《sg186工程安全防护总体方案-电力交易平台》由会员分享，可在线阅读，更多相关《sg186工程安全防护总体方案-电力交易平台（14页珍藏版）》请在金锄头文库上搜索。
1、附件：附件：国家电网公司信息化国家电网公司信息化“SG186”“SG186”工程工程安全防护总体方案（试行）安全防护总体方案（试行）目目 录录第一章总则第一章总则4 41.1.目标4 1.2.范围4 1.3.防护对象.4 1.4.方案结构.5 1.5.参考资料.6第二章信息安全防护方案第二章信息安全防护方案7 72.1.管理信息系统安全防护策略7 2.2.分级分域安全防护设计8 2.2.1安全域的定义8 2.2.2安全域的划分方案.8 2.3.信息安全防护设计.10 2.3.1边界安全防护11 2.3.2网络环境安全防护.18 2.3.3主机系统安全防护.21 2.3.4应用安全防护28 2.
2、4.各域安全防护措施对应表.34第三章安全控制措施及防护要点第三章安全控制措施及防护要点41413.1.网络访问控制41 3.2.系统安全加固42 3.3.系统弱点扫描43 3.4.入侵检测措施44 3.5.无线安全措施45 3.6.远程接入控制46 3.7.内容安全措施47 3.8.病毒检测措施48 3.9.日志审计措施48 3.10.备份恢复措施49 3.11.身份认证和访问管理相关控制措施.50 3.12.物理安全措施51附表一：词汇表附表一：词汇表5757附表二：国家电网公司信息系统安全等级保护定级表附表二：国家电网公司信息系统安全等级保护定级表6060附附 1 1：安全方案实施指引：
3、安全方案实施指引6 61 1附附 2 2：安全产品功能与技术要求：安全产品功能与技术要求8 83 3附附 3 3：ERPERP 系统域安全防护方案系统域安全防护方案10109 9附附 4 4：营销管理系统域安全防护方案：营销管理系统域安全防护方案135135附附 5 5：电力市场交易系统域安全防护方案：电力市场交易系统域安全防护方案16161 1第 3 页 附附 6 6：财务（资金）管理系统域安全防护方案：财务（资金）管理系统域安全防护方案187187附附 7 7：总部办公自动化系统域安全防护方案：总部办公自动化系统域安全防护方案211211附附 8 8：二级系统域安全防护方案：二级系统域安全
4、防护方案233233附附 9 9：桌面终端域安全防护方案：桌面终端域安全防护方案253253第 4 页 第一章第一章总总则则1.1.1.1.目标目标国家电网公司信息化“SG186”工程安全防护体系建设的总体目 标是防止信息网络瘫痪、防止应用系统破坏、防止业务数据丢失、 防止企业信息泄密、防止终端病毒感染、防止有害信息传播、防止 恶意渗透攻击，以确保信息系统安全稳定运行，确保业务数据安全。1.2.1.2.范围范围安全防护总体方案是面向国家电网公司信息化“SG186”工程一 体化平台及业务应用的安全技术防护方案，是落实国家等级保护工 作的典型设计；本方案不对公司的信息安全管理、业务连续性/灾难 恢
5、复、信任体系建设、数据分级分类等内容进行深入设计。安全防护总体方案适用于公司各单位，包括总部、网省公司及 其直属单位，作为信息系统规划、设计、审查、实施、监理、改造 及运行管理中关于信息安全方面的技术参照。1.3.1.3.防护对象防护对象国家电网公司信息系统部署于管理信息大区和生产控制大区， 管理信息大区用以支撑国家电网公司不涉及国家秘密的企业管理信 息业务应用，包括国家电网公司一体化平台、八大业务应用及支持 系统正常运营的基础设施及桌面终端。管理信息大区划分为用于承 载“SG186”工程业务应用和内部办公的信息内网信息内网（可涉及企业商业 秘密）以及用于支撑对外业务和互联网用户终端的信息外网
6、信息外网（不涉 及企业商业秘密），信息系统基本部署结构如下图所示：第 5 页 图 1 国家电网公司网络分区示意图本方案的防护对象为国家电网公司总部、网省及其直属单位的 管理信息系统，主要包括一体化企业信息集成平台和八大业务应用 相关系统。涉及国家秘密的信息系统（涉密信息系统）按照国家计算机 信息系统保密管理暂行规定（国保发19981 号）、涉及国家 秘密的信息系统审批管理规定（国保办发200718 号）、信息 安全等级保护管理办法（公通字200743 号）等文件对于涉密信 息系统的要求进行管理，本方案不涉及。生产控制大区的相关信息系统依据电力二次系统安全防护总 体方案进行安全体系建设，本方案不
7、涉及。1.4.1.4.方案结构方案结构国家电网公司信息化“SG186”工程安全防护总体方案附件 包含有各域安全防护方案、安全产品功能技术要求及安全方 案实施指引，结构如下图所示：第 6 页 图 2 国家电网公司信息化“SG186”工程安全防护总体方案结构示意图1.5.1.5.参考资料参考资料在总体方案的编制过程中，参考了如下资料：文件名称文件名称发布时间发布时间电力二次系统安全防护总体方案二 OO 六年十一月信息安全等级保护管理办法（公通字200743 号）二 OO 七年六月信息安全技术信息系统安全等级保护基本要求二 OO 七年六月网络与信息系统安全隔离实施指导意见二 OO 七年十一月国家电网
8、公司信息机房设计及建设规范二 OO 六年九月国家电网公司信息机房管理规范二 OO 六年九月第 7 页 第二章第二章信息安全防护方案信息安全防护方案安全防护总体方案将依据“分区、分级、分域”防护方针，将 各系统划分至相应安全域进行防护，并且将各安全域划分为网络边 界、网络环境、主机系统及应用环境四个层次实施安全防护措施。图 3 国家电网公司安全防护架构示意图2.1.2.1.管理信息系统安全防护策略管理信息系统安全防护策略国家电网公司管理信息系统安全防护体系将遵循以下策略进行 建设：双网双机：双网双机：管理信息大区划分为信息内网和信息外网，管理信 息内外网间采用逻辑强隔离设备进行隔离，信息内外网分
9、别采用独 立的服务器及桌面主机；分区分域：分区分域：在国家电网公司信息系统划分为管理信息大区与生 产控制大区的基础上，将管理信息大区的系统，依据定级情况及业 务系统类型，进行安全域划分，以实现不同安全域的独立化、差异 化防护；第 8 页 等级防护：等级防护：管理信息系统将以实现等级保护为基本出发点进行 安全防护体系建设，并参照国家等级保护基本要求进行安全防护措 施设计；多层防御：多层防御：在分域防护的基础上，将各安全域的信息系统划分 为边界、网络、主机、应用四个层次进行安全防护设计，以实现层 层递进，纵深防御。2.2.2.2.分级分域安全防护设计分级分域安全防护设计安全防护总体方案将结合国家电
10、网公司等级保护定级结果以及 各应用系统的管理相似性、业务相近性对管理信息内外网中的系统 进行安全域划分，以更有针对性地进行各系统的安全防护措施设计。 信息系统进行安全域划分可将复杂安全防护问题进行分解，有助于 实现信息系统分等级保护，有针对性地实施应用边界防护，防止安 全问题扩散。2.2.12.2.1 安全域的定义安全域的定义安全域是由一组具有相同安全保障需求、并相互信任的系统组 成的逻辑区域，同一安全域的系统共享相同的安全保障策略。2.2.22.2.2 安全域的划分方案安全域的划分方案国家电网公司应用系统主要部署于信息内网，与互联网有交互 的子系统或功能单元部署于信息外网，信息内网与信息外网
11、以逻辑 强隔离设备进行安全隔离，对于信息内外网分别进行安全域划分。信息安全等级保护管理办法中对于三级系统安全保障要求 及国家信息安全监管部门的监管执行要求强度高于二级系统，因此 安全域划分采取将等级保护要求较高的各三级系统划分独立的安全 域进行安全防护，以实现三级系统间及与其他系统之间的独立安全 防护，也便于国家电网公司及外部监管机构对于三级系统的安全监 管，对于信息内网信息内网的应用系统安全域划分依据以下方法：二级系统统一成域，三级系统独立分域；依据以上分域方法进行安全域划分后信息内网将有以下安全域：第 9 页 电力市场交易系统域；电力市场交易系统域；财务（资金）管理系统域财务（资金）管理系
12、统域（将逐步被 ERP 系统财务模块 替代）；办公自动化系统域办公自动化系统域（仅国家电网公司总部划分为三级系统 域）；营销管理系统域营销管理系统域（基于营销管理系统的重要性及目前各单 位的安全建设现状，按等级保护三级要求进行安全防护建 设)；ERPERP 系统域系统域（由于“SG186”规划中财务（资金）管理系 统将最终以模块的形式整合于 ERP 系统中，因此 ERP 系 统按财务（资金）管理系统所属的等级保护三级进行安全 建设）；二级系统域：二级系统域：所有二级系统统一部署于二级系统域中进行 安全防护建设。内网桌面终端域：内网桌面终端域：由于桌面终端的安全防护与应用系统不 同，将其划分为独
13、立区域进行安全防护，信息内网桌面终 端用于内网业务操作及内网业务办公处理，建议各单位根 据各自具体情况对桌面办公终端按业务部门或访问类型进 一步进行区域细分，以便于针对不同的业务访问需求制定 访问控制及制定其他防护措施。以上分域方法应当在国家电网公司总部、网省、地市等各级单 位独立应用以进行安全域划分。此外考虑到总部、网省及地市公司 层面系统安全防护体系建设的一致性，营销管理及 ERP 系统在各单 位均按等级保护三级要求进行建设；财务（资金）管理系统在总部、 网省按三级防护，地市按二级防护。由于国家电网公司主要应用系统部署于信息内网，信息外网信息外网主 要包括需要与互联网交互的子系统或应用模块
14、，且系统数量较少， 因此将信息外网的应用系统统一部署于同一安全域内进行安全防护， 该安全域中的应用系统在主机及应用层面按各系统所属的安全级别 进行防护，网络及与信息外网边界防护按满足域中各系统所属最高 等级就高进行安全建设。信息外网系统划分为以下安全域：第 10 页 外网应用系统域：外网应用系统域：需与互联网进行数据交换的系统部署于外 网应用系统域进行安全防护；外网桌面终端域：外网桌面终端域：外网桌面终端用于外网业务办公及互联网 访问，建议各单位跟据各自具体情况对外网桌面办公终端按 业务部门或访问类型进行区域细分，以便于针对不同的业务 访问需求进行访问控制及实施其他安全防护措施。按以上方案进行
15、安全域划分后，国家电网公司各单位安全域分 布结构如下：图 4 国家电网公司各级单位安全域分布示意图2.3.2.3.信息安全防护设计信息安全防护设计信息安全防护设计将在国家电网公司分区、分级、分域防护原 则的基础上，将公司各业务单位的信息系统安全防护划分为边界安 全防护、网络环境安全防护、主机系统安全防护及应用安全防护四 个层次进行安全防护措施设计。对于物理层面安全防护，由于其相对固定，可参照“3.12 物理 安全防护措施”结合国家电网公司信息机房设计及建设规范及 国家电网公司信息机房管理规范实施。第 11 页 2.3.12.3.1 边界安全防护边界安全防护边界安全防护关注如何对进出该边界的数据
16、流进行有效的检测 和控制，有效的检测机制包括基于网络的入侵检测（IDS）、对流经 边界的信息进行内容过滤，有效的控制措施包括网络访问控制、入 侵防护、虚拟专用网（VPN）以及对于远程用户的标识与认证访 问权限控制。上述边界安全防护机制与其它层面安全措施可协同使 用以提供对系统的防护。进行边界安全防护目标是使边界的内部不受来自外部的攻击， 同时也用于防止恶意的内部人员跨越边界对外实施攻击，或外部人 员通过开放接口、隐通道进入内部网络；在发生安全事件前期能够 通过对安全日志及入侵检测事件的分析发现攻击企图，安全事件发 生后可以提供入侵事件记录以进行审计追踪。进行边界安全防护的首要任务是明确安全边界，国家电网公司 网络边界归为信息外网第三方边界、信息内网第三方边界、信息内 外网边界、信息内网纵向上下级单位边界及横向域间边界五类，国 家电网公司网络边界类型如下图所示：第 12 页 图 4 边界分类示意图信息内网与生产控制大区的边界安全防护请参考电力二次系 统安全防护总体方案，本方
