发布时间：2023-06-16 16:25:29
序言：写作是分享个人见解和探索未知领域的桥梁，我们为您精选了8篇的公司安全防护措施样本，期待这些样本能够为您提供丰富的参考和启发，请尽情阅读。
1电力施工和检修中存在的问题
1.1施工人员的安全意识薄弱
在电力施工和检修中，许多电力公司为了追求经济利益，一味地降低施工和检修成本，忽视了施工和检修安全的重要性，主要体现在以下2方面：①未开展安全培训。多数电力公司在开展电力施工和检修工作前，并没有对相应的工作人员展开必要的安全教育，也没有进行必要的考核，许多工作人员不具备相应的自我保护能力，在施工和检修中无法完全按照相应的安全规范施工，导致安全事故频发。②安全防护设备数量不足，标准较低。安全防护设备是保障电力施工和检修人员人身安全的重要措施，但一些电力公司并未按照电力施工和检修工作的需求配置相应的安全防护设备，或配置的防护设备未达到相应的安全标准，导致工作人员只能在无安全防护或低级安全防护等条件下施工和检修，进而提高了安全事故发生的概率。
1.2电力施工和检修管理的水平较低
在电力施工中，部分监督管理部门对施工安全缺乏深入了解，且监督管理人员的综合素质较低，在监督管理工作中未严格按照相应要求执行，无法及时发现电力施工中的安全隐患，进而导致电力施工安全事故频发；在电力检修中，电力设备管理缺乏系统性，未建立完善的电力设备信息统计表，且许多电力设备长期处于超负荷状态。
1.3电力施工和检修责任制度不完善
在电力施工和检修工作中，责任制度不完善是电力安全事故频发的重要原因之一，具体表现在以下2方面：①电力施工中涉及多方面的安全问题，但电力公司未设置专门的安全管理机构，安全管理制度也并不健全，并未将责任明确落实到部门或个人。②在电力检修中，缺乏明确的责任制度，许多电力检修人员在检修工作中存在敷衍、散漫、主观臆断等现象，无法及时发现设备故障，最终引发安全事故。
2解决措施
2.1加强安全保障措施
电力企业应加强对施工和检修安全的重视，开展相应的安全教育和培训，增强工作人员的安全意识，从而使其在实际工作中严格按照安全规范作业，主动规避各种危险因素，做好相应的安全保护工作，尽可能地避免安全事故发生；加大在安全设备方面的经费投入，按照电力施工和检修工作的需求，采购高质量的安全防护设备，并加强对安全防护设备的管理，保证所有工作人员在正确穿戴安全防护设备的状态下作业，充分发挥安全防护设备的功能，从而提高电力施工和检修工作的安全性。
2.2加强对电力施工和检修的监督管理
应设置专门的监督管理机构，聘请高水平的监督管理人员，结合工程项目的实际情况制订严格的管理制度，按照管理制度中的要求充分落实日常监督管理工作，及时发现电力施工和检修中存在的违章操作等问题，以防发生安全事故；加强对相应工作人员的培训，提高电力施工和检修人员的专业技能水平；开展职业道德培养工作，使施工和检修人员持有正确的工作态度；在施工和检修工作开始前，严格检查作业所需的机械设备能否正常工作、安全防护措施是否周密、工作流程是否存在疏漏等，从而为施工和检修工作的顺利开展提供保障，避免电力安全事故的发生。
2.3完善电力施工和检修的责任制度
良好的责任制度能有效增强各方面工作人员的责任心，从而降低安全事故的发生概率。应完善电力施工安全管理责任制度，加强对施工现场危险源的识别，增强管理人员、施工人员的防范意识，严格按照安全检查验收和评价制度审查电力施工方案和风险报告；完善电力检修责任制度，做好安全防护工作，加强相应的安全控制，并与现场值班人员积极沟通、配合，从而提高电力设备的检修效率。
3结束语
关键词：电力营销；网络安全；安全建设；安全管理
1 引言
营销业务作为“SG186”工程的业务系统之一，应用上涵盖了新装增容及变更用电、资产管理、计量点管理、抄表管理、核算管理、电费收缴、帐务管理、用电检查管理、95598业务等领域，需要7×24小时不间断、安全可靠运行的保障[1]。因此在遵循国家电网公司“SG186”工程的建设标准和信息网络等级保护要求的基础上，结合营销关键业务应用，加强信息安全防护，保障营销系统网络的安全运行。本文针对新疆电力营销系统的现状，给出了一种多层次的安全防护方案，对保障营销系统网络稳定运行，保护用户信息安全，传输安全、存储安全和有效安全管理方面给出了建设意见。
2 新疆营销网络系统现状
新疆电力营销业务应用经过了多年的建设，目前大部分地区在业扩报装、电费计算、客户服务等方面的营销信息化都基本达到实用化程度，在客户服务层、业务处理层、管理监控层三个层次上实现了相应的基本功能。结合新疆电力公司的实际情况，主要分析了管理现状和网络现状。
2.1 管理现状
根据公司总部提出的“集团化运作、集约化发展、精细化管理”的工作思路，从管理的需求上来说，数据越集中，管理的力度越细，越能够达到精细化的管理的要求。但由于目前各地市公司的管理水平现状、IT现状、人员现状等制约因素的限制，不可能使各地市公司的管理都能够一步到位，尤其是边远地区。因此，营销业务应用管理在基于现状的基础上逐步推进。根据对当前各地市公司的营销管理现状和管理目标需求的分析，管理现状可分为如下三类：实时化、精细化管理；准实时、可控的管理；非实时、粗放式管理。目前大部分管理集中在第二类和第三类。
2.2 网络现状
网络建设水平将直接影响营销业务应用的系统架构部署，目前新疆公司信息网已经形成，实现了公司总部到网省公司、网省公司本部到下属地市公司的信息网络互连互通，但是各地市公司在地市公司到下属基层供电单位的之间的信息网络建设情况差别较大，部分地市公司已经全部建成光纤网络，并且有相应的备用通道，能够满足实时通信的要求，部分地市公司通过租用专线方式等实现连接，还有一些地市公司由于受地域条件的限制，尚存在一些信息网络无法到达的地方，对大批量、实时的数据传输要求无法有效保证，通道的可靠性相对较差。
2.3 需求分析
营销业务系统通常部署在国家电网公司内部信息网络的核心机房，为国家电网公司内部信息网络和国家电网公司外部信息网络的用户提供相关业务支持。该网络涉及业务工作和业务应用环境复杂，与外部/内部单位之间存在大量敏感数据交换，使用人员涵盖国家电网公司内部人员，外部厂商人员，公网用户等。因此，在网络身份认证、数据存储、网络边界防护与管理等层面上都有很高的安全需求。[2]
3 关键技术和架构
3.1 安全防护体系架构
营销网络系统安全防护体系的总体目标是保障营销系统安全有序的运行，规范国家电网公司内部信息网员工和外部信息网用户的行为，对违规行为进行报警和处理。营销网络系统安全防护体系由3个系统（3维度）接入终端安全、数据传输安全和应用系统安全三个方面内容，以及其多个子系统组成，其体系结构如图1所示。
图1 营销系统安全防护总体防护架构
3.2 接入终端安全
接入营销网的智能终端形式多样，包括PC终端、智能电表和移动售电终端等。面临协议不统一，更新换代快，网络攻击日新月异，黑客利用安全漏洞的速度越来越快，形式越来越隐蔽等安全问题。传统的基于特征码被动防护的反病毒软件远远不能满足需求。需要加强终端的安全改造和监管，建立完善的认证、准入和监管机制，对违规行为及时报警、处理和备案，减小终端接入给系统带来的安全隐患。
3.3 数据传输安全
传统的数据传输未采取加密和完整性校验等保护措施，电力营销数据涉及国家电网公司和用户信息，安全等级较高，需要更有效的手段消除数据泄露、非法篡改信息等风险。
市场上常见的安全网关、防火墙、漏洞检测设备等，都具有数据加密传输的功能，能够有效保证数据传输的安全性。但仅仅依靠安全设备来保证数据通道的安全也是不够的。一旦设备被穿透，将可能造成营销系统数据和用户信息的泄露。除此之外，还需要采用更加安全可靠的协议和通信通道保证数据通信的安全。
3.4 应用系统安全
目前营销系统已经具有针对应用层的基于对象权限和用户角色概念的认证和授权机制，但是这种机制还不能在网络层及以下层对接入用户进行细粒度的身份认证和访问控制，营销系统仍然面临着安全风险。增强网络层及以下层，比如接入层、链路层等的细粒度访问控制，从而提高应用系统的安全性。
4 安全建设
营销系统安全建设涉及安全网络安全、主机操作系统安全、数据库安全、应用安全以及终端安全几个层面的安全防护方案，用以解决营销系统网络安全目前存在的主要问题。
4.1 终端安全加固
终端作为营销系统使用操作的发起设备，其安全性直接关系到数据传输的安全，乃至内网应用系统的安全。终端不仅是创建和存放重要数据的源头，而且是攻击事件、数据泄密和病毒感染的源头。这需要加强终端自身的安全防护策略的制定，定期检测被攻击的风险，对安全漏洞甚至病毒及时处理。对终端设备进行完善的身份认证和权限管理，限制和阻止非授权访问、滥用、破坏行为。
目前公司主要的接入终端有PC、PDA、无线表计、配变检测设备、应急指挥车等。由于不同终端采用的操作系统不同，安全防护要求和措施也不同，甚至需要根据不同的终端定制相应的安全模块和安全策略，主要包括：针对不同终端（定制）的操作系统底层改造加固；终端接入前下载安装可信任插件；采用两种以上认证技术验证用户身份；严格按权限限制用户的访问；安装安全通信模块，保障加密通讯及连接；安装监控系统，监控终端操作行为；安装加密卡/认证卡，如USBKEY/PCMCIA/ TF卡等。
4.2 网络环境安全
网络环境安全防护是针对网络的软硬件环境、网络内的信息传输情况以及网络自身边界的安全状况进行安全防护。确保软硬件设备整体在营销网络系统中安全有效工作。
4.2.1 网络设备安全
网络设备安全包括国家电网公司信息内、外网营销管理系统域中的网络基础设施的安全防护。主要防护措施包括，对网络设备进行加固，及时安装杀毒软件和补丁，定期更新弱点扫描系统，并对扫描出的弱点及时进行处理。采用身份认证、IP、MAC地址控制外来设备的接入安全，采用较为安全的SSH、HTTPS等进行远程管理。对网络设备配置文件进行备份。对网络设备安全事件进行定期或实时审计。采用硬件双机、冗余备份等方式保证关键网络及设备正常安全工作，保证营销管理系统域中的关键网络链路冗余。
4.2.2 网络传输安全
营销系统数据经由网络传输时可能会被截获、篡改、删除，因此应当建立安全的通信传输网络以保证网络信息的安全传输。
在非边远地方建立专用的电力通信网络方便营销系统的用户安全使用、在边远的没有覆盖电力局和供电营业所的地方，采用建立GPRS、GSM，3G专线或租用运营商ADSL、ISDN网络专网专用的方式，保障电力通信安全。
电力营销技术系统与各个银行网上银行、邮政储蓄网点、电费代缴机构进行合作缴费，极大方便电力客户缴费。为了提高通道的安全性，形成了营销系统信息内网、银行邮政等储蓄系统、internet公网、供电中心网络的一个封闭环路，利用专网或VPN、加密隧道等技术提高数据传输的安全性和可靠性。
在数据传输之前需要进行设备间的身份认证，在认证过程中网络传输的口令信息禁止明文传送，可通过哈希（HASH）单向运算、SSL加密、Secure Shell（SSH）加密、公钥基础设施（Public Key Infrastructure 简称PKI）等方式实现。
此外，为保证所传输数据的完整性需要对传输数据加密处理。系统可采用校验码等技术以检测和管理数据、鉴别数据在传输过程中完整性是否受到破坏。在检测到数据完整性被破坏时，采取有效的恢复措施。
4.2.3 网络边界防护
网络边界防护主要基于根据不同安全等级网络的要求划分安全区域的安全防护思想。营销系统安全域边界，分为同一安全域内部各个子系统之间的内部边界，和跨不同安全域之间的网络外部边界两类。依据安全防护等级、边界防护和深度防护标准，具有相同安全保护需求的网络或系统，相互信任，具有相同的访问和控制策略，安全等级相同，被划分在同一安全域内[3]，采用相同的安全防护措施。
加强外部网络边界安全，可以采用部署堡垒机、入侵检测、审计管理系统等硬件加强边界防护，同时规范系统操作行为，分区域分级别加强系统保护，减少系统漏洞，提高系统内部的安全等级，从根本上提高系统的抗攻击性。
跨安全域传输的数据传输需要进行加密处理。实现数据加密，启动系统的加密功能或增加相应模块实现数据加密，也可采用第三方VPN等措施实现数据加密。
4.3 主机安全
从增强主机安全的层面来增强营销系统安全，采用虚拟专用网络（Virtual Private Network 简称VPN）等技术，在用户网页（WEB）浏览器和服务器之间进行安全数据通信，提高主机自身安全性，监管主机行，减小用户错误操作对系统的影响。
首先，扫描主机操作系统评估出配置错误项，按照系统厂商或安全组织提供的加固列表对操作系统进行安全加固，以达到相关系统安全标准。安装第三方安全组件加强主机系统安全防护。采用主机防火墙系统、入侵检测/防御系统（IDS/IPS）、监控软件等。在服务器和客户端上部署专用版或网络版防病毒软件系统或病毒防护系统等。
此外，还需要制定用户安全策略，系统用户管理策略，定义用户口令管理策略[4]。根据管理用户角色分配用户权限，限制管理员使用权限，实现不同管理用户的权限分离。对资源访问进行权限控制。依据安全策略对敏感信息资源设置敏感标记，制定访问控制策略严格管理用户对敏感信息资源的访问和操作。
4.4 数据库安全
数据库安全首要是数据存储安全，包括敏感口令数据非明文存储，对关键敏感业务数据加密存储，本地数据备份与恢复，关键数据定期备份，备份介质场外存放和异地备份。当环境发生变更时，定期进行备份恢复测试，以保证所备份数据安全可靠。
数据安全管理用于数据库管理用户的身份认证，制定用户安全策略，数据库系统用户管理策略，口令管理的相关安全策略，用户管理策略、用户访问控制策略，合理分配用户权限。
数据库安全审计采用数据库内部审计机制或第三方数据库审计系统进行安全审计，并定期对审计结果进行分析处理。对较敏感的存储过程加以管理，限制对敏感存储过程的使用。及时更新数据库程序补丁。经过安全测试后加载数据库系统补丁，提升数据库安全。
数据库安全控制、在数据库安装前，必须创建数据库的管理员组，服务器进行访问限制，制定监控方案的具体步骤。工具配置参数，实现同远程数据库之间的连接[5]。
数据库安全恢复，在数据库导入时，和数据库发生故障时，数据库数据冷备份恢复和数据库热备份恢复。
4.5 应用安全
应用安全是用户对营销系统应用的安全问题。包括应用系统安全和系统的用户接口和数据接口的安全防护。
4.5.1 应用系统安全防护
应用系统安全防护首先要对应用系统进行安全测评、安全加固，提供系统资源控制功能以保证业务正常运行。定期对应用程序软件进行弱点扫描，扫描之前应更新扫描器特征代码；弱点扫描应在非核心业务时段进行，并制定回退计划。依据扫描结果，及时修复所发现的漏洞，确保系统安全运行。
4.5.2 用户接口安全防护
对于用户访问应用系统的用户接口需采取必要的安全控制措施，包括对同一用户采用两种以上的鉴别技术鉴别用户身份，如采用用户名/口令、动态口令、物理识别设备、生物识别技术、数字证书身份鉴别技术等的组合使用。对于用户认证登陆采用包括认证错误及超时锁定、认证时间超出强制退出、认证情况记录日志等安全控制措施。采用用户名/口令认证时，应当对口令长度、复杂度、生存周期进行强制要求。
同时，为保证用户访问重要业务数据过程的安全保密，用户通过客户端或WEB方式访问应用系统重要数据应当考虑进行加密传输，如网上营业厅等通过Internet等外部公共网络进行业务系统访问必须采用SSL等方式对业务数据进行加密传输。杜绝经网络传输的用户名、口令等认证信息应当明文传输和用户口令在应用系统中明文存储。
4.5.3 数据接口安全防护
数据接口的安全防护分为安全域内数据接口的安全防护和安全域间数据接口的安全防护。安全域内数据接口在同一安全域内部不同应用系统之间，需要通过网络交换或共享数据而设置的数据接口；安全域间数据接口是跨不同安全域的不同应用系统间，需要交互或共享数据而设置的数据接口。
5 安全管理
安全管理是安全建设的各项技术和措施得以实现不可缺少的保障，从制度和组织机构到安全运行、安全服务和应急安全管理，是一套标准化系统的流程规范，主要包括以下方面。
5.1 安全组织机构
建立营销业务应用安全防护的组织机构，并将安全防护的责任落实到人，安全防护组织机构可以由专职人员负责，也可由运维人员兼职。
5.2 安全规章制度
建立安全规章制度，加强安全防护策略管理，软件系统安全生命周期的管理，系统安全运维管理，安全审计与安全监控管理，以及口令管理、权限管理等。确保安全规章制度能够有效落实执行。
5.3 安全运行管理
在系统上线运行过程中，遵守国家电网公司的安全管理规定，严格遵守业务数据安全保密、网络资源使用、办公环境等的安全规定。
首先，系统正式上线前应进行专门的系统安全防护测试，应确认软件系统安全配置项目准确，以使得已经设计、开发的安全防护功能正常工作。
在上线运行维护阶段，应定期对系统运行情况进行全面审计，包括网络审计、主机审计、数据库审计，业务应用审计等。每次审计应记入审计报告，发现问题应进入问题处理流程。建立集中日志服务器对营销交易安全域中网络及安全设备日志进行集中收集存储和管理。
软件升级改造可能会对原来的系统做出调整或更改，此时也应从需求、分析、设计、实施上线等的整个生命周期对运行执行新的安全管理。
5.4 安全服务
安全服务的目的是保障系统建设过程中的各个阶段的有效执行，问题、变更和偏差有效反馈，及时解决和纠正。从项目层面进行推进和监控系统建设的进展，确保项目建设质量和实现各项指标。
从项目立项、调研、开发到实施、验收、运维等各个不同阶段，可以阶段性开展不同的安全服务，包括安全管理、安全评审、安全运维、安全访谈、安全培训、安全测试、安全认证等安全服务。
5.5 安全评估
安全评估是对营销系统潜在的风险进行评估（Risk Assessment），在风险尚未发生或产生严重后果之前对其造成后果的危险程度进行分析，制定相应的策略减少或杜绝风险的发生概率。
营销系统的安全评估主要是针对第三方使用人员，评估内容涵盖，终端安全和接入网络安全。根据国家电网公司安全等级标准，对核心业务系统接入网络安全等级进行测评，并给出测评报告和定期加固改造办法，如安装终端加固软件/硬件，安装监控软件、增加网络安全设备、增加安全策略，包括禁止违规操作、禁止越权操作等。
5.6 应急管理
为了营销系统7×24小时安全运行，必须建立健全快速保障体系，在系统出现突发事件时，有效处理和解决问题，最大限度减小不良影响和损失，制定合理可行的应急预案，主要内容包括：明确目标或要求，设立具有专门的部门或工作小组对突发事件能够及时反应和处理。加强规范的应急流程管理，明确应急处理的期限和责任人。对于一定安全等级的事件，要及时或上报。
6 实施部署
营销系统为多级部署系统。根据国家电网信息网络分区域安全防护的指导思想原则，结合新疆多地市不同安全级别需求的实际情况，营销系统网络整体安全部署如图2所示。
在营销系统部署中，对安全需求不同的地市子网划分不同的安全域，网省管控平台部署在网省信息内网，负责对所有安全防护措施的管控和策略的下发，它是不同安全级别地市子系统信息的管理控制中心，也是联接总部展示平台的桥梁，向国网总公司提交营销系统安全运行的数据和报表等信息。
7 结束语
电力营销网络安全技术的发展伴随电力营销技术的发展而不断更新，伴随安全技术的不断进步而不断进步。电力营销网络的安全不仅仅属于业务系统的安全范畴，也属于网络信息化建设范畴，其安全工作是一个系统化，多元化的工作，立足于信息内网安全，覆盖信息外网安全和其他网络。
本文基于新疆电力营销系统网络安全的现状，结合现有安全技术和安全管理手段来提高营销系统整体安全水平，为提升原有网络的安全性，构造一个安全可靠的电力营销网络提供了一套安全解决方案，对国家电网其他具有类似需求的网省公司营销系统网络安全问题解决提供参考和借鉴。
参考文献
[1]赵宏斌，陈超.电力营销数据安全防护体系及其关键技术研究[J].电力信息化，2008年6卷7期：135-139.
[2]吕萍萍.当前电力企业电力营销的现状与安全防护保障系统构建[J].华东科技：学术版，2012年11期：282.
[3]蒋明，吴斌.电力营销系统信息安全等级保护的研究与实践[J].电力信息化，2009年3期：25-27.
[4]朱芳，肖忠良，赵建梅.浅析电力营销业务应用系统的安全风险[J].黑龙江科技信息，2010年35期：153-154.
[5]李红文.论加强电力营销信息系统安全[J].信息通信，2012年1月：115-116.
作者简介：刘陶（1983-），男，汉族，四川乐山，本科，技师，电力营销稽查与实施调度。
陈晓云（1974-），女，大专，技师，新疆乌鲁木齐，电力营销稽查。
根据总公司要求和排查安全管理工作重点的要求，结合科技公司的经营工作实际，经认真排查确定，安全管理工作重点为：青岛至四方间k4+690至k6+119处声屏障工程，其中，人身安全为重中之重。
为确保声屏障工程的施工安全和劳动人身安全，公司给予了人力、物力、财力的全力支持。施工之初，公司成立了工程施工安全领导小组，组长：彭大钊王国华副组长：杨跃伟（常务）成员：杨淑静史坚鹏李明周国忠李树戊。工程施工现场安全工作组，组长：杨跃伟副组长：杨淑静史坚鹏（常务）巩宝方成员：宋振辉陈金华周国忠李树戊，加强对安全工作的领导和管理。
在基础开挖工作中，根据施工进度和现场实际情况，制定了《施工现场安全注意事项》
一、进入施工现场人员必须身穿防护服。
二、横越线路时必须做到：一站、二看、三通过，注意左右机车、车辆的动态及脚下有无障碍物。
三、严禁在运行中的机车、车辆前面抢越。
四、严禁在钢轨上、车底下、枕木头、道心里坐卧或停留，严禁将钢筋、钢管等金属物横放在两条钢轨上。
五、顺线路行走时，应走两线路中间，随时注意机车、车辆的动态。
六、必须横越停有机车、车辆的线路时，先确认机车、车辆暂不移动，然后在机车、车辆较远处越过。
七、注意爱护行车设备、站场设备及各种表示牌（灯）等站场标志。
八、当防护员发出报警信号后，施工人员应立即离开行车线路躲避，以保证行车和人身安全。
九、施工中较长的施工工具及材料应顺线路摆放，以免侵入限界造成事故。
7月17日基础混凝土浇注完成后，根据工程进度和施工内容的变化，我们对施工现场安全注意事项及时进行了修订和补充。
一、施工现场安全工作制度
1、定期召开安全工作会议，认真传达贯彻路局有关施工安全文件，组织学习工程指挥部有关工程施工的文件和电报，结合工程实际情况，制定相应的贯彻措施。
2、每天召开安全碰头会，总结安全工作，研究解决施工中存在的问题，制定相应的安全措施，研究制定次日的安全关键和相应的防护措施。
3、每天派出专人参加施工队的班前会，对前日的安全工作进行点评，布置当日的安全工作重点和安全注意事项。
二、施工现场安全防护措施
1、施工现场设立警戒表识和安全警示标志，加强对施工人员的安全教育，不穿防护服，绝对不能进入施工现场。
2、施工现场两端施工队设专人进行安全防护，配备喇叭并保证作用良好。
3、派出专人到车站联系行车计划，提前掌握车流状况，作好安全防护准备工作。
4、加强现场安全巡查力度和巡查频次，认真检查作业现场的工具和材料的摆放，避免侵线，发现问题立即督促整改。
5、对于登高作业，施工队派出专人现场盯控，防止高空坠落伤害，防止材料、工具和人员侵入接触网的安全限界，防止触电事故的发生，杜绝断网的行车事故。
6、制作专用工具，解决架设h型钢和吸声板难题，从根本上防止触电事故和行车事故的发生。
7、搬运金属材料时，采取有效防护措施，防止轨道电路短路，影响行车安全。
三、应急预案
1、施工安排坚持“先难后易、先内后外”的原则，科学、合理的安排进度。
2、帮助施工队合理调配劳动力，科学施工，分组分段，倒排工期，严格按进度计划完成当日施工任务。
3、制作辅助器械，减轻劳动强度，在确保绝对安全的前提下，加快工程进度。
4、提高安全意识，增强反恐防爆观念，加强内部治安秩序，加强对施工现场的安全巡查，特别要加强夜间的安全巡查，对进入施工现场的闲散人员，严加盘查，劝其离开，如发现可疑迹象和故意破坏行为，应立即报警。
7月27日正线开通以后，我们根据《*铁路局营业线施工及安全管理实施细则》、《技规》、《行规》的有关规定，重新修订了《施工现场安全管理办法》。一、声屏障施工现场必须全部设立施工安全警戒线。按照《技规》第395条第一款第一项基本建筑限界图的规定，距离钢轨头部外侧1.6米以外设立施工安全警戒线。施工人员以及施工材料、工具和备品，严禁侵入施工安全警戒线以内。
二、声屏障基础抹面作业方式，采取分段作业，100米以内为一段作业面，施工现场（包括安装吸声板）不得超过3个作业面。根据施工现场的了望条件，以作业面两端为起点，向两端延伸50至80米处各设立一名安全防护员，安全防护员要全神贯注、精力集中，佩带臂章，手持喇叭，站姿面向来车方向。在接到来车通知或看到有机车、车辆、轨道车移动时，立即吹响喇叭，警示施工人员停止作业。施工人员听到警示信号后，立即停止一切作业并站稳抓牢躲避列车和移动车辆。列车、车辆在作业面内通过时严禁人员走动和其它作业。待列车全部通过或移动车辆远离作业面后，重新作业。
三、吸声板作业和安全防护，除严格执行声屏障基础抹面的作业方式和安全防护办法外，施工人员听到警示喇叭后，应立即停止作业，作业人员迅速从梯子上下来后，将全部梯子、吸声板以及施工器械横到并顺线路方向摆放于警戒线外方，施工人员站稳抓牢躲避列车、车辆。待列车、车辆通过后，重新作业。安装吸声板作业时严禁在电网以及带电体2米范围内进行安装和其它作业。
【关键词】 二滩水电站 二次系统 安全防护
1 概述
二滩水电站地处中国四川省西南边陲攀枝花市盐边与米易两县交界处，雅砻江下游，坝址距雅砻江与金沙江的交汇口33公里，距攀枝花市区46公里，系雅砻江水电基地梯级开发的第一个水电站，上游为官地水电站，下游为桐子林水电站。水电站最大坝高240米，水库正常蓄水位1200米，总库容57.9亿立方米，调节库容33.7亿立方米，装机总容量330万千瓦，保证出力102.8万千瓦，多年平均发电量170亿千瓦时，两回500kV出线接入攀枝花电网，三回500kV出线接入四川主网，并担当四川电网主力调峰、调频任务。
随着网络技术、信息技术在电力系统的广泛应用，网络与信息系统已经成为电力系统生产、运营和发展的基础设施。信息安全风险作为电力企业信息安全风险管理的基本内容，是电力系统各级单位信息安全保障体系的重要内容，其中二次系统安全更是重中之重。
2 二滩水电站二次系统安全防护的必要性
二滩水电站生产控制系统在可靠性方面已经采取了防电磁干扰、冗余等措施，但是随着2011年12月实现成都集控中心远程控制二滩水电站，在通信链路上冒充、篡改、窃收、重放等类型的网络威胁也不断增加，严重影响到电力生产信息的完整性、真实性和一致性。同时随着设备老化，消缺及改造的增加，生产控制系统在调试及维护阶段，厂家人员以及相关班组通过移动工作站进入电力生产控制系统，出于安全意识薄弱、商业竞争或政治目的会置入逻辑炸弹、蠕虫等恶意代码，破坏电力生产控制系统的正常稳定运行的风险也不断增大，二次系统安全问题日益凸显。因此，二滩水电站于2011年8月启动集控边界二次安防系统建设。
3 二滩水电站二次系统安全防护系统的构成
二滩水电站按照《电力二次系统安全防护规定》和《全国电力二次系统安全防护规定》，根据电力二次系统安全防护总体原则“安全分区、网络专用、横向隔离、纵向认证”的要求，二滩水电站二次系统安全防护按安全等级划分为两个大区，即：生产控制大区和管理信息大区。生产控制大区划分为安全Ⅰ区（实时控制区）和安全区Ⅱ（非控制生产区）；管理信息大区划分为安全Ⅲ区（生产管理区）。安全Ⅰ区主要包括计算机监控系统和稳定监录装置，安全Ⅱ区主要包括安控信息、保护信息和能量计费系统，安全Ⅲ区主要包括工业电视系统。二次安防系统图如图1。
3.1 二滩水电站二次系统安全Ⅰ区安全防护措施
二次系统安全Ⅰ区的计算机监控系统为整个电站的核心，一旦遭受网络攻击、恶意代码等网络安全威胁，对于电站自身安全生产乃至四川电网安全都构成严重威胁，必须采用最为严格的技术手段来确保其安全。二滩水电站稳定监录系统为四川省电网稳定性监录系统的重要监测点之一，为四川省电网稳定性监录系统提供实时数据，为电网的安全稳定运行提供分析依据设，其信息安全直接关系到四川电网的稳定性，必须作为安全防护的重点。避免网络威胁的最直接办法就是减少与外部网络的连接，并在网络边界处采取严格防侵入措施。如图1所示，二滩水电站安全I区的主要防护措施如下：
（1）安全I区内系统在本站范围内不与任何外部网络连接，确保其网络的独立性。
（2）在安全I区与省调的纵向通信网络边界处装设卫士通SJW77电力专用纵向加密认证装置。该装置采用国密办批准的专用密码算法以及电力系统安全防护专家组制定的特有封装格式，在协议IP层实现数据的封装、机密性、完整性和数据源鉴别等安全功能。
（3）在安全I区与成都集控中心纵向通信网络边界处装设南瑞NetKeeper-2000纵向加密认证网关。该设备采用国密码办批准的电力系统专用加密芯片实现网络层数据的加密，所有密钥协商和密文通信均采用专用的安全协议。提供长度高达128位加密算法，抗攻击性强，破解难度高，充分保证数据的机密性。提供长度高达160位密钥散列算法，抗攻击强度高，严格防止用户篡改数据，保证数据的完整性。
（4）配置一套安全审计TDS管理系统。其针对站内监控系统网络及监控系统与省调、集控中心网络边界，可通过全面漏洞扫描探测、操作系统信息采集与分析、日志分析、木马检查、安全攻击仿真、网络协议分析、系统性能压力、渗透测试、安全配置检查、进程查看分析、数据恢复取证（定制）、网络行为分析等多个维度对网络安权检测分析，一旦发现网络威胁，系统会迅速通过网络备份与灾难恢复系统进行快速恢复。
（5）监控系统主服务器采用UNIX操作系统，降低病毒风险。
（6）在每台操作员站及工程师站装设杀毒软件，并及时更新数据库。
（7）移动工程师站接入安全I区时，必须通过硬件防火墙
通过上述多项安全防护措施，二滩水电站安全I区能有效防止恶意攻击、数据篡改及数据窃取等网络威胁，符合二次系统安全防护的整体要求。
3.2 二滩水电站二次系统安全Ⅱ区安全防护措施
二次系统安全防护Ⅱ区包括电站侧能量计费系统、安控信息、及保护信息。其数据通信使用电力调度数据网的非实时子网，数据采集频度是分钟级或小时级，为非控制网，其二次安防按照远程拨号访问生产控制大区的防护策略，设防等级低于安全Ⅰ区。如图1所示，安全Ⅱ区的防护措施如下：
（1）安控装置与保护信息装置之间装设华为USG2000型防火墙，能有效起到入侵防御、防病毒等安全防护，确保安控装置的安全性。
（2）二滩水电站安全Ⅱ区与省调网络边界装设华为USG2000型防火墙，确保站内安全Ⅱ区不受来自外网络的网络入侵、病毒等网络威胁。
（3）安全Ⅱ区网络除省调边界外，与外网隔离，不采用WEB服务器，保证专网专用，避免来自其他网络的网络安全威胁。
通过上述多项安全防护措施，二滩水电站安全Ⅱ区能有效防止来自内部及外部的网络威胁，符合二次系统安全防护的整体要求。
3.3 二滩水电站二次系统安全Ⅲ区安全防护措施
二次系统安全Ⅲ区主要是工业电视系统。工业电视系统作为全站设备辅助监视的一个重要手段，能很好地为雅砻江公司集控中心在电站无人值班时，及时监控现场设备运行情况，大幅提升电站运行的可靠性。其安全防护特点虽不如安全Ⅰ区、Ⅱ区严格，但也不能忽视。二次系统安全Ⅲ区同样采用专网专用，不与Ⅰ区、Ⅱ区相连，在与雅砻江公司集控中心网络边界处装设华为USG2000型防火墙，保证安全Ⅲ区免受网络入侵和控制。
4 二滩水电站二次系统安全防护系统运行管理
安全管理是电力系统安全的重要保障，二滩水电站的二次系统分布广，不易管理，所以“三分技术，七分管理”中管理亦不能忽视。二滩水电站是国内首座通过NOSCAR认证的大型水电站，其对安全的重视尤为突出，针对二次系统安全防护的重要性，通过制度管理来保证其安全运行。
（1）实行安全责任追究制度，出现问题严格按照制度进行责任追究和考核。
（2）借助电站NOSA安全体系建设，强化员工安全意识，明确二次安防系统的重要性。
（3）加强用户权限管理，运行人员仅具备查看、操作权限，参数配置、修改，系统维护等权限由检修监控班统一管理。
（4）针对系统维护、消缺等工作制定严格工序卡，专业人员必须按照工序卡来执行。
（5）系统数据提取采用光盘刻录方式进行，杜绝其他移动储存设备的接入。
（5）建立机房管理制度并严格执行。
（6）制定应急预案，确保二次系统故障后能迅速、有效处置，限制、减小影响范围。
5 结语
随着水电站自动化水平的不断提升，遥测、遥信、遥控和遥调设备的不断增加，网络安全威胁的不断多元化，二次系统的安全足以影响整个电站的安全生产，所以二次系统安全防护需要技术不断升级，管理不断加强，保证电力生产安全。
二滩水电站二次系统安全防护工作按照国家电力二次系统安全防护的总体原则，结合电站自身情况，通过加密认证技术、防火墙技术、入侵检测技术和网络防病毒技术，对站内二次系统进行了有效防护，能有效保证其安全、稳定运行。
参考文献：
[1]王群，潘亮.紫平铺水力发电厂二次系统安全防护简介[J].机电技术，2012，（5）：57-59.
[2]电力二次系统安全防护规定（电监会5号令）[S].2004.
【关键词】 电网 二次安全 防护
一、现状调查
对2013年第四季度电网二次安全防护系统存在的不安全因素，进行了统计。其中因IDS误报漏报、设备宕机、网络故障、电源故障和其他原因导致的维护总时间分别为189.5、44.5、13.5、2.0和4.5小时，累计维护时间为189.5、234.0、247.5、249.5和254.0，累计比例分别为74.60%、92.13%、97.44%、98.23%和100%。
2013年，电网二次安全防护系统累计维护时间254小时，而电网二次安全防护系统的可用率不高于86.31%，低于《开封电网调度自动化运行管理规程》和《电力调度技术标准汇编》中单机系统可用率不小于95%的要求。
而从表中我们可以对比得出，影响电网二次安全防护系统实用性的最主要问题是：IDS误报漏报。因此，只要消除IDS误报漏报这一问题，就可以大幅度提高电网二次安全防护系统的实用性。
二、原因分析
依据现状调查表，从人、机、料、法、环五个方面着手，利用鱼刺图追本溯源，对IDS误报漏报率的原因进行分析，寻找出7条末端原因：系统规则、策略不完善；经验不足；责任心不强；人力缺乏；数据源存在后门和；误操作；系统存在漏洞和开放端口。
三、解决措施
实施1：完善系统监测规则和策略
①过滤误报。对系统产生的告警，根据所监控的具体网络环境可以判断为明显误报时，可以设置为不告警。比如：某个机器被告警有木马，而这个机器肯定没有开放相应端口或者没有被种植木马；或者是某些特定应用引起的某种类型报警，这时对于只是针对某个系统的情况，设置对此系统IP不告警、不记入数据库。
②过滤不关心告警。入侵检测系统可以报告很多类型告警事件，比如登录成功、登录失败及探测扫描等。有些事件对于事后分析非常有帮助，但日常监控界面上大量的这些事件有时会影响对主要事件的关注，因此需要标注那些不关心的事件让其不显示，但仍然记录进数据库。
③定制关心的安全事件。通过查询系统我们发现，安全厂商仅仅通过定义规则来检测常见的应用、系统攻击事件，而针对具体应用系统的攻击行为和网管人员自身关心的事件可能没有涉及。因此我们针对这一特点，寻求厂商的支持，添加对应规则。
④正确判断误报。根据网络环境进行判断，具体判断过程中会有迹象可寻。常见的误报通常会导致大量报警，这样在入侵检测系统运行一段时候后，使用日志分析工具对所有告警进行一个统计分析，选取告警数据前10位的告警，通过对这些告警进行分析，协助进行判断，从而达到减少误报漏报才来的影响。
实施1完成后，大大较少了维护人员对二次安全防护系统的维护工作量，提高了二次安全防护系统的实用性。同时，也从侧面减轻了人力缺乏对系统稳定运行带来的影响。
实施2：修补系统漏洞，关闭系统业务无关的端口及服务
对IDS系统的系统漏洞进行了检测，并及时修补相关补丁。同时，经过和厂商相关技术人员的交流，及对电网调度自动化相关业务的统计和其所使用服务、端口的分析，关闭与电网调度自动化系统无关的业务端口及服务。同时，还将修补漏洞工作写入班组日常工作内容，以达到及时修补新发现漏洞的目的。
实施2完成后，使电网二次安全防护系统的实用性得到了进一步的加强，从而能够有效的保障电网调度自动化系统的安全、稳定、经济运行。
实施3：开展技能培训
邀请科技公司的安全工程师向调度自动化班的全体成员讲解了电网二次安全防护系统的整体结构、联接关系、维护方法以及故障处理等过程。培训后，工作人员对电网二次安全防护系统的故障预判、处理及分析能力大大提高，各项工作能力均得到了显著提升。
四、效果检查
对2014年第四季度，电网二次安全防护系统存在的不安全因素，进行了再次统计。
关键词：安全防护；设施；标准化；建筑
2004年，“开展安全生产标准化”这一活动被国务院大力倡导，2006年，住建部明确要求各地建筑开始实施建筑施工安全生产的标准化工作，更是为建筑行业能践行安全生产和保障找你去按生产质量制定和颁布了相关规范以及工作标准。目前，我国建筑行业产业规模还在继续扩大，但是其安全水平较低，建筑工程的大规模快速发展的势头和其相关大量的从业人员使得发生安全事故的后果极其严重。例如2007年4月27日青海省西宁市某基地边坡支护工程施工现场发生一起坍塌事故，造成3人死亡、1人轻伤，直接经济损失60万元。因此，必须提高建筑工程安全生产水平，实施安全防护实施的标准化。
1.建筑安全防护设施的标准化
1.1建筑工程临边防护的标准化。建筑工程生产过程中必须按照规定的标准严格执行，比如临边作业前一定要建设预防工程施工安全必须具备的防护措施；施工区域内，其施工作业区和平台、施工人员人行通道以及运输接料台等场所，如果临边落差≧2m，必须沿着其周围安装防护栏或住在垂直运输接料台安装安全门等。同时，其防护栏的材料以及安装必须符合建筑施工安全规定的基本要求。1.2建筑工程洞口防护的标准化。建筑工程生产过程中必须采取有效的防护设施，避免因建筑工程自身问题或者工序的需要，从而产生使人和物可能会发生坠落进而危及相关人员生命安全的洞口，在楼板和墙洞口、钻孔桩等桩口，在没有进行填土的坑槽或者天窗、地板门等处，按照相关洞口防护安全的要求标准规范，在其洞口上方设置具有较强稳定性的盖板、防护栏和安全网等防止人和物发生坠落危险的防护设施。施工区域内的一些竖向孔和洞口可能会造成相邻的人、物发生坠落危险，所以必须加以对其严盖的防护措施。其防护方式应根据洞口的类型采取相对应的设施，比如在楼板、屋面、平台等地，其孔口短边的尺寸大于25m且小于250mm，须用坚固的盖板将其盖严，并牢牢固定住；当安装预制构件的洞口、楼板面等孔口边长在250-500mm之间以及其他种类的洞口，盖板须用竹、木等材料，并均衡放置盖板，使之被牢牢固定；如果洞口的边长在500-1500mm内，应安装扣件扣接钢管而形成的一个1000×1000mm的网格，并在网格上铺满竹篱笆或者脚手板；在剪刀墙的墙角或用盖板防护仍不安全的其他类型洞口，须预先设置一个贯穿于混凝土板内钢筋而成的防护网，其钢筋网格的间距要小于200mm，并在防护网上铺满竹篱笆或脚手板；在边长大于1500mm的洞口的四周设置防护栏在洞口下方设置安全平网；在墙面竖向落地的洞口应安装一个防护门栅，其网格的间距要小于150mm，或者用防护栏杆，在下方设置一个200m高的挡脚板；像下面边沿到楼板或者底面小于0.8m的窗台等的一些竖向洞口，若果其侧边落差大于2m，须设置1.2m高的临时防护栏。1.3建筑工程井道防护的标准化。建筑工程生产过程中井道的安全防护必须按照标准执行，在电梯井和管井等处需建设安全防护设施，并在周边放一个较为明显的警示标志；在施工区域内的电梯井、管井洞口等一些竖向落地洞口，若其宽度超过了400mm，须安装防护门等防护措施，并每隔两层在井道内安装一道不超过10m的安全平网；因为施工的需要须暂时拆除防护，在此之前必须经过专职管理人员的审核批准才能拆除，并在其周边设置警示标志，在施工完成后立即恢复原样；在井口防护需采用上下反转的防护门；在施工层的下面一层的井道里面设置一道防护隔断层以预防物体掉落，施工层和其他层统一用安全网进行防护，安全网应设置在井壁的钢管上，安全网和井壁的间隙要≤100mm。1.4建筑工程安全通道和防护棚的标准化。建筑工程生产过程中安全通道和防护棚的安全防护必须按照标准设置，如临近街道的通道口、场内通道口、施工电梯、建筑物出入的通道口和建筑物料提升机进料口等的作业通道，当其洞口在坠落半径范围内或在起重机的起重臂回转圈内时，须设置防护设施，以防造成物体打击的安全事故；搭设安全通道、防护棚的材料应使用建筑钢管扣件脚手架等钢材；在安全通道和防护棚的顶部铺满双层脚手板或者18mm厚的双层木板，以及封闭式的防护栏杆、挡板等，其整体的防护设施的承载须能承受10KPa的均布静荷载；对特别重要的、大型安全通道和防护棚、悬调式的防护设施等须专门制定相关方案，通过审批之后才能实施。1.5建筑工程施工安全防护的标准化。首先应抓好基础性工作，加强安全投入力度，强化建筑施工安全生产管理，明确建筑施工中的重点工作内容“安全第一”，推进建筑企业安全标准化工作建设，还应加强施工人员的安全意识教育，提高施工人员的安全责任意识、质量意识以及自我防护意识，并要求相关人员严格按照操作规范进行生产工作。其次，做好建筑施工危险源的辨识和预控工作，通过正确辨识生产过程中的危险源，尤其是一些危险程度较大的危险源，及时采取相应的预防、控制措施，从而快速、及时地消除施工生产过程中的安全隐患，今儿保证建筑工程生产安全标准化工作顺利开展。
2.结语
开展建筑安全防护标准化，可落实好工程安全生产责任，以便建立一个安全生产的长效机制，是提高建筑企业安全生产素质的系统性工程。同时建筑安全防护设施标准化，能最大限度地消除建筑工程的安全隐患，为企业职工提供一个安全、良好的工作环境，最终实现建筑企业经济效益以及社会效益的最大化。
作者:南北豪 单位:中建七局建筑装饰工程有限公司
参考文献
[1]曾中兴.建筑安全防护设施的标准化研究[D].华中科技大学,2008.
三种挑战
当前，黑客攻击手段越来越先进，APT攻击、DDos攻击、社会工程学、零日漏洞让用户应接不暇，而传统的以打补丁为基础的防护措施已经难以起到实效。信息安全面临着多方面的挑战。
针对APT攻击的日益流行，国家计算机网络应急技术处理协调中心副总工杜跃进表示，APT攻击的应对方法有三个层面，包括最低层的网络摄像头、中间层的特征数据集以及最高层的多方位情报汇总与深度分析。国内安全厂商目前主要是在做中间层的特征数据收集，在更高层次的情报共享和分析方面，做得还远远不够。在他看来，未来情报、资源和能力需要进行整合，形成另一种安全“云”，而现有的监测、预警、响应及风险管理，也需要进行有针对性的升级。
此外，在应对移动互联网带来的新威胁方面，一项针对全球CIO的调查显示，66%的受访者希望在企业内部建立起类似于App Store的内部移动应用商店，以替代当前面向公众的应用商店。CIO们希望通过这种方式应对BYOD带来的威胁。但在中国，企业内部应用商店的部署还没有被提上日程。因此，绿盟科技副总裁吴云坤认为：“虽然国内BYOD应用不多，但信息安全问题比国外严重，因为国内企业在管理和体制上还没有给出严格限制。
从市场的角度看，美国的安全硬件采购量呈下降趋势，安全服务的采购量在不断升高。相比之下，中国的安全软件采购增势尚不明显。对此，吴云坤认为，信息安全厂商要摆脱做设备的模式，强化运营模式，加强“与用户、合作伙伴、云端的协作，以及设备与设备、人与设备的协作”。
安全防护正在融入IT基础架构
今年3月，信息安全领域有两项重大收购：3月13日，戴尔宣布收购安全厂商Sonic Wall；3月31日，华为以5.3亿美元回购华为赛门铁克的全部股权。这让人联想起近年来的多起IT巨头对安全厂商的收购案，例如英特尔收购迈克菲、惠普收购Arcsight、EMC收购RSA等。这些收购表明，安全防护正在融入IT基础架构。
借助安全厂商的专业技术，提升其软硬件的安全性，将信息安全融入既有产品或IT架构的不仅仅是IT巨头，一些新兴厂商也从信息安全的角度寻找更多新机会。在此次交流会上，华为存储网络安全公司战略及规划部部长郑志彬重点介绍了10家在2012 RSA大会上备受关注的企业，其中有两家企业在原有业务基础上融入了安全防护功能，拓展了新的商业模式。
例如，原本做基于Java开源组件的Sonatypa Insight在本届RSA大会上备受关注，它建立了一个基于Java的开源组件库。由于开发者倾向于利用开源软件、开源模块开发应用，Sonatypa Insight为用户提供针对库里Java的应用做安全性检测和安全管理，以及开源软件的管理。如果用户订购相关服务，只要软件有漏洞，Sonatypa Insight会及时告知开源软件的使用者，并帮助用户打补丁，将软件更新到新版本。
此外，ionGrid公司原本针对iPad平台给企业提供服务，将企业应用转换到iPad平台上，在此基础上，它提供基于流的技术控制员工访问企业文档安全状况监测服务，并对所有访问进行SSL 、AES加密，然后通过沙箱控制，保证应用和文档的安全性。
下一代安全体系亟待建立
传统的防护手段是提取攻击手法，建立威胁库，并对网络和设备进行检测。绿盟科技首席战略官、云安全联盟理事赵粮认为，当前的安全防护体系已经很难应对成百万、上千万的新型病毒和恶意软件，以及新环境下层出不穷的安全威胁了。
“失去了智能，再先进的战斗机也会失去眼睛和大脑，成为一堆废铁。”在赵粮看来，孤立的网络安全的逻辑判断方法和威胁库已难以满足下一代威胁，一个能在更大范围内实时识别潜在威胁的病毒库和逻辑方法急需建立起来，下一代信息安全防护体系的建立已经迫在眉睫。
前言
乳山公司信息网络共覆盖公司5个办公区，在运业务信息系统32个，信息系统已全面渗透到公司的各个管理领域和业务环节，信息安全已纳入公司安全生产管理体系中。面对当前复杂严峻的信息安全形势，乳山供电公司成功构建起了三维立体式终端信息安全防护体系，探索出一条行之有效的信息安全管理新模式，极大提高了信息安全的可控、能控、在控能力，规避了信息安全事故，确保了电网信息安全，为公司战略发展和坚强智能电网建设提供了有力支撑。
一、三维立体式终端信息安全防护体系建设的背景
近年来各地供电公司信息安全事件呈上升趋势。乳山公司虽然集中部署了防火墙、入侵防御系统、防病毒系统等软硬件设备，但信息安全形势仍不乐观。究其根源，企业没有构建以终端管理为核心的信息安全防护体系。随着智能电网建设的深入，迫切需要建设一个更为智能化的、具有主动防御能力的、全过程的终端信息安全防护体系，从被动防护寻求主动防御，从源头上消除安全威胁和漏洞，促进电网企业业务应用系统的安全、稳定、高效运行。
二、三维立体式终端信息安全防护体系建设内涵
三S立体式终端信息安全防护体系以技术体系、管理体系、服务体系三个维度统筹建设、并重开展。管理体系以构建桌面终端全生命周期管理流程为基础，实现对桌面终端管理的标准化、规范化、流程化和考核化；技术体系通过采取终端基线安全策略、终端网络准入控制、访问控制、监控审计等技术手段，全面支撑桌面终端安全管控工作；而服务体系贯穿整个过程，以提高三线服务质量为核心面向用户和终端资产两个层面落实企业终端管理策略，确保终端安全管理策略的有效执行。
三、三维立体式终端信息安全防护体系建设的做法
1.加强运维服务体系建设，做好全过程安全管控保障
（1）健全运维服务制度。乳山供电公司依照科学严格的制定标准，健全完善了一系列的信息系统安全管理规范和实施细则。这些管理制度的使各级单位在推行企业信息系统安全管理工作中有章可依和有据可循。
（2）深化运维服务平台。通过深化应用I6000平台，将一单两票模块与公司实际工作流程相结合，建立了由运维服务热线、OA邮件等构成的运维服务平台，以单点联系窗口的形式，统一受理服务请求，提供一线支持服务，并对问题进行汇集总结、分类和分级。
（3）建设运维服务团队。遵循“三线运维”原则，组建运维服务团队，由“一线前台服务台，二线后台运行维护，三线技术支持”的结构组成，加大运维人才的培养力度，建立运维人才培养长效机制，逐步形成一支技术过硬、层次分明、结构合理的运维团队。
2.规范终端安全管控，做到“三阶段”全过程管控
（1）加强宣传和管控，做好事前预防管理
通过编写《乳山市供电公司桌面终端安全管控体系建设工作方案》，加强培训宣传，完善访问控制、身份认证机制，实施安全评估、安全加固工作。
（2）规范作业流程，做到事中高效运维
严格监控运行，及时发现违规事件。通过对桌面终端的安全事件进行监控，如：违规外联、异常网络流量等。对安全事件进行初步分析，生成信息安全督查整改通知单处理。
（3）持续体系改进，实现事后完善提升
及时事后分析，查找问题源头。在事件处理终结后，对重大安全事件或重复发生的安全事件进行分析，提交分析报告，并依据管理规定对相关人员和单位提出考核意见。通过考核通报不断找差改进，整体提升桌面终端安全水平。
3.强化技术管控，提高终端安全水平
（1）强制实施终端基线安全策略，提高免疫能力，确保终端可信
乳山供电公司在信息内网搭建AD域策略服务器，通过域控制服务策略，已入域的桌面终端自动接收安全策略，完成配置身份验证、访问控制、安全审计、入侵防范等方面的终端安全基线策略，而全过程用户无须任何操作。
（2）实施终端网络准入和访问控制，提供主动防御能力，确保接入终端可管
对桌面终端IP地址统一管理，采用基于802.1X协议的认证系统。终端接入网络前，必须接受身份认证和安全度量，执行严格的强制安全策略检查，只有可信并且符合强制安全策略的终端才获准接入公司信息内外网。使入网的终端有较高的健康度和可信度，从而从源头上消除桌面终端的安全隐患。
（3）全过程终端安全指标监测，提高应急处置能力，确保终端可控
充分挖掘桌面终端管理系统的用户行为管理和审计功能，并依托防病毒系统、补丁升级系统、漏洞扫描系统等技术支撑保障平台，对桌面终端的安全状况进行7×24小时实时动态监测，评估及安全事件的准确全程跟踪定位，对发生的各类安全事件进行应急处置，最大程度地减少安全事件对公司网络和业务的影响。
四、 三维立体式终端信息安全防护体系建设的效果
（1）保障了业务信息系统的健康运行
实施三维立体式终端信息安全防护体系以来，信息安全水平逐步提高，未发生一起信息系统安全事故，保障了信息系统安全、稳定、持续和高效运行。
（2）桌面终端安全性、可靠性得到极大提升
实施三维立体式终端信息安全防护体系以来，建立桌面终端风险预警、识别模型，对终端运行风险进行规划、识别、分析，变“事后救火”为“事先控制”，预防为主，关口前移，防患于未然，全过程地进行风险管理，检查、监控、识别、控制解决可能出现的安全隐患。
（3）信息运维效率、服务质量得到极大提升
