调网安〔2018〕10号《并网新能源场站电力监控系统涉网安全防护补充方案.pdfVIP

并网新能源场站电力监控系统涉网安全防 护补充方案 1．总则 1.1为满足风电、光伏快速发展和大规模并网需要，有效治 理并网新能源场站电力监控系统涉网安全防护问题，指导公 司调控机构做好涉网安全防护技术监督，制定本方案。 1.2本方案是在《电力监控系统安全防护总体方案》、《发电 厂监控系统安全防护方案》（国能安全〔2015〕36号）等行 业文件的基础上，补充完善了新能源场站第三方边界、终端 通信安全、安全接入区、监测应急等方面的要求，适用于并 网风电场、光伏电站，以及通过数据网络与其生产控制大区 相连接的汇集站及集控中心。 1.3方案未及内容，应遵照《中华人民共和国网络安全法》、 《电力监控系统安全防护规定》、《信息安全等级保护管理办 法》、《电力监控系统安全防护总体方案》等国家法律法规和 行业规范执行。 2．安全分区及边界防护 2.1安全分区 2.1.1新能源场站电力监控系统原则上划分为生产控制大区 和管理信息大区。根据业务功能可能对一次设备造成的影 响，生产控制大区可进一步划分为控制区（安全Ⅰ区）和非 1 控制区（安全Ⅱ区），管理信息大区可进一步划分为安全Ⅲ 区和安全Ⅳ区。生产控制大区内业务系统使用公用通信网 络、无线通信网络以及其它安全不可控网络与终端进行通信 的，应设立安全接入区。 2.1.2新能源场站电力监控系统原则上应严格遵循安全分区 的部署要求。对于装机规模较小的场站，可在保持生产控制 大区与管理信息大区之间物理隔离的前提下，简化两个大区 内部的分区，但低安全区的系统和功能应按照高安全等级分 区的要求进行管理。 2.13不同安全分区的交换机或相当功能的网络设备，必须单 独使用，严禁通过划分VLAN的方式将不同安全分区的设备 接入同一交换机。 2.14不同分区的设备必须连接到不同的网段，严禁主机设备 通过双网卡等手段实现跨区联接。同一安全区内部不同业务 系统进行数据交互时，应采取VLAN划分、访问控制等安全 措施，控制交互的规模和频度，禁用E-Mail、RLOGIN、FTP 等公共服务，控制区内禁止通用的WEB服务。 2.15不同分区的设备不宜安装在同一屏柜内，确需组装在同 一屏柜的，设备及网线必须要有明显规范的分区标识。 2.2横向边界防护 2.2.1生产控制大区与管理信息大区的边界防护 生产控制大区与管理信息大区之间必须采取物理隔离 2 措施，部署经国家指定部门检测认证的电力专用横向单向隔 离装置。信息由生产控制大区传输到管理信息大区必须经过 正向型隔离装置，信息由管理信息大区传输到生产控制大区 必须经过反向型隔离装置。 2.2.2安全Ⅰ区与安全Ⅱ区之间的边界防护 生产控制大区分设安全Ⅰ区与Ⅱ区的，Ⅰ区与Ⅱ区之间 的数据通信应采取逻辑隔离措施，边界上应部署硬件防火墙 或功能相当的设备。防火墙相关功能、性能必须经过国家指 定机构的认证和检测。 2.2.3安全Ⅲ区与安全Ⅳ区之间的边界防护 安全Ⅲ区与安全Ⅳ区之间的边界处必须部署硬件防火 墙或功能相当的设备，防火墙的安全策略应采用白名单方 式，禁止开启与业务无关的地址和服务端口。与生产管理无 关的办公业务或生活网络应划分到安全Ⅳ区。 2.3纵向边界防护 2.3.1新能源场站生产控制大区在调度数据网入口的纵向边 界，必须配备电力专用纵向加密认证装置，实现双向身份认 证、访问控制和数据加密。纵向加密认证装置的隧道配置策 略应细化至IP地址和服务端口，保证与主站的数据通信均 为密通状态，并全面关闭不必要的服务和端口。场站侧纵向 加密认证装置必须使用调控机构签发的调度数字证书，并接 入调控机构网络安全管理平台。 3 2.3.2新能源发电企业若采用汇聚站对区域内多个场站进行 集中监视时，应通过专用网络组网并在场站纵向连接处部署 电力专用纵向加密认证装置或加密认证网关。 2.3.3新能源场站要制定运行管理制度，加强纵向加密认证 装置的操作员卡（包括主卡及备卡）、Ukey等身份认证工具 的使用与管理，保证调试工作结束后及时收回并妥善保管相 关卡证。 2.3.4接入调度数据网的路由器、交换机必须采取有效的安 全加固措施，关闭通用网络服务和网络边界的OSPF路由功 能，避免使用默认路由，采用安全增强的SNMPV2及以上版 本的网管协议