案例实践 | 某能源企业API安全实践

随着智能电网、全球能源互联网、“互联网+电力”、新电改的全面实施，分布式能源、新能源、电力交易、智能用电等新型业务不断涌现，运营模式、用户群体都将发生较大变化，电力市场由相对专业向广域竞争转变，民营等各种主体也参与到电力市场，使得智能电网系统的标准、开放、互联特性进一步增强，同时也使得智能电网网络安全、业务安全和数据安全防护战线不断延伸，给安全防护带来新压力，增加了“一点突破，影响全网”的风险。在本年度国家组织的专项检查中发现，部分电厂生产监控网络和互联网相连，极大增加了系统安全风险。

国家、行业主管部门一直以来高度重视网络与信息安全工作。自2002年以来，公安部、国家能源局、发改委,以及原国家电力监管委员会等国家和行业主管部门陆续颁布实施了《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息安全等级保护管理办法》（公通字[2007]43号）、《电力二次系统安全防护规定》（[2004]电监会5号令）等规章制度，构建了较完整的电力行业网络与信息安全法规体系。自2014年起，国家网信办、发改委、公安部、国家能源局等主管部门加大对电力信息安全的重点监督管控，相继颁布了《电力监控系统安全防护规定》(2014第14号令)等一系列法令、制度和标准，进一步明确了电网信息安全的重要性。

背景介绍

智能电网建设使得电网发电、输电、变电、配电、用电、调度各环节更为开放，带来大量业务结构的变化，基于互联网的社会服务和公众参与度更高，多种基于互联网的互动化业务应用发展迫切，电网侧、用户侧交互与应用更为频繁，同时，新技术的应用引入新的风险，对传统防护结构带来冲击，具体体现在以下方面：