信息安全基础网络设施与通信保护文档格式.docx

信息安全基础网络设施与通信保护文档格式.docx

《信息安全基础网络设施与通信保护文档格式.docx》由会员分享，可在线阅读，更多相关《信息安全基础网络设施与通信保护文档格式.docx（8页珍藏版）》请在冰豆网上搜索。

1）调度数据网

“调度数据网络”包括各级电力调度专用广域数据网络、用于远程维护及电能量计费等的调度专用拨号网络、各计算机监控系统内部的本地局域网络等。

目前，电监会颁布了《电力二次系统安全防护规定》（电监会5号文），提出了《全国电力二次系统安全防护总体方案》，方案中以“安全分区、网络专用、横向隔离、纵向认证”作为总体防护原则。

电力二次系统安全防护方案中的安全分区同电网深度防护体系具有共同点，在基础网络设施与通信保护方面也提出了响应的要求，结合电网信息系统深度防护体系，对调度数据网的保护内容说明如下：

●网络结构

调度数据网中，网络结构包括调度专用广域数据网络、计算机监控系统的本地局域网络的网络结构应采用高可靠性设计，广域网应有备份链路、关键节点设备应当采用双引擎、双电源或两台独立工作的设备，局域网应采用双网结构，防止单点故障的发生。

调度专用广域数据网络的网络配置参数，例如路由协议、路由表、访问控制列表等应当采取保护措施。

网络资源应进行合理的规划，必要时采用QOS技术确保网络资源的合理分配。

●网络设备

调度数据广域网、业务局域网网络设备硬件配置应确保其完整性，防止XX对网络设备硬件配置进行调整、更改。

网络设备自身的配置参数应进行安全加固，加强访问控制和用户登录、操作的审计。

●网管系统

调度数据网络管理系统应确保对其使用和访问的安全性，网络管理系统的管理员和用户权限应当明确授权，并对网络管理系统工作站规定严格的管理制度。

任何人员、任何操作都由详细的授权、审计记录。

网管系统的支撑性设备应进行明确的标识，设备接入应进行认证或审批。

广域网网络设备和网管系统的采用的网络管理协议应尽可能采用加密信道或独立信道进行传输，并对相应的网管协议支撑服务进行安全配置。

●物理环境

调度数据网络设备与设施的部署与存放环境应到确保安全、可靠，核心设备机房应具备门禁、防火、防水、防雷、防尘、应急照明等措施，并强化机房的出入和卫生管理。

●通信

调度数据网络的通信物理线路应确保其高可靠性，采取通信网监控手段及时发现通信链路的故障。

调度数据网络中采用的101、103、104等通信规约本身不具备安全功能，必要的情况下应当采取加密或签名技术，防止规约开放性带来的安全隐患。

●人员

确保调度数据网络运行维护与管理人员的可靠、稳定，有计划的安排人员的培训工作，并采取主辅岗，防止由于人员变动造成的运维管理问题。

2）电力信息网

电力信息网是支撑企业公司管理、运营的重要基础设施，主要是指各级电网企业的电力信息广域网络。

电力信息网络的结构相对复杂，网络较为开发，承载着电网企业大量的业务系统，其保护内容分析如下：

电力信息网络结构应具备高可靠性和高可用性，对于承载面向电力用户的业务系统网络应具备备用链路，并确保网络设计中在关键节点不存在单点故障。

电力信息网络的开放、互联性较高，面对的用户环境和网络环境较为复杂。

网络配置参数，例如路由协议、路由表、访问控制列表等应当采取保护措施，并进行备份，防止非法访问。

对于关键业务应确保网络资源合理分配，采用QOS设备对网络带宽进行合理规划，防止网络资源被滥用。

电力信息网网络设备硬件配置应确保其完整性，防止XX对网络设备硬件配置进行调整、更改。

网络设备自身的配置参数应进行安全加固，例如：

关闭IOS中的FTP、TFTP服务，并加强设备访问的访问控制力度，对用户登录、操作进行严格的审计。

网络设备部署方式合理，减小逻辑网络结构的复杂程度，同时应尽量将网络设备安置在可靠的物理环境中。

电力信息网网管系统应确保对其上所有网络设备都能进行管理，强化网管系统的使用管理和访问控制。

对网络管理系统的管理员和用户权限应当明确授权，并对网络管理系统工作站规定严格的管理制度。

对相应的网管协议支撑服务进行安全加固。

电力信息网络设备与设施的部署与存放环境应到确保安全、可靠，核心设备机房应具备门禁、防火、防水、防雷、防尘、应急照明等措施，并强化机房管理、值班制度。

电力信息网的通信物理线路应确保其高可靠性，采取通信网监控手段及时发现通信链路的故障。

对通信网络承载的业务数据流量应进行规划，确保各业务都具有充分的带宽。

此外，为配合关键业务系统的数据通信，网络中考虑采用适当的加密措施。

对电力信息网运行维护与管理人员采取主辅岗制，定期安排培训，加强运行维护岗位的考核与管理。

3）电网业务局域网络防护

业务局域网络是指各电网企业的办公自动化网络，以及业务部门使用的相对对立的局域网络。

图4－1中给出了三个等级的业务局域网络，它们的保护内容和安全要求分别如下：

保护内容

关键业务局域网

重要业务局域网

普通业务局域网

网络结构

高可靠性、高可用性

确保不存在单点故障

网络配置参数保密、备份

网络配置参数备份

对网络资源分配进行规划、监控

对网络资源分配进行监控

网络设备

设备硬件配置确保其完整性，防止XX对网络设备硬件配置进行调整、更改。

设备硬件配置确保其完整性

设备硬件配置进行管理

对网络设备配置参数的访问进行控制，配置应进行安全加固

对网络设备配置参数的访问进行控制

设备部署方式合理，减小逻辑网络结构的复杂度

设备部署方式合理

物理环境

网络设施的部署与存放环境安全可靠，有值班制度，机房环境符合相应的要求

网络设施的部署与存放环境安全可靠，机房环境符合相应的要求

网络设施的部署与存放环境安全可靠

人员

网络运行维护与管理人员可靠、可控,具备良好的安全技能

网络运行维护与管理人员可靠，具备良好的安全技能

2.技术防护机制

根据技术防护机制的安全措施，对基础网络设施与通信保护中采取的安全控制措施列表与说明如下：

编号

名称

1

访问控制

2

标识与鉴别

3

系统与通信保护

4

应急计划

5

审计与责任

6

维护

7

配置管理

8

系统与信息完整性

访问控制：

确保对网络设备、网管设备采取了，以及网管软件实现了访问控制策略定义、系统帐户管理、强制访问控制、信息流强制访问控制、最小特权分配、失败的登陆尝试、系统使用提示、以前登录提示、并发会话控制、会话锁定、会话终止、无标识与鉴别的操作许可、自动标识、自动标签、远程访问、便携与移动设备接入控制等功能。

审计与责任：

确保在对网络配置参数、网络设备配置参数、网络管理软件系统、网络管理设备、通信流量的安全防护中采用了审计事件、审计处理、不可否认性、时间戳等防护功能，在保证系统实现审计记录内容、审计信息缩减、分析和产生报告等功能的同时，对审计结果采取了审计信息存储、审计信息保护等防护功能。

标识与鉴别：

确保网管系统、网络设备的系统功能实现了用户标识与鉴别、设备标识与鉴别、标识符管理、鉴别管理等防护功能。

维护：

确保在网络结构、网络设备、网管系统的运行维护与管理中具有有效的维护工具。

系统与通信保护：

确保网管系统的安全参数的传输、采用的密码算法有效，对通信的保护实现密钥生成与管理、采用有效的密码算法、通信传输的传输完整性和机密性保护、安全参数的传输和可信路径等防护功能。

配置管理：

在网络结构、网络设备、网络配置参数、网络设备配置参数的防护中实现了改变的访问限制、配置环境、最小功能等防护措施。

应急计划：

确保对网络结构、网络硬件设备、网络管理设备、通信物理线路实现信息系统恢复与重建、备用处理设备、通信服务、信息系统备份等防护措施。

系统与信息完整性：

确保对基础网络设施和通信实现或采用了缺陷修补、恶意代码防护、入侵检测工具和方法、信息输入限制、输出信息处理与存储、安全功能校验、出错处理等防护功能。

3.运维防护机制

根据运维防护机制的安全措施，在基础网络设施与通信保护中采取的运行维护安全控制措施列表并说明如下：

介质保护

物理与环境保护

设计/规划

人员安全

9

风险评估

10

11

事件响应

12

认证、认可与安全评估

在网络管理中对便携与移动设备采取访问控制措施，对网络结构调整、网管系统的使用、网络设备的访问采取监督与审核。

在网络设备管理中采取审计存储容量检查措施、在网络设备、网管系统和通信监控方面采取审计监控、分析及报告防护措施。

在网络配置参数、网络资源分配、网络设备配置参数、设备部署方式的防护中实现基线配置、配置改变的控制、配置环境、最小功能、监视配置改变等防护功能。

维护:

确保对网络结构、网络设备、网管系统的维护过程中实现定期维护、远程维护、及时维护等的功能要求，并保证维护人员的安全性。

介质保护：

确保在网络硬件设备、通信物理线路、网管设备的运维管理中实现介质标签、介质访问、介质清理、介质损坏与处理等防护功能。

物理与环境保护：

确保对网络设备、网管系统和通信线路物理环境的保护中实现物理访问权限、传送介质的访问控制、访客控制、电力设备和电缆、紧急关闭、防火、温度和湿度控制、防水、传输和移除、备用工作场所、访问日志、物理访问的监控、紧急备用电源、显示介质的访问控制、紧急照明等防护功能。

设计/规划：

确保在网络结构、网管系统、通信的设计与规划中满足了系统安全设计/规划、系统安全设计/规划修正等防护要求。

人员安全：

确保基础网络设施与通信安全防护中采取了人员筛选、人员离职、人员调动、访问协议、第三方人员安全、人员处罚等防护措施。

风险评估：

确保对基础网络设施与通信的定期的自评估。

确保对网络结构、网络配置参数、网络设备配置参数、网管系统的运行维护中实现了缺陷修补、安全警报和通报等防护机制。

事件响应：

确保在网络基础设施和通信的运行维护中实现事件响应测试、事件处理、事件监控、事件报告、事件响应支持等防护功能。

认证、认可与安全评估:

确保对基础网络设施和通信的持续监控和安全评估。

4.管理防护机制

根据管理防护机制的安全措施，在基础网络设施与通信保护中采取的管理安全控制措施列表并说明如下：

安全意识与培训

13

系统与服务采购

14

15

16

对基础网络设施与通信的管理防护中应当实现访问控制策略和流程、职责分开功能。

对基础网络设施与通信的管理防护应当实现审计和责任追究策略及过程。

安全意识与培训：

对基础网络设施与通信的管理防护应采取安全意识和培训的策略与步骤、安全意识、安全培训、安全培训记录等防护措施。

对网络结构、网络配置参数、网络设备配置参数、网管系统、通信协议实现配置管理策略和流程的防护要求。

对基础网络设施与通信的管理防护应实现应急计划的策略和章程、应急计划、应急培训、应急计划测试、应急计划更新等防护要求。

对基础网络设施与通信的管理防护应实现标识与鉴别的策略和章程的防护要求。

对基础网络设施与通信的管理防护应实现事件响应策略和章程、事件响应培训、事件响应测试、事件处理、事件监控、事件报告、事件响应支持等防护要求。

对基础网络设施与通信的管理防护应实现系统维护策略和流程、维护人员等防护要求。

对基础网络设施与通信的管理防护应实现物理和环境保护的策略和流程。

在网络结构、网管系统的管理防护中应实现安全设计/规划策略和流程、行为规范等防护要求。

在网络结构、网络设备、网管系统的管理防护中应实现人员安全策略和流程、岗位分类、人员筛选、人员离职、人员调动、访问协议、第三方人员安全、人员处罚等防护要求。

对基础网络设施与通信的管理防护应实现风险评估策略和流程、安全分类、风险评估、风险评估修正等防护要求。

系统与服务采购：

对基础网络设施与通信的管理防护应实现系统与服务采购策略与流程、资源分配、生命周期支持、采购、信息系统文档等防护要求。

对基础网络设施与通信的管理防护应实现系统与通信保护策略与流程。

认证、认可与安全评估：

对基础网络设施与通信的管理防护应采取认证、认可、安全评估政策和流程、实施计划和阶段性成果、安全认可/授权等防护要求。

对基础网络设施与通信的管理防护应实现系统与信息完整性策略与流程。