ 摹 １
（ ） 险 评估 二 风
五、项 目实施经验和 注意事 项
玉溪供 电局按照 ＩＯ Ｉ Ｃ ７ ０ 的要求建立 了符 Ｓ ／ Ｅ ２ ０ １ 合本局实 际情况 的信息安全 管理体系，经历 了资产识
识和知识培训 ，张贴宣传海报，在 电梯 口液晶 电视和 ＬＤ Ｅ 大屏上 播放信息安 全宣传视频 ，进 行模拟 审核和
安全工作检查等，真正做到了全员参与。 同时我局还建立了畅通的意见反馈机制，任何人对 当前的信息安全体系有意见和建议，都可 以通过局ｏ 系 Ａ
参考 文献
【 曹天杰， 计算机 系统安全 【 ． １ 】 等． Ｍ】 北京： 高等教 育出版社 ，
锐意改革创新，引入 了ＩＯ ＩＣ ２０ １ 息安全管理标准，对玉溪供电局的网络和信息安全工作全面规划， Ｓ ／ ７ ０ 信 Ｅ 建 立 了全 面的 、切 实可行 的信 息安全 管理体 系，保 证信 息安全 风 险始终 处 于可控制 状 态。 关键 词 ： 息安全 管理 ；Ｓ ／Ｅ ７０ Ｐ Ｃ ； 信 ＩＯ ＩＣ ２０ １； Ｄ Ａ 资产识 另 风 险评估 ｑ； 中图分类 号 ： Ｐ ９ Ｔ ３３ 文献 标识 码 ： Ａ 文章 编号 ： ０ ９ ２７ ２ １ ）０ ０ ３－ ２ １０ － ３ ４（ ０ ３－ ０４ ０ １
一
转移风 险、接受风险 。对于不可接受风险应根据选择
的风险处理方式控制残余风险。
（ 文件编制 三）
进和不 断完善 。而且风险也是动态的，为 了保 证信息
安全和控制风 险始终在可接受的范 围内，信息安全工 作应 当是一件长期的工作 。 （ 平衡原则 四） 安全只是相对的 ，没有绝对的安全，而且任何降
一
、
项 目背景
电力工业是 国民经济的支柱产业 ，电力工业的安
据安全风险是相对 的和动态的基本概念，遵循Ｐ Ｐ ａ （ｌ ｎ 计划） Ｄ Ｄ 实施）Ｃ Ｃ ｅ ｋ 检查） Ａ Ａ ｔ 持续改进） 一 （ｏ － （ｈ ｃ 一 （ｃ
的方法论 ，见下图：
棺共肯
一 。
全 问题 直接 关 系到各 行各 业的发 展和人 民的生活 水
正式 的国际标准，于２ ０ 年１ 月１ 日发布为Ｉ Ｏ Ｉ Ｃ ０５ ０ ５ Ｓ／ Ｅ ２ ０ １ ２ ０ 。该标准可用 于组织 的信息安全管理体系 ７ ０ ：０ ５
四、项 目实施 中若 干重要环 节
标准 中只是提 出了一些原则性的建议和要求 ，但
是如 何按 照这些要求建立一套符合局实 际情况 ，能够 顺利 推行和 实施 的信 息安全管理体系是非常具有挑战
更好 的落地执行 ，在信息安全体系建设过程中，制定
低风 险的措施都是需要一定的投资 ，可能是金钱 的， 也可 能是人力资源的 。所 以一定要平衡 投资和 风险降 低之 间的关系 ，不要一味的为了降低风 险而作 一些不
适 当的 投入 。
六 、结 语
玉溪供 电局通过 Ｉ Ｏ２ ０ １ Ｓ ７ ０ 的认证 并获得证书 ，
平，关系到国家安全和社会稳定 。当前流行的信息技 术的广泛应用大大改变 了电力企业传统 的经营管理模
式和手段 ，支撑着 电力生产、营销和管理 的全过程 。
如何有效保障信息安全，从而保证整个 电力企业 的生 产安全 ，成为电力行业 目前积极探 索的新课题 。 在这个 大环境 下，玉溪供 电局作为云南 电网的改 革试点单位 ，大力进行 改革创新 ，引入 国际信息安全 管理标准Ｉ０ ＩＣ ２０ １ Ｓ／ Ｅ ７０ ，建立了完整 的信息安全管理 体系，有效的保证了信息安全 ，取得 了很好的收效 。
的经验和注意事项 。
（ 领导重视 一）
估报告》 、 《 风险处置计划 》等。为了保 证风险评估 结果的客观性和可操 作性，建立 了一个定 量的风 险评
估 方法 论 。
信 息 安全 管理 工作 是一项 牵扯 到 局各部 门的工
作 ，需要投入相应 的人力 、物力和财力 ，所 以必须有
侣 ， 垒的 毫努 ｜
一
＼ ／
相 关 者
暮柑叠 求 勰
＿ 警 鱼 的 僧
息 ｇ 盒
图 １Ｐ ＤＣＡ方法论示意 图
二 、Ｓ ＩＣ ２ ０ １简 介 ＩＯ／ ７ ０ Ｅ
Ｉ Ｏ Ｉ Ｃ ７ ０ 是 有关信 息 安全管理 的国际标 Ｓ ／ Ｅ ２ ０ １ 准 。最初源 于英 国标准Ｂ ７ ９ ，经过十 年 的不断 改 Ｓ７９ 版 ，终于在２ ０ 年被 国际标 准化组织 （ Ｓ ）转化 为 ０５ ＩＯ
资产识别、风险评 估、文件编制 、运行 实施 、审核等
是整个过程的重要环节 。 （ 资产识别 一） 资产识 别是 信息 安全 管理 工 作的重 要 步骤和 基 础，信息安全 就是要保证信 息和 资产 的安全 。所谓资 产识别就是要识别 ＩＭ 管理范围 内的信 息资产 以及这 ＳＳ
些资产 的所 有者 ，形成 资产清单 。玉溪供 电局在 资产 识别 中把资 产分为５ ：文档和数据 、软件 和系统 、 类 硬件和设施、人力资源 、其他等。
电力企业如何实施基于 ＩＯ ２ ０ １的信息 Ｓ ７ ０ 安全管理体 系
李 海 军
（ 溪供 电局 ， 南 玉 溪 ６ ３ ０ ） 玉 云 ５１０
摘 要 ： 着 电力行 业信 息化程 度的提 高和 各种 复杂 信 息 系统 的广 泛应 用 ，信 息安 全成 为一 个热 门话 题 。要 想 随 解 决各种信 息安 全 问题 ，除 了实施 相应 的技 术手段 外 ，管理手段 也 是十 分重要 的 。 为此 玉溪供 电局 高瞻远 瞩 ，
２ ０７ ０ ．
统提交。信息运营中心会对所有提交的建议进行整理和
［］ＩＯ／ Ｃ ２０ ２ ０ ５ 息安 全管理 实用规则． ２ Ｓ Ｉ ７０ ： ０ 信 Ｅ ２
归纳 以发现 改进的机会 ，真正实现了Ｐｃ循环，使局 ＤＡ
、
的信息安全管理工作持续改进和螺旋式上升。
（ 编辑 ： 转） 责任 周加