《燃煤火力发电厂技术监控规程工控系统网络信息安全防护技术监督》由会员分享，可在线阅读，更多相关《燃煤火力发电厂技术监控规程工控系统网络信息安全防护技术监督（21页珍藏版）》请在金锄头文库上搜索。
1、燃煤火力发电厂技术监控规程工控系统网络信息安全防护技术监督1 范围 本规程规定了中国大唐集团有限公司（以下简称“集团公司”）燃煤火力发电厂工控系统网络信息安全防护技术监督相关的内容、技术要求、管理要求、评价与考核。 本规程适用于集团公司燃煤火力发电厂工控系统网络信息安全防护技术监督工作。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。中华人民共和国主席令2017第53号中华人民共和国网络安全法GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求G
2、B/T 22242008 信息安全技术 信息系统安全等级保护定级指南DL/T 5226-2013 发电厂电力网络计算机工控系统设计技术规程GBT 36047-2018 电力信息系统安全检查标准GB/T 33009 工业自动化和控制系统网络安全集散控制系统(DCS) 电监信息201262号 电力行业信息系统安全等级保护基本要求发改委201414号 电力工控系统安全防护规定能源局201536号 关于印发电力工控系统安全防护总体方案等安全防护 方案和评估标准的通知国能发安全201872号 关于加强电力行业网络安全工作的指导意见工信部信软2016338号 工业控制系统信息安全防护指南国网调201810
3、84号 关于加快推进电力工控系统网络安全管理平台建设的通知大唐集团生2018903号 中国大唐集团有限公司电力工控系统信息安全管理规 定3 总则3.1 基层企业应贯彻落实国家、行业和集团公司、分子公司技术标准、规章制度和有关要求，保证工控系统网络信息安全防护技术监督工作有效开展。3.2 工控系统网络信息安全防护技术监督的目的：确保发电厂工控系统安全、稳定运行；网络安全防护符合国家、行业、集团公司工控系统网络安全相关标准、规范；具有抵御黑客、病毒、恶意代码对网络与应用系统破坏和攻击的能力，在遭受攻击和破坏后能及时恢复。3.3 工控系统网络信息安全防护技术监督的工作内容： 信息系统整体安全性、网络
4、安全措施、网络安全预警、网络安全检测与防御。3.4 从事工控系统网络信息安全防护技术监督的人员，应熟悉和掌握本规程及相关标准。4 监控技术要求工控系统的网络安全防护标准遵循“安全分区、网络专用、横向隔离、纵向认证”原则，通过部署工业防火墙、隔离设备、网络审计、入侵检测、日志审计等安全防护设备，以提升工控系统网络整体防护能力。4.1 工控系统分区监督4.1.1 业务系统分置于安全区的原则根据业务系统或其功能模块的实时性、使用者、主要功能、设备使用场所、各业务系统的相互关系、广域网通信方式以及对生产的影响程度等，应按照以下规则将业务系统置于相应的安全区。4.1.1.1 对电力生产实现直接控制的系统
5、、有实时控制功能的业务模块以及未来对电力生产有直接控制功能的业务系统应置于控制区，其他工控系统置于非控制区。4.1.1.2 应尽可能将业务系统完整置于一个安全区内，当业务系统的某些功能模块与此业务系统不属于同一个安全分区内时，可以将其功能模块分置于相应的安全区中，经过安全区之间的安全隔离设施进行通信。4.1.1.3 不允许把应属于高安全等级区域的业务系统或其功能模块迁移到低安全等级区域，但允许把属于低安全等级区域的业务系统或其功能模块放置于高安全等级区域。4.1.1.4 对不存在外部网络联系的孤立业务系统，其安全分区无特殊要求，但需遵守所在安全区的防护要求。4.1.2 控制区(安全区I)4.1
6、.2.1 控制区中的业务系统或其功能模块（或子系统）的典型特征是电力生产的重要环节，直接实现对生产的实时监控，是安全防护的重点和核心。4.1.2.2 使用电力调度数据网的实时子网或专用通道进行数据传输的业务系统应划分为控制区。4.1.3 非控制区(安全区)4.1.3.1 非控制区中的业务系统或其功能模块（或子系统）的典型特征是电力生产的必要环节，在线运行但不具备控制功能，与控制区的业务系统或其功能模块联系紧密。4.1.3.2 使用电力调度数据网的非实时子网进行数据传输的业务系统应按电网要求划分为独立的非控制区。4.2 工控系统边界防护监督根据安全区划分，网络边界主要有以下几种：生产控制大区和管
7、理信息大区之间的网络边界，生产控制大区内控制区（安全区I）与非控制区（安全区II）之间的边界，生产控制大区内部不同的系统之间的边界，发电厂内生产控制大区与电力调度数据网之间的边界，发电厂内生产控制大区的业务系统与环保、安监等政府部门的第三方边界等。安全防护设备宜部署在安全级别高的一侧。4.2.1 生产控制大区与管理信息大区边界安全防护4.2.1.1 发电厂生产控制大区与管理信息大区之间的通信必须部署经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应达到或接近物理隔离。4.2.1.2 电力横向单向安全隔离装置作为生产控制大区和管理信息大区之间的必备边界防护措施，是横向防护的关键设备
8、，应满足可靠性、传输流量等方面的要求。4.2.1.3 按照数据通信方向电力专用横向单向安全隔离装置分为正向型和反向型。正向安全隔离装置用于生产控制大区到管理信息大区的非网络方式的单向数据传输。反向安全隔离装置用于从管理信息大区到生产控制大区的非网络方式的单向数据传输，是管理信息大区到生产控制大区的唯一数据传输途径。4.2.1.4 严格禁止E-mail、WEB、Telnet、Rlogin、FTP等安全风险高的网络服务和以B/S或C/S方式的数据库访问穿越专用横向单向安全隔离装置。4.2.2 安全区I与安全区边界安全防护4.2.2.1 安全区I与安全区之间宜采用具有访问控制功能的工业防火墙等硬件设
9、备，并实现逻辑隔离、报文过滤、访问控制等功能。4.2.2.2 如选用工业防火墙，其功能、性能、电磁兼容性须经过国家相关部门的认证和测试，且满足发电厂对业务数据的通信要求。4.2.2.3 对目前已在安全区I与安全区间部署的单向隔离装置或防火墙，应满足本规程要求。4.2.3 生产控制大区系统间安全防护4.2.3.1 发电厂内同属安全区I的各系统之间，以及同属安全区的各系统之间应采取一定强度的逻辑访问控制措施，如防火墙、VLAN等限制系统间的直接互通。4.2.4 纵向边界防护4.2.4.1 发电厂生产控制大区系统与调度端系统通过电力调度数据网进行远程通信时，应采用认证、加密、访问控制等技术措施实现数
10、据的远程安全传输以及纵向边界的安全防护。4.2.4.2 发电厂的纵向连接处应设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，与调度端实现双向身份认证、数据加密和访问控制。4.2.5 第三方边界安全防护4.2.5.1 生产控制大区内个别业务系统或其功能模块（或子系统）需要使用公用通信网络、无线通信网络以及处于非可控状态下的网络设备与终端等进行通信时，应设立安全接入区。 4.3 工控系统综合防护监督4.3.1 物理安全发电厂工控系统机房所在建筑应采用有效防水、防潮、防火、防静电、防雷击、防盗窃、防破坏措施，应配置电子门禁系统以加强物理访问控制，并对关键设备及磁介质
11、实施电磁屏蔽。4.3.1.1 机房应选择在具有防震、防风和防雨等能力的建筑内。4.3.1.2 机房不宜设在建筑物顶层或地下室以及用水设备的下层或隔壁。4.3.1.3 机房各出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。 4.3.1.4 进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。4.3.1.5 对核心重点生产区域，如机组主控操作台附近、电子间、网控室等场所，应配置有24小时的连续视频监控记录系统，并保存30天以上。4.3.2 网络设备安全防护发电厂应对生产控制大区的核心交换机、汇聚交换机、工业防火墙、单向隔离装置等网络设备、安全设备进行安全防护。4.3.2.1 对登
12、录网络设备、安全设备的用户进行身份鉴别及权限控制，只允许相关管理、维护人员登录设备。4.3.2.2 对登录网络设备、安全设备应采用HTTPS、SSH等加密方式进行，同时辅以安全审计等管理措施。4.3.2.3 网络设备、安全设备用户口令应该满足复杂度要求，制定更换策略，并由专人负责保管。4.3.2.4 及时清理网络设备、安全设备上临时用户、多余用户。4.3.3 主机防护4.3.3.1 主机加固4.3.3.1.1 对于发电厂DCS、NCS等关键应用系统的服务器，以及网络边界处的通信网关、Web服务器等，应制定主机加固的策略，加强策略的审核与管理。4.3.3.1.2 加固方式包括但不限于：安全配置、
13、安全补丁、采用专用软件或硬件强化操作系统访问控制能力以及配置安全的应用程序。加固措施包括：升级到当前系统版本、安装后续的补丁合集、加固系统TCP/IP 配置、关闭不必要的服务和端口、为超级用户或特权用户设定复杂的口令、修改弱口令或空口令、禁止任何应用程序以超级用户身份运行、开启系统日志、安全审计等。4.3.3.1.3 在实施加固前，应首先在指定相关检测单位测试环境中进行各项功能的测试，确保系统加固对生产业务系统功能无影响，并有完整的测试记录。4.3.3.1.4 针对生产控制大区内的服务器和操作员站等上位机操作系统，应及时升级操作系统补丁和应用软件补丁。业务系统厂商在补丁升级前，应在仿真环境下做
14、充分安全验证和评估测试，确保对业务系统无影响，并出具相关技术报告；业务系统厂商或运营者在现场做好备份后方可展开离线升级工作，同时应做好升级记录；升级后应对各业务主要功能再次进行在线测试并做好测试记录存档备查。升级完成的业务系统应满足网络安全相关技术标准。4.3.3.2 恶意代码防范在生产控制大区内主机部署恶意代码防护软件的，应保证代码库定期更新，在部署恶意代码防护或更新代码库前，应首先在相关指定检测单位测试环境中进行各项功能的测试，确保防护软件对生产业务系统功能无影响，并有完整的测试记录。4.3.3.3 外设管控4.3.3.3.1 生产控制大区的各主机应当关闭或拆除不必要的软盘驱动、光盘驱动、
15、USB接口、串行口、无线、蓝牙等，确需保留的须通过安全管理及技术措施实施严格监控。4.3.3.3.2 禁止在生产控制大区和管理信息大区之间交叉使用移动存储介质以及便携计算机。确需通过外设接入的设备，应在接入前采取病毒查杀等安全预防措施，且通过安全管理及技术措施实施严格监控，并履行发电厂安全接入审批手续。4.3.3.3.3 各专业配置专用移动存储介质、便携计算机，并安排专人进行管理，严禁厂家技术人员直接将自带移动存储介质和便携计算机接入设备进行维护工作。4.3.3.3.4 严禁现场生产运行设备开启对外通讯功能（包括远方调取动作记录和定值信息功能）。4.3.4 入侵检测在生产控制大区安全区II与管理信息大区边界处应部署一套网络入侵检测系统，并合理设置检测规则，检测发现隐藏于流经网络边界正常信息流中的入侵行为，分析潜在威胁并进行安全审计，特征
