双翼煤化-电力监控系统安全防护总体方案.doc
《双翼煤化-电力监控系统安全防护总体方案.doc》由会员分享，可在线阅读，更多相关《双翼煤化-电力监控系统安全防护总体方案.doc（36页珍藏版）》请在冰豆网上搜索。
陕西双翼煤化科技实业有限公司
电力监控系统安全防护方案
陕西双翼煤化科技实业有限公司
2017-9-26
陕西双翼煤化科技实业有限公司
电力监控系统安全防护方案
编写：
校对：
审核：
会审：
批准：
目录
1前言 5
2适用范围和法律依据 5
2.1适用范围 5
2.2标准及规范 5
3总体目标 6
4管理组织机构 6
5电力监控系统安全防护方案 8
5.1安全分区 8
5.2网络专用 10
5.3横向隔离 11
5.4纵向认证 11
5.5边界安全防护方案 12
6电力监控系统安全防护策略 13
6.1生产控制大区安全防护策略 13
6.2管理信息大区安全防护策略 14
7综合安全防护措施 14
7.1物理安全 14
7.2主机安全加固 14
7.3网络安全加固 15
7.4应用安全控制 15
7.5安全审计 15
7.6入侵检测 16
7.7备份与容灾 16
7.8恶意代码防范 16
7.9专用安全产品的管理 17
7.10安全接入 17
7.11应急预案 18
7.12安全管理 18
8定级备案 20
9等保测评 21
10安全评估 21
11整改措施 22
附件1：
网络拓扑图 22
附件2：
软硬件设备清单 23
附件3：
管理组织机构人员 24
附件4：
安全防护现状 24
定级备案情况 24
安全整改情况 25
漏洞扫描情况 46
1前言
为了加强电厂电力监控系统安全防护，确保电力监控系统及电力调度数据网络的安全，抵御黑客、病毒、恶意代码等各种形式的恶意破坏和攻击，特别是抵御集团式攻击，阻止电力监控系统崩溃和瘫痪，以及由此造成的电力系统事故和大面积停电事故，依据中华人民共和国国家发展和改革委员会2014第14号令《电力监控系统安全防护规定》、国家能源局2015第36号《电力监控系统安全防护总体方案》及配套文件《发电厂监控系统安全防护方案》以及《中华人民共和国网络安全法》，结合陕西双翼煤化科技实业有限公司实际情况，制定本方案。
2适用范围和法律依据
2.1适用范围
本方案适用于陕西双翼煤化科技实业有限公司电力监控系统，即用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络等。
2.2标准及规范
1）《电力监控系统安全防护规定》（发改委14号令）
2）《电力监控系统安全防护评估规范》（国能安全36号）
3）《发电厂监控系统安全防护方案》（国能安全36号）
4）《中华人民共和国网络安全法》
5）《电力行业信息系统安全等级保护基本要求》（电监信息[2012]62号）
6）《中华人民共和国计算机信息系统安全保护条例》（国务院令147号）；
7）《计算机信息系统保密管理暂行规定》（国保发（1998）1号）；
8）《信息系统安全保护等级划分准则》（GB17859-1999）；
9）《电力行业信息系统等级保护定级工作指导意见》（电监信息[2007]44号）
3总体目标
陕西双翼煤化科技实业有限公司电力监控系统安全防护的总体目标是：
加强陕西双翼煤化科技实业有限公司电力监控系统安全防护，抵御黑客及恶意代码等各种形式对陕西双翼煤化科技实业有限公司监控系统发起的恶意破坏和攻击，以及其它非法操作，防止陕西双翼煤化科技实业有限公司电力监控系统瘫痪和失控，以及由此导致的电厂一次系统事故和其他事故。
4管理组织机构
为更好地推进公司信息化建设，根据电力监控系统安全防护的要求和本公司的实际情况，公司成立了信息安全领导小组和信息安全工作小组。
由主管安全生产的领导作为信息安全领导小组组长，并指定专人为信息安全工作小组组长。
一、信息安全领导小组主要职责：
1.负责组织建立、健全公司电力监控系统安全防护管理的组织机构；
2.负责组织制定、完善公司电力监控系统安全防护管理的分级负责的责任制；
3.负责审议批准公司信息安全规划与规划实施提供资源保障；
4.负责审议批准公司年度信息安全工作计划；
5.负责审议批准公司重大信息安全项目建设方案；
6.负责为推进公司业务信息安全标准建设提供支持；
7.负责协调解决信息安全项目推进过程中的重大问题；
8.负责审议确定公司信息安全管理政策与重大信息项目方案；
二、信息安全工作小组主要职责：
1.负责组织制订公司信息安全规划、工作计划和重大项目方案，为领导小组决策提供基础；
2.负责公司信息安全规划和工作计划的落实、执行以及各领域信息需求评估工作；
3.负责落实信息安全领导小组议定事项的执行、跟踪和反馈；
4.负责组织和协调公司信息安全建设和重大信息化项目建设工作；
5.负责业务流程的梳理和标准化业务流程的确定；
6.负责制订业务信息标准化推进计划；
7.负责收集和协调信息安全项目推进过程中的问题；
8.负责评估各信息系统运作情况；
9.负责组织和协调公司各领域业务信息安全标准建设工作。
5电力监控系统安全防护方案
根据国能安全第36号文附件1《电力监控系统安全防护总体方案》及配套文件附件4《发电厂监控系统安全防护方案》的要求，陕西双翼煤化科技实业有限公司电力监控系统安全防护总体方案框架结构示意图1如下：
图1陕西双翼煤化科技实业有限公司电力监控系统安全防护总体方案框架结构示意图
5.1安全分区
根据电力监控系统的特点，各相关业务系统的重要程度和安全要求，将整个电力监控系统分为两个大区、三个安全区。
陕西双翼煤化科技实业有限公司划分为生产控制大区和管理信息大区。
生产控制大区分为控制区（又称安全区I）和非控制区（又称安全区II）。
管理信息大区划分为安全区III。
安全区根据业务接入需求设立。
不同的安全区确定了不同的安全防护要求和防护措施，从而决定了不同的安全等级和防护水平。
其中安全区Ⅰ的安全等级最高，安全区II次之，其余依次类推。
5.1.1控制区（安全区Ⅰ）
控制区中的业务系统或功能模块的典型特征为：
是电力生产的重要环节，直接实现对电力一次系统的实时监控，纵向使用电力调度数据网络或专用通道，是安全防护的重点与核心。
控制区的典型业务主要包括DCS系统、NCS系统、PMU等，其主要使用者为调度员和运行操作人员。
其数据通信使用电力调度数据网或专用通道进行传输。
5.1.2非控制区（安全区Ⅱ）：
非控制区中的业务系统或功能模块的典型特征为：
是电力生产的必要环节，在线运行但不具备控制功能，使用电力调度数据网络，与控制区中的业务系统或功能模块联系紧密。
非控制区的典型业务主要包括SIS系统、电量计量系统、保信子站及故障录波管理系统等。
其数据通信使用电力调度数据网。
5.1.3管理信息大区（安全区III）
管理信息大区是指生产控制大区以外的电力企业管理业务系统的集合。
电力企业可根据具体情况划分安全区，但不影响生产控制的安全。
陕西双翼煤化科技实业有限公司管理信息大区分为安全区Ⅲ。
该区实现电力生产的管理功能，但不具备控制功能，不在线运行，可不使用电力调度数据网络。
该区的典型业务为办公局域网、生产管理系统（OMS）等，该区的外部通信边界为信息VPN及因特网。
5.1.4安全接入区
如果生产控制大区内个别业务系统或其功能模块（或子系统）需使用公用通信网络、无线通信网络以及处于非可控状态下的网络设备与终端等进行通信，其安全防护水平低于生产控制大区内其他系统时，应设立安全接入区，典型的业务系统或功能模块包括配电网自动化系统的前置采集模块（终端）、负荷控制管理系统、某些分布式电源控制系统等。
安全接入区的典型安全防护框架结构如图2所示：
图2安全接入区的典型安全防护框架结构示意图
因陕西双翼煤化科技实业有限公司的生产控制大区暂无业务和系统与外网相连，暂不需要部署安全接入区。
5.2网络专用
电力调度数据网为生产控制大区服务的专用数据网络，承载了电力实时控制、在线生产交易等业务，陕西双翼煤化科技实业有限公司电力调度数据网通信按照省调与地调的相关要求进行建设，电力调度数据网络采用MPLSVPN技术，将实时控制业务、非控制生产业务分割成两个相对独立的逻辑专网：
实时VPN1和非实时VPN2，路由各自独立，在网络路由层面不能互通。
5.3横向隔离
5.3.1横向隔离是电力监控安全防护体系的横向防线。
在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力横向单向安全隔离装置（单比特型），隔离强度应接近或达到物理隔离。
生产控制大区内部的安全区之间应当采用防火墙实现逻辑隔离。
5.3.2电力专用横向单向安全隔离装置分为正向型和反向型。
正向安全隔离装置用于生产控制大区到管理信息大区或生产控制大区到安全接入区的非网络方式的单向数据传输。
反向安全隔离装置用于从管理信息大区到生产控制大区或安全接入区到管理信息大区单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。
5.3.3严格禁止E-Mail、WEB、FTP等安全风险高的通用网络服务和以B/S或C/S方式的数据库访问穿越专用单向安全隔离装置，仅允许纯数据的单向安全传输。
5.3.4生产控制大区内部I区、II区之间，应当采用国产硬件防火墙设备，实现逻辑隔离。
5.3.5管理信息大区内部与外网之间，应当采用国产硬件防火墙设备，实现逻辑隔离。
5.4纵向认证
5.4.1纵向加密认证是电力监控系统安全防护体系的纵向防线。
采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。
5.4.2在生产控制大区与广域网的纵向连接处设置国家指定部门检测认证的电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制。
5.4.3具有远方遥控功能的业务（如AGC、AVC、继电保护定值修改）应采用加密、身份认证等技术措施进行安全防护。
5.5边界安全防护方案
应当采用严格的接入控制措施，保证业务系统接入的可信性，经过授权的节点通过纵向加密装置或加密认证网关方可允许接入电力调度数据网，进行广域网通信。
采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。
生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。
对于跨越互联网边界的服务，应当于边界部署访问控制设备并强化访问控制列表，限制由应用服务器发起的外发连接，细化访问控制策略。
需通过远程拨号访问生产控制大区的，要求远方用户使用安全加固的操作系统平台，结合数字证书技术，进行登录认证和访问认证。
对于通过拨号服务器（RAS）访问本地网络与系统的远程拨号访问的方式，应当采用网络层保护，应用VPN技术建立加密通道。
对于以远方终端直接拨号访问的方式，应当采用链路层保护，使用专用的链路加密设备。
对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。
使用安全专网或无线公网接入管理信息大区时必须通过安全接入平台进行安全认证接入，建立专用加密传输通道，实现终端身份认证，安全准入和数据安全交换。
不得从任何公共网络直接接入公司内部网络，更不能接入生产控制大区。
采用信息入侵检测、边界流量监测等安全控制措施对进出边界的数据流进行有效的检测和控制。
6电力监控系统安全防护策略
6.1生产控制大区安全防护策略
6.1.1禁止生产控制大区内部的E-Mail服务，禁止控制区内通用的WEB服务。
6
升级会员 