电力公司认识到众多的、想象不到的、威胁安全的事情能影响网络的可靠性、事故后的恢复和营业的不间断性。这一认识因联邦能源管理委员会(FERC)和北美电力可靠性理事会(NERC)颁布了适用于大宗电力市场参与者的最低安全保障标准而得到提高。
在结构和运行上，一个区域电网是一个多要素实体，任何组成部分包括发电、输电或配电的故障都可以影响到整个电网的可靠性，以及它所能服务的用户和公众。认识到这一互相依存关系，FERC和NERC上一个夏季对美国大宗电力市场的所有参与者提出了"日常最低安全必要条件"。
提出标准的目的是保证市场所有参与者--包括发电厂和售电商、可靠性监督机构、独立的系统运行单位和区域性输电组织--至少有一个能使电网从可能严重干扰运行的任何意外或蓄意的行为所造成的影响隔离开的基本安全方案。按FERC和NERC规定，一个基本安全方案包括下列几方面：管理、计划、预防、操作、对发生事情的反应和营业的不间断性。
然而，输电部门的业主和供电单位自然而然要承担起保持可靠电力服务的最大责任。如果这些标准成为规章，输配电(T&D)公司有责任阻止对3种相互依赖的网络安全的潜在影响：
(1) 实体的。T&D网络联接到别种网络上(通信网络、油气管线和水/废水系统)。
(2) 电脑化的。T&D网络已嵌入电子基础结构。
(3) 地理的。很多T&D网络与油气管线合用走廊或使用铁路的用地。在某些情况下，因为它们受到地方政府机关的管辖，它们的运行受到影响。
总的说来，所提出的安全标准要求更大范围使用电子系统来支持网络安全。它们也把网络使用的电脑化资源，如区域数据中心的实体保护作为目标。
Meta集团股份有限公司的电子信息对策部门预测在2003年电力公司将在安全改进方面加倍他们的投资，使其接近于别的安全意识强的企业如零售业和金融部门那样的水平。对于未来的很多年，电力公司还必须每年投资更多来不断计划和执行更好的安全手续和政策，并遵守变化着的强制性安全保障标准。
在这些倡议中，手续常常受到最少的注意。在电脑化安全空间内，很多从业人员知道如何去安装一个防火墙，另外一些人知道如何写一份安全政策，但这两组人通常不互相交流。安全手续使电力公司把政策、标准和准则能联系起来，因此，制定一个安全方案是必不可少的。灵活性是关键，因为业务的需求，管理部门(FERC/NERC)的周围情况和技术在不断变化，如同雇员的技能与用户及供电者潜在风险相互影响数目一样。
作为对比，政策是任何安全方案的基础。它们一般是由电力公司的董事会、执行委员会或分配此次任务的另一个委员会来制定和贯彻。一个良好的安全政策详细说明了为保护公司实体和电脑化资产所要采取的步骤。它也为实施安全保障、改进责任分配并要求对它们符合联邦的、州的和市的标准和准则的实际程度作定期检测(按照FERC/NERC建议，至少每年一次)。
安全标准和准则最好是分别提出。标准既作为管理的基准又作为确定安全意识和控制水平的基准使用，还作为资产保护所希望达到水平的必要条件。标准随着单位的规模、复杂程度、出售物品和管理部门的周围情况而变化。一般需要几个标准。对于使用申请服务提供者样式的电力公司，所需要的信息标准必须强调为保护IT机构的基础设施各个组成部分不受内部和外部威胁所需要的措施，也需要专门用于总体安全方案中数据安全部分授权装置的技术标准。
安全准则的目标是使公司的生产经营与安全方案取得一致或将安全要素放入生产经营中提供信息。在油气输送和分配部门中，最惯用的安全准则是使用风险管理原则(特别是后果减轻)来提出和管理安全问题。部门规定要求管线运行人员确定适当的侦察和制止手段，并制定出行动计划、详细说明响应不同威胁程度的临时性行动。换言之，运行人员系统地评估了安全风险，将研究结果作成文件，并且贯彻执行适当的风险控制。
因为人的因素遍及所有四种安全倡议即手续、政策、标准和准则，安全方案没有企业安全文化的支持很难奏效。必须使IT全体工作人员和最终用户都了解安全的重要性并照办。明确责任是一种办法。事实上，所提出的FERC/NERC标准要求每一个大宗市场参与者指定一个官员负责制定和管理其安全方案。如果所提出的标准成为法规，那位官员必须每一年度证明公司是否已照他或她提出的每一方面办到了。
在很多电力公司，单位文化很可能必须改变以适应这个要求。Meta集团的研究表明40%的美国电力公司规定他们的IT机构对电脑化安全负全责。Meta集团相信在未来2年内这个百分比将降到低于20%，因为很多公司建立了安全部门来满足由此所提出的要求并赋予他们对实体安全以及电脑化安全的职责。
建议的安全标准要求些什么？
2002年7月，FERC提出了最低安全标准，它要求美国大宗电力市场的参与者们照办。这些标准是从流行的企业标准和作法及从NERC安全保障准则衍生出来的一组措施。
建议的全文能在http://www.ferc.gov/DRAFTFERCNOPRStandardsdv5.pdf找到。建议打算在2004年1月生效，或以其现行形式，或者基于现在收到的企业参加者的评论意见所作的修改。
建议的安全标准也包括在由FERC在2002-07-31出版的SMDNOPR中。关于这个建议和对它的评论意见，可查阅http//www.ferc.gov/Electric/rto/Mrkt-Strct-comments/nopr/Web-NOPR.pdf(在SMD NOPR的附录G中)。
虽然建议的严格词句仍然在商榷中，但它的有关遵守义务的章节不大可能改变。如通常所知道的，美国大宗电力市场的每一个参与者应向FERC申报一份由公司一个官员签字的年度自检证书、或者指出全面遵守了规则或者指出任何未能遵守的领域。不能遵守将导致失去直接进入电力市场的特权，在建议规定的条件中，第一份证书要在2004-01-31报出，以后则在每年1月31日前报出证书。
必须证明是遵守了还是未遵守的具体安全项目包括：
(1) 管理部门对网络市场系统安全的职责分工；
(2) 公司的安全边界的界定和文件的提供；
(3) 证实已经拟定公司安全方案及支持政策；
(4) 每年至少一次审查安全政策和安全标准、程序；
(5) 资产分类体系的界定和贯彻；
(6) 证实进入紧要基础设施的人员接受了安全培训并且公司全部人员一年至少接受一次安全意识的培训；
(7) 证实重要资产的管理人员和操作人员在过去5年里已进行了背景审查；
(8) 对于批准的人员贯彻出入控制程序；
(9) 在安全边界线内未经批准的人员要一直有人陪同；
(10) 已经拟定、贯彻了电脑化和实体安全程序，并监控其是否得到遵守；
(11) 开发和试验紧要系统安全条件的文件已经拟定；
(12) 软件开发系统与业务系统不作关联；
(13) 已经拟定和贯彻了事故响应计划；
(14) 已经贯彻执行了电业部门信息共享和分析中心(ES-ISAC)报告和报警程序；
(15) 已经制定和试验了业务不间断计划。
(本编译自Energy Business & Technology May 2003)
安全文化网 www.anquan.com.cn上一篇：奥地利研制新型潜水消防车
下一篇：瑞士考驾照，通不过2/3