公司电力监控系统考核管理规定

新能源有限公司

电力监控系统考核管理规定

第一章总则

第一条为引导新能源有限公司（以下简称公司）各场站正确地实施和落实

公司电力监控系统管理制度、规定，制定本规定。

第二条电力监控系统考核管理纳入《新能源有限公司电力生产业绩过程考

评办法》。

第三条考核按照公司检查为主、场站自查为辅的方式进行。

第四条本规定适用于各场站电力监控系统的管理及考核。

第二章考核管理

第五条场站未按公司要求建立、健全电力监控系统安全防护制度，依据现

场制度完整度百分比扣除年度考核分数1-3分。

第六条场站未建立电力监控系统安全防护设备台账、记录、拓扑，或己建

立但未执行（无执行记录），依据现场执行情况，最高扣除年度考核分数1.5分（未

建立或无执行记录按照上限扣除）。

第七条场站未按要求定期开展电力监控系统等级测评及电力监控系统安全

防护评估、自评估，扣除年度考核分数2分。

第八条场站电力监控系统缺陷、漏洞未按照电网公司、上级公司通知、文

件要求、时限整改到位，按照“超时限天数”与“要求整改时限天数”的百分比

（超时限天数=实际完成时间-要求完成时间，要求整改时限天数;要求完成时间-

整改通知发出时间），扣除年度考核分数0.5T分。

第九条场站未定期开展电力监控系统应急演练的，扣除年度考核分数

0.5~1分。

第十条场站未定期开展电力监控系统安全防护和网络安全知识培训，扣除

年度考核分数0.5-1分。

第十一条现场应具备的资料及记录缺失，依据现场资料缺失百分比，最高

扣除年度考核分数1分。

第十二条现场自查、公司抽查中不符合《新能源有限公司电力监控系统安

全防护检查表》各检查条例，按照不符合条例百分比及关键性扣除年度考核分数，

最高扣除2分。

第1页共17页

第十三条出现以下情况，扣除年度考核分数3分，同时取消电站当年运行

设备管理奖：

（一）因电力监控系统安全事件被电力调度矶构或政府相关部门通报；

（-）场站电力监控系统维护不当，造成电站停运；

（三）场站各生产、管理大区存在远程运维、非法连接互联网；

（四）电力监控系统防护信息（设备故障及维护、电网公司或政府重要通知、

通报文件）迟报、漏报、谎报、瞒报。

第三章附则

第十四条本规定由电力生产部负责起草和修订，经公司总经理办公会审议

通过后发布。

第十五条本规定由电力生产部负责解释。

第十六条本规定自发布之日起执行。

附件：新能源有限公司电力监控系统安全防护检查表

第2页共17页

附件:

新能源有限公司电力监控系统安全防护检查表

单位名称：检查人：检查时间：

检查检查要检查检杳存在采取

检查点检查方法

类别点对象人问题措施

1）检查设备间防火安全：

检查重要设备间是否设胃.了火火设备，是否设置.了火灾自动报警系

统，是否有人负责维护该系统的运行：

b.是否制定了有关设备间消防的管理制度和消防预案，是否进行了消

防培训，检直是否有消防甘理条例、泊防员、消防货任书等文件，坟备间

1,机房的基础设施是否具有是否在明显位置张贴了防火标识，检查消防培训的记录文档，包括培训资

防窃、防火、防水、防破坏等科、人员签到表等

基础

物理安全防护措施：2）检查设备间环境安全：

设施

机房a.温、湿度监控：设备间应由温湿度监控设备，在温湿度异常的情况

物理

下可及时告警：

安全

b.防潮：是否有防水防潮措施：如果殳备间内有上下水管安装，是否

穿过屋顶和活动地板下，穿过墙壁和楼板（勺水管是否采取了可靠的保护措

施：是否配备除湿装置：设备间是否有水渍和受潮痕迹。

2、是否对重要区域配置电子1）门禁系统：检查重点区域门禁系统的出入记录（如检查电子门禁记录）；

门禁系统，控制、鉴别和记录2）访问控制：检查重点区域门禁系统是否对出入人员有明确的鉴利功能

人员的进出情况：（应根据不同人员权限规定人员可进入范围及签别方式）。

第3页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

3、供电的可靠性是否满足系

1）检查供电设施场所供电环境安全：是否彳温湿度监控及防潮措施：

统运行要求：

2）楂查供电设施场所是否满足防窃、防火、防破坏等物理安全防护要求；

4、电源电缆铺设是否满足安

3）检查机房供电线路上是否配置秘乐器和过电压防护设备、设置冗余或

电源全要求：

并行的电力电缆线路为监控系统供电；

1）对照图纸，检查配电室内的母线分段是否合理；

5、UPS电源负栽是否合理：5）检查监控系统供电是否满足冗余要求、UPS电源负载是否合理。

1）检行通信设施场所供电环境安全：是否有温海度监控及防潮措施：

2〉检直通信设施场所是否满足防窃、防火、防破坏等物理安仝防犷要求：

6、通信设备及其线缆沟道《含

3）抽查通信设备是否具备N-1安全运行要求：光端机设备、SDH设备、

通信局域网配线问）是否满足安全

核心网络交换机、路由器、以及其他重要网络通信设备是否满足冗余配置

可靠运行要求：

要求。

4）检查电站的通信线缆敷设标识是否清晰、完整，是否具备冗余线缆.

1）检行远程运维接口使用情况：是否使用了远程运维：远程运维的方式：

2）对照系统结构图，检查生产控制大区及管理信息区的具体实现方式，

是否存在聘区直连或移动介质交换数据：

体系7、电力监控系统是否存在网

安全分3）检查值班告警系统：如何进行值班告瞽：是否使用了互联网或其他类

结构络非法外联情况：

区型的公共网络：是否使用短信收发系统：短信收发系统是否将内部网络和

安全

外部网络互连：

4）检查气象信息的接收方式:是否因接收气象信息导致内外网互连；

5）生产控制人区内是否使用了无税网络，无故网络是否设置在安全接入

第4页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

区内。

1）现场检查运维、技术支持人仍是否将接入生产控制大区的计兑机设备

，互联1可相连混用，检查生产厂家或其他外部企业（单位）是否通过互联

网远程连接生产控制大区的业务系统及设备：

a.查看生产控制大区内”•算机设备各网卡的IP地址配比,对照拓扑图，

8、运维、技术支持人仍是否专责配合询问，检查是否有外联IP地址：

将接入生产控制大区的计算Windows系统:cmd下输入ipconrig-all

机设备与和互联网相连混用：Unix系统：ifconfig-a

b.通过检查浏览器历史、cookie信息第是否存在访问互联网的记录：

C.检查是否存在位班告警手机推送或短信平台功能，是否与生产控制大

区相连：

d.检查值班员站、运维工作站是否通过无线方式连接互联网”

9、所有业务功能是否按安全

对照图纸，现场检查电力监控系统各业务功能是否按安全分区原则部泌，

分区的原则部署:

第5页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

10、远方控制功能是否在安全

对照图纸，现场检杳远方控制功能是否在安全分I区部署。

I区；

1）根据事前掌握情况，访谈并检查调度笈据网使用专用通道的情况：

a.访谈管理员并查看网络,确定是否存在PTN网络和租用VPN网络；

11、调度数据网络是否基「专

b.访谈管理员PTN是否供单个大区使用，是否存在生产控制大区与管

用通信通道（时分复用或波分

理信息大区混用的现象；

复用），是否采用非专用通道

网络专c.访谈管理协调度数据网中除调度生产业务外，是否存在其他无关业

（如PTN、ATM、VPN等）；

用务。

必要时可要求调度数据网设备相关厂家协助检查。

12、抽直调度数据网网络设

备，查看其安全配置是否符合

要求；

1）电站运营人员对照网络拓扑图，检查系统横向边界安全防护是否采用

正反向隔离装置，是否正常使用；

13、安全大区的横向边界是否

横向隔2）检查正反向隔离装置策略配置情况：

采用正反向隔离装置，并是否

离a.是否修改了默认口令：

配置正确：

b.是否限定端口，端口不能全开；

C.策略配置是否备份。

第6页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

1）对照电力监控系统的网络拓扑图结构，检查系统纵向边界安全防护是

否采用纵向加密认证网关，是否正常使用：

2）查看纵向加密网关的策略配置情况：

a.实地查看操作员卡是否止常使用，登录设备是否需要操作员卡及PIN

14.调度数据网纵向边界是否码是否为默认密码；

部署电力专用纵向加密认证b.抽查纵向加密装置，检查隧道是否处于密通；

装置或者加冷认证网关及相C.抽查纵向加密装置，查看安全策略是否按照实际业务细化到相关业务

纵向认

应设施；系统具体的】P地址（段）、业务端口号和连接方向（ICMP除外）：

证

d.登录到纵向加密装置，查看是否开启了日志记录，查看是否仅仅开放

r业务端口及1CVP,对耳他蝇口均关团：

e.策略配置是否备份。

必要时可要求调度数据网设备相关厂家协助检查.

15、安全H区是否采用纵向

加密认证装包（卡）替代防火吉看安全II区是否已采用纵向加密认证装置（卡）代替防火墙。

墙：

第7页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

1）检查访问控制策略是否使用白名单方式，是否存在源地址、目的地址

或端口为空或uny的佶况：

2）访谈安全策略开放端口和协议的目的：

3）检查访问控制策略地址、端「1配置范也是否过宽，是否对地址段、端

防火墙16,防火墙是否仅开通应用所n端进行了定义。如单条策略配置的源地址、目的地址或端口段未进行定

和入侵需的数据通道，IDS入侵监刑义且范围大于1个，应访谈并检查是否有相关的设计、说明文档明确策略

检测策略是否合理：开通的目的：

4）该查看防火增配比IDS配置，明确访问控制规则是否应用到端口或者

安全域中：

5）惊杳防火墙配艮是否具有备份，

必要时可要求调度数据网设备相关厂家协助检查.

1）检查是否已采取技术手段防止非法授权设备私自内联到内部网络（如网

17,是否采取技术和相关措施

络准入系统等）,并现场测试该技术手段是否有效；

边界完防止生产控制大区的非法外

2）检查是否已采取技术手段防止内部网络用户私自连到外部网络的行为

整性管联（并到网络接口和UBS接口

（如内网安全管理系统等），并现场枪查亥技术手段是否仃效，是否有阳

理的检查），三类工作站检查互

断记录:（ping公网IP地址,如61.135.169.121）

联网连接：

3）检查是否在运行管理上制定了禁止私自内联、外联的行为规定。

第8页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

1）查看相关安全检测证明（如厂家证书等）：

2）按照国家近期发布的工控产品漏洞清单，检查是否存在安全隐患的设

备：

3）现场记录设备型号及固件版本号，比较国家维漏信息确认是否存在安

18,计算机、存储设备、路由全隐患：

器、交换机等关键设备是否存a.按照国家披露信息确认是否存在安全隐患的设备信息及工控产品漏

在经过国家有关部门的安全洞清单，被检查单位应准备现场设备及工控产品资产信息清单（可含在设

检测，是否存在安全隐患或恶备台账中）以备随时查阅、检查，并及时进行更新：

系统意芯片：（终端电点检查，厂清单格式如下所示：

主机硬

本体站工控上机理点惊宜）序号及备类型设备名称所属业务所在区域厂家型号版小号

件

安全1工作站DF3000保护二次设备间联想3000Hv3.40

b.根据安全隐患信息库和现场设备资产信息清单进行比对，检查是否存

在安全除患的笠置：

C.保证被检查的设备资产信息清单准确。

19、服务器、交换机、路由器1）现场检查设备空闲端口是否关闭：通过向现场网络设备接入安全的终

等设备空闲网络端U是否已端设备,检查设备空闲端口己经关闭：

关闭：生产控制大区是否采取2）检查业务核心节点是否有额外的路由或默认路由设苴；

禁止USB、光第等移动介质接3）现场检查主机USB\光驱等接口封闭清况：除必须使用的鼠标键盘、USB

入措施；KEY端口外，主机USB端口均已封闭，光驱设备已经封闭。

第9页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

1）现场检杳发、配电设备监控系统主站、故障录波系统、安全自动装置、

控制保护设备等电力监控系统使用的操作系统是否为非安全操作系统：

（提供操作系统安全检测证书）

20、电站的电网调度控制系

a.被检查单位应准备现场设备（包括主站、变电站所有具有操作系统

统、实时监控系统，安全自动

的设备）操作系统信息清单（可含在设备台账中）以备随时查阅、检查，

装置.、控制保护设备等是否采

并及时进行更新：

用国家有关部门检测认证的

操作系清单格式如下表所示：

安全操作系统：（提供操作系

统、关系序号设备类型设备名称所属业务所在区域厂家操作系统版本

统安全检测证书）（施麟•、

数据库'，：

凝思、Linux、Winders）

等基础1工作站PC04保护省调自动化坟备间联系凝思V4.2

软件、系（检查操作系统基本信息的方法：终端输入uname-a,网车后可出现操作

统口令系统类型、版本号等信息）

1）现场核查非安全操作系统设备是否已采取加固：

a.关闭不需要的系统通用服务，见检杳点23：

21、核查非安全操作系统设备b.部署防止恶意代码软件功能，病毒库、木节库规则库应经过安全检测

是否已采用有效防护手段：并应热线进行更新，见检查点23：

C.检查用户及密码情况，不存在系统无关的用户名，密码满足安全要求，

见检查点26-29.

第10页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

检查操作系统是否开启了E-Mail、R'eb、FTP等不必要的通用网络服务：

（检查是否非root帐号启动）

22、生产控制大区是否按要求

查看方法：输入netstat-1（windows:netstat-a）命令查看当前主机

关闭了通用网络服务；

是否开启了必要的E-Mail（25、110）、Web（80s8080）、FTP（20、21）、

telnet（23）、rlogin（23）等服务•

1）检行主站系统操作系统是否具有防止恶意代码软件功能，病母库、木

马旅以及IDS规则即应经过安全检测并应离线进行更新：

a.中站系统操作系统且有防1卜获青代犯软件功掂：

b.病毒麻、木马库以及IDS规则库应经过安全检测并应离线进行更新，

并看看更新；

2）系统涉及的专用终端是否经过安全加固，加固内容不限于系统补丁、

23、检查操作系统是否存在恶账户与「1令、安全防护措施、日志与审H等：

意后门，是否采取防止恶意代a.安全加固检查：

码的安全措施：（例麟、凝思、凝思:在rocky4.2版本下：1.输入Ismodgreplinx命令：2.有lsm_linx

Linux、Windows）字符输出，说明已进行安全加固：

在linx6.0版本下：1.输入Isnodgreplinx命令2.有linx_sec字符

输出，说明已经进行安全加固；

"麟:在rooi用户登录后执行rbapol,如报权限不足，则表明安全已经

启用：

b.系统补丁更新情况检查：

凝思:在rocky4.2版本卜，输入pkginfo-i命令;在】inx6.0版本卜,

第“页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

输入dpkg-1命令；

一麟/红帼linux：输入rpm-qa命令：

c.基于以上操作参看高危漏洞：

OpenSSL心脏出血漏洞(CVE20140160)：直看openssl是否存在OpenSSL

ProjectOpenSSI.

1.0.2-betal/l.0.2-beta/1.0.lf/1.0.1/1.0.la/1.0.lb/1.0.lc/1.0.Id

版本而未更新：

GNURash环境变量远程命令执行漏洞(CVF-20116271):查看bush是否存

在GNUBash<=4.3成本而未更新：

d.用户与「1令检杳(,麒麟、凝思、红帽)：1.输入more/etc/passw<l

命令：2.冬君是否存在非业务需求的用户

e.审计功能检查:

凝思：1.输入psaux|grepauditd命令,如果能够找到auditd字符,说

明已经开启审计功能：2.切换到audadmin用户，读取/var/log目录下的

系统日志文件：

暇麟；1.输入psaux|grepauditd命令,如果能够找到audild字符,说

明已经开启审计功能:2.切换到audadm用户,读取/M”1阳上1151(1目

录下的系统日志文件：

windowsXP：cmd->Evenlvwr.msc查看windows日志“

第12页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

1）检查系统用户分配情况：

&掌握账户分配佶况（通常系统应只具备以下账户类型，审计员账号、

系统专责账号、业务配置员账号、普通用户账号）：

24、检查是否存在供应商缺省

b.通过控制后台，上机检查用户分配情况：

账户；

2）检查供应商缺省帐户情况：

&通过控制后台，查看配寅文件，检查是否存在供应商缺省帐号，检查

不必要的缺省帐号是否关闭，缺省账号默认口令是否更改等情况：

25、检查是否存在弱口令：（包

1）检查系统是否存在弱口令,重点检查厂站：

括服务器、计算机、防火墙、

a.检查SCADA服务器、关系数据库、值薨员工作站、调度员工作站等是

交换机、路由瑞、入侵检测系

否存在弱口令;

统等口令、各种信息系统的口

b.使用弱LI令扫描工具，检查系统是否存在封口令.

令等）：

1）检查密码管理情况.重点检查厂站：

a.身份鉴别信息应不易被日用；

b.修改默认用户和口令,不得使用缺省口令：

26、检查用户账号密码管理策C.操作系统、数据库管理B等口令是否由专人管理：

略；d.通过控制后台.上机查看配置文件，险查是否设置口令电杂度（令长

度不得小于8位，且为字母、数字或特殊字符的混合组合.用户名和口令

不得相同）、口令更换周期（三个月更换一次）、登录失败次数限制（失

败5T0次锁定帐号）、密码加密传输及加密存储等配置。

第13页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

1）检查调度工作站工作人员是否使用调度数字证书进行身份认证后，再

SCADA

进行远方操作控制：

系统、

27、控制功能是否使用调度数a.查看AG€/AVC主机home/d5000/jiangshu/dala/security/pkcsl2s

AGC/AVC

字证书认证；下是否存在AGC.pl2、AVC.pl2证书:

等应用

b.查看FES主机/home/dSOOO/jiungshu/data/securily/certs「是否

功能

存在SCADA.cer证书。

1）检查是否制定帐号权限相关管理制度及其落实情况：

a.检查是否制定账号管理相关流程、规定或制度，相关规定制度的发布

28、检查帐号权限管理制度落是否通过信息部门、业务部门等的审批：

实情况：b.访淡运推人员是否清楚制度与流程内容：

C.帐号权限的申请、变更等操作是否彳j相关纸质记录：

d.是否有外来人员的工作权限及系统帐号权限管理记录：

1）检查系统帐号权限分配及清理情况：

应用系

a.通过上机演示的方式，检查系统各类帐号权限是否符合最小化分配原

统运行29,检查系统用户帐号及其权

则：

管理限管理情况：

b.检查是否定期开展帐号权限清理，检查清理记录：

C.是否制定了防特权帐号滥用的管理要求及应急处置方案。

1）检查帐号权限管理的审计情况：

a.检查系统是否开启对帐号邪刑改、权泯调整、业务报表导出等操作的

30、检杳帐号权限的管理是否

审计日志记录；

有审计记录；

b.查看审计H志覆盖是否全面，内容是否详细，是否有第三方日志审H

系统时R志进行统一分析处理并生成第三方R志审计系统安仝测试报告

第14页共17页

单位名称：检查人:检查时间：

检查检查要检查检查存在采取

检查点检查方法

类别点对象人问题措施

等。

1）现场检查运维人员和厂家技术人垃维护活动的相关管理制度；

a.检查是否指定了专门的运维人员负