韩国核电站信息泄露事件，为应对信息时代的核安全风险再次敲响警钟。计算机网络技术在核电领域的广泛应用实现了信息收集的自动化和系统控制的智能化，提高了核电厂运行的效率，增强了安全性和可靠性。

然而，新的安全问题也随之而来：系统和网络可能遭受的黑客、病毒、蠕虫、木马等偶然或者恶意、有预谋的网络攻击，使得核电厂的系统、网络和设备的可靠性、可控性和可用性以及信息和数据的保密性、完整性受到损害，甚至可能导致核设施和核电厂被强制关闭，威胁生命和环境安全甚至国家安全。

信息安全对于关乎国计民生的核电行业来说至关重要。为应对核电系统信息安全威胁，2011年，国际原子能机构核安全系列第十三号导则(IAEA nuclear security series no.13，INFCIRC/225/Revision 5)——《关于核材料和核设施实物保护的建议》的第五次修订版中专门增加了一项关于信息安全的规定：用于实物保护、核安全以及核材料衡算和控制的计算机系统和网络必须采取措施加以防护，以应对网络攻击、数据操纵或篡改等威胁。2011年4月《核安全公约》第五次审议大会上，IAEA提请各缔约方需共同关注的问题有10项，其中一项即为：各成员国需加强对核电行业信息安全和网络安全的关注，应颁布并执行相关政策、法规，对本国所受的网络安全威胁进行评估并确定对策，同时增加信息安全专业的工作人员数量。

放眼世界，美国政府一直把核电厂列为信息安全保障的重点关键基础设施，多次发布行政令强调核电厂是信息安全重点保护对象。例如2001年英国核电厂被黑客攻击后，美国核管会(NRC)发布了《核电厂临时保障措施和安全补偿措施》(NRC Order EA-02-026)，其后的2003年、2007年、2010年也分别发布了《核电信息安全设计基准威胁》(NRC Order EA-03-086)，《核电厂网络信息安全过渡性审查导则》(DI&C-ISG0l)，《数字计算机、通信系统和网络的安全保护管理导则》(RG5.71)等法规。

我国核电发展在不断的探索过程中形成了与国际接轨的核安全法律法规体系，这些都为核电安全发展奠定了良好的基础。然而，综观我国的核安全法规体系、国家核安全局部门规章、核安全导则和技术文件，仅有的关于计算机的导则是国家核安全局于2004年发布的HAD102/16《核动力厂基于计算机的安全重要系统软件》，涉及到了软硬件、仪控系统的安全性问题，但这只是信息安全问题的一部分，涉及到计算机硬件、软件、网络、系统等信息安全方面的要求还比较少，而针对核电厂网络信息安全方面审查和监管的要求和规范尚属空白。

以邻为鉴，可以少走弯路。新形势下如何加强核电厂信息安全监测、预防、应对、缓解和恢复以及应急响应等工作的方法手段和标准要求，进一步健全和完善我国的核安全审查、监管法规和标准体系，对保证我国核能与核技术利用的持续安全发展具有重要意义。要想避免类似事件发生，核电厂网络安全应做好以下几方面的工作。

　　一是在纵深防御和分等级保护中加强核电信息安全工作

纵深防御是核安全技术的基础，贯穿核安全的全部活动，同样也应严格执行于核电系统的信息安全防御中。美国《数字计算机、通信系统和网络的安全保护管理导则》的细则中明确要求，必须为系统设置多层次安全边界，也就是将系统进行逻辑分层并将之置于多重保护之中，提供深度防护，即使一种手段失效，还有其他安全手段进行保护。

但导则并没有给出具体如何进行逻辑分层的实施建议，而国际工业系统标准中有较详细的分层次建议，这一标准将系统分为5个层次，每层采取一定的信息安全防护措施，搭建逐级深入的安全策略。

美国联邦法规《数字计算机、通信系统和网络的安全保护法规》(以下简称《安全保护法规》)要求数字计算机、通信系统和网络中的信息资产按照重要性等级及实际安全需求进行分类管理，分级实施保护策略。同时只允许数据单向流动，数据流必须从高安全级别系统流向低级别系统。《数字计算机、通信系统和网络的安全保护管理导则》则详细地将信息系统和设备等数字资产按重要性划分为4级，其中，与核安全、核安保、应急(包括应急功能的场外通信)相关的支持系统和设备被称为关键数字资产和关键系统，应给予最高级别的防护。

对系统进行评估和定级是个复杂而关键的过程，需要对所拥有的数字化信息资产进行系统分析和梳理，根据系统基础资源和信息资源的价值大小、用户访问权限的大小、各系统重要程度的区别、系统承载业务情况等进行划分和定级，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划。我国监管部门应加强审查能力建设。

　　二是综合运用管理、技术和操作3方面资源建立信息安全保障体系

在《安全保护法规》的大纲中规定，一个完整而有效的信息安全保障方案应该包含3方面要素：技术、操作、管理。

其中，技术资源涉及到硬件、软件、协议;涉及到终端网络与应用系统以及信息安全产品的开发集成、配置与运行维护等;操作包括媒介保护，实体隔离，人员安全措施，系统运行控制日志和记录，系统和信息完整性防护，应急计划，事件响应，安全意识培养，技术培训等;管理包括各种法律、行政手段，例如安全体系、政策、规章制度的建立，安全评估和风险管理，数字资产的增加和修改等。只有综合运用这3个要素，通过合理配置各项资源，才能建立一个管理与技术相互协调的信息安全保障体系。

(责任编辑：安博涛)