2018第六届中国核能行业信息化工作交流会议 | IAM：运用数据的同时，保障安全和效率
核能行业的各位嘉宾：
上午好！今天很荣幸参加核能信息安全行业会议。中国核能产业发展至今已有30多年，经历了核电起步、适度发展、积极发展和安全高效发展四个阶段。作为有效缓解能源危机和污染问题的核能产业在我国得到积极发展。虽然我们难以像沙特阿拉伯、加拿大或俄罗斯这些国家一样拥有容易获取能源的土地，相对于高山和沙漠的比例，中国的自然资源稀缺并难以获取。但是，我们也拥有更有价值的条件如聪明、勤奋和积极解决问题的能力。随着中国经济现代化的持续发展，我们对能源特别是稳定的、清洁能源的需求日益迫切，这将成为中国经济良性增长的瓶颈。过去的十年里，为了供应汽车和产业发展所需的能源，我们不得不燃烧越来越多的化石燃料如煤和石油，从而导致了污染的大幅增加，这又成为影响中国经济良性发展的另外一个限制因素。
当前，中国大力发展电动汽车，倡导以清洁能源解决城市污染问题。核能应用是清洁能源需求的良好解决方案，当然其也面临两个主要问题。一是前期投资大，二是公众对核能的安全观念存在一定偏见，认为核能发展不像其它可再生能源如风能、太阳能、水力发电等一样安全可靠。最近的一次民意调查中，61%的人对核电的安全性非常担忧，对已建或在建核电站附近的居民调查数据则显示的比例更高。今天我要与大家共同探讨的主题是信息技术中的IAM身份管理与访问控制这一专业领域，如何在核能行业对于安全和效率发挥重要作用。数字核工业是核能集团企业‘十三五’重点战略任务。通过数字核工业的建设，将有效提升组织研发设计创新能力、生产集约化和精细化管理水平。然而伴随核能行业数字化转型的发展进程中，也面临着多方面的挑战：
1、来自新兴技术，云计算、人工智能、物联网等技术快速发展对组织的IT架构和系统带来的挑战；
2、不断加剧的行业竞争；
3、成本波动、财务风险等运营层面挑战；
4、愈发严格的行业监管压力；
5、核电设施面临比以往更多的网络攻击和数据安全风险。
我们看下近些年全球发生的核电站遭受入侵，发生关键数据泄露的几个典型事件。2014年，黑客渗透韩国水电和核电公司的商业网络，导致内部文件多次泄露，涉及蓝图和两个核反应堆的数据。美国核监管委员会NRC多年以前就已制定法规，要求核电站所有者采取措施保护设施免遭入侵者和/或内部人员破坏。核电行业组织必须实施整体防御方案来保护核电站的网络安全和数据安全。为了应对这些挑战，核能组织须以安全、效率和合规为前提，设计满足监管审查需要的解决方案来保障核电站的数字资产安全。数字资产比如有：安防系统包括控制核电站内关键领域的计算机和传感器，监控限制区的摄像头，业务系统，紧急预备系统，数字采集系统，安全系统，控制系统等等。如何保护这些设备和业务系统的数据安全成为核能组织不容忽视的重点。核能组织需通过对信息资产的全面扫描和分析，找出关键的数字资产，部署防御性的架构，通过安全控制手段来消除潜在威胁，同时实施全生命周期安全管理策略。另外，数据安全保护可从三个方面来设计：分别是技术、管理和运维。通过技术手段搭建平台来提供数据保护基础；通过管理手段，建立以人为核心的管理机制，制定流程来管控风险；通过运维实时监测安全状况，实现对组织内部威胁的防御。
随着云计算、大数据、移动互联网等技术的混合应用，组织的网络边界正在趋于模糊化。传统基于网络或设备边界的网络安全防御技术将难以应对新型威胁，这使得很多组织必须重新建立管理边界，以确保组织的数据安全。安全的核心是“人”，通过建立以“人”为核心要素的安全防御体系，增强企业内控管理水平，保护敏感数据安全。“人”的核心是身份，组织需将内部员工、外包人员、供应商、外部客户以及互联网用户等不同纬度人员纳入统一身份治理体系。通过制定相应的访问条件策略，指定哪些人在哪些时间段能访问哪些数据；同时实行“最小权限”策略，将员工访问的权限限制为他们完成本职工作所需的最低权限，并在适当时间点提供这些权限，这样既可以限制黑客的攻击，还能在数据泄露前检测到异常访问行为。
当前，面对国家安全体系建设的重要任务和网络与信息安全威胁日益严峻的形势，核工业的网络与信息安全显得尤为重要。越来越多的法规要求数据拥有者对他们管理的数据执行实时风险状态检查，实现对风险的识别与处理。自适应风险验证使管理员能设置和管理访问变量如：用户权限，地理位置，浏览器类型，时间或认证类型，实现对风险要素的细粒度控制。基于风险的自适应安全认证是基于风险等级的智能评测来自动适应的认证方式。基于事先预设好的一组风险管理规则，可以实时计算任意访问的风险评分，然后向用户呈现适合于该风险等级的认证选项。这种认证方式能增强用户访问的安全性，并且不会给用户带来额外的认证步骤。一旦用户获得访问权限，平台将在上下文中记住该连接的各种元素，包括使用的设备，Web浏览器和IP地址等。只要这些元素不发生变化，连接依然会被信任，风险分数也会自动降低。同时，应用这种基于上下文级别的行为风险管理，通过传感器收集用户日常登录系统的操作行为和使用习惯，持续深度学习其行为特征，建立识别模型，将为组织数据提供安全保障，使用户对数据访问拥有必要的控制权。
以上主要展现了IAM技术在提升企业内部控制和安全防御方面的核心价值，下面我们转向看下它是如何在促进新技术融合与运用，从而提高效率、降低运营成本所发挥的作用。组织赋予无论是内部员工还是外部人员的系统或设备访问权限时，传统是通过手工逐个操作为每个用户在不同的系统中建立电子身份与账号权限，因此需要IT人员花费大量的时间在繁琐、低效的工作中，要不断地对组织中流动的人员进行手动创建或回收账号权限。通过IAM身份管理与访问控制技术，可以在人员入职时，一键为用户赋予唯一的身份标识以及和岗位对应的角色权限，在其离职时，可一键回收其所有的系统或设备账号权限，实现对用户电子身份全生命周期自动化管控。
我们看下瑞士的一家核电厂(Gosgen Nuclear Power Plant)应用IAM来提高安全和效率的案例。核心内容包括：作为核电厂必须保持高水平的安全，并确保仅被合理授权的人员可以访问其有权限访问的建筑场地和信息系统。IAM能够容易、快捷地帮助组织进行访问授权。“我们可以评估IAM可以减少50%的用户管理工作量，我们不再需要多次在不同的系统创建或删除同一个用户账号。同时，核电厂也使用了唯一的设备编码，通过IAM可以实现设备编码在不同系统之间的同步，这对于核电站的IT运维人员是一个非常重要，能节省时间的功能。在运维过程中如依靠手工维护来确保37万个设备编码在不同系统例如CAD计算机辅助设计系统和文档管理系统的一致性，这几乎是一项不可能完成的工作。使用身份管理平台来同步信息，不仅可以节省大量手工操作的时间，同时能提供更准确、更一致的数据，让核电站更安全、更高效的运行。
我们再看下韩国某一核电厂的案例，在其从设计、建造、管理和运营以及维护等不同阶段，涉及不同的公共和私人组织参与协作。韩国工程设计公司（KOPEC）参与设计阶段，韩国水力核电（KHNP）经营和管理韩国内的所有核电站，斗山重工和建筑公司生产主要设备，另外一家建筑公司建造核电厂。尽管每个组织都有自己的数据管理系统并获得一定程度的自动化，但各组织之间的数据共享水平却极为低下。 KHNP以纸张形式从KOPEC获取图纸和各项技术规格，大量的手工再加工的操作行为，造成整个过程中存在人为导致的错误和风险隐患。为了在设计、运营和维护等不同阶段之间建立高效通畅的信息桥梁，日立公司帮助核电厂建立和实施了一个通用产品模型（GPM），并扩展用于构建共享的数据仓库和韩国核电站信息共享系统（KNPISS）。
核电站安全已纳入国家安全体系，在信息化建设中，应高度重视并加强信息技术的研发，提高安全性和自主可控水平。组织需证明其拥有的安全体系设计适合防御这些威胁。现今的核能数据安全规划更需要具有系统性和兼容性，即建立在所有技术，人力、组织和监管要素的基础上，最终实现数据的安全获取和访问。IAM身份管理与访问控制一体化解决方案，通过为核能组织建立智能身份治理体系，无缝管理所有渠道，包括本地，云上和移动设备的各类型身份，为组织建立可信的身份关系模型，同时运用大数据风险分析手段实时动态地为组织数据安全保驾护航。
这是我今天的主题发言，谢谢大家！
