1、 ICS 备案号： 中国国电集团公司企业标准 Q / XXX 2017 中国国电集团公司 风电信息系统安全规范 China GuoDian Corporation Wind power information system security specification 2017- -发布 2017- -实施 中国国电集团公司 发 布Q/XXX Q / XXX 2017 I 目 次 前 言 I 1 范围 1 2 规范性引用文件 . 1 3 定义 1 3.1 电力调度数据网络 electric power dispatching data network . 1 3.2 控制区 control a
2、rea 1 3.3 非控制区 noncontrolled area . 1 4 总则 1 5 技术保障体系 . 2 5.1 物理与主机安全保障 2 5.2 系统部署安全保障 2 5.3 边界防护安全保障 3 5.4 应用系统安全保障 3 6 制度保障体系 . 3 6.1 保密管理 3 6.2 工程实施的安全管理 4 6.3 设备和应用系统的接 入管理 4 7 组织保障体系 . 4 附录 A 安全分区结构图 . 5 A.1 区域集控无能量统一调度情况下的安全分区 . 5 A.2 区域 集控进行能量统一调度情况下的安全分区 . 5 Q / XXX 2017 I 前 言 为加强中国国电集团公司风电信
3、息系统的信息安全管理，防范黑客及恶意代码等对风电信息系统的攻击及侵害，保障风电信息系统的安全稳定运行，根据电力监管条例、中华人民共和国计算机信息系统安全保护条例和国家有关规定，结合中国国电集团公司实际情况，特制定本标准。 本标准是中国国电集团公司风电信息标准化体系的组成部分； 本标准由中国国电集团公司提出并解释； 本标准由中国国电集团公司归口管理； 本标准首次发布。 Q / XXX 2017 1 中国国电集团公司 风电信息系统安全规范 1 范围 本标准适用于中国国电集团公司风电信息系统安全防护体系的规划、设计、建设和改造。 2 规范性引用文件 本标准引用下列文件，凡是标注日期的引用文件版本适用
4、于本文件。凡是不标注日期的引用文件，其最新版本（包括所有的修订单）适用于本文件。 中华人民共和国 国务院令 第 147号 中华人民共和国计算机信息系统安全保护条例 国家发展和改革委员会令 2014年第 14号电力监控系统安全防护规定 国家能源局国能安全 2015 36号文 电力监控系统安全防护总体方案 国家能源局国能安全 2015 36号文 发电厂监控系统安全防护方案 中国国电集团公司发电企业生产监控系统安全防护规定 3 定义 3.1 电力调度数据网络 electric power dispatching data network 是指各级电力调度专用广域数据网络、电力生产专用拨号网络等。 3
5、.2 控制区 control area 是指由具有实时监控功能、纵向联接使用电力调度数据网的实时子网或者专用通道的各业务系统构成的安全区域。 3.3 非控制区 noncontrolled area 是指在生产控制范围内，在线运行但不直接参与 控制、是电力生产过程的必要环节、纵向连接使用电力调度数据网的非实时区 内 各业务系统构成的安全区域。 4 总则 安全防护工作应当落实国家信息安全等级保护制度，按照国家信息安全等级保护的有关要求，坚持“安全分区、网络专用、横向隔离、纵向认证、综合防护”的原则，保障生产监控系统的安全。 按照电力监控系统安全防护规定，发电企业内部基于计算机和网络技术的业务系统，
6、应当划分为生产控制大区和管理信息大区。 生产控制大区：按照业务系统的重要性和对生产系统的影响程度将生产控制大区划分为控制区 (安全区 I)及非控制区 (安全区 II)，重点保护生产控制以及直接影响电力生产 (风力发电机组运行 )的系统。 管理信息大区：内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。 总体架构分为三级：中国国电集团公司、区域集控、基层单位。 网络专用：电力调度数据网是与生产控制大区相连接的专用网络，承载风电远程实时控制等业务。区域集控、风电场的电力调度数据网应当在专用通道上使用独立的网络设备组网，在Q / XXX 2017 2 物理层面上实现与其它数
7、据网及外部公共信息网的安全隔离。电力调度数据网应当划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非 控制区。 横向隔离：横向隔离是电力监控系统安全防护体系的横向防线。应当采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信息大区之间必须部署经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应当接近或达到物理隔离。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、安全可靠的硬件防火墙或者相当功能的设施，实现逻辑隔离。防火墙的功能、性能、电磁兼容性必须经过国家相关部门的认证和测试。 纵向认证：纵向加密认证是电力监控系统安全防护体系的纵向防线。区域集控、风电场
8、生产控制大区与调度数 据网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制。 综合防护：综合防护是结合国家信息安全等级保护工作的相关要求对电力监控系统从主机、网络设备、恶意代码防范、应用安全控制、审计、备份及容灾等多个层面进行信息安全防护的过程。 5 技术保障体系 5.1 物理与主机安全保障 根据国家标准计算机场地安全要求（ GB9361 88），信息机房按其安全要求的不同，划分为以下三个级别： a） A类机房：对计算机机房的安全有严格的要求，有完善的计算机机房安全 措施。集团本部、灾备中心、各专业公司和重点二级企业的机房为 A类机房
9、。 b） B类机房：对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。 c） C类机房：对 计算机机房的安全有基本的要求，有基本的计算机机房安全措施。各新能源企业、二级分公司网络机房等为 C类机房。 风电远程信息监控系统等关键应用系统的主服务器，以及网络边界处的通信网关机、 Web 服务器等，应当使用安全加固的操作系统。加固方式包括 :安全配置、安全补丁、采用专用软件强化操作系统访问控制能力以及配置安全的应用程序，其中配置的更改和补丁的安 装应当经过测试。 5.2 系统部署安全保障 根据业务系统或其功能模块的实时性、使用者、主要功能、设备使用场所、各业务系统的相互关系、广域网通信
10、方式以及对生产的影响程度等，按照以下规则将业务系统置于相应的安全区： a）实时控制系统、有实时控制功能的业务模块以及未来有实时控制功能的业务系统应当置于控制区。 b）应当尽可能将业务系统完整置于一个安全区内。当业务系统的某些功能模块与此业务系统不属于同一个安全分区内时，可以将其功能模块分置于相应的安全区中，经过安全区之间的安全隔离设施进行通信。 c）不允许把应当属于高安全等级区域的业务系统或其功能模块迁移到低安全等级区域；但允许把属于低安全等级区域的业务系统或其功能模块放置于高安全等级区域。 d）对不存在外部网络联系的孤立业务系统，其安全分区无特殊要求，但需遵守所在安全区的防护要求。 Q /
11、XXX 2017 3 5.3 边界防护安全保障 生产控制大区与管理信息大区之间的通信应当部署电力专用横向单向安全隔离装置。 安全区 I 与安全区 II 之间应当采用具有访问控制功能的网络设备、安全可靠的硬件防火墙或者相当功能的设备，实现逻辑隔离、报文过滤和访问控制等功能。所选设备的功能、性能和电磁兼容性必须经过国家相关部门的认证和测试。 非控制区的网络设备与安全设备应当进行身份鉴别、访问权限控制、会话控制等安全配置加固。可以应用电力调度数字证书，在网络设备和安全设备实现支持自 HTTPS 的纵向安全 Web 服务，能够对浏览器客户端访问进行身份认证及加密传输。 国电集团公司 CA认证系统作为安
12、全基础平台，实现国电集团公司与二级分子公司、区域集控 CA系统互联互通、信息共享。身份认证管理系统由 CA系统、节点 RA、目录系统、应用安全支撑平台（身份认证网关、电子签章、签名服务器）组成。国电集团公司和分 (子 )公司、区域集控采用两级部署，集团总部部署运行 CA、总部 RA、主目录和中间目录、应用安全支撑平台；分 (子 )公司、区域公司部署节点 RA，从目录、应用安全支撑平台。 生产控制大区的监控系统应当具备安全审计功能，能够对操作系统、数据库、业务应用的重要操作进行记录、分析，及时发现各种违规行为以及病毒和黑客的攻击行为。特别对于远程用户登录到本地系统中的操作行为，应该进行安全审计。
13、 安全审计功能包括但不限于对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、自动分析。 应当及时更新特征码，应当及时更新服务器端杀毒软件的病毒库，支持定时更新和手动更新恶意代码，更新文件的安装应当经过测试。禁止生产控制大区与管理信息大区共用一套防恶意代码管理服务器。 5.4 应用系统安全保障 生产控制大区系统与调度端系统通过电力调度数据网进行远程通信时，应当采用认证、加密和访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或加密认证网关及相应设施，与调度端实现
14、双向身份认证、数据加密和访问控制。 6 制度保障体 系 6.1 保密管理 电力监控系统相关设备以及系统的开发单位、供应商应当以合同条款或者保密协议的方式保证其所提供的设备及系统符合本规定的要求，并在设备及系统的全生命周期内对其负责。 电力监控系统专用安全产品的开发单位、使用单位和供应商，应当按国家有关要求做好保密工作，禁止关键技术和设备的扩散。 发电企业应当按照“谁主管谁负责，谁运营谁负责”的原则，建立生产监控系统安全管理制度，将生产监控系统安全防护及其信息报送纳入日常安全生产管理体系。 Q / XXX 2017 4 6.2 工程实施的安全管理 集中监控系统相关设备及系统应当采用安全 可靠的软
15、硬件产品，开发单位和供应商应以合同条款或协议的方式保证所提供的设备及系统符合电力监控系统安全防护规定和本规定以及国家与行业信息系统安全等级保护的要求，并在设备及系统全生命周期内对其负责。 集中监控系统专用安全产品的开发单位、使用单位及供应商，应当按照国家有关要求做好保密工作，禁止安全防护关键技术和设备的扩散。 应当加强重要生产监控系统及关键设备全生命周期的安全管理，系统上线前应当由具有测评资质的机构开展系统漏洞分析及控制功能源代码安全检测。 集中监控系统安全防护实施方案必须严格遵守电力监控系统 安全防护规定以及本规定，并经过本企业的上级专业主管部门、信息安全主管部门以及相应电力调度机构的审核，
16、实施完成后应当由上述机构验收。 6.3 设备和应用系统的接入管理 生产控制大区的各业务系统禁止使用各种方式与互联网连接；限制开通拨号功能；关闭或拆除主机上不必要的软盘驱动、光盘驱动、 USB接口、串行口、无线和蓝牙等，不应在生产控制大区和管理信息大区之间交叉使用移动存储介质以和便携计算机。确需保留的计算机外设应该通过安全管理及技术措施实施严格监控，并履行发电企业的审批手续。 禁止其他设备生产厂商或其它外部企业 (单位 )远程连接发电厂生产控制大区中的业务系统及设备。 对于风电场内部远程访问业务系统的情况，应当进行会话控制，并采用会话认证、加密与抗抵赖等安全机制。 7 组织保障体系 各相关单位应当设置生产监控系统的安全防护小组或专职人员。 应配备专职或兼职的运维人员，负责生产控制大区的各业务系统的运行维护工作。 明确集中监控系统安全防护管理部门，由主管安全生产的领导作为集中监控系统安全防护的主要责任人，并指定专人负责本单位所管辖集中监控系统的公共安全设施，明确各业务系统专责人的安全 管理责任。 Q / XXX 2017 5 附录 A 安全分区结构图 A.1 区域集控无能量统一调度情况下的安全分区 A.2 区域集控进行能量统一调度情况下的安全分区 Q / XXX 2017 6
