核安全文化與信息安全的結合

申請免費試用、咨詢電話：400-8352-114

核安全文化的主要內容

最近在做核電的項目，其中包括為客戶設計信息安全保障體系架構，而核電行業(yè)本身在安全方面的要求就已經達到了非常高的水平，其在工業(yè)和生產安全管理體系和要求方面已經非常成熟，可以說信息安全在整體的核安全內容中還只是非常小的一部分。所以借此機會將核電行業(yè)的安全文化如何與企業(yè)信息安全的安全建設相結合做個初步的探討，一方面幫助我們了解核電行業(yè)在信息安全方面的需求和特點，另一方也有助于我們在非常重視安全的核電企業(yè)將信息安全做的更有特色。

如果沒有在核電行業(yè)或電力行業(yè)工作過或者沒有做過核電行業(yè)或電力行業(yè)項目的人，對核安全文化應該是比較陌生的，為了讓大家能夠更好的理解什么是核安全文化，我們需要先簡單了解一下核安全文化包括哪些主要內容。

1. 核安全文化的主要內容

1.1 核安全文化的起源

核電站的“安全文化”是國際核能界在三里島和切爾諾貝利事故后，結合“企業(yè)文化”的管理思想，提出的這一新的安全管理思想和原則，它是傳統(tǒng)的縱深防御原則的擴充，也是安全管理思想的一次重大變革。大亞灣核電站從運行初期安全管理制度就是建立在“縱深防御”和“程序管理”的安全管理思想上的。即認為設備、人和管理都是可能出現(xiàn)失效的，為把這種失效的可能性減為最小，除提高設備質量、人員素質和改進管理外，還必須采取一系列的防范措施，即預防、監(jiān)督和在萬一出現(xiàn)失效時必要的響應對策。

1.2 核安全文化的特點

核安全文化強調四個“凡事” ：“凡事有章可循，凡事有人負責，凡事有據(jù)可查，凡事有人監(jiān)督” (也被稱作核電制造的靈魂)。這四個“凡事”與谷安天下幫助客戶建立信息安全保障體系架構的思想也存在一定的相似之處。下面對四個“凡事”的內容簡單描述一下。

1) 凡事有章可循，就是說我們所做的工作、所要求的內容和建立的管理制度要落實到明確規(guī)定和文件，形成實實在在的制度文件，在我們開展各項工作、執(zhí)行各類操作的時候都能夠找到相關的文件進行指導。

2) 凡事有人負責，就是說我們要在現(xiàn)有業(yè)務部門結構的基礎上建立起安全管理的組織結構和組織人員，不僅如此，還需要對包括安全部門和安全的崗位在內的各個部門和崗位建立明確安全職責，確保每項工作都能夠找到明確的負責人。

3) 凡事有據(jù)可查，就是說我們所做的各項工作和操作都需要形成記錄，這些記錄應當詳細的記錄我們的工作時間、工作內容和工作結果等信息，確保工作情況被詳細記錄，這些信息保存起來可以為之后開展的檢查工作提供輸入。

4) 凡事有人監(jiān)督，就是說我們要建立起完善的監(jiān)督、檢查和審計機制，制定明確的監(jiān)督人員、崗位，制定詳細的監(jiān)督、檢查和審計內容，通過開展監(jiān)督、檢查和審計，確保建立的安全管理制度、組織以及所實施的各項保護被有效和正確的執(zhí)行。

可以看出來，無論是核安全建設還是信息安全建設，這四個“凡事”的內容都是不可缺少的關鍵要素。

1.3 核安全文化的落實

核電站通過安全文化的滲透和員工基礎素質的系統(tǒng)提升, 將縱深安全管理的各項制度與文化有機地結合起來，核安全文化建設通過培訓等各種措施將核安全意識落實到員工的日常工作中去, 通過不斷的實踐改進, 把理念變?yōu)榱晳T, 真正做到“人人都是一道屏障”。

核安全技術保護是保障核電站安全運行的重要手段，當前核電行業(yè)采用的四道屏障：第一道屏障——燃料芯塊、第二道屏障——燃料包殼、第三道屏障——壓力邊界、第四道屏障——安全殼。這些屏障就是通過技術手段對反應堆進行安全保護。這種保障方式與信息安全領域的縱深防御的思想也有相同之處，通過四道屏障不同的手段和技術，實現(xiàn)多層保護。

核電運維方面的工作也需要高度的安全保障，對于程序遵守充分體現(xiàn)了“預防為主”的思想。原WANO主席在離別主席生涯時說過一句話：核電站只有在自動停堆、棒沒落下的時候著急，其它沒有著急的事情。這句話對核電安全文化的啟發(fā)很大：在做事情之前停一停、想一想，把要做的事情寫下來，按流程批準后再實施，風險就能得到有效的控制，安全運維也就有了保障。

核事故應急(簡稱“核應急”)也是核電發(fā)展工作中的重要組成部分，核應急工作包括核應急準備和核應急響應，是保證核電站正常運行必不可少的環(huán)節(jié)。

2. 核安全文化與信息安全相結合

通過上面的介紹大家對核安全文化已經有了初步的了解，那么核安全如何與信息安全相結合就是接下來將要介紹的內容。

在繼續(xù)往下閱讀之前需要清楚的一個問題就是我在這里提到的幫助核電企業(yè)制定信息安全管理和信息安全保障都是不包括二次系統(tǒng)部分內容的，主要是由于電力二次系統(tǒng)本身不在電力企業(yè)的IT部門管理，是由專門的生產部分負責，同時由于二次系統(tǒng)本身安全性要求非常高，一般外部公司很難接觸到。

2.1 核點企業(yè)發(fā)展信息安全的需求

核電企業(yè)是以提供清潔能源為主要業(yè)務的，核電企業(yè)自成立以來，始終堅持“安全第一，質量第一，追求卓越”的方針。隨著核電業(yè)務的發(fā)展，信息技術在企業(yè)內部的不斷推廣和普及，業(yè)務對信息系統(tǒng)的依賴程度越來越高，信息系統(tǒng)能否安全、穩(wěn)定的運行將直接影響核電業(yè)務的開展，因此，網(wǎng)絡與信息安全已經成為保障核安全有機的組成部分，并且其重要程度將隨著信息技術的普及和發(fā)展變得更加重要。

2.2 核安全文化與縱深防御的思想的結合

核安全文化中倡導的“縱深防御”原則在信息安全領域很早就被提出過。例如，在信息安全領域美國國家安全局制定的IATF中最早已經提出了縱深防御，也稱作“深度防護(Defense-in-Depth)”的策略。IATF強調人、技術、操作這三個核心原則，關注四個信息安全保障領域：保護網(wǎng)絡和基礎設施、保護邊界、保護計算環(huán)境、支撐基礎設施。通過下圖可以比較清晰的了解IATF的理論建立模型。

因此我們在為核電企業(yè)設計信息安全保障體系架構時也是結合了“縱深防御”的安全保護理念，結合了四個“凡事”的工作思想，通過“三道防線”與“體系文件與安全組織”的建立，有效的實現(xiàn)了“縱深防御”和“程序管理”的安全管理思想在信息安全保障管理方面的應用。而我們在架構設計中的“三道防線”設計思想也與核電行業(yè)對反應堆的“四道安全保護屏障”的保護方式相一致。

建立完善的信息安全保障架構不僅是核電企業(yè)為保障信息技術安全的需求，同時也是符合核電行業(yè)的核安全需求的，隨著信息安全在企業(yè)中的重要性越來越高，在建立信息安全保障體系的同時，也要將信息安全的文化融入的員工的日常工作中，只有這樣才能夠讓企業(yè)的信息安全保障體系真正的發(fā)揮作用。