2022發(fā)電廠監(jiān)控系統(tǒng)信息安全評(píng)估導(dǎo)則培訓(xùn)

《發(fā)電廠監(jiān)控系統(tǒng)信息安全評(píng)估導(dǎo)則》技術(shù)培訓(xùn)主要內(nèi)容立項(xiàng)背景與基本情況1立項(xiàng)背景與基本情況編制依據(jù)與總體結(jié)構(gòu)2編制依據(jù)與總體結(jié)構(gòu)基本思路與工作安排3基本思路與工作安排1立項(xiàng)背景與基本情況1立項(xiàng)背景與基本情況網(wǎng)絡(luò)事件頻繁發(fā)生，攻擊性增強(qiáng)2016年10月，美國(guó)主要域名服務(wù)器DNS供應(yīng)商Dyn遭遇DDoS攻擊，互聯(lián)網(wǎng)服務(wù)幾乎全面宕機(jī)。舊金山市政運(yùn)輸部門售票系統(tǒng)被入侵勒索7萬美金。網(wǎng)絡(luò)事件頻繁發(fā)生，攻擊性增強(qiáng)2017年5月，勒索病毒W(wǎng)annaCry爆發(fā)，席卷全球，電腦文件被加密鎖定，勒索贖金2017年6月，新一輪Petya病毒蔓延歐洲多國(guó)，多個(gè)組織、多家企業(yè)的系統(tǒng)出現(xiàn)癱瘓國(guó)內(nèi)網(wǎng)絡(luò)安全重視度持續(xù)提升面對(duì)復(fù)雜的網(wǎng)絡(luò)和信息安全態(tài)勢(shì)，網(wǎng)絡(luò)安全已上升到國(guó)家戰(zhàn)略高度。國(guó)內(nèi)網(wǎng)絡(luò)安全重視度持續(xù)提升隨著各類針對(duì)公共設(shè)施的網(wǎng)絡(luò)攻擊事件不斷出現(xiàn)，關(guān)系國(guó)計(jì)民生的關(guān)鍵信息基礎(chǔ)設(shè)施與工業(yè)生產(chǎn)系統(tǒng)的網(wǎng)絡(luò)安全已迅速引起重視?！吨腥A人民共和國(guó)網(wǎng)絡(luò)安全法》已于2016年11月7日通過，規(guī)定對(duì)能源、交通、水利、金融、公共服務(wù)等重要行業(yè)和領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施，以及其他一旦遭到破壞可能嚴(yán)重危害國(guó)計(jì)民生的關(guān)鍵設(shè)施，實(shí)行重點(diǎn)保護(hù)。發(fā)電系統(tǒng)是工業(yè)領(lǐng)域關(guān)鍵基礎(chǔ)設(shè)施作為國(guó)民經(jīng)濟(jì)最重要的基礎(chǔ)性支撐，全國(guó)投產(chǎn)單機(jī)1000MW超超臨界發(fā)電機(jī)組已近70臺(tái)，運(yùn)行參數(shù)最高已達(dá)623℃/33.5MPa，全網(wǎng)電氣設(shè)備互聯(lián)，控制信息互聯(lián)，非法入侵造成的安全風(fēng)險(xiǎn)極大。發(fā)電系統(tǒng)是工業(yè)領(lǐng)域關(guān)鍵基礎(chǔ)設(shè)施發(fā)電廠監(jiān)控信息系統(tǒng)脆弱性增加隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，以及兩化深度融合與智能電廠系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件絡(luò)互連互通。發(fā)電廠監(jiān)控信息系統(tǒng)脆弱性增加信息化需求增加了控制系統(tǒng)與外界隔離的難度，各類擺渡攻擊考驗(yàn)監(jiān)控系統(tǒng)內(nèi)部防線，國(guó)內(nèi)發(fā)電機(jī)組已有發(fā)生因病毒原因?qū)е略O(shè)備異常事件。還缺少針對(duì)性的信息安全相關(guān)標(biāo)準(zhǔn)，需要邊積累經(jīng)驗(yàn)邊健全體系。電力行業(yè)信息安全指導(dǎo)性文件2014年，國(guó)家發(fā)改委第14號(hào)令：《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》電力行業(yè)信息安全指導(dǎo)性文件2014年，國(guó)家能源局317號(hào)文：《電力行業(yè)網(wǎng)絡(luò)與信息安全管理辦法》國(guó)能安全【2014】317號(hào)2015年，國(guó)家能源局36號(hào)文：《關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評(píng)估規(guī)范的通知》國(guó)能安全【2015】36號(hào)電力行業(yè)信息安全工作開展情況2015年6月，國(guó)家能源局啟動(dòng)《電力工控系統(tǒng)安全防護(hù)專項(xiàng)監(jiān)管》，提出六項(xiàng)應(yīng)急管理、加強(qiáng)教育培訓(xùn)、規(guī)范產(chǎn)品選型。電力行業(yè)信息安全工作開展情況2016年，國(guó)家能源局印發(fā)了《關(guān)于開展電力監(jiān)控系統(tǒng)安全防護(hù)專項(xiàng)檢查工作的通知》國(guó)能綜安全【2016】92號(hào)，組織開展電力監(jiān)控系統(tǒng)安全防護(hù)專項(xiàng)檢查。2017年，發(fā)布了《電力監(jiān)控系統(tǒng)安全防護(hù)專項(xiàng)監(jiān)管報(bào)告（2016）》，并組織開展電力監(jiān)控系統(tǒng)安全防護(hù)專項(xiàng)檢查工作的“回頭看”督查。工控信息安全相關(guān)體系標(biāo)準(zhǔn)GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范工控信息安全相關(guān)體系標(biāo)準(zhǔn)GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求GB/T30976.1-2014工業(yè)控制系統(tǒng)信息安全第1部分：評(píng)估規(guī)范GB/T32919-2016信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南GA/T1390.5-2017信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第5部分：工業(yè)控制系統(tǒng)安全擴(kuò)展要求信息安全技術(shù)工業(yè)控制系統(tǒng)安全管理基本要求（國(guó)標(biāo)報(bào)批）信息安全技術(shù)工業(yè)控制系統(tǒng)安全防護(hù)技術(shù)要求和測(cè)試評(píng)價(jià)方法（國(guó)標(biāo)報(bào)批）發(fā)電廠監(jiān)控系統(tǒng)信息安全標(biāo)準(zhǔn)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)導(dǎo)則（國(guó)標(biāo)報(bào)批）發(fā)電廠監(jiān)控系統(tǒng)信息安全標(biāo)準(zhǔn)發(fā)電控制與信息系統(tǒng)網(wǎng)絡(luò)安全防護(hù)技術(shù)要求（國(guó)標(biāo)申報(bào)）發(fā)電廠監(jiān)控系統(tǒng)信息安全評(píng)估導(dǎo)則（團(tuán)標(biāo)編制）主要內(nèi)容立項(xiàng)背景與基本情況1立項(xiàng)背景與基本情況編制依據(jù)與總體結(jié)構(gòu)2編制依據(jù)與總體結(jié)構(gòu)基本思路與工作安排3基本思路與工作安排2編制依據(jù)與總體結(jié)構(gòu)2編制依據(jù)與總體結(jié)構(gòu)本標(biāo)準(zhǔn)編制計(jì)劃中國(guó)電力企業(yè)聯(lián)合會(huì)團(tuán)體標(biāo)準(zhǔn)T/CEC201701731范圍

本標(biāo)準(zhǔn)描述了發(fā)電廠監(jiān)控系統(tǒng)信息安全基本要求，提出了發(fā)電廠監(jiān)控系統(tǒng)信息安全評(píng)估的方法、內(nèi)容和要求。本標(biāo)準(zhǔn)適用于燃煤、燃?xì)?、水力、風(fēng)力、光伏發(fā)電廠生產(chǎn)控制大區(qū)的監(jiān)控系統(tǒng)信息安全評(píng)估工作指導(dǎo)，核能發(fā)電廠可參照實(shí)施。2規(guī)范性引用文件GB/T22239-200822240-200820984-200725069-2010信息安全技術(shù)_術(shù)語(yǔ)2規(guī)范性引用文件GB/T26863-2011火電站監(jiān)控系統(tǒng)術(shù)語(yǔ)GB/T30976.1-20141部分:評(píng)估規(guī)范GB/T30976.2-20142部分:驗(yàn)收規(guī)范GB/T32919-2016XXXXX-XXXXGB/TXXXXX-XXXX評(píng)價(jià)方法2規(guī)范性引用文件GB/TXXXXX-XXXX電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)導(dǎo)則2規(guī)范性引用文件GB/T33008.1-2016(PLC)第1部分:系統(tǒng)要求GB/T33009.1-2016(DCS)第1部分:防護(hù)要求GB/T33009.2-2016(DCS)第2部分:管理要求GB/T33009.3-2016(DCS)第3部分:評(píng)估指南第4部分:第4部分:風(fēng)險(xiǎn)與脆弱性檢測(cè)要求3術(shù)語(yǔ)和定義4縮略語(yǔ)5發(fā)電廠監(jiān)控系統(tǒng)信息安全總體要求5.1發(fā)電廠監(jiān)控系統(tǒng)概述發(fā)電廠監(jiān)控系統(tǒng)包括：分散控制系統(tǒng)（DCS、DEH、TCS）、繼保與自動(dòng)化系統(tǒng)（NCS、PMU、保護(hù)裝置）、獨(dú)立配置控制系統(tǒng)（PLC、OCS）監(jiān)控信息系統(tǒng)（SIS3術(shù)語(yǔ)和定義4縮略語(yǔ)5發(fā)電廠監(jiān)控系統(tǒng)信息安全總體要求5.1發(fā)電廠監(jiān)控系統(tǒng)概述5.2發(fā)電廠信息安全防護(hù)基本原則信息安全基本技術(shù)要求和管理要求發(fā)電廠監(jiān)控系統(tǒng)全生命周期安全評(píng)估要求信息安全基本技術(shù)要求和管理要求發(fā)電廠監(jiān)控系統(tǒng)全生命周期安全評(píng)估要求6監(jiān)控系統(tǒng)信息安全防護(hù)技術(shù)評(píng)估要求物理安全評(píng)估護(hù)、物理訪問、防盜竊破壞控制網(wǎng)網(wǎng)絡(luò)安全評(píng)估入、遠(yuǎn)程訪問網(wǎng)絡(luò)設(shè)備安全評(píng)估要求置管理、協(xié)議安全、端口安全、日志管理主機(jī)安全評(píng)估身份標(biāo)識(shí)、訪問、口令、審計(jì)、惡意代碼防護(hù)、入侵防范應(yīng)用軟件安全評(píng)估版本更新、身份標(biāo)識(shí)、訪問控制、口令管理、安全審計(jì)數(shù)據(jù)與通信安全評(píng)估完整性、保密性、資源控制、備份恢復(fù)控制設(shè)備安全評(píng)估固件版本更新、設(shè)備標(biāo)識(shí)、訪問與特權(quán)、遠(yuǎn)程訪問7監(jiān)控系統(tǒng)信息安全管理評(píng)估要求信息安全規(guī)劃管理評(píng)估信息安全規(guī)劃、信息安全方案設(shè)計(jì)7監(jiān)控系統(tǒng)信息安全管理評(píng)估要求信息安全制度管理評(píng)估管理制度范圍、制定發(fā)布信息、評(píng)審修訂記錄信息安全組織建設(shè)評(píng)估檢查人員安全管理評(píng)估處罰信息安全開發(fā)運(yùn)維管理評(píng)估丁、采購(gòu)、第三方評(píng)估、離線測(cè)試、驗(yàn)收交付信息安全應(yīng)急管理評(píng)估應(yīng)急預(yù)案、應(yīng)急演練、應(yīng)急保障、業(yè)務(wù)連續(xù)性規(guī)劃88.1安全評(píng)估評(píng)分要素資產(chǎn)分類、資產(chǎn)賦值主控系統(tǒng)安全評(píng)估系統(tǒng)類型、系統(tǒng)設(shè)備識(shí)別與賦值88.1安全評(píng)估評(píng)分要素資產(chǎn)分類、資產(chǎn)賦值分類信息資產(chǎn)資產(chǎn)等級(jí)威脅頻率安全價(jià)值輔控系統(tǒng)安全評(píng)估系統(tǒng)類型、系統(tǒng)設(shè)備識(shí)別與賦值電氣二次系統(tǒng)安全評(píng)估系統(tǒng)類型、系統(tǒng)設(shè)備識(shí)別與賦值非控制實(shí)時(shí)系統(tǒng)安全評(píng)估系統(tǒng)類型、系統(tǒng)設(shè)備識(shí)別與賦值安全評(píng)估評(píng)分算法設(shè)備系統(tǒng)分值分配、定量計(jì)算公式信息設(shè)備安全配置要求安全價(jià)值符合性得分9監(jiān)控系統(tǒng)信息安全評(píng)估流程及實(shí)施方法安全評(píng)估準(zhǔn)備組建團(tuán)隊(duì)、系統(tǒng)調(diào)研、制定方案9監(jiān)控系統(tǒng)信息安全評(píng)估流程及實(shí)施方法安全評(píng)估啟動(dòng)啟動(dòng)會(huì)議現(xiàn)場(chǎng)評(píng)估技術(shù)評(píng)估、管理評(píng)估、已有安全措施評(píng)估報(bào)告編制數(shù)據(jù)匯總、風(fēng)險(xiǎn)分析、整改建議安全評(píng)估收尾企業(yè)整改、復(fù)評(píng)估、會(huì)議反饋監(jiān)控系統(tǒng)信息安全評(píng)估實(shí)施方法檢測(cè)附錄B監(jiān)控系統(tǒng)信息安全評(píng)估工具要求附錄A信息安全評(píng)估評(píng)估表附錄A.1燃煤發(fā)電廠信息安全評(píng)估表附錄A.2燃?xì)獍l(fā)電廠信息安全評(píng)估表附錄A.3水力發(fā)電廠信息安全評(píng)估表附錄A.4風(fēng)力發(fā)電廠信息安全評(píng)估表附錄A.5光伏發(fā)電廠信息安全評(píng)估表附錄B監(jiān)控系統(tǒng)信息安全評(píng)估工具要求附錄A信息安全評(píng)估評(píng)估表主要內(nèi)容立項(xiàng)背景與基本情況1立項(xiàng)背景與基本情況編制依據(jù)與總體結(jié)構(gòu)2編制依據(jù)與總體結(jié)構(gòu)基本思路與工作安排3基本思路與工作安排3基本思路與工作安排3基本思路與工作安排基本編制思路融合兼顧信息安全等級(jí)保護(hù)、電力監(jiān)控信息安全防護(hù)、信息安全風(fēng)險(xiǎn)評(píng)估操作程序，避免重復(fù)工作。使國(guó)家、部委、行業(yè)與專業(yè)各管理與技術(shù)要求具體化電廠實(shí)際細(xì)化落地，直接指導(dǎo)操作，具備較強(qiáng)的針對(duì)性。對(duì)過于復(fù)雜的理論做適當(dāng)簡(jiǎn)化變形，降低維度，提高實(shí)際可操作性：借鑒發(fā)電機(jī)組安全性評(píng)價(jià)的做法，將風(fēng)評(píng)中的脆弱性指標(biāo)簡(jiǎn)化為斷，資產(chǎn)等級(jí)與威脅性指標(biāo)變形為安全價(jià)值權(quán)重，最后得出安全性分值結(jié)果。工作開展情況2017年4月20日，標(biāo)準(zhǔn)計(jì)劃下達(dá)。2017年5月至8月，中電聯(lián)及中國(guó)自動(dòng)化學(xué)會(huì)發(fā)電專委會(huì)組織浙江電科院、杭州安恒公司、浙江能源集團(tuán)、華能國(guó)際公司等單位收資、調(diào)研、討論并完成大綱起草工作。2017年8月30日，中電聯(lián)標(biāo)準(zhǔn)化中心在浙江杭州召開了大綱審查會(huì)，組織專家對(duì)所完成的編寫大綱進(jìn)行審查。根據(jù)審查會(huì)意見進(jìn)行修改后，于2017年9月7日在浙