探究網絡安全法在石油網絡安全管理中的深化應用發(fā)布者：本站     時間：2020-05-02 15:05:59

隨著石油企業(yè)的快速發(fā)展， 先進的信息技術不斷應用到石油企業(yè)內部系統(tǒng)建設中， 網絡安全問題也愈發(fā)復雜。早就從2008年起， 石油企業(yè)加大了對網絡安全和信息安全的重視程度， 通過規(guī)范化的網絡安全管理， 促進石油企業(yè)的穩(wěn)健發(fā)展。在這樣的環(huán)境背景下， 探究網絡安全法在石油網絡安全管理中的深化應用具有非常重要的現(xiàn)實意義。

1《網絡安全法》的主要原則

《網絡安全法》作為一項規(guī)范網絡空間安全管理的基礎性法律規(guī)定， 對我國網絡空間法制建設具有重大作用， 可以化解網絡風險， 進而推動互聯(lián)網的法制建設和運行。針對石油網絡安全管理工作， 可以為各項安全管理制度的制定和完善， 提供切實的法律保障， 具體原則如下：

（1） 空間主權原則

《網絡安全法》中明確指出， 必須維護我國網絡空間主權， 這是國家主權在網絡空間的綜合表現(xiàn)， 習近平主席在《聯(lián)合國憲章》中強調了主權平等原則屬于當代國家關系基本原則， 其影響范圍涉及到國與國間的交往領域， 其精神與原則同樣可以應用在網絡空間中， 其網絡發(fā)展道路、管理模式以及公共政策， 要享受到平等的網絡空間治理權力。同時《網絡安全法》也適用在我國境內網絡和網絡安全管理中。

（2） 信息化原則

網絡安全是一切發(fā)展的基本條件基本保障， 這就使得安全與發(fā)展必須同步進行。換句話說， 網絡安全與信息化發(fā)展必須同步進行， 統(tǒng)一規(guī)劃、部署、推進和實施。在《網絡安全法》第三條中提出， 我國必須堅持網絡安全和信息共同發(fā)展的原則， 依照積極利用、依法管理、科學發(fā)展的理念， 加強網絡基礎建設， 促進網絡技術的創(chuàng)新與應用， 并構建完善的網絡安全保障體系， 實現(xiàn)網絡安全水平的提升。

（3） 共同治理原則

網絡空間安全如果單純依賴于政府機關是無法達到最佳的安全管理效果， 所以需要政府機關、社會組織、相關企業(yè)以及社會群體的共同努力， 將所有網絡利益相關者整合起來， 共同參與到網絡安全管理中， 根據自身角色承擔網絡安全治理責任， 形成共同治理的局面。

2 網絡安全法在石油網絡安全管理中的深化應用

（1） 完善管理制度， 規(guī)劃安全方向

在石油網絡安全管理工作中， 要根據《網絡安全法》中的相關規(guī)定， 提煉出精華部分， 應用到石油網絡安全管理體系中， 制定一套完整的石油網絡安全管理制度， 規(guī)范網絡安全管理行為， 并緊緊抓住網絡安全管理的大方向， 明確石油網絡安全管理重點， 進而有利于石油網絡安全管理水平的提升。從石油網絡安全管理本質上看， 其屬于一種信息安全管理模式， 主要是為了加強石油企業(yè)安全管理能力， 促進石油企業(yè)的持續(xù)性良好運作， 為石油企業(yè)的信息資源提供基本保障。在制定網絡安全管理制度中， 圍繞《網絡安全法》， 借助各種安全標準和參考標準， 規(guī)范網絡安全管理行為， 避免違規(guī)操作造成的網絡風險， 進而促進石油網絡安全管理工作的規(guī)范化和科學化。

（2） 加強日常檢查， 建設安全域

在石油網絡安全管理中， 根據《網絡安全法》的核心原則， 開展網絡安全和合規(guī)性檢查工作， 利用日常檢查的方式， 對企業(yè)網絡安全管理工作進行梳理和優(yōu)化， 對高危安全漏洞進行徹底的排查， 有效識別工控系統(tǒng)中的各種安全風險， 核對信息系統(tǒng)中的定級備案現(xiàn)狀。同時， 根據石油企業(yè)實際需求， 開展信息系統(tǒng)常規(guī)安全檢查、工業(yè)控制系統(tǒng)安全檢查以及各個網絡系統(tǒng)等級保護合規(guī)性檢查， 進而將網絡風險扼殺在搖籃中。除此之外， 石油企業(yè)要加強網絡安全域建設， 合理劃分石油企業(yè)的網絡安全域， 把石油企業(yè)網絡根據使用功能劃分成內網、外網、專網和專線等部分， 各個類型的網絡必須配以對應的訪問規(guī)則， 實現(xiàn)石油網絡的分區(qū)防護， 建設統(tǒng)一的互聯(lián)網出口， 合理布設安全防護設備， 提高網絡訪問的安全性。

（3） 創(chuàng)新安全技術， 深化應用價值

基于《網絡安全法》的核心原則， 在石油網絡安全管理中， 要對網絡安全技術進行創(chuàng)新和優(yōu)化， 特別是在網絡安全設施逐漸開放化背景下， 在傳統(tǒng)網絡安全管理中， 物理隔離技術、加密隔離技術和內外網隔離技術只能對傳統(tǒng)網絡框架進行安全防護。隨著科學技術的不斷發(fā)展， 以隔離為核心的安全體系得到了新的升級， 涌現(xiàn)出一些以硬件銷售為主營業(yè)務的網絡安全公司， 主要涉及到防火墻、入侵防御系統(tǒng)、入侵檢測系統(tǒng)、威脅管理系統(tǒng)、SSL網管等技術， 無需提供商的參與， 通過總集成應用和信息安全建立連接， 形成相對獨立的安全防護體系。傳統(tǒng)網絡安全技術具備分散割據化、對應用的封閉化、硬件盒子化等特征， 封閉化的安全設備從某種意義上維護了傳統(tǒng)安全廠商的利益， 但是卻損害了用戶的利益。而從用戶的角度來看， 未來安全設備的開放化、可編程化是需要用戶去推動的趨勢。

3 網絡安全法在石油網絡安全管理中的應用實踐成效

某石油企業(yè)為了貫徹《網絡安全法》和"兩會"、"十九大"網絡安全保障要求， 構建信息安全責任機制， 加強全員安全意識， 狠抓風險識別和整改， 逐步提高網絡安全管控能力， 切實保障信息系統(tǒng)安全穩(wěn)定運行。

（1） 落實網絡安全責任機制

在網絡安全管理中， 遵循"誰主管誰負責、誰使用誰負責"的原則， 落實網絡安全責任制， 各個部門緊密合作， 形成聯(lián)動協(xié)作系統(tǒng)， 由各部門負責人簽署網絡安全保障責任承諾書， 信息系統(tǒng)建設商、運維商簽署網絡安全責任書， 落實相關責任， 帶動網絡安全管理工作的開展。

（2） 強化安全整治迎檢工作

結合石油信息安全現(xiàn)狀， 實行87個檢查項目， 對420多個控制點進行安全規(guī)劃部署， 特別是針對安全管理和各個網絡系統(tǒng)開展全面自查活動， 建設風險點臺賬， 進而實現(xiàn)石油網絡安全整治， 解決油庫工控網與辦公網中的安全防護問題， 并針對移動應用、賬戶權限、密碼管控以及互聯(lián)網應用等問題進行專項治理， 加強終端管理系統(tǒng)的推廣和部署， 聯(lián)合防護機制， 以符合網絡安全控制要求。

（3） 做好監(jiān)測預警與應急工作

石油企業(yè)在"兩會"和"十九大"會議期間， 針對勒索病毒的入侵， 實行24小時輪崗值守機制， 組織技術人員針對石油企業(yè)網絡邊界設備與服務器等網絡設備進行安全防護， 而對企業(yè)內部WIN桌面終端實行拉網式緊急防護措施， 預防各種網絡安全事件的發(fā)生， 從根源處消除安全隱患， 并在數(shù)據中心機房開展火災、停電、漏水、網絡、服務器故障等信息基礎設施損壞應急預案演練和ERP等， 重要信息系統(tǒng)故障后業(yè)務應急演練， 有效保障信息安全。

（4） 開展《網絡安全法》培訓宣傳活動

石油企業(yè)以"增強網絡安全意識， 共筑安全發(fā)展基石"目標， 在全體員工中組織開展網絡安全宣傳活動， 在石油企業(yè)官方網站組織網絡安全知識有獎答題活動， 并對信息部門、基層信息綜合運維崗、信息關鍵用戶等進行安全技能培訓， 使IT人員熟練掌握安全攻防技能、運維、日志審計系統(tǒng)的日常使用。在培訓中， 介紹我國互聯(lián)網的發(fā)展狀況、網絡安全面臨的形勢以及《網絡安全法》中與工作、生活相關的重要法律法規(guī)等內容， 還要結合公司實際講解公司網絡基本架構、安全防范措施等等， 表明網絡安全的重要地位， 讓企業(yè)內部員了解《網絡安全法》， 認識到網絡安全， 形成自覺意識， 積極參與到石油企業(yè)網絡安全管理中， 提高石油企業(yè)網絡安全管理的綜合水平。