电力安全说 ③：密评工作常态化，天融信助力电力行业合规更高效

近年来，国家陆续发布多项密码建设相关的政策，《“十四五”现代能源体系规划》提出加快推进电力信息系统密码基础设施建设工程、《电力行业网络安全等级保护管理办法》规定电力企业应当按照国家有关规定开展商用密码应用安全性评估和网络安全审查等工作，未达到要求的应当及时进行整改。电力行业开展密评工作是应对网络安全严峻形势的迫切需要，也是系统安全维护的必然要求。

根据电力行业实际需求，天融信以密码技术应用为基础，将网络安全融合商用密码，通过天融信堡垒机、服务器密码机、签名验签服务器等产品提供密码应用技术支撑，从物理与环境安全、网络与通信安全、设备与计算安全、应用与数据安全四个层面，助力电力行业客户量身打造符合相关要求的密码应用体系，助力数字电力夯实安全底座。

对于机房等日常需要严格进行身份核验的场所，常存在非授权人员进入，以及相关进出记录、视频监控记录明文传输的问题。建议在重要系统所在机房部署符合 GM/T 0036-2014 标准要求的电子门禁系统，对进出机房人员进行身份鉴别。

同时，在机房环境监控区部署服务器密码机、国密音视频监控系统等，对电子门禁及视频监控系统的记录数据，进行传输机密性和存储完整性保护。

对于非授权设备接入内部网络、通信数据在信息系统外部被非授权获取的问题。建议在网络接入区和下属单位分别部署加密机，通过数字证书实现在通信前双方的身份鉴别，同时建立安全的数据传输通道，对通信数据进行完整性保护。

另外对于重要系统的移动端App使用Http协议建立数据传输通道，未使用密码技术建立安全的数据传输通道的问题，建议在重要系统的移动端App中部署移动端密码模块，并在网络接入区边界部署符合密评相关标准要求加密安全网关，建立安全的移动端App数据传输通道。

对于非授权人员登录网络内设备、管理员远程登录身份鉴别信息被非授权窃取、重要程序或文件被篡改以及设备日志记录明文传输的问题。建议在安全管理区域部署堡垒机，实现对设备层运维资源的全面安全管控，并调用堡垒机内置国密加密卡接口，实现对堡垒机运维授权清单数据的加密校验；在业务办公区电脑端部署国密安全浏览器，在堡垒机前部署加密机，并向系统管理员配发智能密码钥匙，对登录堡垒机的用户进行身份鉴别，同时对管理员远程登录的身份鉴别信息进行传输机密性保护，解决非授权人员登录设备、管理员远程登录身份鉴别信息被非授权窃取的问题。

此外，在重要系统的应用服务区部署服务器密码机，应用服务器中所有重要程序或文件在生成时通过调用服务器密码机进行完整性保护，同时服务器密码机可对应用服务器、数据库服务器等设备的日志进行完整性保护。

对于应用系统用户非授权登录，电力企业重要数据明文传输、存储、未完整性保护，以及已部署的身份鉴别认证系统的应用用户访问权限控制列表明文存储、调用的问题。

建议在应用系统的移动端App中部署移动端密码模块、在网络接入区边界部署加密安全网关，同时部署数字证书认证系统，通过数字证书认证系统分别向移动端密码模块、加密机、配置数字证书，实现移动端登录应用用户的安全身份鉴别，防止移动端非授权人员登录应用系统；同时在系统业务办公区电脑端部署国密安全浏览器，并向内网用户配发智能密码钥匙，在业务服务区部署加密机，实现对 PC 端登录用户的安全身份鉴别。

另外，建议部署服务器密码机，通过服务器密码机对应用系统中重要数据的存储过程进行机密性和完整性保护。并在系统网络内部署签名验签服务器，对电力企业的身份鉴别认证系统应用用户访问权限控制列表进行完整性保护，防止应用资源被非授权用户篡改。同时应用服务器可通过调用签名验签服务器，对可能涉及法律责任认定的数据原发操作信息进行数字签名。

作为中国领先的网络安全、大数据与云服务提供商，天融信持续深耕密码安全领域，科学推动商用密码技术与新兴技术的融合，形成了完整的商用密码支撑体系，从产品、方案、服务三方面推动密评建设落地。未来，天融信也将继续深耕密码安全领域，积极推动密码安全建设。