二次安全防护课件.ppt

1、电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室电力监控系统安全防护规定电力监控系统安全防护规定配套文件解读配套文件解读北京华电卓识信息安全测评技术中心有限公司北京华电卓识信息安全测评技术中心有限公司马庆余马庆余 CISPCISP20152015年年7 7月月电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室目录 2.厂站端安全防护方案 1.总体方案 3.安全防护评估规范电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室电力监控系统安全防护规定发展和改革委员会2014年第14号令2006年2

2、012年2014年2002年2004年原经贸委电网与电厂计算机监控系统及调度数据网络安全防护规定原电监会5号令电力二次系统安全防护规定原电监会34号文能源局成立工作组对其进行修订。修订后重新印发。1电力二次系统安全防护总体方案 2省级以上调度中心二次系统安全防护方案 3地、县级调度中心二次系统安全防护方案 4变电站二次系统安全防护方案 5发电厂二次系统安全防护方案 6配电二次系统安全防护方案电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室新能源类型的发电方式增加VS火电水电核电风电光伏电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一

3、测评实验室能源结构变化的趋势2011年世界发电量结构未来煤电发电占比例越来越少，其他类型发电占比例越来越多。原有的电力二次系统安全防护规定及配套方案已不适应越来越多的新能源类型电厂。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室计算机安全技术的发展电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室7随着IT技术和电力监控系统的进步、安全防护技术的发展及国家相关新政策法规的发布，电力监控系统安全防护规定及方案需与时俱进5.需要建立评估规范与评估程序1.国家相关政策的出台2.电力监控系统技术发展对安全的要求3.计算机和通信技术

4、的发展4.安全技术的发展l2009年，公安部等几部委联合制定并发布信息系统等级保护系列标准规范l2011年，工信部发布工业控制系统网络信息安全防护要求l电监会发布中长期电力交易系统安全防护暂行技术规定、电力负荷管理系统安全防护补充技术规定l智能电网调度技术系统l智能变电站试点已投入运行l10kV配网自动化技术l智能用电采集系统的远方控制功能l风电场和光伏电站的控制系统l国产计算机、服务器、图形工作站等逐渐在电力监控系统普及应用l国产安全操作系统的推广应用l调度数据网络的快速发展l电力专用正向隔离装置、纵向安全认证装置的效率提高l电力专用调度数字证书已发展到第三代l内网安全监视平台的推广l电力监

5、控系统安全评估在监控系统安全防护体系建设和运行管理过程中具有重要作用，可以及时发现系统中存在的安全隐患，并指导完善安全防护措施电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室8 2014年8月1日，国家发改委第14号令电力监控系统安全防护规定经发改委主任办公会审议通过，予以公布，自2014年9月1日起施行。原电监会5号令同时废止。电力监控系统安全防护总体方案 省级以上调度中心监控系统安全防护方案 地县级调度中心监控系统安全防护方案 发电厂监控系统安全防护方案 变电站监控系统安全防护方案 配电监控系统安全防护方案 电力监控系统安全防护评估规范8电力行业信息安全

6、等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室9方案修订的主要原则方案修订的主要原则主要主要原则原则完善体系完善体系进一步完善栅格状安全防护体系，补齐短板注重基础注重基础注重小变电站、小电厂、县调、配调等强化边界强化边界继续强化纵横边界、内外边界加强内控加强内控继续加强内网安全监控和内部安全管理电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室10为了保障电力监控系统的安全，防范黑客及恶意代码等对电力监控系统的攻击及侵害，特别是抵御集团式攻击，防止电力监控系统的崩溃或瘫痪，以及由此造成的电力设备事故或电力安全事故（事件）。电力行业信息安全

7、等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室11总体原则：总体原则：p电力监控系统安全防护的总体原则为电力监控系统安全防护的总体原则为“安全分区、网络专用、横向隔离、纵安全分区、网络专用、横向隔离、纵向认证向认证”。p重点强化重点强化边界防护边界防护，同时加强内部的，同时加强内部的物理、网络、主机、应用和数据安全物理、网络、主机、应用和数据安全，加强加强安全管理制度、机构、人员安全、系统建设、系统运维的管理安全管理制度、机构、人员安全、系统建设、系统运维的管理，提高系统整，提高系统整体安全防护能力，保证电力监控控制系统及重要数据的安全。体安全防护能力，保证电力监控控制系

8、统及重要数据的安全。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室12总体思路：总体思路：p电电安全防护工作的总体思路从开展安全防护工作的总体思路从开展边界防护边界防护逐步向逐步向实施纵深防御实施纵深防御方向转变。方向转变。设备安全 综合防护 边界防护电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室13电力监控系统安全防护要求电力监控系统安全防护要求电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全分区安全分区 传统电网调度自动化系统的控制区主要包括:能量管理、广域相量测量、安全自动

9、控制等业务和功能模块。新一代电网调度控制系统的控制区主要包括：实时监控实时监控与预警类应用与预警类应用（电网稳态监控、动态监视与分析、自动发电控制、自动电压控制、运行分析与评价、在线安全稳定分析、网络分析、继电保护定值在线校核、辅助监测、调度运行辅助决策、水电及新能源监测分析）等业务和功能模块。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全分区安全分区 传统电网调度自动化系统的非控制区主要包括:故障信息管理、电力设备在线监测、实时和次日电力市场运营、调度员培训模拟、水库调度自动化、电能量计量等业务和功能模块。新一代电网调度控制系统的的非控制区主要包括:

10、调度计调度计划类应用划类应用（数据申报与信息发布、预测、检修计划、短期交易管理、发电计划、电能量计量、计划分析与评估、水电及新能源调度），安全校核类应用（静态安全校核、暂态稳定校核、调度辅助决策、稳定裕度评估），调度员培训模拟等业务和功能模块。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全分区安全分区 传统电网调度自动化系统的管理信息大区主要包括:调度生产管理、雷电监测、气象/卫星云图、视频监视、调度信息发布、办公自动化等业务和功能模块。新一代电网调度控制系统的管理信息大区主要包括:调调度管理类应用度管理类应用（核心业务流程SOP、调度生产运行、综合分

11、析与评估、调度机构外业务协同、信息展示与发布、内部综合管理、基础信息维护和管理、专业管理）等业务和功能模块。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全分区安全分区 在生产控制大区内个别业务系统或其功能模块（或子系统）需使用公用通信网络、无线通信网络以及处于非可控状态下的网络设备与终端等进行通信，其安全防护水平低于生产控制大区内其他系统时，应设立安全接入区。典型业务系统配电自动化系统的前置采集终端、负荷控制管理系统、分布式电源控制系统。安全接入区与生产控制大区相连时，应当采用电力专用横向单向安全隔离装置进行集中互联。电力行业信息安全等级测评中心第一测

12、评实验室电力行业信息安全等级测评中心第一测评实验室18安全区划分电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室19p实时控制系统、有实时控制功能的业务模块以及未来有实时控制功能的业务系统应置于控制区。p应当尽可能将业务系统完整置于一个安全区内。当业务系统的某些功能模块与此业务系统不属于同一个安全分区内时，可将其功能模块分置于相应的安全区中，经过安全区之间的安全隔离设施进行通信。p不允许把应当属于高安全等级区域的业务系统或其功能模块迁移到低安全等级区域；但允许把属于低安全等级区域的业务系统或其功能模块放置于高安全等级区域。p对不存在外部网络联系的孤立业务系统

13、，其安全分区无特殊要求，但需遵守所在安全区的防护要求。p对小型县调、配调、小型电厂和变电站的监控系统可以根据具体情况不设非控制区，重点防护控制区。p对于新一代电网调度控制系统，其实时监控与预警功能模块应置于控制区，调度计划和安全校核功能模块应置于非控制区，调度管理功能模块应置于管理信息大区。业务系统置于安全区的原则电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室20等级保护要求类别类别定级对象定级对象系统级别系统级别省级以上省级以上地级及以下地级及以下电力监控系统能量管理系统（具有SCADA、AGC、AVC等控制功能）43变电站自动化系统（含开关站、换流站、

14、集控站）220千伏及以上变电站为3级，以下为2级火电机组控制系统DCS（含辅机控制系统）单机容量300MW及以上为3级，以下为2级水电厂监控系统总装机1000MW及以上为3级，以下为2级核电站运行监控系统DCS（含辅机控制系统）3梯级调度监控系统3风电场监控系统2风电场运行监控系统DCS（含辅机控制系统）2光电场运行监控系统DCS（含辅机控制系统）2配电自动化系统3电能量计量系统32广域相量测量系统（WAMS）3无电网动态预警系统3无调度交易计划系统3无水调自动化系统2调度管理系统2雷电监测系统2电力调度数据网络32通信设备网管系统32通信资源管理系统32综合数据通信网络2故障录波信息管理系统

15、3新一代电网调度控制系统的实时监控与预警功能模块43新一代电网调度控制系统的调度计划功能模块32新一代电网调度控制系统的安全校核功能模块32新一代电网调度控制系统的调度管理功能模块2电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室生产控制大区内部安全防护要求生产控制大区内部安全防护要求p禁止生产控制大区内部的E-Mail服务，禁止控制区内通用的WEB服务。p允许非控制区内部业务系统采用B/S结构，仅限于业务系统内部使用。允许提供纵向安全WEB服务，但应优先采用专用协议和专用浏览器的图形浏览技术，也可以采用经过安全加固且支持HTTPS的安全WEB服务。p生产控

16、制大区重要业务（如SCADA/AGC/AVC、实时电力市场交易等）的远程通信应采用加密认证机制。p生产控制大区内的业务系统间应该采取VLAN和访问控制等安全措施，限制系统间的直接互通。p生产控制大区的拨号访问服务，服务器和用户端均应使用经国家指定部门认证的安全加固的操作系统，并采取加密、认证和访问控制等安全防护措施。p生产控制大区边界上可以采用入侵检测措施。p生产控制大区应采取安全审计措施，把安全审计与安全区网络管理系统、综合告警系统、IDS管理系统、敏感业务服务器登录认证和授权、关键业务应用访问权限相结合。p生产控制大区应该统一部署恶意代码防护系统，采取防范恶意代码措施。病毒库、木马库以及I

17、DS规则库的更新应该离线进行。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室管理信息大区安全要求管理信息大区安全要求p 应当统一部署防火墙、应当统一部署防火墙、IDSIDS、恶意代码防护系统、恶意代码防护系统等通用安全防护设施。等通用安全防护设施。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室网络专用网络专用p 电力调度数据网应当在专用通道上使用独立的网络设备组网，采用基于SDH/PDH不同通道、不同光波长、不同纤芯等方式，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。当采用 EPON、GPON 或光

18、以太网络等技术时应使用独立纤芯或波长。p 安全防护措施：（1）网络路由防护 将电力调度数据网分割为逻辑上相对独立的实时子网和非实时子网，分别对应控制业务和非控制生产业务。（2）网络边界防护 应该采用严格的接入控制措施，保证业务系统接入的可信性；数据网络与业务系统边界采用必要的访问控制措施；在生产控制大区与电力调度数据网的纵向交接处应当采取相应的安全隔离、加密、认证等防护措施。对于实时控制等重要业务，应该通过纵向加密认证装置或加密认证网关接入调度数据网。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室 （3）网络设备的安全配置 关闭或限定网络服务、避免使用默认

19、路由、网络边界关闭OSPF路由功能、采用安全增强的SNMPv2及以上版本的网管协议、使用安全的管理方式、设置受信任的网络地址范围、记录设备日志、设置高强度的密码、开启访问控制列表、封闭空闲的网络端口等。（4）数据网络安全的分层设分区置p 电力调度数据网采用安全分层分区设置的原则。调度数据网由骨干网和接入网组成。地级以上调度中心节点构成调度数据网骨干网（简称骨干网）。各级调度的业务节点及直调厂站节点构成分层接入网，各厂站按照调度关系接入两层接入网。p 调度数据网未覆盖到的监控系统（如配网自动化、负荷管理、分布式能源接入等）的数据通信优先采用电力专用通信网络，不具备条件的也可采用公用通信网络（不包

20、括因特网）、无线公网（GPRS、CDMA、230MHz、WIFI等）等通信方式，使用上述通信方式时应当设立安全接入区，并采用安全隔离、访问控制、单向认证、加密等安全措施。p 各层面的数据网络之间应该通过路由限制措施进行安全隔离。当县调或配调内部采用公用通信网时，禁止与调度数据网互联。保证网络故障和安全事件限制在局部区域之内。网络专用网络专用电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室横向隔离横向隔离p采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔

21、离。电力专用横向单向安全隔离装置作为生产控制大区与管理信息大区之间的必备边界防护措施，是横向防护的关键设备。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。安全接入区与生产控制大区内其他部分相连时，应采用电力专用横向单向安全隔离装置进行集中互联。p电力专用横向单向安全隔离装置分为正向型和反向型。正向安全隔离装置用于生产控制大区到管理信息大区的非网络方式的单向数据传输；反向安全隔离装置用于从管理信息大区到生产控制大区的非网络方式的单向数据传输。反向安全隔离装置集中接收管理信息大区发向生产控制大区的数据，进行签名验证、内容过滤、有效性检查等处

22、理后，转发给生产控制大区内部的接收程序。p严格禁止E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务和以B/S或C/S方式的数据库访问穿越专用横向单向安全隔离装置，仅允许纯数据的单向安全传输。禁止安全风险高的通用网络服务穿越该边界。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室纵向认证纵向认证p 对于重点防护的调度中心、发电厂、变电站在生产控制大区与广域网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现双向身份认证、数据加密和访问控制。安全接入区内纵向通信应采用基于非对称密钥技术的单

23、向认证等安全措施，重要业务可采用双向认证。p 纵向加密认证装置及加密认证网关用于生产控制大区的广域网边界防护。纵向加密认证装置为广域网通信提供认证与加密功能，实现数据传输的机密性、完整性保护，同时具有类似防火墙的安全过滤功能。p 对处于外部网络边界的其他通信网关，应进行操作系统的安全加固，防止被黑客接管而形成向内攻击的跳板，对I、II区的外部通信网关建议配置数字证书。p 调度中心和重要厂站两侧均应当配置纵向加密认证装置或纵向加密认证网关，小型厂站至少应实现单向认证，数据加密和安全过滤功能。p 传统的基于专用通道的数据通信不涉及网络安全问题，新建系统可逐步采用加密等技术保护关键厂站及关键业务。p

24、 具有远方遥控功能的业务应采用加密、身份认证等技术进行安全防护。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室电力调度数字证书系统电力调度数字证书系统p 是基于公钥技术的分布式的数字证书系统，主要用于生产控制大区，为电力监控系统及电力调度数据网上的关键应用、关键用户和关键设备提供数字证书服务，实现高强度的身份认证、安全的数据传输以及可靠的行为审计。p 地区调度以上调度控制中心和有实际业务需要的地区调度控制中心应该建立电力调度证书系统。p 各级电力调度证书系统不仅对本调度控制中心相关人员和相关设备颁发证书，而且向直接下级电力调度证书系统颁发证书。上下级电力调

25、度证书系统构成认证信任链。p 数字证书离线生成、离线装入、离线管理。p 现有应用系统应当逐步进行相应的改造，利用数字证书技术提高安全强度，新建设的电力监控系统应当支持电力调度数字证书的应用。p 安全标签是具有数字签名的权限授权文件。安全标签应纳入电力调度数字证书系统管理。新建设的电力监控系统，应采用调度数字证书和安全标签实现安全授权和强制执行控制及强制访问控制。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室目录 2.厂站端安全防护方案 1.总体方案 3.安全防护评估规范电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室电厂

26、侧监控系统安全目标电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室重大修订（一）章节包括：总则、安全分区、总体部署、总体要求内容涵盖：火电、水电电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室章节包括：总则、安全分区、总体部署、总体要求内容涵盖：火电、水电章节包括：基本原则、安全区的划分、边界安全防护、综合安全防护、附录（各类型电厂安全分区表和防护示意图）内容涵盖：火电、水电、核电、风电、光伏发电、天燃气发电重大修订（一）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室重大修订（二）恶意

27、代码防范（增加了恶意代码防范要求）备份与容灾（增加了异地备份要求）专用安全产品管理（增加了保密要求，关闭工控产品远程链接功能）安全审计（控制大区增加了安全审计要求）应用安全控制（对重要业务系统登录及访问进行控制，加强安全机制）边界防护问题（控制大区增加了入侵检测要求）安全加固要求（增加了对主机与网络设备的加固要求）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室重大修订（三）SIS系统部署位置细分为 一区（监测功能）、二 区（优化功能）和管理 信息大区（管理功能）。明确了核电站和风电场 的一些信息系统（核辐 射监测系统、测风塔系 统、天气预报系统等）的部署位

28、置。控制与管理大区的跨区域应用问题电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室目标、依据、基本原则 电力二次系统安全防护规定（电监会第5号令）电力二次系统安全防护总体方案发电厂二次系统安全防护方案（电监安全200634号）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室基本原则 电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全分区 生产控制大区（安全区I）及非控制区（安全区II）。管理信息大区。重点保护生产控制及直接影响电力生产或机组运行的系统。发电厂安全分区原则电力行业信息安全

29、等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室网络专用电力调度数据网 电力调度数据网是与生产控制大区相连接的专用网络，承载电力实时控制、在线生产交易等业务。发电厂端的电力调度数据网应当在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。发电厂端的电力调度数据网应划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室横向隔离边界横向隔离 横向隔离是电力二次安全防护体系的横向防线。应采用不同强度的安全设备隔离各安全区，在生产控制大区与管

30、理信息大区之间必须部署经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、国产硬件防火墙或者相当功能的设施，实现逻辑隔离。防火墙的功能、性能、电磁兼容性必须经过国家相关部门的认证和测试。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室纵向认证电力调度数据网 纵向加密认证是电力二次系统安全防护体系的纵向防线。发电厂生产控制大区与调度数据网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制。电力行业信息安全等级

31、测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室新增加内容 综合防护是结合国家信息安全等级保护工作的相关要求对电力二次系统从主机、网络设备、恶意代码防范、应用安全控制、审计、备份及容灾等多个层面进行信息安全防护的过程。综合防护电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室 发电厂安全防护注意事项 各类型电厂安全分区表 综合安全防护 边界安全防护 安全区的划分 目标、依据、基本原则电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全区的划分 火电厂和水电厂：1、火电机组分散控制系统DCS2、火电机组辅机控制

32、系统3、调速系统和自动发电控制功能AGC4、励磁系统和自动电压控制功能AVC5、火电厂厂级信息监控系统SIS的监控功能6、水电厂集中监控系统7、梯级调度监控系统8、网控系统9、相量测量装置PMU10、各种控制装置(电力系统稳定器PSS、快关汽门装置等)11、五防系统等控制区（I区）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全区的划分 核电站：1、核电站厂级分散控制系统DCS2、自动电压控制功能AVC3、厂级信息监控系统的监控功能4、网控系统5、继电保护6、辅机控制系统、包括三废处理系统、循环水处理系统、凝结水精处理系统和除盐水系统等7、相量测量装置P

33、MU和自动控制装置（安控、电力系统稳定器PSS装置等）控制区（I区）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全区的划分 风电场：1、风电场监控系统，2、无功电压控制，3、发电功率控制，4、升压站监控系统，5、继电保护，6、相量测量装置PMU等。光伏电站：1、光伏电站运行监控系统，2、无功电压控制，3、发电功率控制，4、升压站监控系统，5、继电保护等。天然气电厂：1、天然气电厂厂级DCS系统，2、燃气轮机控制系统TCS，3、厂级信息监控系统的监控功能，4、自动发电控制，5、自动电压控制系统，6、相量测量装置PMU，7、火警探测系统，8、升压站监控系统

34、，9、继电保护等。控制区（I区）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全区的划分 火电厂和水电厂：1、火电厂厂级信息监控系统SIS的优化功能2、梯级水库调度自动化系统3、水情自动测报系统4、水电厂水库调度自动化系统5、电能量采集装置6、电力市场报价终端7、继电保护和故障录波信息管理终端等非控制区（II区）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全区的划分 核电站：1、厂级信息监控系统的优化功能，2、电能量采集装置，3、故障录波装置等。风电场：1、风功率预测系统，2、状态监测系统，3、电能量采集装置，4

35、、故障录波装置等。光伏电站：1、光伏功率预测系统，2、电能量采集装置，3、故障录波装置等。天然气电厂：1、厂级信息监控系统的优化功能，2、电能量采集装置，3、故障录波装置等。非控制区（II区）电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全区的划分 火电厂和水电厂：1、火电厂厂级信息监控系统的管理功能2、雷电监测系统3、气象信息系统4、大坝自动监测系统5、防汛信息系统6、报价辅助决策系统7、检修管理系统8、办公自动化系统OA9、管理信息系统 MIS等管理信息大区电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室安全区的划

36、分 核电站：1、厂级信息监控系统的管理功能，2、检修管理系统，3、管理信息系统MIS。风电场：1、天气预报系统，2、测风塔系统，3、管理信息系统MIS等。光伏电站：1、天气预报系统，2、管理信息系统MIS等。天然气电厂：1、厂级信息监控系统的管理功能，2、管理信息系统MIS等。管理信息大区电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室 发电厂安全防护注意事项 各类型电厂安全分区表 综合安全防护 边界安全防护 安全区的划分 目标、依据、基本原则电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室边界安全防护分类隔离措施注意事项

37、生产控制大区与管理信息大区之间接近于物理隔离强度的隔离措施；如以网络方式相连，必须部署电力专用横向单向安全隔离装置（正向型和反向型）。部署在生产控制大区（I区或II区）的信息系统与运行在管理信息大区的信息系统或数据接口机进行数据交换时，应部署或采用电力专用横向单向安全隔离装置。控制区与非控制区之间具有访问控制功能的网络设备、国产硬件防火墙或者相当功能的设备，实现逻辑隔离、报文过滤、访问控制等功能。发电厂DCS系统部署在安全区I，与运行在安全区的发电厂厂级监控系统SIS优化功能进行信息交换应采用逻辑隔离的安全防护措施。系统间安全防护发电厂内同属于安全区的各机组监控系统之间、各机组监控系统与集中控

38、制系统之间可采取国产硬件防火墙、具有访问控制功能的设备或相当功能的设施进行逻辑隔离。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室边界安全防护发电厂生产控制大区系统与调度端系统通过电力调度数据网进行远程通信时，应采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。发电厂接入电力调度数据网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，与调度端实现双向身份认证、数据加密和访问控制。发电厂禁止使用远程拨号方式与调度端进行数据通信。纵向边界防护电力行业信息安全等级测评中心第一测评实验室

39、电力行业信息安全等级测评中心第一测评实验室边界安全防护 如果发电厂生产控制大区中的业务系统与厂商、发电集团监测中心或环保、安全等政府部门进行数据传输，其边界防护应采用生产控制大区与管理信息大区之间的安全防护措施。管理信息大区与外部网络之间应采取防火墙、VPN和租用专线等方式，保证边界与数据传输的安全。禁止厂商以任何方式远程直接接入发电厂生产控制大区。第三方边界安全防护电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室 发电厂安全防护注意事项 各类型电厂安全分区表 综合安全防护 边界安全防护 安全区的划分 目标、依据、基本原则电力行业信息安全等级测评中心第一测评

40、实验室电力行业信息安全等级测评中心第一测评实验室 发电厂厂级信息监控系统等关键应用系统的主服务器，以及网络边界处的通信网关机、Web服务器等，应使用安全加固的操作系统。加固方式包括：安全配置、安全补丁、采用专用软件强化操作系统访问控制能力以及配置安全的应用程序，其中配置的更改和补丁的安装应经过测试。非控制区的网络设备与安全设备应进行身份鉴别、访问权限控制、会话控制等安全配置加固。可应用电力调度数字证书，在网络设备和安全设备实现支持HTTPS的纵向安全Web服务，能够对浏览器客户端访问进行身份认证及加密传输。应严格控制无线网络技术的使用，生产控制大区业务系统严禁使用无线网络；管理信息大区业务系统

41、使用无线网络传输业务信息时，应具备接入认证、加密等安全机制。主机与网络设备加固综合安全防护电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室 生产控制大区可以统一部署一套网络入侵检测系统，应当合理设置检测规则，检测发现隐藏于流经域间边界正常信息流中的入侵行为、分析潜在威胁、进行安全审计。入侵检测综合安全防护电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室应用安全控制综合安全防护 发电厂厂级信息监控系统等业务系统应当逐步采用用户数字证书技术，对用户登录应用系统、访问系统资源等操作进行身份认证，提供登录失败处理功能，根据身份与权

42、限进行访问控制，并且对操作行为进行安全审计。对于发电厂内部远程访问业务系统的情况，应进行会话控制，并采用会话认证、加密与抗抵赖等安全机制。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室综合安全防护安全审计 生产控制大区的二次系统应具备安全审计功能，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒和黑客的攻击行为。对于远程用户登录到本地系统中的操作行为，应该进行严格的安全审计。可以采用安全审计功能，对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析。电力行业信

43、息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室综合安全防护专用安全产品的管理 安全防护工作中涉及使用横向单向安全隔离装置、纵向加密认证装置、防火墙、入侵检测系统等专用安全产品的，应当按照国家有关要求做好保密工作，禁止关键技术和设备的扩散。水电厂使用的如可编程逻辑控制器PLC等工业控制产品应通过国家有关部门安全检测，并关闭远程链接功能。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室综合安全防护备份与容灾 应当定期对关键业务的数据与系统进行备份，并实现历史归档数据的异地保存。关键主机设备、网络设备或关键部件应当进行相应的冗余配置。控

44、制区的业务应采用冗余方式。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室综合安全防护恶意代码防范 应当及时更新特征码，查看查杀记录。恶意代码更新文件的安装应经过测试。禁止生产控制大区与管理信息大区共用一套防恶意代码管理服务器。电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室 发电厂安全防护注意事项 各类型电厂安全分区表 综合安全防护 边界安全防护 安全区的划分 目标、依据、基本原则电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室各类型电厂安全分区表火电厂、水电厂二次系统安全分区表 序号

45、 业务系统及设备 控制区 非控制区 管理信息大区 备注 1火电机组分散控制系统DCS DCS A2 2火电机组辅机控制系统 辅机PLC/DCS A2 3火电厂厂级信息监控系统 监控功能 优化功能 管理功能 A2 4调速系统和自动发电控制功能AGC 调速、自动发电控制 A1 5励磁系统和自动电压控制功能AVC 励磁、自动电压控制 Al 6水电厂监控系统 水电厂监控 A1 7梯级调度监控系统 梯级调度监控 A1 8网控系统 网控系统 A1 9相量测量装置PMU PMU B 10变电站综合自动化系统 变电站监控、继保、故障录波、RTU A1 11自动控制装置 PSS、汽门快关等 A1、B 12五防系

46、统 五防系统 A2 13继电保护 继电保护装置及管理终端(有远方设置功能)继电保护管理终端(无远方设置功能)B 电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室各类型电厂安全分区表火电厂、水电厂二次系统安全分区表 序号 业务系统及设备 控制区 非控制区 管理信息大区 备注 14故障录波 故障录波装置 B 15梯级水库调度自动化系统 梯级水库调度自动化 Al 16水情自动测报系统 水情自动测报 A1 17水电厂水库调度自动化系统 水电厂水库调度自动化 A1 18电能量采集装置 电能量采集 A1、B 19电力市场报价终端 电力市场报价 B 20管理信息系统MIS

47、、办公自动化OA MIS、0A A2 21雷电监测系统 雷电监测 A2 22气象信息系统 气象信息 A2 23大坝自动监测系统 大坝自动监测 A2 24防汛信息系统 防汛信息 A2 25报价辅助决策系统 报价辅助决策 A2 26检修管理系统 检修管理 A2 27火灾报警系统 火灾报警 A2 电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室各类型电厂安全分区表核电站二次系统安全分区表序号 业务系统及设备 控制区 非控制区 管理信息大区 备注 1核电站厂级分散控制系统DCS DCS A2 2自动电压控制AVC 自动电压控制功能 A1 3厂级信息监控系统 监控功能

48、 优化功能 管理功能 A2 4相量测量装置PMU PMU B 5变电站综合自动化系统 变电站监控、继保、故障录波、RTU A1 6网控系统 网控系统 A1 7火警探测系统 火警探测系统 A2 8辅机控制系统 辅机控制系统（三废处理系统、循环水处理系统、凝结水精处理系统、除盐水系统）A2 9继电保护 继电保护装置及管理终端（有远方设置功能）继电保护管理终端（无远方设置功能）B 10自动控制装置 安控、电力系统稳定器PSS等 A1、B 11故障录波 故障录波装置 B 12电能量采集装置 电能量采集装置 A1、B 13管理信息系统MIS 管理信息系统 A2 14检修管理系统 检修管理系统 A2 15

49、辐射监测系统 辐射监测系统(采用专用通道)A2 16地震监测系统 地震监测系统 A2 17环境监测系统 环境监测系统 A2 18核电站实物保护系统 核电站实物保护系统 A2 19应急分析与指挥系统 应急分析与指挥系统 A2 电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室风电场二次系统安全分区表 序号序号 业务系统及设备业务系统及设备 控制区控制区 非控制区非控制区 管理信息大区管理信息大区 备注备注 1风电场监控系统 风机监控、风电场监控 A2 2发电电压控制 发电电压控制功能 A1 3无功功率控制 无功功率控制功能 A1 4相量测量装置PMU PMU B

50、 5变电站综合自动化系统 变电站监控、继保、故障录波、RTU A1 6继电保护 继电保护装置及管理终端（有远方设置功能）继电保护管理终端（无远方设置功能）B 7故障录波 故障录波装置 B 8电能量采集装置 电能量采集装置 A1、B 9风功率预测系统 风功率预测 A2 10状态监测系统 风机状态监测 A2 11测风塔系统 测风塔 A2 12天气预报系统 数字天气预报 A2 13管理信息系统MIS 管理信息系统 A2 各类型电厂安全分区表电力行业信息安全等级测评中心第一测评实验室电力行业信息安全等级测评中心第一测评实验室光伏电站二次系统安全分区表序号 业务系统及设备 控制区 非控制区 管理信息大区