6.7 数据网络的安全防护

第七节数据网络的安全防护一、国家有关调度监控系统网络安全问题的规定二、调度自动化系统数据网络的安全防护策略第七节数据网络的安全防护电力信息系统电力调度系统出口出口调度中心电厂变电站监控系统外部因特网

建立电力监控系统安全防护体系，有效抵御黑客、恶意代码等各种形式的攻击，尤其是集团式攻击，保障电力监控系统安全稳定，防止由此引起电力系统事故。电力监控系统安全防护主要目标电力监控系统安全防护总体示意图上级调度/控制中心下级调度/控制中心上级信息中心下级信息中心实时VPNSPDnet非实时VPNIP认证加密装置安全区I(实时控制区)安全区II(非控制生产区)安全区III(生产管理区)安全区IV(管理信息区)外部公共因特网生产VPNSPTnet管理VPN防火墙防火墙IP认证加密装置IP认证加密装置IP认证加密装置防火墙防火墙安全区I(实时控制区)

防火墙安全区II(非控制生产区)安全区III(生产管理区)

防火墙

防火墙安全区IV(管理信息区)专线正向专用安全隔离装置反向专用安全隔离装置正向专用安全隔离装置反向专用安全隔离装置

防火墙

防火墙

防火墙调度自动化系统及数据网络的安全防护一国家有关调度监控系统网络安全问题的规定电力监控系统安全防护相关规定2015年2014年2006年2004年原电监会5号令《电力二次系统安全防护规定》原电监会34号文发改委发布14号令《电力监控系统安全防护规定》能源局36号文除配套方案由二次系统改为监控系统外，新增了电力监控系统二次安全防护评估规范，并对内容作了修订。配套文件：

1．电力二次系统安全防护总体方案

2．省级以上调度中心二次系统安全防护方案3．地、县级调度中心二次系统安全防护方案4．变电站二次系统安全防护方案5．发电厂二次系统安全防护方案6．配电二次系统安全防护方案一国家有关调度监控系统网络安全问题的规定一国家有关调度监控系统网络安全问题的规定信息系统的安全分层数据网络的信息流模型数据网络的技术体制及安全防护体系调度专用数据网络的安全防护措施二调度自动化系统数据网络的安全防护策略物理安全网络安全系统安全应用安全人员管理（一）信息系统的安全分层（二）数据网络的信息流模型电力企业数据网控制区非控制区管理区信息区电力调度数据网生产控制大区管理信息大区防火墙（三）数据网络的技术体制及安全防护体系（四）调度专用数据网络的安全防护措施

调度专用数据网在技术措施方面可采用的措施：防火墙、专用网关(单向门)、网段选择器；访问控制列表、用户授权管理、TCP同步攻击拦截、路由欺骗防范、实时入侵检测技术。加密通信技术主要用于防止重要或敏感信息被泄密或篡改，该项技术的核心是加密算法，身份认证技术。（四）调度专用数据网络的安全防护措施—安全分区（四）调度专用数据网络的安全防护措施—网络专用SDH（N×2M）SDH（155M）SPDnetSPTnet实时控制在线生产调度生产管理电力综合信息实时VPN非实时VPN调度VPN信息VPN语音视频VPNIP语音视频SDH/PDH传输网电力调度数据网电力企业数据网生产控制大区与管理信息大区间实现安全隔离、生产控制大区内部实现逻辑隔离。安全接入区与生产控制大区中其他联接处设置电力专用横向隔离装置。横向单向隔离装置实时系统管理系统处理器A处理器BTCP/IPTCP/IP双联网段切换开关非网（四）调度专用数据网络的安全防护措施—横向隔离（四）调度专用数据网络的安全防护措施—横向隔离电源内网灯外网灯安全隔离装置（正向型）前面板图安全隔离装置（正向型）后面板图智能IC卡接口安全隔离装置（反向型）前面板图安全隔离装置（反向型）后面板图生产控制大区（安全区I、II）与广域网的纵向联接边界处应部署纵向加密认证装置或加密认证网关及相应设施。加密隧道加密隧道加密隧道电力调度数据网上级调度中心下级调度中心直属电厂直属变电站（四）调度专用数据网络的安全防护措施—纵向认证（四）调度专用数据网络的安全防护措施—纵向认证百兆低端百兆千兆网络间的访问控制：门卫根据访问策略对两个网络之间的通信进行控制：从哪来、去哪里、干什么；阻挡不合规的网络行为、防止对信息资源的非法访问，以达到保护系统的目的。（五）调度专用数据网络的安全防护措施—防火墙技术入侵检测系统恶意代码防范主机加固计算机访问控制安全WEB