構想、實踐、探索一個都不能少！業界四位大咖共論能源行業資料安全治理
【51CTO.com原創稿件】在數字經濟時代，資料已經成為生產力提升的重要手段。能源行業作為國民基礎設施中的重要一環，也敏銳地捕捉到資料的價值，不斷謀求創新發展，順應數字時代的大潮。在前不久召開的安華金和承辦的第三屆中國資料安全治理高峰論壇上，51CTO記者就特別關注了資料安全治理能源行業論壇，四位業內資深專家也就如何保護能源行業資料、如何挖掘資料價值、如何開展資料安全治理工作等熱點話題拋磚引玉，分享了自己的觀點。
國家能源局資訊中心高階工程師葉世超博士：能源大資料的建設構想
葉世超表示，能源大資料建設的構想是在現實的政策基礎、資料基礎、工程基礎上搭建起來的，需要考慮到行業實際應用中面臨的問題，如資訊資源共享利用水平不高、能源資料質量不高、大資料構建模式不完善等。
理論上來說，能源大資料建設要順應國家號召，構建清潔、低碳、安全、高效的目標，以構建統一標準、統一架構、統一介面為重點，工作目標是要建設大資料的組織和技術支援體系。
“在技術上，需要先從研究課題來入手製訂一些標準”他介紹到，具體可分為六步：一是設立一些科研型的先導;二是建立能源大資料的工作體系;三是利用第一步標準規範體系的研究成果，建立能源大資料的指標和目錄;四是搭建計算平臺;五是企業通過合作模式構建能源大資料的業務模型;六是大資料的整個體系架構就初現雛形和大資料相關的運用工作。
黑龍江省電力科學研究院資料工程師尚方：國家電網資料恢復與銷燬業務的分享
如果說葉世超是高屋建瓴地從巨集觀政策上對於能源行業的大資料發展給出了指導方向，那麼尚方更多的則是從實際應用的角度分享了資料安全治理過程中的一些經驗和總結。
尚方表示，對於大型企事業單位而言，資料恢復與銷燬關係到國計民生的戰略基礎性資料，涉及億萬人民的生產生活，不容有失。以國家電網公司為例，業務資料丟失後要求第一時間進行資料恢復，要保障企業的正常執行，保證電網以及人們生產生活不被打斷，如果介質淘汰或者介質損壞，需要去外面維修，必須先將原來的工作資料擦除，防止洩密，這也是保護企業和個人隱私。
經過調研，目前我國企事業單位在電子資料恢復銷燬領域做得不錯的通常有三類使用者：首先做得最好的是國家保密機構，通常指金融、軍工、軍隊、重要的科研院所等;其次是一些大型的涉密單位，他們有自己的常備人員，有更專業的裝置，會對木馬、病毒，包括外界儲存介質做檢測，而且這些單位的客戶代表也是全程監督，保證沒有外洩可能。最後是一些企事業單位，他們有自己的管理規定，而且有比較雄厚的經濟實力，一般由公司統一購買資料擦除和銷燬的裝置，把擦除和銷燬的工作在內部完成。
尚方也給出了資料丟失和外洩的一些常見原因，如巡查不到位、個人不良使用習慣、企業資訊運維不好、未經擦除即轉用、報廢流出、裝置環境不滿足條件、人員經驗技術缺乏、責任心不足等等。
在中國電力行業，由於資訊化程度比較靠前，國家政策明晰，所以各單位規範資料恢復和銷燬工作還是非常規範的，管理經驗、產品、裝備相對於絕大多數企事業單位來說都更好。早在2011年11月，在國家電網的業務系統資料量還沒有大量爆發前，長期工作在一線的領導和專家就前瞻性地提出要籌建專業的資料恢復銷燬實驗室，2012年5月，黑龍江省電力科學研究院前身的實驗室從單純為國網公司開展資料庫和銷燬工作，進一步的升級面向社會提供資料恢復的技術支援，以及司法鑑定業務。
最後尚方強調，資料恢復是保障電子資料可用性的最後一道技術屏障，是彰顯司法公正、協助案件偵破的重要技術手段。資料擦除與銷燬是保障敏感資訊、敏感資料不外洩的有效方法，資料恢復與銷燬技術是資料安全治理中關鍵環節。
全球能源網際網路研究院資料安全專案負責人郭昊：電網企業資料安全探索
全球能源網際網路研究院有限公司，前身是電網研究院，在2016年2月更名為全球能源網際網路研究院，是國家電網公司的直屬科研單位。
郭昊首先分析了資料安全的形勢和態勢，目前資料安全影響範圍愈加廣泛，資料洩露已經成為安全穩定風險源頭，是當前網路安全面臨的最主要威脅和企業面臨的最重要的風險之一，網路攻擊，內鬼竊取，內部人員操作失誤已經成為資料洩露的三大主要原因。
接著郭昊分享了自己在安全審計方面的心得，他表示在實踐中他們總結出三個比較清晰的審計思路，一是需要審計使用者賬戶跨資源的資料操作，二是需要審計對敏感資料的操作，三是關鍵系統表的操作要進行審計。在與電力企業接觸過程中，他們在攻擊防護、資料安全、違規操作、輸出效能這四個方面展開了14個場景的審計，如多次登入失敗，SQL注入攻擊開展審計，資料操作、違規操作、資料庫效能等。“資料安全審計效果應該滿足三個標準，即應用操作合規性、行為操作合規性、SQL發現合規性。”
對於如何提升電力行業的資料安全核心能力，他建議首先可以廣泛地與研究機構、前沿廠商合作，基於機器學習的電力業務進行實質性的研究，其次依託科技專案，深入開展在邊緣物聯網、邊緣計算模組資料安全督察理論研究和安全防護技術的研究，持續做到面向電力企業提供資料安全服務。
北京安華金和架構師李航：電力行業資料安全思路與實施方法論
李航從安華金和實際服務國家電網多年的實踐角度，分享了過去的服務經驗和如何應對資料安全現狀的一些經驗。
據李航介紹，資料安全已經成為當下電力企業下一個風口，很多安全隱患都給電力行業的數字化建設帶來挑戰，如資料共享下的安全問題，資料資產的梳理，企業對暗資料的未知以及敏感資料的處理等等環節都比較怕薄弱。在國家電網的大資料環境中，資料的梳理工作是否到位?全量資料有多少?敏感資料在哪裡?資料是否分級分類?資料被誰使用?……這一連串的問題恐怕清晰回答上來的使用者並不多。
安華金和在實踐過程中總結出一套行之有效的資料安全防護思路。李航將其稱之為四個轉變：一是由傳統的資料資產的管理模糊化向資料資產管理清晰化的方式轉變，二是從傳統的被動式防禦模式轉化成主動的防禦模式，三是由單點資料防護模式向全場景一體化聯動模式轉變，四是由靜態的風險分析模式轉化成動態的態勢感覺的方式轉變。
那麼具體如何著手呢?李航透露，第一步要做資料安全治理，要定義一些標準和政策進行資料梳理，並對資料進行分類授權，不同等級不同類別的資料，要採取不同的防護方式進行防護。第二步要對資料進行分類，安華金和建議以應用系統為單元進行資料分類，由於每個系統資料的屬性和特性必定是不一樣的，所以以資料的應用系統為單元進行分類更科學。第三步是共同參與，資料的分級分類不是資訊化的部門或者安全部門才能主導的，因為做資訊化的部門，做安全的部門不懂業務也不懂業務部門的相關資料，所以必須要有業務部門的參與。第四步是建立輔佐制度，為後續資料精準化的防護提供一些依據。
當然構建一套完整的資料安全治理體系絕非這麼簡單，還要考慮很多問題。李航舉例道，在資料共享過程中，需要在進行資料脫敏的同時確保資料的可逆性、模擬度、關聯性;在資料分發過程中，需要保障資料流傳過程中每一個環節可追溯;在資料發放和互動的過程中，既要保障對方可以正常使用資料，還要確保資料不洩露和可追蹤。
在記者看來，這四位專家分享了能源行業資料安全治理的寶貴經驗和實踐，事實上也給能源行業做好資料安全防護工作提供了許多有價值的參考。值得一提的是，安華金和作為資料安全治理峰會的承辦方，其資料安全治理理念被越來越多的為政府與企業單位所認可，也獲得了越來越多安全從業者的關注。未來，作為資料安全治理理念的倡導者，業界更希望看到，安華金和構建開放資料安全治理生態，助力我國資訊保安保障。
【51CTO原創稿件，合作站點轉載請註明原文作者和出處為51CTO.com】
【責任編輯：周雪 TEL：（010）68476606】