电力工控系统安全防护技术监督实施细则.doc

《电力工控系统安全防护技术监督实施细则.doc》由会员分享，可在线阅读，更多相关《电力工控系统安全防护技术监督实施细则.doc（121页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、电力工控系统安全防护技术监督实施细则为加强电厂工控系统网络信息安全技术监督管理，确保工控系统网络安全可靠，依据中华人民共和国网络安全法、发改委201414号令、国家能源局国能安全201536号文、电力行业信息系统安全等级保护基本要求等要求，参考信息安全技术网络安全等级保护基本要求，结合洛阳公司工控系统网络建设与安全防护工作实际情况与实践经验，制定本标准。本标准规定了洛阳公司工控系统网络信息安全建设与管理有关的原则、分类、职责和要求。涵盖国家能源局国能安全201536号文附件电力监控系统安全防护总体方案中界定的生产控制大区中的控制区(安全区I)和非控制区(安全区)中所有信息系统的网络安全建设与技

2、术监督管理。 本标准引用下列文件，凡是标注日期的引用文件版本适用于本文件。凡是不标注日期的引用文件，其最新版本（包括所有的修订单）适用于本文件。中华人民共和国主席令2017第53号中华人民共和国网络安全法GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南DL/T 5226-2013 发电厂电力网络计算机电力工控系统设计技术规程GBT 36047-2018 电力信息系统安全检查标准GB/T 33009工业自动化和控制系统网络安全 集散控制系统(DCS) 电监信会201262号 电力行业信息系统安全等

3、级保护基本要求发改委201414号 电力监控系统安全防护规定能源局201536号 关于印发电力监控系统安全防护总体方案等安全防护方案和评估标准的通知工信部信软2016338号 工业控制系统信息安全防护指南国网调20181084号 关于加快推进电力监控系统网络安全管理平台建设的通知国能发安全201872号关于加强电力行业网络安全工作的指导意见中国大唐集团有限公司电力监控系统信息安全管理规定（试行）下列术语和定义适用于本文件。电厂电力工控系统 fossil-fuel power plants production monitoring and control system是指用于监视和控制发电厂生

4、产过程、基于计算机及网络技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络等，包括电厂的主控制系统、外围辅助控制系统、电力调度自动化系统、微机继电保护和安全自动装置、现场总线设备与智能化仪表等控制区实时系统，以及厂级监控信息系统等非控制区电力工控系统。电力调度数据网络 electric power dispatching data network各级电力调度专用广域数据网络、电力生产专用拨号网络等。生产控制大区 production control zone是指由具有数据采集与控制功能、纵向联接使用专用网络或专用通道的电力工控系统构成的安全区域。管理信息大区 management in

5、formation zone生产控制大区以外的电力企业管理业务系统的集合，包括厂级电力工控系统管理功能、办公系统、企业内外部网站、经营管理等管理信息系统（MIS）。控制区 control area由具有实时监控功能、纵向联接使用电力调度数据网的实时子网或者专用通道的各业务系统构成的安全区域。非控制区non-control area在生产控制大区范围内由在线运行但不直接参与控制、是电力生产过程的必要环节、纵向联接使用电力调度数据网的非实时子网的各业务系统构成的安全区域。访问控制 access control一种保证数据处理系统的资源只能由被授权主体按授权方式进行访问的手段 安全审计 securi

6、ty audit按确定规则的要求，对与安全相关的事件进行审计，以日志方式记录必要信息，并做出相应处理的安全机制。安全策略 security policy用于治理组织及其系统内在安全上如何管理、保护和分发资产（包括敏感信息）的一组规则、指导和实践，特别是那些对系统安全及相关元素具有影响的资产。下列缩略语适用于本文件。DCS Distributed Control System 分散控制系统NCS Network Control System 网控系统AGC Automatic Generation Control 自动发电控制AVC Automatic Voltage Control 自动电压控

7、制PMU Phasor Measurement Unit 相量测量装置TCS Turbine Control System 燃气轮机控制系统SIS Supervisory Information System 厂级信息监控系统MIS Management Information System 管理信息系统VLAN Virtual Local Area Network 虚拟局域网HTTPS Hypertext Transfer Protocal Over Secure Socket Layer 超文本传输协议PLC Programmable Logic Controller 可编程逻辑控制器RT

8、U Remote Terminal Unit 远程终端单元IDS Intrusion Detection System 入侵检测系统CEMS Continuous Emission Monitoring System of flue gas 烟气排放连续监测系统DEH Digital Electric Hydraulic Control System 汽轮机数字电液控制系统ECS Electric Control System 厂用电气监控管理系统ETS Emergency Trip System 汽轮机紧急跳闸系统BPC Bypass Control System 旁路控制系统TSI Tur

9、bine Supervisory Instruments 汽轮机监视仪表a) 总则1.1工控系统网络信息安全技术监督工作依据国家网络安全等级保护制度和国家监管机构相关文件，遵循“安全分区、网络专用、横向隔离、纵向认证、综合防护”的基本原则；在建设规划方面，遵从网络安全与信息化工作同步规划、同步建设、同步运行的“三同步”原则，坚持“谁主管、谁负责，谁运营、谁负责”的要求，切实落实安全主体责任制。1.2工控系统网络信息安全技术监督的目的：确保洛阳公司工控系统网络运行的合规性、稳定性，符合国内电力行业工业控制系统相关标准、规范和最佳实践，电力工控系统符合基本安全要求，且具有抵御黑客、病毒、恶意代码对

10、网络与应用系统的破坏和攻击，阻止内部人员的非法访问，抵御外部攻击，在遭受攻击和破坏后能及时恢复系统的能力，确保关键业务数据的可用性、机密性、完整性。1.3工控系统网络信息安全技术监督范围：火力发电厂分散控制系统DCS(DAS、SCS、MCS、FSSS)、生产辅控系统（辅控一体化、化水、输煤、除灰等）、涉网侧系统（NCS等）及设备、电气监控管理系统(ECS)、厂级监控信息系统（SIS）等；网控系统、五防系统等；无功电压控制系统、发电功率控制系统、升压站监控系统、继电保护和相量测量装置等；光伏电站运行监控系统、发电功率控制系统、升压站监控系统、继电保护和相量测量装置等；其中涉网侧系统（NCS）及设

11、备包括AGC、AVC、RTU、PMU、电量计量、微机保护测控装置等，与远端调度中心进行通信设备，需满足电网安全防护要求。1.4工控系统网络信息安全监督工作内容：从电力工控系统的规划设计、项目审查、工程实施、系统改造、运行管理、设备退役的全过程监督。重点对用于监视和控制发电生产过程的、基于计算机及网络技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络进行全寿命监督。1.5按照洛阳公司有关技术监督管理和本细则的要求，结合我公司实际情况，制定工控系统网络信息安全监督标准；依据国家和行业有关标准、规程和规范，编制或执行运行规程、和检验及试验规程等相关/支持性文件；以科学、规范的监控管理，保证工

12、控系统网络信息安全技术监控工作目标的实现和持续改进。1.6从事工控系统网络信息安全监督的人员，应熟悉和掌握本标准及相关标准和规程中的规定。b) 工控系统网络信息安全监督标准电力工控系统的网络安全防护建设，遵循“安全分区、网络专用、横向隔离、纵向认证、综合防护”原则，通过部署工业防火墙、网络审计、入侵检测、日志审计等安全防护产品，以提升电力工控系统网络整体防护能力，部署示意图如下：图1洛阳公司工控系统网络信息安全部署示意图1 安全区划分监督标准0.1.1 业务系统分置于安全区的原则根据业务系统或其功能模块的实时性、使用者、主要功能、设备使用场所、各业务系统的相互关系、广域网通信方式以及对生产的影

13、响程度等，应按照以下规则将业务系统置于相应的安全区:2.1.1.1对电力生产实现直接控制的系统、有实时控制功能的业务模块以及未来对电力生产有直接控制功能的业务系统应置于控制区，其他电力工控系统置于非控制区；2.1.1.2应尽可能将业务系统完整置于一个安全区内。当业务系统的某些功能模块与此业务系统不属于同一个安全分区内时，可以将其功能模块分置于相应的安全区中，经过安全区之间的安全隔离设施进行通信；2.1.1.3不允许把应属于高安全等级区域的业务系统或其功能模块迁移到低安全等级区域，但允许把属于低安全等级区域的业务系统或其功能模块放置于高安全等级区域；2.1.1.4对不存在外部网络联系的孤立业务系

14、统，其安全分区无特殊要求，但需遵守所在安全区的防护要求。0.1.2 控制区(安全区I)2.1.2.1控制区中的业务系统或其功能模块（或子系统）的典型特征为：是电力生产的重要环节，直接实现对生产的实时监控，是安全防护的重点和核心；2.1.2.2使用电力调度数据网的实时子网或专用通道进行数据传输的业务系统应划分为控制区。0.1.3 非控制区(安全区)2.1.3.1非控制区中的业务系统或其功能模块（或子系统）的典型特征为：是电力生产的必要环节，在线运行但不具备控制功能，与控制区的业务系统或其功能模块联系紧密；2.1.3.2使用电力调度数据网的非实时子网进行数据传输的业务系统应按电网要求划分为独立的非

15、控制区。2 边界安全防护监督标准根据安全区划分，网络边界主要有以下几种：生产控制大区和管理信息大区之间的网络边界，生产控制大区内控制区（安全区I）与非控制区（安全区II）之间的边界，生产控制大区内部不同的系统之间的边界，电厂内生产控制大区与电力调度数据网之间的边界，电厂内生产控制大区的业务系统与环保、安监等政府部门的第三方边界等。安全防护设备宜部署在安全级别高的一侧。0.1.4 生产控制大区与管理信息大区边界安全防护2.2.2.1电厂生产控制大区与管理信息大区之间的通信必须部署经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应达到或接近物理隔离；2.2.2.2电力横向单向安全隔离

16、装置作为生产控制大区和管理信息大区之间的必备边界防护措施，是横向防护的关键设备，应满足可靠性、传输流量等方面的要求；2.2.2.3按照数据通信方向电力专用横向单向安全隔离装置分为正向型和反向型。正向安全隔离装置用于生产控制大区到管理信息大区的非网络方式的单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制大区的非网络方式的单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。2.2.2.4严格禁止E-mail、WEB、Telnet、Rlogin、FTP等安全风险高的网络服务和以B/S或C/S方式的数据库访问穿越专用横向单向安全隔离装置。0.1.5 安全区I与安全区边界安全防护0.

17、1 2.2.2.1安全区I与安全区之间应采用具有访问控制功能的工业防火墙等硬件设备，并实现逻辑隔离、报文过滤、访问控制等功能；0.2 2.2.2.2如选用工业防火墙，其功能、性能、电磁兼容性须经过国家相关部门的认证和测试，且满足电厂对业务数据的通信要求；0.3 2.2.2.3对目前已在安全区I与安全区间部署的单向隔离装置或防火墙，满足本标准要求。0.1.6 生产控制大区系统间安全防护0.4 电厂内同属安全区I的各系统之间，以及同属安全区的各系统之间应采取一定强度的逻辑访问控制措施，如防火墙、VLAN等，限制系统间的直接互通。0.1.7 纵向边界防护0.5 2.2.4.1电厂生产控制大区系统与调

18、度端系统通过电力调度数据网进行远程通信时，应采用认证、加密、访问控制等技术措施实现数据的远程安全传输以及纵向边界的安全防护。0.6 2.2.4.2电厂的纵向连接处应设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，与调度端实现双向身份认证、数据加密和访问控制。0.1.8 第三方边界安全防护0.7 2.2.5.1生产控制大区内个别业务系统或其功能模块（或子系统）需要使用公用通信网络、无线通信网络以及处于非可控状态下的网络设备与终端等进行通信时，应设立安全接入区； 2.2.5.2生产控制大区内业务系统向环保、安全等政府部门进行数据传输时，网络联接处必须设置经国家指定

19、部门检测认证的电力专用横向单向安全隔离装置。3 综合防护监督标准0.1.9 物理安全电厂电力工控系统机房所在建筑应采用有效防水、防潮、防火、防静电、防雷击、防盗窃、防破坏措施，应配置电子门禁系统以加强物理访问控制，并对关键设备及磁介质实施电磁屏蔽。主要包括：0.8 2.3.1.1机房应选择在具有防震、防风和防雨等能力的建筑内；0.9 2.3.1.2机房不宜设在建筑物顶层或地下室以及用水设备的下层或隔壁；0.10 2.3.1.3机房各出入口应配置电子门禁系统，控制、鉴别和记录进入的人员； 0.11 2.3.1.4进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。0.12 2.3.1

20、.5对核心重点生产区域，如机组主控操作台附近、电子间、网控室等场所，应配置有24小时的连续视频监控记录系统，并保存至少30天以上。0.1.10 网络设备安全防护电厂应对生产控制大区的核心交换机、汇聚交换机、工业防火墙、单向隔离装置等网络设备、安全设备进行安全防护建设：0.13 2.3.2.1对登录网络设备、安全设备的用户进行身份鉴别及权限控制，只允许相关管理、维护人员等登录设备；0.14 2.3.2.2对登录网络设备、安全设备应采用HTTPS、SSH等加密方式进行，同时辅以安全审计等管理措施；0.15 2.3.2.3网络设备、安全设备用户口令应该满足复杂度要求，制定更换策略，并由专人负责保管；

21、 0.16 2.3.2.4及时清理网络设备、安全设备上临时用户、多余用户。0.1.11 主机防护2.3.3.1主机加固0.17 2.3.3.1.1电厂DCS、NCS等人机交互站，厂级监控信息系统等关键应用系统的服务器，以及网络边界处的通信网关、Web服务器等，制定主机加固的技术标准和管理策略，加强策略的审核与管理；0.18 2.3.3.1.2加固方式包括但不限于：安全配置、安全补丁、采用专用软件或硬件强化操作系统访问控制能力以及配置安全的应用程序。加固措施包括：升级到当前系统版本、安装后续的补丁合集、加固系统TCP/IP 配置、关闭不必要的服务和端口、为超级用户或特权用户设定复杂的口令、修改弱

22、口令或空口令、禁止任何应用程序以超级用户身份运行、设定系统日志和审计行为等；0.19 2.3.3.1.3在实施加固前，应首先在指定相关检测单位测试环境中进行各项功能的测试，确保系统加固对生产业务系统功能无影响，并有完整的测试记录；0.20 2.3.3.1.4针对生产控制大区内的服务器和操作员站等上位机操作系统，应及时升级操作系统补丁和应用软件补丁。业务系统厂商在补丁升级前，应在仿真环境下做充分安全验证和评估测试，确保对业务系统无影响，并出具相关技术报告；业务系统厂商或运营者在现场做好备份后方可展开离线升级工作，同时应做好升级记录；升级后应对各业务主要功能再次进行在线测试并做好测试记录存档备查。

23、升级完成的业务系统应满足网络安全相关技术标准。2.3.3.2恶意代码防范0.21 在生产控制大区内主机部署恶意代码防护软件的，应保证代码库定期更新，在部署恶意代码防护或更新代码库前，应首先在相关指定检测单位测试环境中进行各项功能的测试，确保防护软件对生产业务系统功能无影响，并有完整的测试记录。2.3.3.3外设管控0.22 2.3.3.3.1生产控制大区的各主机应当关闭或拆除不必要的软盘驱动、光盘驱动、USB接口、串行口、无线、蓝牙等，确需保留的须通过安全管理及技术措施实施严格监控；0.23 2.3.3.3.2禁止在生产控制大区和管理信息大区之间交叉使用移动存储介质以及便携计算机。确需通过外设

24、接入的设备，应在接入前采取病毒查杀等安全预防措施，且通过安全管理及技术措施实施严格监控，并履行电厂安全接入审批手续。0.24 2.3.3.3.3 各专业配置专用移动存储介质、便携计算机，并安排专人进行管理，严禁厂家技术人员直接将自带移动存储介质和便携计算机接入设备进行维护工作。0.25 2.3.3.3.4 严禁现场生产运行设备开启对外通讯功能（包括远方调取动作记录和定值信息功能）。0.1.12 入侵检测宜在生产控制大区安全区II与管理信息大区边界处应部署一套网络入侵检测系统，并合理设置检测规则，检测发现隐藏于流经网络边界正常信息流中的入侵行为，分析潜在威胁并进行安全审计，特征库须及时升级。0.

25、1.13 远程访问0.26 2.3.5.1禁止其他设备生产厂商或其它外部企业(单位)远程连接电厂生产控制大区中的业务系统及设备；0.27 2.3.5.2对于电厂内部远程访问业务系统的情况，应进行身份认证及权限控制，并采用会话认证、加密与抗抵赖、日志审计等安全机制。0.1.14 安全审计2.3.6.1网络审计生产控制大区各关键生产系统（如机组主控DCS）内至少应部署一套工业网络审计设备，对该生产控制大区的生产实时网络进行流量审计，该系统应能对该生产控制大区内的工控协议进行深度包协议解析，实时检测针对工业协议的网络攻击、违规操作、非法设备接入等内网异常行为，及时发现隐藏在正常流量中的异常数据包。2

26、.3.6.2日志审计0.28 2.3.6.2.1安全区II内应部署一套日志审计设备，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒、黑客的攻击行为。此设备安全审计功能包括但不限于对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析；0.29 2.3.6.2.2在安全区I机组主控DCS、辅控系统及NCS系统需具备日志审计功能，并保留至少6个月的日志数据。0.30 2.3.6.2.3在实施部署“网络审计”和“日志审计”前，应首先进行各项功能的测试，确保系统部署对生产业务系统功能无影响。0.1.15

27、生产控制大区网络安全监测装置0.31 2.3.7.1应在安全区II部署厂级生产控制大区网络安全监测装置，实时监测域内电力工控系统的主机、网络设备、安全设备等运行状态及日志的采集、存储、转发，数据经网闸传输至集团公司工控网络安全监测平台。0.32 2.3.7.2厂级生产控制大区网络安全监测装置与安全设备之间的数据传输需设置独立的安全管理网络。对跨安全区I和安全区II的安全数据传输，应在边界处部署工业防火墙等设备，防止跨区直连。0.1.16 网络安全监测装置（涉网侧）0.33 2.3.8.1各电厂应部署网络安全监测装置(涉网侧)，装置性能参数应满足当地电网要求，采集电厂涉网区域的服务器、工作站、网

28、络设备和安防设备自身感知的安全数据0.34 及网络安全事件，实现对电厂网络安全事件的本地监视和管理，同时转发至调控机构网络安全监管平台的数据网关机；0.35 2.3.8.2网络安全监测装置在具备条件情况下，可将数据同步传输至厂级生产控制大区网络安全监测装置，并对传输网络通道实施合规的安全防护。0.1.17 备用与容灾0.36 2.3.9.1各单位结合自身业务和数据库实际，对电力工控系统的数据备份依据重要性分级管理，并确保重要业务数据可恢复；0.37 2.3.9.2关键主机设备、网络设备或关键部件应进行相应的冗余配置；0.38 2.3.9.3应定期对关键业务的数据进行备份，应至少实现对生产运行等

29、重要数据双备份并保存12个月；0.39 2.3.9.4定期进行备份数据恢复测试，测试应在测试环境中进行，确保实际备份数据的异机可恢复性，测试过程应做好记录及分析；0.40 2.3.9.5加强备份文件的自身安全管控，不允许备份数据文件保存在本机磁盘、个人移动存储等无安全保障的存储介质上；0.41 2.3.9.6原则上网络及安全类的设备使用年限为8年，可根据设备状况适时调整。应对关键设备保证备品备件的齐全。0.1.18 等级保护测评按能源局36号文及电力行业信息系统安全等级保护基本要求，同时参考信息安全技术网络安全等级保护基本要求进行等级保护建设。根据不同安全区域的安全防护要求，确定业务系统安全等

30、级，从物理、网络、主机、应用和数据及运维等方面进行综合安全防护。对电厂电力工控系统安全分级建议如下：表1电力工控系统安全分类表第三级一旦受到破坏会对相关公民、法人和其他组织的合法权益造成特别严重损害，或者会对社会秩序和社会公共利益造成严重危害，或者对国家安全造成危害的重要电力工控系统。第二级一旦受到破坏会对相关公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全的一般电力工控系统。表2电厂电力工控系统等保分级表序号业务系统分级说明1发电机组控制系统DCS（含辅机控制系统）单机容量300MW及以上为3级单机容量300MW以下为2级 2电厂厂级信息监控系统

31、（SIS）总装机1000MW及以上为3级总装机1000MW以下为2级3涉网侧系统（NCS）及设备电压等级220kV及以上为3级电压等级220kV以下为2级为满足国家及当地网监部门对等级保护的相关要求及规定：c) 对定级为3级的系统，每年需做一次等保测评，系统在升级改造后需重新测评备案；d) 对定级为2级的系统，每两年需做一次等保测评。e) 工控系统网络信息安全监督管理要求按照“谁主管、谁负责，谁运营、谁负责”的原则，建立工控系统安全管理制度，将工控系统网络信息安全技术监督报表报送纳入日常安全生产管理体系，各发电企业负责所辖范围内电力工控系统的安全管理。4 日常管理内容和要求0.1.19 健全监

32、督网络与职责建立健全总工程师、工控系统网络信息安全技术监督专责、各专业部门网络安全员的三级技术监督网和各级岗位责任制，严格执行各项规章制度，做好日常的监督工作。其中第一级为总工程师；第二级为工控系统网络信息安全技术监督专责；第三级为各部门、专业的网络安全员。在总工程师的领导下，由工控系统网络信息安全技术监督专责统筹安排、协调有关部门人员共同完成工控系统网络信息安全技术监督具体工作。工控系统网络信息安全技术监督三级网络职责如下：3.1.1.1总工程师的职责（一级监督）：依据国家、行业、集团公司有关工控系统网络信息安全技术监督标准、规程、制度等，审定本企业工控系统网络信息安全技术监督实施细则等制度

33、；建立健全工控系统网络信息安全监督网络，统筹管理工控系统网络信息安全监督各项工作，协调各方面的关系，保障工控系统网络信息安全监督网络正常运转；组织工控系统网络信息安全事故、重大隐患分析和处理；参加工控系统网络信息安全重大及以上事故调查分析和处理；组织对新安装网络安全设备的设计审查、安装、调试和验收工作；牵头组织本企业工控系统网络信息安全技术监督自查工作；全面管理电力监控系统运行工作；掌握电力监控系统的配置情况；熟悉电力监控系统的分布情况；了解电力监控系统的安全情况；定期组织讨论电力监控系统安全情况，协调各专业之间接口安全问题；批准工控系统网络信息安全技术监督的培训计划。3.1.1.2工控系统网

34、络信息安全技术监督专责的职责（二级监督）：在总工程师的直接领导下，负责企业工控系统网络信息安全技术监督日常管理工作，负责与科学技术研究院工控系统网络信息安全监督专业对口联系及协调工作；组织制定、修订工控系统网络信息安全技术监督制度、标准，并督促检查实施情况；组织参加工控系统网络信息安全事故、隐患调查分析，总结经验教训，组织编写反事故措施，并督促实施；参加工控系统网络信息安全设计审查、设备选型、出厂验收、安装调试及质量监督等工作；负责汇总、审核工控系统网络信息安全技术监督报告（表）、事故分析报告和其他专题报告，确保监督数据、指标真实有效，并向总工程师报送；组织制定工控系统网络信息安全技术监督工作

35、计划，并组织有关专业技术监督人员实施；负责工控系统网络信息安全技术监督自查工作；组织工控系统网络信息安全技术监督会议和培训工作；组织建立工控系统网络信息安全技术监督专业技术台账、档案。负责已部署的安全产品的安全策略的设置和调整，对该产品日常运行进行精心的维护。定期对安全产品的日志进行审计。分析该系统的安全状况。使用数字证书管理系统进行数字证书的申请，生成、发放和撤消。维护数字证书管理系统，保证系统的安全、可靠、稳定运行；保护数字证书管理系统的数字证书，防止遗失。参照国家对涉密设备的有关规定，建立有效的数字证书及密钥管理制度。保护本专业的口令、数字证书、密钥等安全设施；一旦泄露或丢失，应该立即报

36、告，对造成恶劣后果者，要按国家有关规定追究其责任。 全面掌握电力监控系统的分区情况、配置情况、硬件设置情况及接口、数据流向等；做好数据备份和日常管理工作。对电力监控系统安全评估的所有评估资料和评估结果，应当按国家有关要求做好保密工作。3.1.1.3各部门、专业的网络安全员职责（三级监督）：在总工程师领导下、工控系统网络信息安全技术监督专责的指导下，负责本部门、本专业的具体电力工控系统安全技术监督，实施企业下发的技术监督计划。对所管辖的网络设备按规定进行监测、日常发现的设备缺陷或隐患，在向本部门负责人汇报的同时，应及时向工控系统网络信息安全技术监督专责反馈情况，以便于组织会审，消灭事故于萌芽状态

37、；参加电力工控系统安全事故调查分析，提出改进及防范建议；负责收集本专业监督数据、指标的采集，及时编制技术监督报告（表）；配合科学技术研究院完成技术监督相关工作；参加专业技术监督会议及培训。0.1.20 制定监督工作计划3.1.2.1工控系统网络信息安全技术监督专责每年12月30日前应组织完成下年度技术监督工作计划的制定工作，并将计划报送分、子公司，同时抄送科学技术研究院。3.1.2.2发电厂技术监督年度计划的制定依据至少应包括以下几方面：国家、行业、地方有关工控系统网络信息安全生产方面的法规、政策、标准、规范和相关要求；集团公司、分、子公司、发电厂技术监督工作规划和年度目标；集团公司、分、子公

38、司、发电厂技术监督管理制度和年度技术监督动态管理要求；技术监督体系健全和完善化；人员培训计划；网络安全防护设备目前的运行状态；技术监督动态检查、预警、月（季报）提出问题的整改；收集的其它有关工控系统网络信息安全设备设计选型、安装、运行、升级改造等方面的动态信息。3.1.2.3年度监督工作计划主要内容应包括以下几方面：根据实际情况对技术监督组织机构进行完善；监督技术标准、监督管理标准制定或修订计划；技术监督定期工作修订计划；制定人员培训计划（主要包括内部培训，标准宣贯）；制定技术监督发现的重大问题整改计划；根据上级技术监督动态检查报告制定技术监督动态检查和问题整改计划；技术监督定期工作会议计划。

39、3.1.2.4工控系统网络信息安全技术监督专责每月对各部门的监督计划的执行情况进行检查，对不满足监督要求的通过技术监督不符合项通知单的形式下发到各部门进行整改，并对各部门进行考评。0.1.21 监督档案管理3.1.3.1建立健全工控系统网络信息安全设备台账，记录每次设备升级、故障及损坏更换原因。3.1.3.2根据工控系统网络信息安全监督组织机构的设置和受监设备的实际情况，要明确档案资料的分级存放地点和指定专人负责整理保管。3.1.3.3为便于上级检查和自身管理的需要，工控系统网络信息安全技术监督专责人要存有全厂工控系统网络信息安全档案资料目录清册，并负责实时更新。3.1.3.4工控系统网络信息

40、安全技术监督管理工作制度、档案、规程及设备安装、调试、运行等过程的原始技术资料，由设备管理部门负责移交档案管理部门，确保其完整性和连续性。3.1.3.5工控系统网络信息安全升级改造资料归档是工控系统网络信息安全监督档案管理的重要组成部分，应确保资料归档及时、细致、正确。改造实施过程中的各项验收签字记录，原始技术资料，在改造升级工作结束后一个月内整理完毕并归档。0.1.22 监督报表报送管理3.1.4.1工控系统网络信息安全监督速报的报送当电厂发生重大网络安全事故，工控系统网络信息安全设备重大缺陷、故障和损坏事件等重大事件后24小时内，应将事件概况、原因分析、采取措施按照附录E的格式，以速报的形

41、式报送分、子公司和科学技术研究院。3.1.4.2工控系统网络信息安全监督月（季）报的报送工控系统网络信息安全技术监督专责应在每月3日前在集团技术监控管理信息系统上填报上月工控系统网络信息安全技术监控月报；每季度首月15日前在集团技术监控管理信息系统上填报上季度工控系统网络信息安全技术监控季报。3.1.4.3工控系统网络信息安全监督年度工作总结报告的报送工控系统网络信息安全技术监督专责应于每年元月5日前组织完成上年度工控系统网络信息安全技术监督工作总结报告的制写工作，并将总结报告报送分、子公司和科学技术研究院。元月10日前在集团技术监控管理信息系统上填报上年度工控系统网络信息安全技术监控年报。3

42、.1.4.4年度监督工作总结报告的主要编写内容应包括以下几方面：主要监督工作完成情况和亮点；工控系统网络信息安全一般事故、危急缺陷和严重缺陷统计分析；存在的主要问题和改进措施；下一步工作思路和重点。0.1.23 监督例会管理3.1.5.1每年至少召开两次工控系统网络信息安全技术监督工作会议，检查、布置、总结技术监督工作，对技术监督中出现的问题提出处理意见和防范措施。工作会议要形成纪要，布置的工作应落实并有监督检查。3.1.5.2例会主要内容包括：上次监督例会以来工控系统网络信息安全监督工作开展情况；工控系统网络信息安全监督范围内设备及系统的故障、缺陷分析及处理措施；工控系统网络信息安全监督存在

43、的主要问题以及解决措施/方案；上次监督例会提出问题整改措施完成情况的评价；技术监督工作计划发布及执行情况，监督计划的变更；集团公司技术监督月（季）报、新颁布的国家、行业标准规范、监督新技术学习交流；工控系统网络信息安全监督需要领导协调和其他部门配合和关注的事项；至下次监督例会时间内的工作要点。0.1.24 监督预警管理3.1.6.1工控系统网络信息安全监督分三级预警，应将三级预警识别纳入日常工控系统网络信息安全监督管理和考核工作中。3.1.6.2对于科学技术研究院签发的预警通知单，电厂应认真组织人员研究有关问题，制定整改计划，整改计划中应明确整改措施、责任人、完成日期；3.1.6.3问题整改完

44、成后，按照验收程序要求，电厂应向预警提出单位提出验收申请，经验收合格后，由验收单位填写预警回执单报送科学技术研究院备案。0.1.25 监督问题整改管理3.1.7.1整改问题的提出上级或科学技术研究院在技术监督动态检查时提出的整改问题；国家能源局、集团公司或分、子公司检查提出的问题；企业工控系统网络信息安全监督专责每月度对各部门的工控系统网络信息安全监督计划的执行情况进行检查，对不满足监督要求提出的整改问题。3.1.7.2问题整改管理企业收到技术监督动态检查报告后，应组织有关人员会同科学技术研究院下属区域院在两周内完成整改计划的制定和审核，并将整改计划报送集团公司、分、子公司，同时抄送科学技术研

45、究院区域院。整改计划应列入或补充列入年度监督工作计划，电厂按照整改计划落实整改工作，并将整改实施情况及时在技术监督季报中总结上报。对整改完成的问题，企业应保留问题整改相关的试验报告、现场图片、影像等技术资料，作为问题整改情况评估的依据。5 监督管理重点工作0.1.26 编制工控系统网络信息安全制度应依据电力监控系统安全防护规定以及本标准相关引用文件，建立本单位的电力工控系统安全管理制度，主要包括：门禁管理、人员管理、权限管理、访问控制管理、安全防护系统的维护管理、常规设备及各系统的维护管理、恶意代码的防护管理、审计管理、数据及系统的备份管理、用户口令管理、培训管理等管理制度。0.1.27 电力

46、信息系统建设管理0.42 3.2.2.1依据国家相关标准及本标准进行详细方案设计，系统建设所涉及到的软硬件系统、设备及专用信息安全产品应采用符合国家及行业相关要求的产品及服务； 0.43 3.2.2.2自行开发或外包开发的软件产品投运前应进行安全评估；0.44 3.2.2.3选择具备国家和行业主管部门要求的资质的施工单位和安全服务商，与选定的安全服务商签订与相关的协议，明确约定相关责任，并签署保密协议；0.1.28 系统运维管理0.45 3.2.3.1建立设备安全管理制度、介质安全管理制度和资产安全管理制度，对设备和介质的存放环境、使用、维护和销毁等方面制定规定；0.46 3.2.3.2加强对移动存储设备、重要文档的安全管理；对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行标准化管理；0.47 3.2.3.3建立安全审计管理制度，指定专人对安全审计工作进行管理；0.48 3.2.3.4建立网络、系统安全管理制度，指定专人对网络设施、主机系统进行管理；0.49 3.2.3.5指定专人对网络和主机进行恶意代码检测并保存检测记录；及时了解相关系统软件（操作系统、数据库系统、各种工具软件）漏洞发布信息，及时获得补救措施或软件补丁，安全漏