DL_T 2614-2023 电力行业网络安全等级保护基本要求.docx

ICS 35.040CCSL80DL中华人民共和国电力行业标准DL/T26142023电力行业网络安全等级保护基本要求2023-05-26 发布Baselineforclassiedprotectionofcybersecurityofpowerindustry2023-11-26实施国家能源局发布DL/T26142023前言II引言III1范围12规范性引用文件I3 术语和定义14 缩略语25概述35.1 等级保护对象定级与安全保护要求的关系35.2 等级保护对象分类与安全保护要求的关系36总体要求46.1 总体技术要求46.2 总体管理要求57第二级安全保护要求57.1 电力监控系统安全保护要求57.2 管理信息系统安全保护要求228第三级安全保护要求388.1 电力监控系统安全保护要求388.2 管理信息系统安全保护要求629第四级安全保护要求859.1 电力监控系统安全保护要求859.2 管理信息系统安全保护要求110附录A（规范性）等级保护对象定级与安全保护要求的选择和使用134参考文献138本文件按照GBT1.12020标准化工作导则第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国电力企业联合会提出。本文件由电力行业信息标准化技术委员会(DL/TC27)归口。本文件起草单位：中国电力科学研究院有限公司、国家能源局信息中心、国家电网有限公司、南方电网科学研究院有限责任公司、南京南瑞信息通信科技有限公司、国电南京自动化股份有限公司、北京卓识网安技术股份有限公司、国网冀北电力有限公司、国网河北省电力有限公司、国网上海市电力公司、国网北京市电力公司、国网陕西省电力有限公司、国网宁夏电力有限公司、国网西藏电力有限公司、国网江西省电力有限公司、国网河南省电力公司、海南电网有限责任公司、广西电网有限责任公司、国家电网有限公司客户服务中心、国网数字科技控股有限公司、国家电投集团数字科技有限公司、中国长江三峡集团有限公司流域枢纽运行管理中心、国网重庆市电力公司电力科学研究院、国网青海省电力公司电力科学研究院、国网山东省电力公司信息通信公司、国网山东省电力公司电力科学研究院、国网河南省电力公司电力科学研究院、国网江西省电力有限公司电力科学研究院、北京清能互联科技有限公司、北京数盾信息科技有限公司。本文件主要起草人：王海翔、梅文明、肖红阳、吴桐、刘莹、朱朝阳、詹雄、张晓、申连腾、邱意民、周亮、朱亚运、刘大贺、郑义、蒙家晓、李圣泉、栾国强、焦安春、杜金燃、于亚坤、宋小芹、沈宇、蒋屹新、徐玉景、王琼、陈文秀、阎博、杨立波、张宏杰、沈玉萍、叶龙、刘媛、王晨飞、李楠芳、杨浩、陈明亮、宋磊、王治华、万凌云、韩世海、郭志民、王丹、向军、杨海文、戚岳、李新宇、彭轼、栗维勋、刘新、严莉、匡晓云、杨祐巍、陈杰、叶程、何帅斌、徐杰、吴旻荣、张茂盛、丁鲁彬、汪洋、钟博、王鹏、缪思薇、张晓娟、王鹏杰、赵宝春、马雅静、蔺子卿、孙泽锋。本文件为首次发布。本文件在执行过程中的意见或建议反馈至中国电力企业联合会标准化管理中心(北京市白广路二条一号，100761)。为了落实国家网络安全等级保护相关标准规范要求，为电力企业开展电力行业网络安全等级保护定级、建设、测评与整改等工作提供指导，需制定电力行业网络安全等级保护标准。本文件是电力行业网络安全等级保护相关系列标准之一。与本文件相关的文件包括：一一DL/T2613-2023电力行业网络安全等级保护测评指南。本文件以GB/T222392019信息安全技术网络安全等级保护基本要求为基础，融合电力监控系统安全防护规定（国家发展和改革委员会令2014年第14号）等电力行业网络安全保护政策法规要求，参考原国家电监会信息中心发布电力行业信息系统安全等级保护基本要求（电监信息（2012）62号）相关内容，提出电力行业网络安全等级保护要求。本文件在GB/T222392019规定的基本要求基础上，给出了部分新增、增强和细化要求。电力行业网络安全等级保护基本要求1范围本文件规定了电力行业网络安全等级保护不同级别等级保护对象的安全保护要求，包括总体要求和第二级到第四级电力监控系统、管理信息系统的安全保护要求，分为安全通用要求和安全扩展要求。本文件适用于指导电力企业开展网络安全等级保护建设与整改工作，并为电力行业网络安全等级保护测评提供依据。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859计算机信息系统安全保护等级保护划分准则GB/T222392019信息安全技术网络安全等级保护基本要求GB/T222402020信息安全技术网络安全等级保护定级指南GB/T25069信息安全技术术语GB/T25070信息安全技术网络安全等级保护安全设计技术要求GB/T311672014GB/T311682014GB/T365722018GB/T371382018信息安全技术云计算服务安全指南信息安全技术云计算服务安全能力要求电力监控系统网络安全防护导则电力信息系统安全等级保护实施指南GB17859、GB/T222392019GB/T22240、GB/T25069、GBT25070>GB/T311672014.GB/T311682014GB/T365722018.GB/T371382018界定的以及下列术语和定义适用于本文件。为了便于使用，以下重复列出了GB/T222392019>GB/T311672014.GB/T311682014.GB/T365722018和GB/T371382018中的一些术语和定义。3.1网络安全cybersecurity通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。来源：GB/T222392019,3.13.2等级保护对象targetofclassifiedprotection网络安全等级保护工作直接作用的对象。注：主要包括信息系统、通信网络安全设施和数据资源等。来源：GB/T222402019,3.21.3管理信息系统managementinformationsystem支持电力企业管理经营的信息系统。注：包括门户网站系统、财务管理系统、人力资源系统等。来源：GB/T371382018,3.21.4电力监控系统electricpowersupervisionandcontrol用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及作为基础支撑的通信及数据网络等。注：包括电力数据采集与监控系统、自缰管理系统、变电站自动化系统、换流站计算机监控系统、发电厂计算机监控系统、配电自动化系统、微机继电保护和安全自动装置、广域相量测量系统、负荷控制系统、水调自动化系统和水电腱调度自动化系统、电能量计量系统、实时电力市场的辅助控制系统、电力调度数据网络等。来源：GB/T371382018,3.31.5生产控制大区productioncontrolzone由具有数据采集与控制功能、纵向联接使用专用网络或专用通道的电力监控系统构成的安全区域。来源：GB/T365722018,3.31.6管理信息大区managementinformationzone生产控制大区之外的，主要由企业管理、办公自动化系统及信息网络构成的安全区域。来源：GB/T365722018,3.61.7控制区controlsubzone由具有实时监控功能、纵向联接使用电力调度数据网的实时子网或者专用通道的各业务系统构成的安全区域。来源：GB/T365722018,3.41.8非控制区no11-controlsubzone在生产控制范围内由在线运行但不直接参与控制，是电力生产过程的必要环节，纵向联接使用电力调度数据网的非实时子网的各业务系统构成的安全区域。来源：GB/T365722018,3.51.9横向单向安全隔离装置horizontalone-waysecurityisolationdevice在不同安全区间禁止通用网络通信装置，仅允许单向数据传输，采用访问控制、签名验证、内容过滤、有效性检查等技术，实现接近或达到物理隔离强度的安全措施。3 .10纵向加密认证装置verticalencryptionauthenticationdevice采用认证、加密、访问控制等技术实现数据的远方安全传输以及纵向边界的安全防护装置。4 .11安全域securitydomain由一组具有相同安全保护需求并相互信任的系统组成并共享安全保护策略的逻辑区域。4缩略语下列缩略语适用于本文件。AP:无线访问接入点(WirelessAccessPoint)DDoS:分布式拒绝服务(DiStribUtedDenialofService)FTP:文件传输协议(FileTransferProtocol)IP:互联网协议(IntemetProtocol)IT:信息技术(InfOnnaIiOnTechnology)SaaS:软件即服务(SOftWare-asa-Service)SNMP:简单网络管理协议(SimPIeNetworkManagementProtocol)SSID:服务集标识(ServiceSetIdentifier)USB:通用串行总线(UniversalSerialBus)VPN:虚拟专用网(VirtUalPrivateNetwork)WEP:有线等效加密(WiredEquivalentPrivacy)WPS:WiFi保护设置(WiFiProtectedSetup)5献5.1 等级保护对象定级与安全保护要求的关系根据GB/T222402020和电力行业网络安全等级保护相关要求，电力行业网络安全等级保护对象划分为五个安全保护等级，由低到高为第一级、第二级、第三级、第四级、第五级。各级别等级保护对象应具备的安全保护能力要求见GB/T222392019第5.2节。本文件规定了第二级至第四级等级保护对象的安全保护要求。第一级和第五级等级保护对象安全保护要求分别见GB/T22239-2019第6章和第10章。根据等级保护对象对业务信息与系统服务两方面的安全需求，其定级结果存在多种定级组合，不同定级组合的等级保护对象应选择相应的安全保护要求。等级保护对象定级与安全保护要求的选择与使用见附录A。5.2 等级保护对象分类与安全保护要求的关系电力行业网络安全等级保护对象从业务和技术两个层面可以分成不同类型，如图1所示。从业务层面，可分为电力监控系统(电力工业控制系统)和管理信息系统两类。从技术层面，可分为常规信息系统及物联网应用、云计算平台/系统、移动互联应用、大数据平台/系统等。云计算、移动互联、物联网、工业控制系统、大数据的应用场景分别参见GB/T222392019附录D、附录E、附录F、附录G、附录H.U电力监控系统和管理信息系统都可能采用以上几种技术架构。监视和控制电力生产及供应过程支持电力企业管理经营OOS电力监控系统管理信自系纺(电力工业控制系统)目理信息系统赣卜舞息卜联网应用卜寓"卜黑联卜畿自图1电力行业网络安全等级保护对象分类由于面向不同业务、采用不同技术架构的应用面临安全风险不一样，需要满足不同的安全保护要求。本文件规定了电力行业网络安全等级保护的总体要求，并针对各级别等级保护对象，按照业务分类分别规定了电力监控系统与管理信息系统的安全保护通用要求，按照技术架构分别给出了云计算、移动互联、物联网和大数据的安全保护扩展要求。总体要求、安全通用要求和安全扩展要求共同构成等级保护对象的安全保护要求，如图2所示。物联网应用云计算平台/系统移动互联应用大数据平台/系统总体要求安全通用要求电力监控系统（电力工业控制系统）管理信息系统安全扩展要求图2总体要求、安全通用要求与安全扩展要求6总体要求6.1 总体技术要求本项要求包括：a）电力企业内部基于计算机和网络技术的业务系统，应划分为生产控制大区和管理信息大区，两个大区之间有信息通信交换时应部署经国家指定部门检测认证的电力专用横向单向安全隔离装置；b）生产控制大区宜分为控制区（又称安全区I）和非控制区（又称安全区11）,两个安全区之间应采用具有访问控制的设备、防火墙或者相当功能的设施，实现逻辑隔离；c）管理信息大区内部在不影响生产控制大区安全的前提下，可根据企业安全要求划分安全区（如安全区川、信息内网和信息外网等），不同安全区之间应采用具有访问控制的设备、防火墙或者相当功能的设施，实现逻辑隔离；d）电力调度数据网应在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其他数据网及外部公用数据网的安全隔离；e）电力调度数据网应划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区，控制区的信息系统数据通信应使用电力调度数据网的实时子网或专用通道进行传输，非控制区的信息系统数据通信应使用电力调度数据网的非实时子网进行传输；f）在生产控制大区与电力调度数据网广域网的纵向交接处应设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，确保策略配置有效，实现双向身份认证、访问控制和数据加密传输，并按照国家密码管理部门与行业有关要求使用密码算法；g）生产控制大区不应直接与公共网络连接，生产控制大区的网络业务系统与其终端的纵向连接中使用无线通信网、电力企业其他数据网（非电力调度数据网）或外部公用数据网的虚拟专用网络方式应设立安全接入区，安全接入区与生产控制大区中其他部分的联接处应设置经国家指定部门检测认证的电力专用横向单向安全隔离装置；h）应确保管理信息大区、安全接入区与生产控制大区之间边界的电力专用横向单向安全隔离装置策略配置有效，禁止任何穿越生产控制大区和管理信息大区、安全接入区之间边界的E-Mai1、Web.Telnet.Rlogin>FTP等通用网络服务；i）在各安全区内部，应按照安全保护等级划分安全域，并按照系统安全保护等级将其部署在相应安全保护等级的安全域内，不应将不同安全保护等级的系统部署在同一安全域内；j）生产控制大区中的业务系统不应采用安全风险高的通用网络服务功能；k）省级以上及有实际业务需要的地区调度中心的电力监控系统及电力调度数据网上的关键应用、设备和用户，应使用电力调度数字证书系统实现身份认证、安全数据传输及鉴权；1）生产控制大区应部署安全审计系统，对网络运行日志、操作系统运行日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志进行集中收集、自动分析，并汇总至安全管理中心；m）生产控制大区云计算平台与管理信息大区云计算平台应采用不同云基础设施，不同大区云计算平台之间的数据通信应通过国家指定部门检测认证的电力专用横向单向隔离装置；n）应控制互联网出口数量，宜通过管理信息大区信息外网提供统一出口。6.2 总体例要求在生产控制大区或管理信息大区内部含有不同安全保护等级信息系统时，应分别按照各大区最高安全等级系统的保护要求进行管理。7第二级安全保护要求7.1 电力监控系统安全保护要求7.1.1 安全通用要求7.1.1.1 安全物鲫#7.1.1.1.1 物S位置僻本项要求包括：a）机房场地应选择在具有防震、防风和防雨等能力的建筑内；b）机房场地应避免设在建筑物的顶层或地下室，以及用水设备的下层或隔壁，否则应加强防水和防潮措施。7.1.1.1.2 iHijSJ机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。7.1.1.1.3 防盗窃和防破坏本项要求包括：a）应将设备或主要部件进行固定，并设置明显的不易除去的标识；b）应将通信线缆铺设在隐蔽安全处。7.1.1.1.4 防雷击应将各类机柜、设施和设备等通过接地系统安全接地。7.1.1.1.5 防火本项要求包括：a）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料°7.1.1.1.6 防水和防潮本项要求包括a）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；b）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。7.1.1.1.7 R应采用防静电地板或地面，并采用必要的接地防静电措施。7.1.1.1.8应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。7.1.1.1.9 tS本项要求包括：a）应在机房供电线路上配置稳压器和过电压防护设备；b）应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。7.1.1.1.10 电帮鲂护电源线和通信线缆应隔离铺设，避免互相干扰。7.1.1.1.11 as®股漉惭1本项要求包括：a）室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并紧固；箱体或装置具有透风、散热、防盗、防雨和防火能力等；b）室外控制设备放置应远离强电磁干扰、强热源等环境，如无法避免应及时做好应急处置及检修，保证设备正常运行。7.1.1.2 安全通信网络7.1.1.21 网络架构本项要求包括：a）应按照本文件总体要求中的区域划分合理部署系统，带控制功能的系统应部署在生产控制大区的安全区I或安全区1【，不带控制功能的系统可部署在管理信息大区，并按照方便管理和控制的原则为各网络区域分配地址：b）应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。7.1.1.22应采用校验技术或密码技术保证通信过程中数据的完整性，采用密码技术的应按照国家密码管理部门与行业有关要求使用密码算法。7.1.1.23 Rimffi可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警并将验证结果形成审计记录送至安全管理中心。7.1.1.3安全区域边界7.a边界防护应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。7.1.1.12访!哪制本项要求包括：a）应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；b）应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；c）应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出；d）应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；e）应采用严格的接入控制措施，保证业务系统接入的可信性，经过授权的节点方可接入电力调度数据网。7.t.a3应在关键网络节点处监视网络攻击行为。7.ta4应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新。7.t.ai+本项要求包括：a）应在生产控制大区部署专用审计系统，或启用设备或系统审计功能，对网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等，审计记录的留存时间应符合法律法规要求。7.1.1.3.6拨号使用控制本项要求包括：a）应仅在必要的远程维护时使用拨号认证设施，该设施平时应断电关机，需要时临时开机，使用完毕应及时关机；b）对确需以拨号或VPN等方式接入网络的，应仅允许单个用户登录，采用强认证方式，并对用户访问权限进行严格限制；O拨号认证设施（如远程访问服务器）应使用安全加固的操作系统，并采取数字证书认证、传输加密和访问控制等措施。本项要求包括：a）应对所有参与无线通信的用户（人员、软件进程或者设备）提供唯一性标识和鉴别；b）应对所有参与无线通信的用户（人员、软件进程或者设备）进行授权以及执行使用进行限制。7.1.1.38 RlffiKiE可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。7.1.1.39 全计财境7.1.1.41 f三SJ本项要求包括：a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换，口令长度应不小于8位，且为字母、数字和特殊字符的混合组合，账户和口令应不相同，禁止明文存储口令；b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；c）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。7.1.1.42 itSJ本项要求包括：a）应对登录的用户分配账户和权限；b）应重命名或删除默认账户，修改默认账户的默认口令；c）应及时删除或停用多余的、过期的账户，避免共享账户的存在；d）应授予管理用户所需的最小权限，实现管理用户的权限分离。7.1.1.43 ½W本项要求包括：a）应启用安全审计功能或利用生产控制大区专用安全审计系统进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等，审计记录的留存时间应符合法律法规要求。7.1.1.44 ffi三本项要求包括：a）应遵循最小安装的原则，仅安装需要的组件和应用程序；b）应关闭不需要的系统服务、默认共享和高危端口，如需使用SNMP服务，应采用安全性增强版本，应设定复杂的COmmUnity控制字段，禁止使用Public、PriVate等默认字段；c）应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；d）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；e）应能发现可能存在的已知漏洞，并在经过安全性、兼容性和稳定性等方面充分测试评估后，及时修补漏洞。7.1.1.45 SjS代码雌应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库，防恶意代码软件版本和恶意代码库更新前应进行安全性和兼容性测试。7.1.1.46可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。7.1.1.47 8084应采用校验技术保证重要数据在传输过程中的完整性。7.1.1.48 8数据备份恢复本项要求包括：a）应提供重要数据的本地数据备份与恢复功能，备份数据能够完全恢复至备份执行时状态，数据保存期限应符合国家相关规定；b）应提供异地数据备份功能，利用通信网络将重要数据定时批量传送至备用场地。7.1.1.49 剩余信息保护应保证操作系统、数据库管理系统、应用系统、中间件、系统管理软件等的鉴别信息所在的存储空间被释放或重新分配前得到完全清除。7.1.1.410个人信息保护本项要求包括：a）应仅采集和保存业务必需的用户个人信息；b）应禁止未授权访问和非法使用用户个人信息。7.1.1.50 11域股½本项要求包括：a）控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求，如受条件限制控制设备无法实现上述要求，应由其上位控制或管理设备实现同等功能或通过管理手段控制；b）应在经过充分测试评估后，在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作；c）应关闭或拆除主机的光盘驱动、USB接口、串行口或多余网口等，确需保留的应通过相关的技术措施实施严格的监控管理。7.1.1.5安全管理中心7.1.1.5.1 WKl本项要求包括：a）应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计；b）应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等；c）应定期及在配置发生变动前后对设备的配置文件进行备份。7.1.1.5.2 tHB三本项要求包括：a）应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计；b）应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等；c）应严格限制审计数据的访问控制权限，实现审计用户与其他用户的权限分离；d）应定期及在配置发生变动前、后分别对设备的配置文件进行备份。7.1.1.6安管1制度7.1.1.61ffl应按照“谁主管谁负责，谁运营谁负责”的原则，制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等，并将电力监控系统安全防护及其信息报送纳入日常安全生产管理体系，负责所辖范围内计算机及数据网络的安全管理。7.1.1.6.2徵里制度本项要求包括；a）应对安全管理活动中各类管理内容建立安全管理制度，包括：门禁管理、人员管理、权限管理、访问控制管理、防尾随管理、安全防护系统的维护管理、常规设备及各系统的维护管理、恶意代码的防护管理、审计管理、数据及系统的备份管理、个人信息和数据安全管理、用户口令密钥及数字证书的管理、培训管理等；b）需要针对电力监控系统业务需要，比如网络安全运维、操作形成专用管理制度；C）应对管理人员或操作人员执行的日常管理操作建立操作规程。7.1.1.6.3制定和发布本项要求包括：a）应指定或授权专门的部门或人员负责安全管理制度的制定；b）安全管理制度应通过正式、有效的方式发布，并进行版本控制。7.1.1.64 WWiT应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进、适用环境发生重大变更的安全管理制度，应及时进行修订。7.1.1.65 全1耀机构7.1.1.65.1 Mfitae本项要求包括：a）应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责：b）应设立系统管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责。7.1.1.65.2 AsE备应配备一定数量的系统管理员、审计管理员和安全管理员等。7.1.1.65.3 SttJOWa）应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批；b）应针对系统变更、重要操作、物理访问、系统接入和数据处理等事项执行审批过程。7.1.1.65.4本项要求包括：a）应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处理网络安全问题；b）应加强与电力监管机构、公安机关、网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通；c）应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。7.1.1.65.5应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。7.1.1.66 全Ii理人员7.u.a本项要求包括：a）应指定或授权专门的部门或人员负责人员录用：b）应对被录用人员的身份、安全背景、专业资格或资质等进行审查。1.1.1.1.1 员离岗应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。7.1.1.8.3 安全意识教育和培训本项要求包括；a）应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施；b）应对安全教育和技能培训的情况和结果进行记录并归档保存，对违反违背安全策略和规定的人员进行惩戒。7.1.1.8.4 员访i三U本项要求包括：a）应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪同，并登记备案；b）应在外部人员接入受控网络访问系统前先提出书面申请，批准后由专人开设账户、分配权限，并登记备案；c）外部人员离场后应及时清除其所有的访问权限。7.1.1.8.5 建设1陛7.1.1.9.1和备案本项要求包括：a）应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由；b）应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定;O应保证定级结果经过行业主管部门的批准；d）应将备案材料报行业主管机构和相应公安机关备案。7.1.1.9.2 S3gi+本项要求包括：a）应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；b）应根据保护对象的安全保护等级进行安全方案设计；c）应组织相关部门和有关安全专家对安全方案的合理性和正确性进行论证和审定，经过批准后才能正式实施。7.1.1.9.3 产品采购和使用本项要求包括：a）应确保网络安全产品采购和使用符合国家的有关规定；b）应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；c）电力监控系统重要设备及专用网络安全产品应通过国家及行业监管部门推荐的专业机构的安全性检测后方可采购使用。7.1.1.9.4 自储怖发本项要求包括：a）应将开发环境与实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果受到控制;b）应在软件开发过程中对代码规范、代码质量、代码安全性进行测试，在软件安装前对可能存在的恶意代码进行检测；c）应采取措施防止软件源代码泄露。7.1.1.9.5 外包软件开发本项要求包括：a）应在软件交付前对代码规范、代码质量、代码安全性进行测试，并对可能存在的恶意代码进行检测；b）应保证开发单位提供软件设计文档和使用指南；c）应在外包开发合同中规定针对开发单位、供应商和第三方监理单位的约束条款，包括设备及系统在生命周期内有关保密、禁止关键技术扩散和设备行业专用等方面的内容。7.1.1.9.6 工程实施本项要求包括a）应指定或授权专门的部门或人员负责工程实施过程的管理；b）应制定安全工程实施方案控制工程实施过程。7.1.1.9.7 测解收本项要求包括：a）应制订测试验收方案，并依据测试验收方案实施测试验收，应详细记录测试验收结果，形成测试验收报告；b）应自行或委托具备相关检测资质的第三方检测机构进行上线前的安全性测试，并出具安全测试报告。7.1.1.9.8 礴交付本项要求包括：a）应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；b）应对负责运行维护的技术人员进行相应的技能培训；c）应提供建设过程文档和运行维护文档。7.1.1.9.9 挈姗评本项要求包括：a）应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改；b）应在发生重大变更或级别发生变化时进行等级测评；c）测评机构应获得国家认证认可委员会批准的认证机构发放的网络安全等级测评与检测评估机构服务认证证书，并具备工业控制系统和电力监控系统安全测评和评估服务能力与经验。7.1.1.9.10 服务供应商选择本项要求包括：a）应确保服务供应商的选择符合国家及行业的有关规定；b）应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务。7.1.1.10安全运维管17.1.1.10.1本项要求包括：a）应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理；b）应对机房的安全管理做出规定，包括物理访问、物品进出和环境安全等；c）应不在重要区域接待来访人员，不随意放置含有敏感信息的纸档文件和移动介质等。7.1.1.10.2应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。1.1.1.1.1 介本项要求包括：a）应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点；b）应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录c）应严格限制生产控制大区移动存储介质的使用，不应在生产控制大区和管理信息大区之间交叉使用移动存储介质。7.1.1.10.4 设雌护也本项要求包括：a）应对各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；b）应对配套设施、软硬件维护管理做出规定，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等。7.1.1.10.5 SImlral应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补。7.1.1.10.6 领?本项要求包括：a）应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限，权限设定应遵循最小授权原则；b）应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制；c）应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定；d）应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等；e）应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。7.1.1.10.7 s代rnjsw三本项要求包括；a）应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等；b）应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等；c）应定期检查恶意代码库的升级情况，对截获的恶意代码进行及时分析处理；d）不应与管理信息大区共用一套防恶意代码管理服务器。7.1.1.10.8 ESV三应记录和保存基本配置信息，包括网络拓扑结构、各个