2023新能源集控中心网络安全监督管理标准

新能源集控中心网络安全监督管理标准目 次引言 集控中心网络安全监督管理标准范围本文件规定了新能源集控中心网络安全监督原则、关系、组织机构及职责、工作要求和安全监督预警。本文件适用于集控装机容量100万千瓦及以上的新能源集控中心开展网络安全监督工作，100万千瓦以下的新能源集控中心网络安全监督管理可参考本文件执行。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。XX/XXXXX信息系统网络信息安全防护技术监督XX/XXXXX集控中心网络安全管理规范XX/XXXXX集控中心网络安全防护技术规范XX/XXXXX集控中心网络安全评估规范术语和定义GB/T25069界定的以及下列术语和定义适用于本文件。新能源集控中心对被控新能源站进行远程监视和控制的集中控制中心受控新能源站受新能源集控中心远程监视与控制的新能源新能源集控中心信息系统新能源集控中心基于计算机及网络技术的信息系统的集合。关键设备网络中的重要组成部分，一旦产生故障，可能对网络的运行或提供的服务造成严重不良影响的设备。例如重要的数据存储设备、核心网络交换设备、骨干网络传输设备、运行重要业务的服务器等。生产控制大区由具有数据采集与控制功能、纵向联接使用专用网络或专用通道的发电厂监控系统构成的安全区域，包括控制区（安全I区）和非控制区（安全II区）。[来源：GB/T36572-2018，3.3]控制区具有实时监控功能、纵向联接使用电力调度数据网的实时子网或专用通道的各业务系统构成的安全区域。[来源：GB/T36572-2018，3.4]非控制区生产控制范围内，由在线运行但不直接参与控制、作为电力生产过程的必要环节、纵向联接使用电力调度数据网的非实时子网的各业务系统构成的安全区域。[来源：GB/T36047-2018，3.5]管理信息大区生产控制大区之外的，主要由企业管理、办公自动化系统及信息网络构成的安全区域。[来源：GB/T36572-2018，3.6]安全接入区用于安全连接新能源集控中心内部网络安全分区与外部专线接入网络、无线接入网络或公网加密专用通道接入网络的网络连接区域，主要包括网络接入过程中的安全隔离、身份认证、传输加密和特定网络服务对接等功能。1网络安全监督原则和目标网络安全监督坚持管理与技术相结合的原则。管理上贯彻落实国家、行业和集团公司规章制度和有关要求；技术上符合集团《新能源集控中心网络安全防护技术规范》，具有抵御黑客、病毒、恶意代码对网络与应用系统破坏和攻击的能力等，在遭受攻击和破坏后能及时恢复。监督管理关系本项要求包括：实行网络安全自上而下的监督体系，上级公司对下级公司进行分级监督，并与网络安全保障体系密切配合。新能源集控中心可通过网络安全协议委托外委单位进行网络安全监督。网络安全监督应贯穿新能源集控中心安全监督管理全过程，监督机构与管理、执行机构的职能独立分开。设立董事会和监事会的新能源集控中心应定期向其报告网络安全风险和事件情况，并通过董事会明确各项网络安全监督职能。对委托代管的新能源集控中心，根据代管协议行使网络安全监督职能。组织机构和人员网络安全监督机构新能源集控中心应将网络安全纳入大安全管理，至少配备1名网络安全监督人员，专职落实网络安全监督工作归口管理。网络安全监督人员任职条件本项要求包括：熟悉国家有关网络安全的法律、法规，熟悉掌握上级单位有关网络安全的制度、规定和企业的运行、检修规程等；具有相关专业知识，熟悉网络安全主要设备状况和保障技术措施，具备网络安全事件分析能力和综合表达能力。新聘任的人员应具备大专及以上学历及相关网络安全资格证书，有3年以上相关专业工作经验；责任心强，坚持原则，身体健康，年富力强，能够适应网络安全监督工作需要；网络安全监督人员宜参加国家网络安全资格考试并获取并注册相应证书和资质。行使职权本项要求包括：有权进入网络安全机房、控制室、作业现场、调度室等生产区域，检查和了解网络安全情况；有权制止网络安全违章行为、违章作业（或操作）、违反生产现场劳动纪律的行为；对检查发现的网络安全风险隐患，有权责令立即排除；对排除过程中无法保证安全的，或遇有重大网络安全风险或突发事件征兆的，有权责令停止作业，撤出作业人员；对网络安全事件调查分析结论和处理有不同意见时，有权提出或向上级网络安全监督机构反映；对违反规程、规定，隐瞒或阻碍网络安全事件调查的行为有权制止或越级反映；有权要求保护网络安全事件现场，有权向新能源集控中心任何人员调查了解网络安全事件的有关情况，提取、查阅有关资料，有权对事件现场进行照相、录音、录像和物证收集等；对网络安全工作情况，有建议奖励、考核、处理的权利。长期外委队伍派到新能源集控中心网络安全监督机构的专职网络安全监督人员，行使与新能源集控中心网络安全监督人员同样的职能，日常工作由新能源集控中心网络安全监督机构统一安排。履行义务本项要求包括：在制止网络安全违章行为、作业时有解释制止理由的义务；因网络安全事件调查需要向有关人员了解事故情况时，有为当事人保密的义务；对群众反映的监督范围内的有关隐瞒预警（隐患）或处理不当的行为，有深入调查、作出结论并对反映人或有关部门说明的义务。配合上级部门开展网络安全技术监督工作，并按要求提交相关资料。人员变更新能源集控中心网络安全监督机构主要负责人或专职网络安全监督人员的变更，应及时向上级网络安全监督机构汇报。考核本项要求包括：网络安全监督人员的业务管理及考核，由网络安全监督机构负责；网络安全监督人员工作中利用职权弄虚作假、徇私舞弊的，应按有关规定给予处理。监督事项组织机构和制度本项要求包括：依据新能源集控中心报备的网络安全管理和运维的组织机构详情，监督新能源集控中心网络安全组织机构管理和技术人员编制情况；监督新能源集控中心各部门对上级公司的有关网络安全规章制度的贯彻落实情况，监督各级网络安全责任制的落实；参与网络安全各项规章制度、标准规范的制定并监督落实；组织或参与网络安全教育和培训，如实记录网络安全教育和培训情况；监督网络安全教育培训计划的落实；组织或配合开展网络安全培训与考试；监督外委运维人员的资质审查、准入、现场监督管理责任的落实；经费监督本项要求包括：监督审查网络安全和信息化建设项目、物资采购项目、运维项目等费用的提取和使用；落实将网络安全专项奖励基金列入安全生产奖励基金，对网络安全做出突出贡献的提出给予表扬、奖励的建议意见；对负有网络安全事件责任的提出批评、处罚的建议或意见。监督涉及网络安全的资本类项目年度投资预算不低于信息化工程项目年度投资预算的8%，且预算年度完成率不低于95%；监督网络安全培训经费不低于涉及网络安全的损益类项目年度总投资的10%。设计监督本项要求包括：应监督和制定网络安全规划设计、对应的技术保障措施、自主可控等设计工作；监督新能源集控中心网络安全建设及技术改造的设计方案符合国家、国资委、集团等相关的设计规范；监督新能源集控中心的网络安全规划设计、对应的技术保障措施、自主可控等设计工作；监督新能源集控中心网络安全建设及技术改造的设计方案的完整性和有效性，包括且不限于对应的安全保障和应急措施。监督网络安全监控及告警类资产是否纳入设计范围。建设监督本项要求包括：监督网络安全标准规范、技术资料、图纸和网络安全事件应急预案的制定并监督落实；按照产品选型、供应链、数据安全、计算可信、运维可信等角度，全面监督网络安全项目建设、物资采购、技术运维等方面的自主可控；参与网络安全项目的设计审查、项目招标、施工队伍资质审查和竣工验收以及有关科研成果鉴定等工作；监督新建、改建、扩建工程网络安全“三同时”的组织落实；监督新能源集控中心网络安全建设及技术改造的建设实施方案的完整性和有效性，包括：实施方案；安全保障和应急方案；施工图纸；竣工图纸；变更手续（包括变更前的设计图纸、变更后的设计图纸、变更说明及变更审批）。监督新能源集控中心入网与投运是否符合电网调度集团公司的管控要求。监督网络安全建设与技术改造资料由建设阶段向运维阶段平稳移交。运维监督本项要求包括：应监督等保测评、隐患排查、安全评估和网络安全整改的执行情况；应监督各部门对网络安全工作目标的分解和落实情况。监督网络安全设备、工具、配件、备品备件及应用软件发放和使用；监督应急预案的制定和落实工作，监督预案的编制、修订、评审、备案、发布、培训、演练等工作；监督网络安全管理系统有效运转，推动网络安全工作规范化、制度化、标准化、信息化；完成网络安全事件统计、分析、上报工作并提出考核意见；应急监督本项要求包括：监督网络安全应急预案与应急处置方案的内容是否覆盖新能源集控中心的业务范围。监督应急预案与处置方案是否定期演练及总结。监督应急机构、措施等是否随管理变化及时调整。台账监督本项要求包括：信息系统网络安全设备的清册、台帐及出厂说明书；信息系统网络安全技术方案和防护措施；信息系统网络安全设备系统图、原理图、逻辑图、实际安装接线图、网络拓扑图；信息系统网络安全装置电源系统图；信息系统网络安全各种技术改造图纸和资料；信息系统网络安全设备缺陷及处理记录；信息系统网络安全系统软件和应用软件备份；信息系统网络安全系统软件台帐（包括固化软件，每个软件的名称、版本号、创建日期、升级启用时间、应用环境、对应的硬件设备的名称和型号规格及版本号等）。监督以上台账是否按照专柜存储，或者以信息系统方式分类存储。监督活动本项要求包括：组织或参加网络安全事件调查；监督定期组织召开网络安全领导小组会议，结合安全生产检查定期开展各项网络安全例行和专项检查评估工作，编发《网络安全评估报告》、《网络安全技术监督月报》；按照“三讲一落实”、“两票”等规章制度监督网络安全现场工作，每年组织开展网络安全自评估、检查评估等工作，对网络安全状况进行科学分析、评估，提高网络安全的预见性。定期和不定期对网络安全管理和技术工作进行总结和分析，对薄弱环节和带倾向性问题提出改进意见；按照“日、周、月”定期监督网络安全风险库的建立和闭环工作。监督依据应依据《防护技术规范》《管理规范》以及本文件的要求开展网络安全监督工作。安全监督预警本项要求包括：新能源集控中心可参考网络安全技术监督三级预警项目（附录A）执行；对于网络安全技术监督预警通知单(附录B)，新能源集控中心应制定整改计划，明确整改措施、责任人、完成日期；问题整改完成后，网络安全监督机构按照验收程序要求落实预警验收，并备案相关资料。监督评价与考核本项要求包括：新能源集控中心应将《新能源集控中心网络安全监督检查表》（见附录C）、网络安全技术监督月（年）报（见附录D）中的各项要求纳入日常安全监督工作中；新能源集控中心可开展安全监督自我评价；按上级要求开展安全监督相关工作。

附录A（规范性）集控中心信息系统网络安全监督三级预警项目一般预警对已经提出的网络安全监督问题整改不及时，整改计划未及时提出，或整改计划不合理；机房物理环境不满足相关要求，如门禁、视频监控、温湿度控制、消防设施；非核心网络设备出现故障。严重预警未建立信息系统网络信息安全防护监督管理体系；一般预警后，未认真按期完成整改任务；业务系统未按规范分区；安全I区与安全Ⅱ区边界安全防护不符合《新能源集控中心网络安全技术防护规范》；生产控制大区系统与管理信息区之间网络安全防护不符合规范；纵向边界防护不符合规范；第三方边界安全防护不符合规范；未开展网络设备安全防护工作；未开展恶意代码防范工作；未进行外设管控管理；未配置安全审计装置；未配置备份与容灾系统。特别严重预警较长时间拒不执行国家、上级单位关于信息系统网络安全相关法律法规和规章制度；较长时间不开展等保测评或风险评估工作；生产控制大区与管理信息大区边界安全防护不符合规范；调度数据网未采用专用网络。附录B（规范性）网络安全监督预警通知/回执单表单B.1网络安全监督预警通知单预警通知单编号：预警类别一般预警□严重预警□特别严重预警□新能源集控中心名称（简称）设备（系统）名称及编号异常情况可能造成或已造成的后果整改建议整改期限整改部门责任人预警回执编号为（预警回执-区域公司简称-新能源集控中心简称-部门简称-年月日）表单B.2网络安全监督预警回执单预警回执单编号：新能源集控中心名称（简称）预警类别一般预警□严重预警□特别严重预警□预警通知单编号设备（系统）名称及编号异常情况整改情况（附见证材料及相关照片）整改完成时间：年月日网络安全监督机构意见签名：年月日网络安全分管领导意见签名：年月日网络安全第一责任人意见签名：年月日预警回执编号为（预警回执-区域公司简称-新能源集控中心简称-部门简称-年月日）附录C（规范性）信息系统网络安全监督检查表表C.1信息系统网络安全监督检查表项目检查项目检查标准检查结果编号1等级保护及风险评估工作1.1等保测评和整改工作周期内开展等保测评，取得相关报告。根据等保测评结果制定整改计划，形成相关工作记录，并完成整改。1.2风险评估和整改工作周期内开展风险评估工作，具有相关报告。根据风险评估结果制定整改计划，形成相关工作记录，并完成整改。2安全防护技术要求检查2.1安全分区2.1.1业务系统安全分区有完整发电企业信息系统安全防护网络拓扑图、安全网络设备部署列表与描述文档。有完整的发电企业信息系统安全分区表。与规范要求相符合。2.2网络专用2.2.1网络专用电力调度数据网在物理层面上实现与本单位其它数据网及外部公用数据网的安全隔离。电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。2.3边界安全防护2.3.1生产控制大区与管理信息大区边界安全防护生产控制大区和管理信息大区之间部署经国家指定部门检测认证的正向安全隔离装置；单向安全隔离装置满足可靠性、传输流量等方面的要求。禁止E-mail、WEB、Telnet、Rlogin、FTP等网络服务；禁止以B/S或C/S方式的数据库访问穿越专用横向单向安全隔离装置等。生产控制大区和管理信息大区之间业务系统未出现反向部署情况。2.3.2安全区I与安全区Ⅱ边界安全防护安全区I与安全区Ⅱ间部署工业防火墙等硬件设备并实现逻辑隔离、报文过滤、访问控制等功能；工业防火墙的功能、性能、电磁兼容性经过国家相关部门的认证和测试。所选工业防火墙具备对流经安全区I与安全区II信息通信协议进行解析的功能、参数设置合理并满足发电企业对业务数据的通信要求。2.3.3生产控制大区系统间安全防护同属安全区I内或安全区II内的各系统之间有防火墙、VLAN等逻辑访问控制。2.3.4纵向边界防护部署经国家指定部门检测认证的电力专用纵向加密认证装置或加密认证网关及相应设施。2.3.5第三方边界安全防护生产控制大区内个别业务系统或其功能模块（或子系统）需要使用公用通信网络、无线通信网络以及处于非可控状态下的网络设备与终端等进行通信时，应设立安全接入区。2.4综合防护2.4.1物理安全机房、集控室、工程师间等核心重点生产防护区域和场所具备防风、防雨、防震、防潮、防火、防静电、防雷击、防盗窃、防破坏等能力。核心重点生产防护区域各出入口应配置电子门禁系统（如无门禁系统须有钥匙管理制度并执行），具有视频监控记录系统的应具备24小时连续记录功能并保存记录30天以上。进入机房的来访人员应履行审批流程手续，并对其活动范围具有限制和监控能力。2.4.2网络设备安全防护对登录网络设备、安全设备采用了HTTPS、SSH等加密方式或配置堡垒机。对登录用户进行身份鉴别及权限控制，登录用户口令满足复杂度要求，且制定有更换策略并由专人负责保管。是否及时清理网络及安全设备上的临时用户、多余用户。2.4.3主机防护主机加固对计算机监控系统（含集控及厂站）关键应用系统的主服务器，以及网络边界处的通信网关机、Web服务器、数据库服务器等采取了安全加固措施。实施加固前，在测试环境中进行了操作系统及各项生产业务功能方面的测试并有完整测试记录或原厂家的安全承诺。主机安全加固应经审核，明确主机加固技术标准和加固管理的策略。恶意代码防范生产控制大区内主机采取免受恶意代码攻击的技术措施或部署恶意代码防护软件或主机白名单软件等；具有恶意代码库定期更新的工作记录。补丁升级对生产控制大区内的服务器和操作员站等上位机操作系统，严格按厂家要求和操作说明，及时升级系统补丁和应用软件补丁；在离线环境下经过完整测试并提供记录。外设管控生产控制大区内各主机上不必要的软盘、光盘驱动、USB接口、无线、蓝牙等外设采取关闭、拆除、访问控制等严格管控措施。禁止在生产控制大区和管理信息大区之间交叉使用USB以及便携计算机。确需外设接入的，在接入前进行了病毒查杀等安全预防措施，通过安全管理与技术措施实施严格监控，并履行发电企业安全接入审批手续。对发电企业必要的USB外设采取了主机白名单等技术措施，对移动介质的插入、拷贝、写入等操作具有安全审计功能。2.4.4入侵检测在生产控制大区部署网络入侵检测系统；设置了包含有信息系统专有攻击特征库的检测规则。2.4.5远程访问禁止其他设备生产厂商或其它外部企业(单位)远程连接发电企业生产控制大区中的业务系统及设备。对于发电企业内部远程访问业务系统的情况，进行身份认证及权限控制，并采用会话认证、加密与抗抵赖、日志审计等安全机制。2.4.6安全审计网络审计：生产控制大区各关键生产系统内部署网络流量审计设备；具备针对信息协议的深度包协议解析、及时发现隐藏在正常流量中的异常数据包、实时检测针对工业协议的网络攻击、用户误操作、用户违规操作、违规外联、非法设备接入等内网异常行为的功能。日志审计：在安全I区计算机监控系统需具备日志审计功能；保证至少6个月的日志数据。2.4.7网络安全监测装置在安全区II内部署生产安全监测平台或安全态势感知平台，具备实时监测信息系统的主机、网络设备、安全设备运行状态和日志采集，进行集中化的性能状态监控、日志分析及安全事件的集中展示的功能。2.4.8备份与容灾对信息系统的数据备份依据重要性实现了分级管理，并确保重要业务数据双备份以及在故障发生时至少可异机恢复至一天前数据。对关键主机设备、网络设备或关键部件进行了冗余配置；有备份数据文件清单,备份数据建立异地存放制度。定期对关键业务的数据进行备份，对生产运行等重要数据实现双备份并至少保存12个月。3安全防护建设管理要求检查3.1组织机构明确发电企业信息系统网络信息安全防护职责归口管理部门、网络安全及信息化领导小组，确定企业负责人作为信息系统安全主要责任人，并指定专人负责本企业所辖信息系统的网络信息安全设施，明确了各业务系统专责人的安全管理责任。建立了总工程师、信息系统网络信息安全防护技术监督专责、各专业部门网络安全员的三级技术监督网。对各个部门和岗位的职责明确授权审批事项、审批部门和批准人。对于系统变更、重要操作、物理访问和系统接入等事项建立审批程序并按照审批程序执行审批过程，对重要活动建立逐级审批制度，记录审批过程并保存审批文档。3.2人员管理各专业、部门设置网络安全员，并签署保密协议。人员变动、岗位调整后建立有撤销权限流程。每年开展信息系统网络信息安全培训。与第三方外包人员签署保密协议，系统使用权限遵循权限最小化原则；当岗位调整时能及时向相关负责人提出变更申请，离职时能及时收回人员的相关证件，并在系统做注销等相应处理。3.3管理制度制订门禁、人员、权限、访问控制管理制度。制订安全防护系统的维护、常规设备及各系统的维护管理制度。制订恶意代码防护、审计、数据及系统的备份、用户口令、安全培训等管理制度。3.4系统建设系统建设所涉及到的软硬件系统、设备及专用信息安全产品符合国家及行业资质、质量标准等相关规定与要求，自行开发或外包开发的软件产品投运前进行安全评估并留有相关工作记录。选定的施工建设单位和安全服务商具备国家和行业主管部门要求的资质；与选定的安全服务商签订安全保护承诺等相关协议，明确约定相关责任并签署保密协议。3.5系统运维分别对各类设备、介质、资产、网络、业务系统制订了安全管理制度并在存放环境、使用以及销毁、报废等方面做出了详细规定，并建立了安全审计管理制度。对网络和主机进行恶意代码检测并保存检测记录。对移动存储设备、重要文档的安全管理具有完整、清晰的工作记录；对终端计算机、工作站、便携机、