文│國網山東省電力公司 陳劍飛 國網濰坊供電公司 王小亮 國網諸城市供電公司 徐明偉

黨和國家高度重視網絡安全和信息化工作，密集出臺網絡安全法律法規和標準規范， 并將每年 9 月第三周定為“國家網絡安全宣傳周”。作為國家網絡空間安全防線的重要組成部分，大型國有企業應堅持“網絡安全為人民，網絡安全靠人民”的理念，提升整體網絡安全意識和技能，共同保障我國的網絡空間安全。

一、樹立全員網絡安全意識迫在眉睫

(一)防范網絡攻擊需提高全網網絡安全意識

近年來，世界范圍內惡意網絡攻擊強度、頻率、規模和影響不斷升級，網絡攻擊破壞性愈發嚴重，復雜的國際形勢導致針對我國各行業發起的網絡攻擊愈演愈烈，網絡戰風險不斷累積，網絡安全防護難度不斷增大。網絡安全不同于傳統生產安全，網絡安全的本質是對抗，是攻防兩端“人與人”能力的較量。員工恰恰是各大型國有企業網絡安全最薄弱的環節，很多企業最大的安全漏洞是在管理和文化方面，這已經成為業界普遍的共識。

(二)國家法律法規對網絡安全宣傳教育工作提出更高要求

2017 年 6 月 1 日，我國施行了《網絡安全法》，其中第十九條明確規定：“各級人民政府及其有關部門應當組織開展經常性的網絡安全宣傳教育，并指導、督促有關單位做好網絡安全宣傳教育工作”。該法還對公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域提出信息安全意識教育相關要求。《關鍵信息基礎設施保護條例》第十五條要求，關鍵信息基礎設施運營單位要履行網絡安全教育、培訓等義務。

(三)國資委要求央企常態化開展網絡安全宣傳教育工作

國資委每年舉辦中央企業網絡安全工作培訓班，組織央企網絡安全工作人員學習網絡安全政策理論知識。2017 年 5 月，國資委下發《關于進一步加強中央企業網絡安全工作的通知》，要求央企將經常性網絡安全宣傳教育納入議事日程，開展專題宣傳和教育培訓，動員全員共同參與，普及網絡安全常識、增進網絡安全知識、提高網絡安全意識。提高全員網絡安全意識任重而道遠，如何開展有效的網絡安全宣傳工作，提升全員網絡安全意識，是網絡安全保障工作迫切需要解決的問題。

二、大型國有企業網絡安全宣貫教育工作面臨的挑戰

(一)員工網絡安全意識參差不齊

國有企業員工年齡和受教育程度差異大，大多數員工對網絡安全“知其然不知其所以然”，認為網絡攻擊都在互聯網上，網絡攻擊只是小概率事件，網絡安全跟自己的工作不會有交集，對可能受到的網絡攻擊的危害性缺乏認知。部分領導干部對網絡安全重視不足，或者只是口頭上重視，“說起來重要，干起來次要，忙起來不要”。

(二)網絡安全與數字化發展難以平衡

企業為了生存和發展加速推進數字化轉型，各種新技術快速滲透各行各業、融入企業運營各環節。新技術同時帶來新風險，數字化“重建設、輕安全，重使用、輕防護”的情況屢見不鮮。信息系統先上線、網絡安全再補位，當可用性和安全性沖突時，往往會降低安全性要求。

(三)網絡安全宣貫教育難以深入基層

大型國有企業層級多，安全管理和宣貫教育普遍是自上而下層級式推進，廣大基層員工處于層級末梢，宣貫教育效能在層層傳遞中不可避免產生損耗，逐漸弱化。網絡安全宣貫教育也缺乏系統性，宣貫的素材針對性不強，難以引發基層人員共鳴，宣貫教育效果不理想。

三、國網山東電力網絡安全宣貫教育主要做法

(一)與日常工作相融合，潤物無聲

國網山東電力將網絡安全融入日常工作的各個環節，在潛移默化中提升全員網絡安全意識，讓網絡安全“隨處看得見、時時聽得到、伸手摸得著”。

讓網絡安全隨處看得見。按照國家、企業、個人分類梳理網絡安全要求和防護要點，制作圖文并茂的展板、上墻畫報，讓員工在工作間隙隨處都能看到網絡安全知識;統一制作《漫看網絡安全》《網絡安全法解讀》等系列宣傳視頻，在樓宇電視、宣傳大屏等視頻終端循環播放，讓員工在乘坐電梯片刻能夠看到網絡安全知識;總結網絡安全警示語“五禁止”“八不準”“十嚴禁”，強調弱口令防范、敏感文件保護等基本安全要求，制作成辦公電腦桌面、屏幕保護程序，在門戶網站置頂宣傳飄窗，讓員工每次用電腦辦公的時候能夠看到網絡安全知識。

讓網絡安全時時聽得到。舉辦形式多樣的網絡安全培訓，組織對新員工和關鍵崗位人員開展專題網絡安全培訓，邀請業內知名網絡安全專家和企業網絡安全職能部門管理人員，普及網絡安全法律法規和管理要求;組織各單位定期舉辦網絡安全大講堂，邀請主管領導和分管領導參加，通過攻防案例解讀、漏洞危害分析等方式，提高各級領導干部的網絡安全風險意識。以全員安全日活動為載體，在固定時間學習生產安全和網絡安全要求、案例解讀，讓員工像重視生產安全一樣重視網絡安全。

讓網絡安全伸手摸得著。印制網絡安全宣傳手冊、宣傳折頁，將其放在門廳、走廊、電梯口等位置，普及網絡安全法、數據安全法、個人信息保護法等法律法規，讓網絡安全知識觸手可及;制作下發印有網絡安全警示語、小常識的鼠標墊，內外網文件交互只能使用安全 U 盤;在辦公電腦顯示器、主機上粘貼安全標簽，使辦公電腦的安全使用方法一目了然。讓網絡安全知識隨手可得，在潛移默化中提高全員網絡安全意識。

(二)在關鍵節點處展開，聲如驚雷

日常宣貫如細雨，關鍵節點教育若驚雷。國網山東電力設立“護網先鋒”公眾號，立足新媒體宣傳高地，緊扣安全生產活動月、網絡安全宣傳周、國家專項網絡攻防演習等時間節點，積極開展各類宣傳活動，形式新穎，內容鮮活，效果良好。

充分利用網絡安全新媒體宣傳陣地。為了充分掌握員工獲取網絡安全知識的渠道和興趣點，公司通過座談、調查問卷等方式深入調研，93.8% 的受訪者傾向于通過微信、微博等互聯網渠道學習了解安全知識，97.2% 的受訪者對網絡安全小知識、小常識有主動學習興趣。基于這種情況，公司創建了“護網先鋒”微信公眾號，打造網絡安全新媒體宣傳陣地。公眾號通過幽默風趣的語言和寓教于樂的故事，科普網絡安全知識，展現隊伍隊員風采，開展網絡安全趣味問答，引發了強烈反響和關注，受到一致好評。截至目前，公眾號已經擁有粉絲近萬人，成為電力行業知名的專業公眾號，是山東電力網絡安全的一張對外名片。

抓住網絡安全宣傳有利時機。在每年 6 月的安全生產活動月、9 月的國家網絡安全宣傳周期間，組織開展“網絡安全到基層”系列宣傳活動，以“一宣傳、兩提升、三整治”為主線，宣傳網絡安全法律法規制度標準，提升基層員工網絡安全基礎防護意識、提升網絡安全監測處置與溯源能力，整治敏感信息泄露與仿冒網站、整治移動應用建設與運行不合規、整治基層員工基礎安全問題。設置網絡安全宣傳展廳、展臺，將網絡安全知識融于實際場景中，設置釣魚郵件、手機木馬、釣魚 WiFi 等場景，讓員工切實感受網絡安全的重要性和不注重網絡安全帶來的危害。利用《國家電網報》、門戶網站、“i 國網”App 等多種媒體發布信息安全宣傳稿件，分享公司信息安全工作動態和成績，加強信息安全輿論覆蓋。

全力加強重要時間節點的宣傳力度。在黨和國家重大活動、國家網絡安全演習等期間，結合網絡安全保障任務強化宣傳引導。舉辦防社工、防泄密等專題講座，邀請公安、網信等網絡安全專家，普及網絡安全法律法規，講授網絡安全防護知識。開展“一把手講網絡安全”，組織各級領導在早例會、周例會上通報公司網絡安全態勢，強調網絡安全要求。開展分層次多輪次網絡安全抽考，舉辦網絡答題活動，督促領導干部、基層員工、關鍵崗位人員主動學習網絡安全知識，切實做到應知必知、應會必會。

(三)在安全紅線上堅守，泰山壓頂

宣貫教育“不放松”，出了問題“不手軟”。統一建章立制，構筑網絡安全紅線，打造“紅藍”護網先鋒，以攻促防、以攻促查，強化網絡安全剛性執行，讓“用的人知道安全，管的人重視安全，查的人管得了安全”。

強化網絡安全剛性執行。緊扣公司網絡安全發展要求，編制下發 21 項管理辦法和工作細則，構建網絡安全“六項機制”，即監督機制、應急機制、事故調查機制、通報機制、事件責任追究機制和風險管理機制，為網絡安全保障“立規”，對安全風險“筑籠”。將網絡安全事件納入各單位企業負責人業績考核，嚴格行使網絡安全的“一票否決權”，嚴肅對待發現的問題，堅持“一個都不放過”，定期開展分析通報，狠抓問題整改到位，堅決做到不闖紅燈，不越紅線。對網絡安全事件的處理，按照安全生產事故處理的要求，實行“說清楚”制度。2021 年，公司通報重大隱患 11 個，漏洞 283 個，用鮮活的事件和案例，讓各層級領導重視網絡安全管理、讓基層員工警醒，減少同類事件的發生，逐步提高全網網絡安全意識。

打造網絡安全先鋒隊。為了解決網絡安全“專職人員少、攻防基礎弱”等問題，公司跨專業多層級選拔培養網絡安全人才，組建山東電力紅藍隊。公司每年舉辦 4 至 6 期初、中級培訓，有針對性地舉辦高級班培訓，選擇表現特別突出的隊員進行脫產培訓。紅藍隊建設尤其注重理論與實踐相結合，踐行“走出去”培育模式，組織優秀隊員赴安全公司、互聯網企業、知名院校開展實地調研和考察學習，通過“揭榜掛帥”“青年托舉”“工匠塑造”等多種方式，提升隊員綜合素質。經過多年持續的培養和發展，山東電力目前擁有紅藍隊員294 人，包括紅隊 104 人，藍隊隊員 190 人，參加國家、國際網絡安全賽事 50 余項，獲得包括 35 個冠軍在內的 110 多個獎項，獲得齊魯工匠、富民興魯勞動獎章、全國技術能手等系列獎項。多名紅藍隊員入選公司專家人才和勞模工匠，在省、市、縣各級單位的榮譽榜和表彰會上都有他們的身影和事跡，他們既是保障網絡安全的先鋒隊，也是網絡安全宣貫教育的“明星”。

實戰攻防繃緊網絡安全弦。“警鐘長鳴”才能居安思危，紅藍隊就是敲鐘人，必須讓隊伍在急難險重的工作任務中經風雨、見世面、壯筋骨。山東電力紅藍隊主要通過“平時”“戰時”兩種工作模式錘煉隊伍。“平時”模式下，主動選派隊員參加重大活動保障、現場檢查、事件調查等工作，提升隊伍攻防能力。“戰時”模式下，參照網絡戰的方式，組織紅藍隊充分利用漏洞攻擊、社工攻擊和供應鏈攻擊等手段，以不打招呼、背靠背的方式開展定點和定向攻擊。為了提高攻防作戰能力，紅藍隊自主設計研發了 4 款自主可控安全設備和 4 款攻防對抗工具，初步實現了“情報主動探察、威脅一鍵處置，攻擊智能溯源，漏洞自動識別”。其中，“大黃蜂”人工智能滲透機器人，能夠模仿完整的滲透測試過程，參加百度人工智能攻防對抗比賽連續兩年獲得冠軍。2021 年，山東電力紅藍隊先后開展 2 期代號“紅箭行動”的攻防演習，累積發現并修復網絡安全漏洞 283 個，預警網絡安全威脅 110 個，發布網絡安全態勢通報 12 期，讓公司上下持續繃緊網絡安全這根弦，居安思危，時刻牢記“網絡安全靠人民、網絡安全為人民”，共同維護公司網絡安全穩定局面。

(本文刊登于《中國信息安全》雜志2022年第1期)