前言：中文期刊网精心挑选了个人信息安全应急演练范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
个人信息安全应急演练范文1
目前，我国的信息安全事件和事故的频繁发生，这和老百姓最为直接的就是个人网络账号被盗。据赛门铁克诺顿公司9月11日的诺顿安全报告显示，从2011年7月至2012年7月，网络犯罪致使全球个人用户蒙受的直接损失高达1100亿美元。同期，中国估计有超过2.57亿人成为网络犯罪受害者，直接经济损失达人民币2890亿元。
针对日趋严重的网络安全问题。工信部通信保障局网络安全处副处长付景广对记者说，工信部建立了通讯行业和网络安全防护、应急演练等等，以保障网络运行的稳定和安全。“针对网络钓鱼、垃圾信息等危险用户的切实利益问题，我们与中国互联网协会、中国网络互联网信息中心等建立了相关的机制，以净化网络环境。”
信息安全风险管理需常态化
国家信息化专家咨询委员会委员、国家信息化中国专家委员会副主任宁家骏认为，当前，信息安全形势变化总体来说是国家信息安全形势的一种表现。2010年前后可以看到美国进一步调整它的国家信息安全战略，俄罗斯、纽约也在调整，日本更明确把国家的安全防范对象转向我们国家。“9·11恐怖事件”发生后，美国的多部门独立管理，多种模式逐渐感到没有办法适应信息时代国家安全战略调整需求。所以，它先后整合了一些部门通管他们信息安全技术，另外也任命了公安局的局长出任网络司令部的司令整合军内的信息战略领域。
在当前我们必须看到我们国家的网络信息安全工作面临新的复杂的形势。进入新世纪以来，经济、社会发展对我们信息网络和信息化的依赖程度越来越高，现在我们可以说金融、交通、电力、水务等都离不开信息网络。
宁家骏指出，信息网络的发展已经成为推动社会和经济发展的重要力量，也是各国竞争的制高点。一方面我们看到信息化的大势不可逆转，但是同时我们要必须看到，随着我们中国的迅速崛起，也引起了国际社会的广泛关注。在这种背景下，在全球网络空间国际竞争日趋激烈的背景下，我们的信息安全问题更加错综复杂。所以，对信息安全保障体系的建设需求更加紧迫，面对国内和国际形势，必须进一步提高对我们重要性系统的信息安全保障体系建设的高度重视和对风险的应对能力。
特别是在当前互联网这种特性——规模庞大、带宽持续增长和应用逻辑日益复杂的情况下，如果继续在不同的安全领域中间各自为战将不能适应信息安全新的发展要求。如何处理这种信息访问的瓶颈？如何应对这种开放协议的安全事件？如何来解决我们应用软件中安全漏洞难以避免的现实？宁家骏认为，这些问题要求我们必须解决在信息安全保障中全局协同的问题，同时要提高我们的效能，提高我们对事件处置能力和事前应急预警的能力。
在世界竞争日趋复杂的环境中，已经发生的一些重大信息安全事件对我国的发展产生不同的损失，对我国信息安全的重要性提出了更加紧迫的要求。特别是我们看到威胁在不断的演变，有些部门的人觉得自己的电脑没有什么可以保密的文件，疏忽管理。其实恰恰不然，很多的隐蔽性的网络攻击就是把这些看似没有价值的电脑作为网络攻击的第一个跳板。特别是当前移动互联网的发展，智能终端的广泛应用已经成为当前在网络攻击中的一个最好的获利的平台。
所以，国外每年银行卡信息被盗损失的金额非常巨大，特别是在当前我们这种移动终端，包括山寨手机内置的一些软件，包括我们恶意捆绑那些流氓的软件，使得我们的手机不仅仅是被吸取话费，而且把病毒传播开来。宁家骏说：“未来一方面是信息化安全技术，一方面是面临这种复杂的环境，使我们应对危机的难度在增加。所以，我们必须看到我们存在明显的不足，清醒的认识到这种日益增加的战略层面的巨大的威胁，包括我们很多的技术手段。同时，我们必须要解决这种各自为战的，要克服这种谁主管、谁负责的局限性。”
“我们又必须看到风险管理的滞后和非常态化。当前，我们重视了风险评估工作，但是往往我们对风险的理解常常是限定在技术层面，而没有考虑到相关方的核心力。”宁家骏说，“我们的风险评估常常基于静态，没有真正的开展常态化的、动态的持续的监管。特别是我们个人信息的保护严重的滞后，所以在这里既有我们用户和企业的意识淡薄，更有我们法律的欠缺，也有我们相应的服务和管理上的约束的不足。”
手机信息安全不容忽视
黑客的入侵手法日益更新，传统的网络安全问题正逐渐向移动互联网等领域延伸。付景广介绍，手机终端与PC终端面临的问题没有本质的区别，都面临木马病毒等问题。但是，手机的缴费和扣费功能更容易受到黑客的关注。调查发现有些木马病毒可以操控手机，定制收费业务，造成用户的经济损失，有的还可以远程窃取手机的位置信息和通话记录等，导致用户隐私泄露。
今年以来，社会上有一些企业搜集用户的个人信息引起人们关注。付景广说：“我们需要增强安全意识，这与现实生活中的偷盗诈骗等相比，手机的安全问题和虚拟性、空间地域性，使网络的安全问题变得更加隐蔽和复杂。”他认为，人们只有树立起正确的防范意识，才会自觉地养成良好的防范举措。但是，还有很多在信息产业中的从业人员对信息安全的防范也是一知半解。
最近，工信部发文明确要求：
第一，手机制造企业和行业协会要承担起指导用户安全使用手机的责任，加强风险提示等。
第二，加强应用商店安全管理，控制手机恶意程序的渠道。对捆绑恶意功能的程序必须加大力度处理；另一方面开办应用商店的基础企业，移动互联网企业和手机制造企业要切实履行好各自的责任和安全的审核机制。
个人信息安全应急演练范文2
[关键词]课程思政；信息安全；教学方法
现阶段专业课程融入思想政治教育存在的问题
1.思政教育与专业教育之间存在“两张皮”的现象在国家教育改革的引领下，专业课教师积极促进课程思政入课堂，但由于有的教师刻意地加入相关内容，为了思政而思政，造成了思政教育与专业教育“两张皮”的现象，内容的过度生硬，一定程度上影响了学生对思政内容的接受。因此，高校应研究如何将思政教育与专业教育之间由“两层皮”向“一盘棋”转化，以真正达到育人效果。2.思政教育与专业教育的融合比较随机当前，各科教师在融入思政元素的过程中存在较强的随机性，多是依靠专业课程教师自我发掘与发挥，这就有可能导致思政内容重复，甚至会引起学生的反感。对此，高校应从整体专业规划出发，针对每门课的特点确定课程思政的育人目标，以及思政元素的融入方式，使其形成课程体系的一部分。
专业课程与课程思政协同改革
1.紧扣毕业要求，明确教学目标与育人目标在传统的人才培养方案中，重点在于知识目标和能力目标的定位，为了提升学生的综合素养，高校应结合毕业要求，以课程教学大纲为抓手，明确并落实课程育人目标。以信息安全这门课为例，可通过理论教学与实验环节，使学生具备密码学、计算机系统安全、网络攻击技术与防御基础、病毒分析与防范、防火墙技术与VPN、安全扫描与入侵检测等计算机网络信息安全方面的基本理论知识、技能及综合应用，同时，培养学生独立思考、勇于创新的能力。在确定育人目标时，应让学生通过熟悉信息安全领域的国家方针、政策、法律、法规，追求科学真理，牢固树立热爱祖国、“信息安全技术的发展与应用不能损害国家和合法个人的利益”的理念，明确合法行为与非法行为的界限，理解诚实、公正、诚信的职业操守和职业规范，并在实际生活、学习与工作中自觉遵守。另外，还要面向国际科学应用前沿、国家重大需求及经济主战场，将前沿科技渗透到课程实践中，教育学生努力学习，破解“卡脖子”难题。2.坚持问题导向，改革教学方法信息安全主要采用理论教学、课堂讨论和上机实验相结合的教学方式，注重启发式教学，以问题为导向，引导学生独立设计信息安全框架，逐步培养他们分析问题、解决问题、勇于创新的能力。在课堂教学中，教师要加强与学生的互动交流，指引学生开展团队协作和课堂讨论，并及时分析、评价学生的讨论结果。另外，要从课程内容、实验环节、互动交流、分组讨论中进行专业课程的思政教学体系设计，促使学生产生学习内动力。
具体案例研究
将课程的教学目标及育人目标，深入渗透到教学大纲的具体内容中，使专业课程内容与思政元素有效融合。以信息安全课程为例，本课程的教学目标是掌握计算机网络信息安全方面的基本知识，了解设计和维护网络信息安全的基本手段和常用方法，能够利用理论知识解决生活中的实际问题。思政育人目标是培养出能够肩负历史使命，勇担强国重任，坚持面向世界科技前沿、面向国家重大需求、面向经济主战场，不断向科学技术广度和深度进军的高端信息安全人才。
思政育人案例
1教学内容：第一章，信息安全概述教学目的与要求：了解信息安全面临的主要威胁、信息安全的基本概念、信息安全的发展方向，掌握信息安全的主要技术及解决方案。思政元素切入点：针对美国政府在拿不出任何真凭实据的情况下，泛化国家安全概念，滥用国家力量，以列入实体清单、技术封锁、投资设障等手段，加大对中国企业的打压力度，让中国在芯片领域面临较为被动的局面。针对这一案例，要明确信息安全的真实含义，牢固树立“信息安全技术的发展与应用不能损害国家和合法个人的利益”的理念，强调中国人的命运一定要掌握在自己手里，绝对不容许被任何势力“卡脖子”。育人目标：面向国家重大需求，培养新一代科技人才，使其能潜心关键领域的基础研究与关键技术的开发；引导青年学生发挥“两弹一星”的艰苦创业精神，为国家培养彻底解决“卡脖子”问题的技术人才；学生要树立正确的家国意识与主人翁意识，将个人的聪明才智和未来发展与国家需求相结合。实施过程：（1）教师授课。讲授信息安全面临的主要威胁、信息安全的基本概念、信息安全的解决方案、信息安全的主要技术、信息安全的发展方向等，从中穿插思政元素。（2）师生研讨。学生针对信息安全的案例分组展开研讨，每组委派一名学生进行总结发言；教师和学生进行点评，在整个研讨过程中形成良好的思政氛围。（3）课后拓展。教师可适当给学生提供与国家战略相关的新闻报道和重大成果视频，增强思政权威性，引发学生思考。思政育人案例2教学内容：第二章，密码技术基础与公钥基础设施教学目的与要求：掌握密码学基本概念、了解传统密码技术，掌握公钥密码技术、公钥基础设施。思政元素切入点：对传统密码技术及公钥密码技术进行阐述，引入量子技术的快速发展对已有密码学方案的冲击。在量子计算模型下，经典数论密码体系受到了极大的冲击，如何在量子时代保障数据安全成为一个亟待解决的问题。Regev提出基于格的密码体系可以抵抗这种量子算法的攻击。格密码作为备受关注的抗量子密码体制，吸引了研究人员的目光。格自身有完整的理论体系，相较于其他密码体制有独特的优势：困难问题存在从一般情况到最坏情况的规约，具有较高的算法效率和并行性等。通过知识拓展，引导学生从基于格困难问题的密码体制设计进行思考、探索，培养学生的工匠精神、钻研精神。育人目标：让学生通过了解传统密码技术及公钥密码技术，知晓量子技术的发展对已有技术的冲击，引导其发挥工匠精神及钻研精神，勇于探索行业难题。实施过程：（1）教师授课。讲授密码学数学基础、密码学基本概念、对称密码技术、公钥基础设施等知识，从中穿插思政元素。（2）师生研讨。针对“我们是否可以在标准模型下构造一个抗量子攻击的基于位置的服务方案？这样的方案是否可以做到避免密钥滥用？”这两个问题进行探讨，引导学生思考，培养学生的工匠精神，提升其思考问题、分析问题的能力。（3）课后拓展。课后对量子算法技术进行更深一步的研究，了解两字算法技术的发展对现有技术的推动，并引入相关思政素材，增强思政权威性，引发学生思考及探索。思政育人案例3教学内容：第四章，网络攻击技术与防御基础教学目的与要求：了解黑客的概念及黑客的攻击模式，掌握网络攻击的技术与原理、网络攻击工具、攻击防范。思政元素切入点：2014年3月22日，国内漏洞研究平台曝光称，携程系统开启了用户支付服务接口的调试功能，使所有向银行验证持卡所有者接口传输的数据包均直接保存在本地服务器，包括信用卡用户的身份证、卡号、CVV码等信息均可能被黑客任意窃取，导致大量用户银行卡信息泄露，该漏洞引发了关于“电商网站存储用户信息，并存在泄露风险”等问题的热议。针对携程漏洞事件，教师引导学生熟知《中华人民共和国网络安全法》（以下简称《网络安全法》）要求网络运营者对网络安全运营负有责任，对产品的漏洞及时补救，怠于履行法律义务，导致个人信息泄露的，将面临最高五十万元的罚款，如果是关键信息基础设施的运营者将面临最高一百万元的罚款。2014年12月25日，第三方漏洞研究平台发现大量12306用户数据在互联网流传，内容包含用户账户、明文密码、身份证号码、手机号码等，这次事件是黑客通过收集其他网站泄露的用户名和密码，通过撞库的方式利用12306网站安全机制的缺失来获取13万多条用户数据。针对12306用户数据泄露事件，引导学生熟知关键信息基础设施的网络运营者不仅有一般网络运营者应该履行的网络安全等级保护义务，还有更高层次的网络安全保护义务，如对重要系统和数据库进行容灾备份，制定网络安全应急预案并定期进行演练等。关键信息基础设施运营者若没有每年进行一次安全检测评估，拒不改正或导致网络安全严重后果的，将面临最高一百万元的罚款，对直接负责的主管人员处一万至十万元以下的罚款。育人目标：通过“教、学、做”一体化的教学模式，一方面向学生介绍网络攻击的相关知识；另一方面结合具体案例自然融入《网络安全法》的知识，引导学生正确运用网络安全和防御技术，严格规范自己的网络行为，维护好个人、企业、组织、国家的信息安全，积极构建网络安全。实施过程：（1）教师授课。讲授关于黑客、网络攻击技术与原理、网络攻击工具、网络攻击防范等知识，从中穿插思政元素。（2）师生研讨。学生针对《网络安全法》的案例分组展开研讨，研讨之后，每组委派一名学生进行总结发言；教师和学生点评，拓展学生的知识面，在整个研讨过程中让学生构建网络安全意识。（3）课后拓展。课后可适当给学生提供《网络安全法》的相关报道视频，增强学生的安全意识，使其规范自己的网络行为。
总结
个人信息安全应急演练范文3
电力是人民生活、经济进步不可或缺的必需品，美国作为世界第一大经济体，提供可靠的电力供应是维持社会稳定、保证经济社会平稳发展的必然要求。但随着通用网络与信息技术在电力系统中的使用，病毒、网络攻击给电力生产带来了信息安全风险，尤其美国部分落后地区电网基础设施陈旧，测控与保护系统缺少安全防护机制，一旦遭受信息安全攻击，不仅造成本地区的电力故障，还可能影响北美地区的电力供应。2003年美国东北部和加拿大部分地区发生大面积停电就是典型的连锁反应事故。随着美国智能电网建设的推进，更加开放与友好的电网让美国的电力供应面临更多威胁。2009年的美国黑帽大会上就有人演示验证了蠕虫可以在24h内感染智能电表，使1.5万户家庭电力供应陷入瘫痪[1]。针对基础设施信息安全的严峻形势，美国联邦政府下属多个机构都对电力系统的信息安全给予高度重视，投入资金进行相关的研究与标准制定工作，经过近10a的发展，美国政府相关部门在工业控制尤其是电力系统信息安全防护方面，先后经历了交流研究、立法规范、推行标准和当前的智能电网安全试点投资建设阶段，目前信息安全工作已经取得了一定的成果，的标准和指南被世界范围内电力行业信息安全相关工作人员参考和使用。
本文在对美国电力行业信息安全相关政府部门和标准组织的工作进行总结的基础上，对影响力比较大的法规、标准、及相关指导文件进行了解读，并分析了美国电力行业信息安全工作的特点。
1美国电力行业信息安全管理模式
1.1美国电力行业信息安全研究与管理组织结构
美国联邦政府对电力系统的信息安全工作极为关注，国会多项法案，赋予下属多个部门管理权利与相关职能。在电力企业与机构信息安全监管方面，遵循已有的电力企业监管方式，授权联邦一级的联邦能源管理委员会(FederalEnergyRegulatoryCommission，FERC)监管包括信息安全标准在内的电力可靠性标准的推行。在电力行业信息安全研究与指导方面，美国能源部(DepartmentofEnergy，DOE)下属多个能源实验室从事信息安全的研究，研发的信息安全防护措施与技术直接用于电力相关示范项目中。在信息安全标准化方面，商务部下属美国国家标准技术研究院(NationalInstituteofStandardsandTechnology，NIST)致力于工业控制系统安全标准和智能电网信息安全标准的制定，形成了大量研究成果，为电力企业实施信息安全防护提供了指南。此外，美国国土安全部(DepartmentofHomelandSecurity，DHS)负责信息安全威胁分析与信息安全事件的应急响应，每年都组织包含电网等基础设施在内的大规模信息安全演练。
1.2国土安全部
美国国土安全部(DHS)是美国联邦政府的一个内阁部门，主要职责包括保护美国免受恐怖组织的攻击，同时在发生自然灾害时进行紧急响应。
DHS在2006年、2008年和2010年分别进行了3次网络风暴(cyberstorm)演习。网络风暴演习模拟美国关键基础设施遭受大规模网络攻击时，网络应急响应团体中各政府部分与相关企业联合应对的情况，旨在检测并加强政企合作的网络防灾和响应能力。
DHS还负责控制系统安全项目(controlsystemssecurityprogram，CSSP)的执行，通过联邦、州、地区政府部门和工业控制系统所有者、运营商和厂商的共同努力，降低关键基础设施面临的信息安全风险。项目下设工业控制系统联合工作组(industrialcontrolsystemsjointworkinggroup，CSJWG)，为联邦机构内所有关键基础设施和重要能源部门(criticalinfrastructureandkeystructures，CIKR)，以及工业控制系统私营企业提供交流的渠道，加速设计、开发和部署安全的工业控制系统，持续加强利益相关者在信息安全工作方面的合作。
1.1 能源部及相关单位
1.3.1美国能源部
美国能源部(DOE)是美国联邦政府的能源主管部门，主要负责制定和实施国家综合能源战略和政策。具体职责包括：收集、分析和研究能源信息，提出能源政策方案，制定能源发展与能源安全战略，研究开发安全、环保和有竞争力的能源新产品等。在推进电力安全防护工作方面，DOE在2003年就提出了《保护SCADA系统信息安全的21步》，还资助美国电力科学研究院(ElectricPowerResearchInstitute，EPRI)和多个能源实验室进行电力系统信息安全风险与防护技术的研究。
1.3.2美国联邦能源管理委员会
美国联邦能源管理委员会(FERC)是一个内设于美国能源部的独立监管机构，前身是成立于1920年的联邦电力委员会(FederalPowerCommission，FPC)。委员会的主要职责是负责依法制定联邦政府职权范围内的能源监管政策并实施监管，具体包括监管跨州的电力销售、批发电价、水电建设许可证、天然气定价和石油管道运输费。
《2005年能源政策法案》授权FERC监督主干电网强制可靠性标准的实施。2007年7月，FERC批准由北美电力可靠性组织(NorthAmericanElectricReliabilityCorporation，NERC)制定的《关键设施保护》(criticalinfrastructureprotection，CIP)标准为强制标准，要求各相关企业执行，旨在保护电网，预防由于薄弱的访问控制、软件漏洞或其他控制系统漏洞而导致的信息系统攻击事件的发生。1.3.3北美电力可靠性协会北美电力可靠性组织(NERC)是一个非营利性组织，其前身是1968年6月成立的国家电力可靠性委员会(NationalElectricReliabilityCouncil，NERC)。1965年发生美国东北部大停电之后，各电力企业为促进北美电力传输的可靠性、保证电网输电能力，联合成立了该委员会。1981年由于加拿大和墨西哥的加入，NERC改名为北美电力可靠性协会(NorthAmericanElectricReliabilityCouncil)。NERC的主要工作包括组织制定电力系统运行标准、监督和推进标准的执行、评估系统的能力和提供培训服务。NERC还对重大的电力系统故障进行调查和分析，以防类似事件的再次发生。NERC的成立极大地推动了电力系统可靠性理论的研究及其在工程实际中的应用，同时也带动了世界各国电力可靠性管理工作的开展。
《2005年美国能源政策法案》提出成立“电力可靠性组织”(electricreliabilityorganization，ERO)，制定并推行强制可靠性标准。2006年，NERC被授予该职能。2007年，NERC正式更名为北美电力可靠性组织。NERC的一系列CIP标准，被FERC认证为强制标准，在美国50个州和加拿大部分省份强制执行。美国的电力公司一旦违反这些标准，将被处罚最高每天100万USD的罚金。
1.4美国电力行业信息安全标准研究与制定机构
1.4.1美国国家标准技术研究院
美国国家标准与技术研究院(NIST)是美国商务部下属非监管联邦机构，其前身是1901年成立的美国国家标准局(NationalBureauofStandards，NBS)，1988年更名为美国国家标准与技术研究院。
NIST的职责是指导美国使用已有和新兴的信息技术来满足国家在社会、经济和政治等方面的要求。根据《2002年联邦信息安全管理法案》，NIST加强了信息安全标准、指南和相关技术的研究，完成了NISTSP800系列出版物。其中，NISTSP800-82《工业控制系统安全指南》和NISTSP800-53《联邦信息系统推荐安全措施》2份出版物与电力工业信息安全密切相关。
根据《2007年能源独立与安全法案》，NIST“主要负责协调开发一个包括协议和信息管理的模型标准框架，实现智能电网设备和系统的互操作性”。为了完成法案提出的要求，NIST制定了3阶段的工作计划，以快速建立一套最初的标准，并形成有效的工作流程，随着技术的革新持续对标准进行制订和实施。NIST为商业和其他智能电网利益相关者提供了一个开放的公共交流平台，通过该平台，相关人员可以对已有的标准进行识别，分析缺失的标准并提出亟需制定的标准。目前NIST已了NISTIR7628《智能电网信息安全指南》。
1.4.2国际自动化协会
国际自动化协会（InternationalSocietyofAutomation，ISA)成立于1945年，是一家全球性的非盈利组织。主要从事自动化行业技术标准化工作。除了制定标准，ISA还从事认证、培训、会议组织、技术刊物出版等工作。
ISA的前身是美国仪表协会，2000年随着研究范围的扩大，更名为美国仪器、系统和自动化协会，后在2008年又更名为国际自动化协会。ISA下属ISA99委员会从事包括电网调度系统在内的工业控制系统的信息安全标准化工作，目前正在制定ISA99《工业自动化与控制系统安全》标准系列。
2美国电力行业信息安全工作主要成果
2.1关键设施保护CIP标准
2.1.1CIP标准的制定过程介绍
目前在全美强制推广的CIP标准最初名称是NERC1300，2005年NERC对NERC1300进行了更新并更名为CIP，分为CIP002-009共8个部分草案。CIP编制的目标是保证电网的可靠运行，覆盖对象包括供电公司、发电厂、电网运营商等电力企业。2006年4月，在经过4个版本的讨论与修改后，CIP标准第1版，同时了符合性实施计划[1'实施截止日期根据企业的不同定在2009—2010年之间。
2007年7月20日，FERC针对NERCCIP标准了一份《公共制定规则通知》[11]，将NERCCIP作为强制性标准进行推行，但对标准的8个部分提出了59项修改内容，要求CIP在2009年前进行修改。2008年末，CIP的修改进入了实质性阶段，在2009年9月末了CIP第2版，即CIP002-2至CIP009-2。但在标准的执行过程中，针对CIP执行效果不佳的问题，NERC对CIP标准要求进行了细化和调整，2011年1月了CIP第4版。
2.1.2CIP标准内容介绍
NERCCIP标准的核心部分是CIP-002至CIP-009，8个要求部分分别覆盖资产识别、安全管理、人员管理、访问控制、物理安全、系统安全、应急响应与灾难恢复，具体内容描述见表1。在提出要求的基础上，NERC制定了符合性实施计划，将标准的执行分为了资产评估、基本符合、符合和通过审计4个阶段，对不同的电力企业制定了不同的执行时间表和审计截止日期，电力企业在审计截止日期之前将CIP中要求的材料提交到NERC或州权威机构。
2.1.3CIP标准存在的问题
尽管CIP作为全美强制推行的第一个电力系统信息安全标准，已经在管理层面取得了重大突破，但是CIP在内容上仍存在很多不足。
首先，CIP-002《关键网络资产识别》中只要求电力企业自己选用风险评估方法识别重要的信息资产，而且倾向于防护基于通用网络技术的信息系统主机、终端，但对于继电保护装置、测控装置、变压器等重要的电力系统组件，CIP中却没有提到。电力企业可以根据自己的评估方法接受一定的信息安全风险，自主确定需要保护的资产。但是在实际操作中，很多电力企业都声称在进行了风险评估之后，没有需要保护的重要资产。比如在美国东南最大的一个区域，所有电力企业(包括核电在内)，都认为他们的发电系统对电网的可靠性没有影响，系统满足#-1定律，单一故障并不影响整个系统的稳定性，所以这些系统不属于重要资产[12]。但是他们并没有考虑到安全故障同时发生的情况。试想如果多个电站控制系统中都被植入了木马，而且同时发作，出现的状况将不亚于2003年的东北大停电。2009年4月，NERC的副主席兼首席安全官向NERC提交了一封信，信中称70%的美国电厂都认为自己的系统不是NERC的关键系统，30%的输电资产也被所属电力公司认为是非关键资产，而由于CIP没有覆盖配电，所以100%配电系统都不属于关键资产[13]。FERC在《公共制定规则通知》中对CIP的宽松条款表示不满，要求NERC重新考虑修改事宜，经过多版更新，目前的CIP第4版中虽然对资产进行了更近一步的定义，但是发电厂的资产基线设定值高达1500MW，仍有很多的发电设备将在防护要求之外，而且标准依旧没有考虑配电设施。
其次，CIP标准中要求的安全机制都是适用于商用信息系统的防病毒、安全配置等通用措施，主要用于解决调度中心的服务器和工作站的安全问题，而不是防护电厂和变电站的现场设备的。但对于目前美国变电站和电厂中的大部分现场控制器和可编程逻辑控制器（programmablelogiccontroller，PLC)等众多计算机处理能力低、结构简单的设备，这些措施则无法实施。而且，随着智能电网的推行，底层设备的智能化而引入的信息安全风险也是CIP标准必须面对的问题。
再次，CIP标准没有考虑配电系统和电力市场交易系统。配电的监控系统也是连接在NERC的调度通信网上的，配电监控系统的安全同样影响电网的安全。开放接入实时信息系统(openaccesssame-timeinformationsystem，OASIS)作为市场交易系统的一种，就在CIP的管理范围之外，它们一边连着EMS/SCADA系统，另一边就连着互联网，对电网的安全构成极大威胁。
根据NERC2011年3月的标准符合度情况统计数据，从2010年起，各电力企业和机构的CIP不符合项以每月100个的速度增长，而且这些不符合项中超过一半都还没有整改。CIP标准本身的缺陷和推行不力问题，使得美国国内很多专家对CIP是否真的能够提升全美电力系统的信息安全水平产生了巨大质疑。
2.2 NISTSP800-53和NISTIR7628
2.2.1 NISTSP800-53介绍
在美国国会将NERCCIP提升为强制要求的过程中，信息安全界始终有呼声推举安全防护覆盖面更广的NISTSP800-53作为强制标准。
NISTSP800-53是为了支持《2002年联邦信息安全管理法案》而制定的，该法案要求所有联邦机构都开发、记录并实施信息系统安全项目。作为法案实施的一部分，NIST提出了“风险管理框架”，将法案相关的标准和指南进行整合，帮助各机构制定实施信息安全项目，在法案的要求下，所有的联邦机构都必须强制执行。NISTSP800-53是“风险管理框架”的基础，其中包含管理、操作和技术3类安全控制措施(图2)，为机构实施信息安全项目提供了基本信息安全控制点。
2.2.2 NISTIR7628介绍
在美国政府将智能电网列入国家重点发展产业的同时，NIST为智能电网信息安全战略规划了一份报告NISTIR7628《智能电网信息安全指南》。作为国家层面智能电网信息安全防护战略规划与指南，NISTIR7628中提出了一个普适性的框架，电力企业可以根据该框架制定基于自身特征、风险与脆弱性的信息安全战略规划。而相关的电力设备厂商和管理部门也可以将该报告中的安全措施作为工作指南的基本素材。
NIST编制NISTIR7628的目的是对NISTSP1108《智能电网互操作标准框架与路线图》进行补充。NISTSP1108提出信息安全是需要优先解决的标准工作专题，NISTIR7628在此基础上，对智能电网的信息安全进行了深入的分析，提供了用于指导智能电网风险管理的相关内容。NISTIR7628的编制工作自2009年3月启动，经过了多轮公开讨论与修改，第3版最终在2010年8月。
NISTIR7628报告第3版全文分为3个分册。第1分册描述了用于识别高层安全要求的风险评估步骤，提出了智能电网概念模型和7个智能电网域、域中以及域间接口的逻辑接口架构，并将这些接口分为了22类，对每一类接口制定了高层安全要求。在第1分册的最后对智能电网系统与设备中的加密与密钥管理问题进行了讨论。第2分册主要对用户的隐私问题进行了讨论。报告中对智能电网中新技术、个人信息、社区信息、人们在居所中的行为、电动汽车的使用情况等信息涉及的隐私问题进行了分析。根据被普遍使用的隐私原则，建议电力企业对智能电网业务流程中的包含个人信息的数据流进行跟踪，将隐私风险降到最低，另外还建议电力企业对用户和相关人员进行智能电网隐私风险的培训，指导他们降低此类风险。第3分册是对前2册中提出高层安全要求的需求分析和其他相关资料的汇编。其中包含脆弱性分类方法和报告编制采用的“自下向上”的安全分析方法。此外，还包含了智能电网信息安全新技术研发专题，指明了保证高层可靠性与安全的技术方向。最后，对识别和梳理智能电网信息安全标准的过程进行了描述。
NISTIR7628最大的贡献之一是形成了智能电网的安全要求指南，这些安全要求的内容主要是出自NISTSP800-53附录I中工业控制系统的安全要求，是对NIST之前工业控制系统安全研究成果的继承。尽管这份报告内容翔实丰富，且对于实际防护具有指导意义，但与NISTSP800-53遭遇的尴尬境地一样，美国政府想在电力行业内推行NISTIR7628中的要求仍需要长时间的考量和多方利益的权衡。
2.3 ISA99和旧C62443的推进
除了政府层面从保卫国家基础设施安全的角度关注电力系统以及智能电网的安全防护外，安全厂商、监控系统与设备制造商也意识到了电力系统的安全产品与解决方案市场潜力巨大，在基于原有信息安全技术提供测控系统及设备附加安全服务的同时，厂商通过参与民间电力系统信息安全技术标准化工作来占领技术制高点，扩大影响力，提升自身竞争力。
ISA下属ISA99委员会从事工业控制系统的信息安全标准化工作，正在制定的标准系列ISA99《工业自动化与控制系统安全》未来将被IEC等同采用为IEC62443《工业通信网络一网络和系统安全》。
ISA99委员会在其工作计划中提到，未来《工业自动化与控制系统安全》系列标准包含有常识与术语、安全项目的建立与运行、系统的等级与要求和终端设备的技术要求等4部分内容，标准结构见图3。
在ISA99委员会进行标准制定的同时，ISA下属安全合规性委员会(ISAsecuritycomplianceinstitute，ISCI)成立了嵌入式设备安全保证(embeddeddevicesecurityassurance，EDSA)认证项目，提出了嵌入式设备安全功能要求、嵌入式设备开发要求和嵌入式设备网络协议健壮性要求等一系列嵌入式设备测评准则和流程文档，在一定程度上为嵌入式设备的厂商提供了设备安全功能指南。
设备与系统安全机制的标准化和对电力通信规约的安全改造标准化，可以从底层直接实现系统建设与更新过程中安全技术的产业化集成，对提高电力系统的安全风险抵御能力具有重要意义。ISA99委员会早在1997年就了工业控制与自动化信息安全技术的报告，是最早进行相关研究的组织之一，因此业界一直对由厂商和研究机构组成的ISA99委员会寄予巨大期望，希望该委员会制定的标准能够从本质上提高工业控制系统的信息安全技术防护能力。在欧洲和亚洲具有巨大影响力的IEC的加入，也为ISA99在全球的推广提供了有力的支持。但是由于工作量巨大，标准工作组内部组织不力，ISA99标准的编制工作进展缓慢，目前还没有成型的实质性成果。
3美国电力行业信息安全工作的特点
3.1 厂商掌握核心信息安全技术
由于美国信息技术发展起步较早，美国IT厂商掌握着大量信息安全的核心技术，而且信息安全的标准化工作都主要是美国有实力的厂商主导。以目前唯一的电力系统信息安全技术标准，电力规约通信安全标准IEC62351[2Q]为例，IEC62351-3《包含TCP/IP协议的安全规范》中使用的方法为“传输层安全协议”（transportlayersecurity，TLS)[21]，TLS协议是Certicom公司1999年在Internet工程任务组(Internetengineeringtaskforce，IETF)提出的。另外，Cisco、Microsoft等国外公司都掌握大量通信信息安全核心技术。
除了掌握核心技术知识产权，大量美国厂商还引领着信息安全技术的发展方向。随着电力监控终端的处理能力的提高和一次设备的智能化，设备自身面临的安全风险逐渐增多，大量自动控制系统生产厂商都在致力于将信息安全功能作为设备的增值能力，意图从系统底层奠定智能电网信息安全的基础。全球嵌入式及移动应用软件制造商WindRiver于2011年2月宣布与全球最大的专业安全技术公司McAfee达成一项战略合作协议，针对各类非PC设备，尤其是嵌入式及移动设备，共同开发、营销专属的安全防护解决方案并提供相关支持。
3.2 国家层面电力安全项目扶持力度大
美国联邦政府安排多个部门从事电力系统信息安全的相关工作，并对工业控制系统安全研究、智能电网标准化和企业技术研发项目提供强大的资金支持。早在2004年，DHS就向11家小公司提供了10万USD基金进行包括入侵检测系统(intrusiondetectionsystems，IDS)和密码算法在内的SCADA系统安全相关研究。2005年，为支持研究机构从事SCADA系统安全研究，DHS和NIST共同出资850万USD作为由Sandia实验室领导的信息架构保护协会（instituteforinformationinfrastructureprotection，I3P)2a期的研究经费。2007年，DOE向5个项目提供了790万USD进行电网以及其他能源基础设施的安全设备集成与先进技术应用。2009年底奥巴马提出政府将拨款34亿USD带动美国智能电网建设，2010年美国能源部为10个智能电网信息安全项目提供了3040万USD作为资金支持。2009年底确定的智能电网示范项目中很多项目都不同程度地包含信息安全的工作，其中DOE提供850多万USD示范项目基金，采用波音公司的军用级别信息安全软件技术改进区域输电系统计划与运行软件。美国多个部门连续在财年预算中提供工业控制和电力系统信息安全的项目基金，鼓励企业和学术机构从事相关的研究和研发工作，当前美国在电力系统信息安全方面的国际领先地位与政府的大力扶持密不可分。
3.3 电力行业信息安全监管力度较弱
美国在电力行业市场化进程中，随着民间资本的流入，政府对电力企业的监管控制程度都不同程度地降低了。在信息安全工作方面，尽管多部门齐抓共管，但在实际工作中国家层面各政府部门并不能强制要求电力企业如何进行信息安全防护工作，主要措施还是提供信息安全防护标准、指南，并且通过推动标准、指南的产业化应用逐步实现电力企业安全防护能力的提升。虽然FERC在强制推行CIP标准，但CIP的强度与我国的《电力二次系统安全防护规定》及配套方案相比，在控制力度和技术措施细度方面存在巨大差距，即使贯彻实行，也难以达到防御集团式攻击的能力。而且，FERC的监管权利有限，只能被动等待电力企业上报自审结果，并不具备有力的强制性监管方式，即使电力企业对实际标准执行工作敷衍了事，FERC也无可奈何。
3.4 电力企业信息安全工作基础较差
在电力市场竞争中，大部分美国电力企业更关注经济效益。由于受到20世纪90年代电力改革的影响，部分州的电网运营商利润被挤压，高额负债无法偿还、设备无法更新、电网老化严重和数字化程度低等现状严重制约美国电网的发展。在这样的形势下，企业投资者不愿意也没有资金从事信息安全防护工作。虽然近几年国家加大了这方面的资金投入，但对于大量的电力企业来说，信息安全的经验积累和意识转变仍需要时间。
在IT基础设施方面，大部分美国电力企业不具备用于生产控制业务的专用网络，仍使用互联网实现生产控制系统的广域连接，使得控制系统暴露在互联网上，为电网的生产控制引入巨大的风险。而且，目前各公司对信息安全工作的理解和重视程度不同，设定的信息安全防护目标和实现的防护效果也差异很大，防护薄弱的节点必然会成为整个北美互连电网抵御信息安全攻击的“短板”。
个人信息安全应急演练范文4
1.信息科技管理模式现状
一是分支机构管理模式。主要为国有银行、股份制银行的分支机构及各级农合机构。其信息系统的开发、维护和管理均由上级行统一负责，市、县各级科技部门主要负责本行信息系统安全、运维和设备管理。其中市级分支机构通过成立科技管理部或网络信息中心负责科技管理工作；市级中心机房仅承担网络通道、应用前端和节点接入功能，负责数据发送接收。县级分支机构科技管理通常由财会、办公室等部门人员兼任，由上级行科技部门对其进行技术指导。
二是中小法人管理模式。主要为村镇银行和贷款公司等新型农村金融机构。其信息化建设均外包给发起行，由其统一进行建设；重要信息系统托管于发起行，或由发起行托管于第三方机构；科技管理工作通常由财会、办公室等部门人员兼任，由发起行科技部门对其进行技术指导。
2.存在的主要问题及原因
基层涉农银行机构在信息科技管理中，均不同程度存在人力、物力缺乏，制度、规范缺位，贯彻执行乏力的情况；对信息科技风险的认识停留在表面阶段，对于实质存在哪些风险、如何有效降低风险知之甚少。综合分析，主要是以下五个方面存在突出问题：
2.1科技岗位缺失导致保障能力不强
辖内基层涉农银行机构科技人员整体布局不足，与银监会要求的“十二五”末达到3%的目标相距甚远。基层机构普遍在人事制度安排上，没有专业部门负责科技管理，一般由财务会计、办公室、综合部门兼管科技，有的虽成立了信息科技部门，但科技工作职责上没有严格独立。高管层中也没有专职领导来分管科技，普遍缺乏对信息科技风险管理内涵的认知，缺乏整体科技战略，没有将信息科技风险管理当作日常性工作安排，少有银行机构召开专题会议研究部署信息科技管理工作。调查发现，城区科技人员和工作人员的比例约在1%；县域的比例约在0.4%，即县级机构普遍只有1-2名兼职人员负责辖内县、乡、村网点的科技管理和技术保障，再加上与业务部门职能交叉，辖内到科技人员占比低，力量薄弱。现场走访调查发现，辖内基层涉农机构大量信息科技人员对信息技术的掌握有限，对系统运行中出现的问题和故障缺乏基本的判断能力，对重要信息系统难以形成有效保障。
2.2管理水平低下，制约信息科技发展
信息科技管理不仅对人员技术水平有特殊的要求，管理方法和经验也尤为重要，目前辖内基层涉农银行机构信息科技整体管理简单、粗糙，管理水平明显不足，基本沿用了上级行的规章制度，这些制度并不适合组织架构较为简化，人员岗位存在严重不足的基层涉农机构，导致制度与实际脱节、决策流程不畅、办事效率底下，相关工作要求难以有效落实到工作中去，对业务流程管理也缺乏约束。
2.3运维管理管理存在风险隐患
一是运维管理不规范。辖内多数基层涉农银行机构未落实机房专人值班，仅有少数机构能够落实双人值班。另外，辖内多数机构未设置信息安全员岗位，在对柜面人员、科技运维人员和中心机房的安全管理方面，缺乏明确的安全管理制度，部分机构仅凭经验与员工进行安全管理方面的约定。二是运维流程不清晰。辖内基层涉农银行机构在运维流程方面比较混乱，网络出现故障乱作一团，没有章法可循。三是是运维手段未建立。目前大部分机构运维仍然完全依靠工作人员，银行普遍使用的安全监控、网络监控、系统和设备监控等技术手段在基层涉农银行机构还是空白，导致出现故障时完全依靠经验判断，处置风险的精确度和效率大大降低。
2.4电子渠道信息安全隐患突出
近年，辖内基层涉农银行机构连续发生3起ATM安全事件，对客户及银行的资金安全造成威胁。随着基层涉农银行机构的银行卡和电子银行业务快速发展，基层涉农银行机构科技力量薄弱问题凸显，难以有效管控信息科技风险。归结起来主要问题有三：一是基层涉农银行机构离行式金融机具管理手段落后，无远程管理能力，普遍存在夜间管理困难、缺乏自动报警手段等问题。二是地域广科技人员少，重要信息系统日常检查、定期巡查周期过长。三是由于宣传不到位，县域客户自我保护意识相对薄弱，个人信息、银行卡的密码等重要信息容易泄漏。
2.5基础设施落后，业务连续性缺乏保障
因为科技投入不足，基层涉农银行机构的科技基础设施建设建设风险较大，普遍存在因基础设施故障导致业务中断、安全防范设施不足导致信息被盗的风险较为突出。一是机房建设标准较低。部分涉农机构机房布局、面积、防静电、防火低于国家机房建设标准；缺乏精密空调，硬件设备正常运行的环境无法保障；缺乏视频监控系统，信息科技突发事件难以实时响应；少数机构还有与其它单位共用机房，双方科技人员共同参与管理维护情况。二是电力保障未达到监管要求。多数涉农机构地处供山区，供电保障条件较差，未实行双路市电、UPS+发电机等供电保障机制，与所处环境供电情况存在一定差距。三是重要网络通信设备缺少冗余备份。尽管网络接入基本采用了专线，主要网络设备也有冗余备份，但出于成本考虑，通讯线路大部分是单线运行，因通讯故障和通讯运营商服务质量导致业务中断的故障时有发生。
3.监管建议
3.1立足市场准入，科技监管地位要明确
监管部门应将县级以下机构信息科技风险纳入监管视野，关注涉农银行机构的信息系统安全稳定问题，通过制订相关政策法规，将信息科技监管纳入市场准入工作，将科技风险关口前移，严控信息科技风险。一是明确县级以下分支机构科技准入标准，包括科技人员覆盖率、年度投入等，确保信息科技人力物力投入力度；二是制定新型农村金融机构科技建设准入门槛，确保小法人机构的基础设施能保障业务连续性发展；三是加大县域机构信息科技风险巡查力度，确保农村金融服务质量不断提升。
3.2立足制度建设，科技治理架构要规范
县级以下分支机构应将信息科技风险纳入风险管理总体框架，并重点从制度建设、基建保障、业务连续性管理等方面予以改进和完善。一是整章建制。要认真贯彻落实银监会《商业银行信息科技风险防范管理指引》，逐步制定符合实际情况的科技制度，形成完整、实用的规章制度体系，从制度上提高科技风险管理能力；二是狠抓基建。有计划的提升基础设施建设水平，建立对供电、通讯和主要设备冗余备份机制，不断加强容灾能力，以满足未来业务发展的需要；三是连续性管理。加强环境监控措施，适时开展应急演练和测评，确保在发生重大突发信息科技突发事件时，能够迅速做出反应并从容应对。
