...wd......wd......wd...XXXX新能源場站電力監控系統安全防護總體方案XXXXXX新能源場站2017年xx月xx目錄TOC\o"1-4"\h\z\u1.概述32.適用范圍33.方案依據34.總體目標35.防護原則35.1安全分區35.2網絡專用35.3橫向隔離35.4縱向認證35.5綜合防護36.電力監控系統基本情況介紹36.1監控系統36.2系統236.3系統336.4系統436.5系統537.總體安全防護措施37.1安全區劃分37.1.1控制區〔安全區I〕37.1.2非控制區〔安全區II〕37.1.3管理信息大區37.2安全區邊界防護37.2.1生產控制大區和管理信息大區邊界安全防護37.2.2安全區I與安全區II邊界安全防護37.2.3系統間安全防護37.2.4縱向邊界防護37.2.5橫向隔離37.2.6管理信息大區與外部網絡之間邊界防護37.2.7第三方邊界安全防護38.技術防護措施38.1入侵檢測38.2主機設備加固38.3安全審計38.4專用安全產品的管理38.5備用與容災38.6惡意代碼防范38.7設備選型及漏洞整改39.管理安全措施39.1安全管理制度39.2安全管理機構39.3人員安全管理39.4系統建設管理錯誤！未定義書簽。9.5系統運維管理310.應急保障措施310.1應急指揮機構310.2安全應急預案310.3應急響應與處置310.4應急培訓與演練3附件xx：xx系統網絡拓撲構造圖3附件xx：xx系統資產清單3附件xx：xx系統安全產品清單3附件xx：xx系統安全產品資質證明3附件xx：《保密協議》3附件xx：《外來人員訪問管理規定》3附件xx：《信息安全培訓管理標準》3附件xx：《xx新能源場站機房管理規定》3附件xx：《xx新能源場站設備及系統安全維護管理標準》3附件xx：《xx新能源場站存儲介質管理標準》3附件xx：《xx新能源場站惡意代碼防護管理標準》3附件xx：《xx新能源場站數據及系統備份管理標準》3附件xx：《xx新能源場站系統用戶及密碼安全管理標準》3附件xx：《xx新能源場站電力監控系統信息安全應急預案》31.概述為貫徹落實《中華人民共和國網絡安全法》、《電力監控系統安全防護規定》〔國家開展改革委員會第14號令〕、《國家能源局關于印發電力監控系統安全防護總體方案等安全防護方案和評估標準》〔國能安全[2015]36號文〕、《電力行業網絡與信息安全管理方法》〔國能安全[2014]317號文〕、《電力行業信息安全等級保護管理方法》〔國能安全[2014]318號文〕等國家有關規定，加強發電廠電力監控系統安全防護，抵御黑客及惡意代碼等對發電廠電力監控系統發起的惡意破壞和攻擊，以及其它非法操作，防止發電廠電力監控系統癱瘓和失控，防止由此導致的電力監控系統一次系統事故和其它事故，確保電力監控系統的安全、穩定、可靠運行，制定本方案。新能源場站概況：介紹機組數量、裝機容量、使用的監控系統等主要電力監控系統的品牌等。電力調度數據網絡承載著電力調度生產各類業務數據的傳輸，xx新能源場站作為接入節點接入xx省調電力調度數據網絡，為電站相關應用系統的數據交換和資源共享提供傳輸平臺。2.適用范圍本安全防護總體方案適用于xx新能源場站電力監控系統等工控系統的規劃設計、工程審查、工程實施、系統改造、運行管理等相關工作內容。3.方案依據本方案制定過程中依據以下標準：《電力監控系統安全防護規定〔國家發改委〔2014〕年第14號〕《電力監控系統安全防護總體方案》〔國能安全〔2015〕36號〕《發電廠電力監控系統安全防護方案》《信息安全等級保護管理方法》〔公通字〔2007〕43號〕《電力行業信息安全等級保護管理方法》〔國能安全[2014]318號〕《電力行業網絡與信息安全管理方法》〔國能安全[2014]317號〕《電力行業信息安全等級保護基本要求》《電力監控系統安全防護評估標準》4.總體目標xx新能源場站電力監控系統安全防護的總體目標：堅持“安全分區、網絡專用、橫向隔離、縱向認證〞的總體原則，明確分層分區，以生產控制大區和管理信息大區之間的安全防護為重點，有效抵御黑客、病毒、惡意代碼等通過兩個大區的邊界連接對電廠生產網絡系統發起的惡意破壞和攻擊，防止由此導致的一次系統事故或大面積停電事故，以及電力監控系統的崩潰或癱瘓；防止未授權用戶訪問系統或非法獲取信息和侵入以及重大的非法操作；不發生電力監控系統的人為責任事故，不因電力監控系統的安全問題引發電網事故。5.防護原則5.1安全分區按照《電力監控系統安全防護規定》，將xx新能源場站基于計算機及網絡技術的業務系統劃分為生產控制大區和管理信息大區，并根據業務系統的重要性和對一次系統的影響程度將生產控制大區劃分為控制區(安全區I)及非控制區(安全區II)，重點保護生產控制以及直接影響電力生產(機組運行)的系統。5.2網絡專用電力調度數據網是與生產控制大區相連接的專用網絡，承載電力實時控制等業務。發電廠端的電力調度數據網應當在專用通道上使用獨立的網絡設備組網，在物理層面上實現與電力企業其它數據網及外部公共信息網的安全隔離。發電廠端的電力調度數據網應當劃分為邏輯隔離的實時子網和非實時子網，分別連接控制區和非控制區。5.3橫向隔離橫向隔離是電力監控系統安全防護體系的橫向防線。應當采用不同強度的安全設備隔離各安全區，在生產控制大區與管理信息大區之間必須部署經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置，隔離強度應當接近或到達物理隔離。生產控制大區內部的安全區之間應當采用具有訪問控制功能的網絡設備、安全可靠的硬件防火墻或者相當功能的設施，實現邏輯隔離。防火墻的功能、性能、電磁兼容性必須經過國家相關部門的認證和測試。5.4縱向認證縱向加密認證是電力監控系統安全防護體系的縱向防線。電廠生產控制大區與調度數據網的縱向連接處應當設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置，實現雙向身份認證、數據加密和訪問控制。5.5綜合防護綜合防護是結合國家及電力行業信息安全管理的相關要求對電力監控系統從主機安全、網絡及安全設備安全、惡意代碼防范、應用安全控制、審計、備份及容災等多個層面進展信息安全防護的過程。6.電力監控系統基本情況介紹6.1監控系統描述新能源場站監控系統〔如風機監控系統〕的基本情況。分四個局部介紹，分別是〔1〕系統情況簡介、〔2〕系統邊界分析、〔3〕網絡拓撲構造、〔4〕設備清單。其中網絡拓撲構造和設備清單需要以附件的形式提供：xxxx系統網絡拓撲構造圖見附件xx。xxxx系統資產清單。6.2系統26.3系統36.4系統46.5系統57.總體安全防護措施7.1安全區劃分根據電力監控系統防護“安全分區、網絡專用、橫向隔離、縱向認證〞的原則，對xx新能源場站的監控系統、功率預測系統、天氣預報系統、AVC、五防系統、調度數據網等進展安全防護。以風電場為例，各系統所處安全分區如下所示：序號業務系統及設備控制區非控制區管理信息大區備注1風電場監控系統風機監控風電場監控A22無功電壓控制無功電壓控制功能A13發電功率控制發電功率控制功能A14升壓站監控系統升壓站監控功能A15向量測量裝置PMUPMUB6繼電保護繼電保護裝置及管理終端B7故障錄波故障錄波裝置B8電能量采集裝置電能量采集裝置A1、B9風功率預測系統風功率預測A110狀態監測系統風機狀態監測A211測風塔系統測風塔A212天氣預報系統數字天氣預報A213管理信息系統MIS管理信息系統A2注：A1：與調度中心有關的電廠監控系統A2：電廠內部監控系統B：調度中心監控系統的廠站側設備與調度中心無關的電力監控系統不能接入調度數據網。7.1.1控制區〔安全區I〕控制區中的業務系統或其功能模塊〔子系統〕的典型特征為：是電力生產的重要環節，直接實現對電力一次系統的實時監控，縱向使用調度數據網或專用通道，是安全防護的重點與核心。介紹一下新能源場站控制區的主要業務系統。7.1.2非控制區〔安全區II〕介紹一下新能源場站非控制區的主要業務系統。7.1.3管理信息大區介紹一下新能源場站管理信息大區的主要業務系統。7.2安全區邊界防護7.2.1生產控制大區和管理信息大區邊界安全防護xx新能源場站在生產控制大區與管理信息大區之間部署了電力專用橫向單向安全隔離裝置。7.2.2安全區I與安全區II邊界安全防護xx新能源場站在安全區I與安全區II之間部署了邏輯隔離裝置。7.2.3系統間安全防護介紹一下xx新能源場站同屬于安全區I的各系統之間安全防護措施。7.2.4縱向邊界防護xx新能源場站調度數據網與生產控制大區控制區縱向邊界之間部署經有關部門認可的縱向認證加密裝置，通過建設加密隧道，實現網絡層雙向身份認證、數據加密和訪問控制。xx新能源場站非控制區〔安全區II〕調度數據網與生產控制大區非控制區縱向邊界之間部署經有關部門認可的縱向認證加密裝置，通過建設加密隧道，實現網絡層雙向身份認證、數據加密和訪問控制。調度數據網相關的交換機、路由器、縱向加密認證裝置由對應的xx新能源場站進展端口配置、策略配置，而數據備份等運維管理工作則由xx新能源場站及調度共同組織工作。電站負責供電保障、巡視檢查、信息報送等工作。7.2.5橫向隔離按照相關要求生產控制大區與管理信息大區之間部署了接近于物理隔離強度的正向隔離裝置2臺。采用符合國家和電力行業要求的正向網絡安全隔離裝置。I區與II區之間通過IP、端口、MAC地址綁定進展數據單向傳輸，II區無法進展與I區的數據回傳，II區III區采用一樣方式進展單向隔離。7.2.6管理信息大區與外部網絡之間邊界防護管理信息大區信息內網與外部網絡之間邊界防護應遵循“雙網雙機〞的物理隔離防護要求，嚴禁出現“非法外聯、一機兩用〞的現象，嚴禁通過撥號、無線等方式與信息外網和互聯網聯接。7.2.7第三方邊界安全防護xx新能源場站生產控制大區中的業務系統未與政府部門進展數據傳輸，因此無需部署第三方邊界防護。8.技術防護措施〔以下為全部綜合安全防護方面，請根據場內實際情況進展填寫〕8.1入侵檢測xx新能源場站在生產控制大區〔控制區和非控制區統一部署一套〕邊界部署一套xxxx入侵檢測系統，用以監測核心節點異常業務流量。應當合理設置檢測規則，檢測發現隱藏于流經網絡邊界正常信息流中的入侵行為和異常行為，分析潛在威脅并進展安全審計。8.2主機設備加固以電力監控系統安全防護評估標準等標準為依據，描述本單位開展主機加固工作的具體內容，例如從身份鑒別、訪問控制、安全審計、惡意代碼防范、入侵防范、資源控制等方面對加固的具體措施進展描述。8.3安全審計xx新能源場站調度數據網上配備了一套xxxx日志審計系統，部署方式是旁路與核心交換機相連。具備安全審計功能，能夠對操作系統、數據庫、業務應用的重要操作進展記錄、分析，以便及時發現各種違規行為以及病毒和黑客的攻擊行為。8.4專用安全產品的管理安全防護工作中涉及使用橫向單向安全隔離裝置、縱向加密認證裝置、防火墻、入侵檢測系統等專用安全產品的，按照國家有關要求做好保密工作，制止關鍵技術和設備的擴散。需提供本單位安全防護工作中使用的安全產品清單和產品資質證書，清單中需要列出設備名稱、類型、品牌、部署位置、所屬業務系統；重要安全設備的資質證書需要包括公安部頒發的“計算機信息系統安全產品銷售許可證明〞；電力專用安全產品〔橫向隔離裝置、縱向加密認證裝置〕應提供公安部信息安全產品檢測中心的檢查報告；國家密碼管理局出具的商用密碼產品銷售許可證明。本單位安全防護工作中使用的安全產品清單見附件xx。安全產品的相關資質證書見附件xx。8.5備用與容災應當定期對關鍵業務的數據進展備份，并實現歷史歸檔數據的異地保存。關鍵主機設備、網絡設備或關鍵部件應當進展相應的冗余配置。控制區的業務系統〔應用〕應當采用冗余方式。8.6惡意代碼防范xx新能源場站在生產控制大區〔控制區和非控制區統一部署一套〕邊界部署一套xx惡意代碼防御系統。生產控制大區內Windows操作系統應安裝防惡意代碼程序，防惡意代碼程序應當及時手動更新特征庫，并查看查殺記錄。惡意代碼更新文件的安裝應當經過測試。制止生產控制大區與管理信息大區共用一套防惡意代碼管理服務器。8.7設備選型及漏洞整改電力監控系統在設備選型及配置時，xx新能源場站運維人員沒有選用經國家相關管理部門檢測認定并經國家能源局通報存在漏洞和風險的系統及設備；對于已經投入運行的系統及設備，按照國家能源局及其派出機構的要求及時進展整改，同時加強相關系統及設備的運行管理和安全防護。生產控制大區中除安全接入區外，xx新能源場站運維人員制止選用具有無線通信功能的設備。9.管理安全措施安全防護體系建設的原則是“三分技術，七分管理〞。完善的技術措施是根基，嚴格的管理體系才能充分發揮技術措施的作用。xx新能源場站根據電力監控系統安全防護的各項規定，組織了安全管理機構，制定了全面的安全防護管理制度，明確了系統總體安全防護要求、目標、原則等，并覆蓋到電力監控系統建設、運維等環節涉及的機房管理、信息安全〔包含總體安全、網絡安全、設備安全、日常運維、數據安全、應用安全等〕、設備管理、信息報送、應急預案等方面的工作要求，各級人員在工作中依據管理制度和要求嚴格落實各項工作。9.1安全管理制度按照“誰主管誰負責、誰運營誰負責〞的原則制定了《xx新能源場站電力監控系統安全防護總體方案》，明確規定了安全工作的總體方針和安全策略。安全管理制度具有統一的格式，明確發布范圍和保密等級，本單位信息安全領導小組每年組織對安全管理制度進展合理性和適用性評審及修訂，并指定專門的部門對其進展嚴格的版本控制。9.2安全管理機構xx新能源場站成立了電力監控系統安全防護領導小組，由公司分管生產的副總經理擔任組長。分別描述網絡領導小組以及各個角色的職責。9.3人員安全管理xx新能源場站制定了人員安全管理的各項管理方法，形成多個管理制度，涉及人員錄用、人員離崗、人員考核、外