电力CSO必须熟悉风险管理

1、电 力 C S O 必 须 熟 悉 风 险 管 理 目前，各级电力企业虽然专门成立了相应的信息平安小组，形成了电力企业信息平安的决策层、管理层、执行层等机构，确保了人员的配置和平安责任制的落实，但还没有明确设立CSO职位。信息平安小组通常由企业的一把手负责，同时，指定了平安专职人员负责整个企业的信息平安，实际上行使着CSO的职责，这些安全专职人员可以称为 “准 CSO。通常这些 准CSO是纯技术的人才，熟悉某一方面的平安技术如防病毒、防火墙、入侵检测技术等。然而, 一个真正的CSO知识要全面，不仅要懂信息平安技术，而且还要懂平安管理。1. 熟悉风险管理风险管理是指识别电力企业的资产，评估威胁这

2、些资产的风险，评价假定这些风险成为事实时企业所承 受的灾难和损失，并采取一些解决方案预防风险的发生及损失补救措施。风险管理是电力企业平安管理的核 心。要执行风险管理，首先必须熟悉本单位的核心业务 如业务的流程、边界等 和关键信息资产。哪些业务 是关键的，需要采取高强度的防护措施进行防护；哪些业务是次要的，防护措施的强度可以低一些。同时， 要了解业务系统平安与运行质量性能的关系，以防止为了提高信息平安而大幅度降低网络系统运行的质量和 性能。因为信息平安是为信息化效劳的，信息化最终是为企业业务稳定持续开展效劳的。其次，CSO要制定一个风险管理策略，该策略是企业整体平安策略的组成局部。风险管理策略需

3、明确风 险处置的几种方式，如降低风险 采取各种平安防护措施，如加防火墙、入侵检测系统等 、转嫁风险 如买 保险等、接受风险基于企业的投入 /产出比考虑，寻求企业投资与风险承受能力的平衡点等。因为平安 是相对的，对风险的处置应该有个度，如果风险处置的费用超过了系统本身的价值，那么再消除风险就毫无意 义了，因此，应制定一个合理的风险管理策略。第三，CSO要熟悉业务持续性运行与灾难恢复的知识，如保证业务持续性运行的系统和数据的备份。并 且配备必要的应急设施和资源，如系统的启动盘、系统和网络管理员的 号码、协助厂商的求助 等。 一旦企业网络系统发生问题，就可以统一调度，对平安事件快速响应，最大限度地降

4、低企业的损失。2. 熟悉信息平安理念和技术CSO应对平安理念如信息平安模型、国际和国内平安标准有较深入的认识。平安标准包括平安策略的标 准、平安评估的标准、平安产品选型的标准、平安工程实施的标准、平安管理的标准等，了解这些平安标准 可以更好地指导信息平安的建设。CSO还应熟悉常用的平安技术和平安产品，如防火墙、防病毒技术、加密技术、物理隔离技术等，了解他们的原理和部署等知识，这可以提高CSO自身的素质，树立自己在企业中的威信。3. 良好的沟通和管理能力CSO要具备良好的上下沟通能力，因为企业的平安管理制度和平安策略要贯彻执行，必须得到企业高层 领导的许可和支持，同时得到企业员工的理解。但在实际

5、情况中，很多领导和员工都要问，我们企业在信息 平安方面投入很大，那到底取得了什么效果呢？这时CSO要让他们理解，网络和业务系统的正常持续运行，就是平安工程实施的效果。信息平安是 “三分技术、七分管理 ，这强调了管理的重要性，特别是要加强对人的管理。因为无论平安 制度的落实，还是平安技术和平安产品的布置，最终是由人来执行的。但在实际中，往往人是最难管理的， 这就要求CSO要具有很强的管理能力。CSO还应熟悉平安法律和法规，包括国家、行业以及企业的法规，如关于涉密系统的联网规定、系统日 志应保存的时间规定、系统和数据的备份规定、经贸委的30 号令等，并把他们应用到企业的业务工作中去。目前，电力企业的准CSO们要想成为一个合格的 CSO,需在以下方面进行努力:首先，要强化业务知识的学习。这些知识不仅包括风险管理、平安技术、平安标准等信息平安知识，而 且还包括企业自身的业务流程、边界等。其次，要提高管理能力，特别是日常管理能力第三，要加强与其他企业 C