为贯彻落实党中央、国务院关于加强安全生产工作的决策部署，统筹发展和安全，不断提升全国电力安全生产水平，保障电力系统安全稳定运行和电力可靠供应，由国家能源局于2021年12月8日印发实施《电力安全生产“十四五”行动计划》，计划提出建立关键信息基础设施保护制度，推进电力数据分类分级和安全保护，强化行业关键数据保护、个人信息保护等内容，对数据安全问题高度关注。

      近年来电力行业信息化发展迅速，以国家电网为例，国网信通产业集团持续打造数字基础设施和平台，提供数字算力和通信运力，支撑公司国网云、数据中台、物联管理平台等基础平台建设，推进数字化赋能专业管理和基层作业。目前电力行业各业务领域的信息系统愈发完善，在国网云、数据中台等建设下，业务数据化的同时也加快推进数据业务化，有效释放数据价值，实现数据为业务赋 能的价值。

      但是随着大数据、云计算、物联网、移动应用、智能化等技术在电网领域的应用，海量的异构终端接入电力网络，再加上业务、应用等对于业务系统、数据中台的取数需求，电网的域间数据交互多 元，数据使用情形复杂，同时由于现有的防护体系尚未能够完全应对逐渐升级的攻击手段与安全风险，信息化建设下电网的数据安全问题成为当下主要挑战之一。

      电力信息化建设对数据开放、共享、融通的需求与日俱增，新环境下与电力相关的新应用、新平台、新架构与日俱增，电力企业数据安全防护需求呈现快速增长态势。作为国内数据安全领域代表厂商，明朝万达认为当前电力企业在数据安全防护方面主要存在以下问题：

重要的关键信息基础设施，容易成为网络攻击目标

电力安全关系国计民生，是国家安全的重要保障，也正因其重要性导致电力领域成为了国家间网络对抗攻击的首选目标，近几年来国外因攻击导致的电力安全事件持续增长。电力行业信息系统是关系国计民生的关键信息基础设施，一旦遭到破坏或者发生数据泄露会严重威胁国家安全和公共利益。

数据资产混乱，缺乏完整的生命周期防护手段

电网在发电、输电、配电、营销和管理各个环节都会产生的大量数据，是建设稳定、高效、可靠、节能的电网支撑的重要要素。由于海量数据的原因导致部分电力企业对于自身的数据资产盘点不清，对于全量数据资产、核心敏感数据分布、热点数据使用以及数据访问权限等情况，还处于相对模糊的状态。这种情况也导致了对数据的生命周期防护缺乏一个完整的管理防护，难以准确、高效的对数据安全风险提供可靠支撑，导致数据存在泄露的风险。

被动防御模式的落后，人工定义安全难以全面防护

电力企业数据安全防护时通常是“先由人来定义什么是风险，再看有哪些数据会涉及到风险，然后应用安全技术做相应的控制”。上述做法往往会受限于人的惯性思维，但是人是无法对所有风险实现完整穷举的，这就导致风险遗漏、风险误判等情况的出现。

明朝万达电力行业数据安全治理方案

作为中国新一代信息安全技术企业的代表厂商，明朝万达具有成熟的数据安全技术、产品和解决方案，基于对数据安全领域的深度理解和对电力行业的详细调研，明朝万达为电力行业提供了一整套数据安全防护体系建设方案：重点着力在数据资产梳理、数据生命周期防护等方面，以技术手段加管理措施双重防护下帮助电力企业实现对数据安全的保护。

      本方案以数据安全治理为驱动，以数据安全现状调研为基础，进行电力行业数据分类分级，数据安全体系建设、数据安全保障等服务，通过调研、梳理规划数据安全整体方案，构建完善的数据安全体系；以数据全生命周期防护为核心，立足数据的完整生命周期做安全防护；以技术产品为支撑，利用数据大脑为核心的各类安全产品做到全方面的数据安全保护。从服务到产品到整体防护构建完整的数据安全保护体系。

建设步骤

数据资产摸底、数据分类分级

通过对电力企业信息化现状的调研和了解，整理各部门/业务系统的信息化建设现状，数据中台接入情况，了解电力企业目前数据使用情况、数据安全保护手段。

调研电力企业内业务、技术与数据安全管理现状，尤其是数据中台的使用情况，和业务系统的使用情况等，根据电力行业模式和方法通过工具、访谈等手段厘清数据资产，梳理企业业务逻辑下的数据资产流转情况，实施数据分级分类，输出数据资产清单、数据分类分级标准等内容。

数据安全风险评估

      基于数据资产现状与分类分级结果，围绕数据生命周期，在满足电力行业业务持续发展的前提下，依据法律法规的合规要求并结合企业安全方面的需要，对于各业务系统的专责、使用人员、运维人员以及业务系统的使用情况、对接情况进行调研。

      识别现有信息系统及管理上的不足，以及可能造成的风险大小，输出数据安全风险分析报告。参照信息安全风险评估方法，以数据资产为评估对象，数据处理活动中所面临的风险为评估内容，提供一套可落地可指导实践的电力行业数据安全风险评估方法。核心内容包括：评估准备、风险识别、风险分析和风险评价。

评估准备：

电力企业当前组织实施风险评估工作，更多是从国家法律法规及行业监管、业务需求评估等相关要求出发，从战略层面考量风险评估结果对电力行业相关的影响。数据安全风险评估准备的内容，主要包括：评估对象、评估范围、评估边界、评估团队组建、评估依据、评估准则、制定评估方案并获得管理层支持。

风险识别：

主要包括资产价值识别、数据处理活动要素识别、合法合规性识别、威胁识别、脆弱性识别以及已有安全措施识别。

风险分析：

通过采取适当的方法与工具，可得出电力企业所面临的合法合规性风险、数据安全事件发生的可能性以及数据安全事件发生对组织的影响度，从而得到数据安全风险值。

风险评价：

电力企业在执行完数据安全风险分析后，通过风险值计算方法，会得到风险值的分布状况，对风险等级进行划分，一般会划分为：高、中、低三个等级。依据风险评价中风险值的等级，明确风险评估结果内容。

通过数据风险评估发现数据处理活动过程中存在的风险，有效降低安全事件发生的可能性。

数据安全防护体系构建

· 数据安全管理制度优化

根据数据安全风险评估报告，分为两种方式构建电力企业数据安全防护体系，首先结合企业的规章制度，提出针对于目前不安全现状的一些管理意见，增强企业员工的数据安全意识。

· 重点业务系统数据保护

然后通过对电力重点应用系统进行数据保护，针对于应用系统的整个业务流程环境通过对于终端侧、应用侧、互联网侧等数据进行全生命周期安全防护，防止重要系统的数据存在泄露风险。

· 敏感数据脱敏保护

基于电力企业日常的数据使用场景，尤其是数据中台的数据各类应用场景，以国家的数据安全法律法规，电力行业数据安全要求，针对于日常各类业务、应用、项目中需要用到的电力数据进行分析，对于一些敏感数据的使用中，在不影响安全应用的前提下进行脱敏策略保护，确保数据安全。

· 数据传输安全保护

针对于源端系统、数据中台这样的数据跨系统、网络区传输交换通过特有的数据安全传输装置进行保护，补足原有的电力边界隔离设备对于数据安全业务支持不足的能力。

· 数据安全态势感知

在电力企业建设数据安全态势感知平台，对于用户、数据中台、电力应用系统、安全系统等数据进行安全检测，采用主动学习的方式，结合机器学习技术来对正常的数据操作、使用、共享等行为进行学习并形成行为模型，再对行为进行风险研判，从而对风险进行准确定义，以令数据安全防护更加精准。

· 数据安全泄露事件实时监控

为了防止有电力数据泄露事件发生，但不能及时发现快速应急的情况，在互联网侧进行实时数据泄露安全监测，对于互联网上的电力行业数据进行安全检测，通过检索引擎实时动态获取泄露信息舆情，保证在电力数据泄露事件发生时可以实时响应。