始终都只围绕应用这一个中心，是内蒙古电力信息系统安全建设的原则。

    8月20日晚，呼和浩特市中心的几座酒店疲于应付因停电、停水而情绪失控的住客，此时的呼市正经受着罕见的燥热。其实，除这种我们熟悉的生产系统中断之外，内蒙古电力（集团）有限公司（以下简称“内蒙古电力”）还要面临另一种同样无法承受的风险，即信息系统瘫痪。那意味着无论你交电费，还是报装新开户，都无法进行；同时，整个内蒙古电力公司内部，一分钱都花不出去。

    这就是内蒙古电力营销系统和财务系统实现了大集中后的“双刃剑”的另一面，“这两个系统数据的丢失都意味着可能丢钱。” 内蒙古电力信息通信中心副主任姚强说，尤其是营销系统，且不说用户的用电数据能否再找回来，社会影响方面的问题就很难处理。

    以“质的飞跃”来形容内蒙古电力信息系统在2002年的变化并不为过。那之前，只有ATM仿真局域网，带宽只有2MB；而2002年也就是电力行业改革的那一年，则搭建起了一个主干带宽为622MB、二级节点到主干带宽为155MB的宽带广域网。

    随之而来的则是业务的大集中。内蒙古电力不属于国网，在内网的运营和管理上比较分散，不同的地区和区县采取不同的应用系统。但从2002年开始，全公司统一组织开发和推广应用系统，并将数据都集中在省公司。

    然而集中的潜台词则是风险。

    双剑合璧

    安全问题自然成为重中之重。但直到2004年，内蒙古电力才开始考虑访问控制、应用安全的问题，为什么不在网络建设的同时就进行安全建设呢？姚强对此的解释是，安全系统从根本上说是为了保证整个应用系统安全稳定地运行。最初网上只有办公自动化、查询性的信息及地区自身的一些应用，对安全的要求本身就比较低，也不会出什么大事。随着应用的深入，营销、财
务系统全在网上运行，此时才可能成为别人攻击的目标，安全防护的价值也才能体现出来，而且此时可以按照应用的架构来构造安全体系。

    在网络边界的防护方面，内蒙古电力决定将防火墙和入侵防护功能合而为一。按照传统的思路，交换机、路由器、防火墙和入侵防护是分开部署的。但考虑到交换机和路由器都是电信级的设备，可靠性非常高，同时高端防火墙也具备高可靠性，而入侵防护设备的可靠性则相对较低，如果将这些设备串联使用，必然会造成网络整体可靠性的降低。因此内蒙古电力希望最好有一台设备将路由器、交换机、防火墙、入侵保护的功能一网打尽，但鉴于当初建网时已经购买了路由器和交换机，因此只需把防火墙和入侵保护合在一起，以降低网络上的故障点。只有个别厂商能提供这样的设备，在设计架构、整体性能等方面比较测试之后，内蒙古电力选择了Juniper ISG系列安全网关。

    “随着防火墙的部署，你会很明显地体会到安全域的概念。”姚强告诉《CIO INSIGHT》记者，由于业务集中，出于安全的考虑，就必须把整个核心网络分成不同的安全区，制定不同的安全策略、安全等级要求。过去电力系统划分安全域，主要是把具备管理功能的信息系统的网络和负责电网运行的生产网络进行高安全级别的物理隔离，究竟该如何在应用网络中划分出相对合理的安全域、什么是更合适的控制策略，内蒙古电力和Juniper公司也探讨了很久。

    这是因为安全域其实并不是一个简单的概念，其划分取决于应用模式。“我一直都认为，不能将信息系统简单地割裂开来。过去人们总说把网络建起来以后，在网络上部署什么东西就安全了，我觉得这个应该是综合考虑的。”姚强认为，网络安全以及应用的安全等都要统一考虑，以更好地为应用服务，因此在防火墙之外，统一用户身份管理等其他安全系统与之合理地配合
起来才能真正实现安全。“信息系统的安全应该是一个全面的概念，任何单拿出来说网络安全或者其他什么，我觉得都是比较片面的。”

    统一用户身份管理对内蒙古电力来说是非常必要的，在姚强眼里，要真正实现门户对企业的意义，在于数据整合、应用整合和用户整合这三个整合。过去内蒙古电力有财务、生产等很多应用，这些应用系统都有自己一套独立的用户认证和授权体系，对于用户来说，登录不同的系统需要用不同的用户名和密码，不但使用起来很不方便，而且也很难记忆。最重要的是，这种分散不利于安全，假如一个财务人员调走后账户未能及时删除，或是一个人的多个口令如果丢失，这些都是不安全隐患。统一用户管理就是把全公司的一些核心系统的应用都整合到一个用户体系里面去，一个人只需要一个用户名和密码，就可以登录到营销、人力资源和办公自动化系统上。

    缺憾

    遗憾的是，目前统一用户管理系统中主要整合的只是营销、人力资源和办公自动化系统，这是因为老系统整合起来很困难，开发架构和应用模式的遗留问题阻碍了进一步的整合。以财务系统为例，要把过去的两层架构改成三层架构谈何容易，而有些应用系统的开发厂商索性都找不到了。因此内蒙古电力主要是针对2004年以后开发的应用，按照统一的标准，制定了一个应用软件开发规范来进行整合。至于对这些老应用究竟该如何处理，内蒙古电力还在探讨中。

    而在整个安全防护体系中，姚强认为最欠缺的就是防病毒这一块，无论国内还是国外的，产品的效果都不尽如人意，“一个企业网络的维护工作量最多的就是病毒的问题，可能很多软件有不同的特点，但谁的都一样。有的人用趋势，有的人用诺顿，有的人用瑞星，哪个没有问题？所以我觉得在安防这块，其实最薄弱的还是防病毒。”。

“我一直都认为，不能将信息系统简单地割裂开来。过去人们总说把网络建起来以后，在网络上部署什么东西就安全了，我觉得这个应该是综合考虑的。”

                                                          ——内蒙古电力（集团）有限公司信息通信中心副主任 姚强

    从当初构想这套体系到最后整套体系完成，现在已经使用了一段时间，内蒙古电力的认识也在不断提高，发现了一些不完善的地方。比如防火墙和入侵防护功能合并后，防火墙基本上能够达到线速，但入侵保护的表现还需提高。但姚强对此很释然，因为这是现在类似产品面临的共同问题——抗攻击的性能很难达到宽带网上高速率的要求，当攻击来临的时候，往往在不让攻击包过去的同时，造成了网络也不通畅。现在防火墙能够部署7层应用，在对7层应用做到防护的同时还要达到线速，的确很难。对于此，姚强也在考虑如何逐步改进，比如说既然原来没想到入侵防护这块的流量会如此之大，那么要看看能否从其他地方分流。

    至于从大的理念方面，“从2002年开始构建到现在为止，我觉得并没有听到什么新东西，而且也没有谁找出了一种更合理的方式去做。”姚强对内蒙古电力这套系统显然非常自信。

转自《CIO Insight》