核设施网络安全实施计划（试行）.docVIP

国原发〔2020〕3号附件 核安保导则 HABD-004/01 核设施网络安全实施计划 （试行） 国家原子能机构2020年9月7日批准发布 国家原子能机构 北京 2020 核设施网络安全实施计划 （试行） 本导则由国家原子能机构负责解释 目 录 TOC \o 1-2 \h \u 1.引言 1 1.1 目的 1 1.2 依据 1 1.3 范围 1 2.核设施网络安全实施计划的要素 1 2.1 网络安全实施计划的要素 2 2.2 网络安全实施计划的主要内容 3 3. 组织机构与职责分工 4 3.1 执行网络安全实施计划的人员组成 4 3.2 组建网络安全管理机构 6 3.3 网络安全管理机构的角色和职责 7 4. 数字计算机系统及网络分析 8 4.1 网络安全评估及授权 8 4.2 组成网络安全管理机构，规定角色和职责 9 4.3 识别关键系统 9 4.4 检查和验证 12 5. 关键系统的等级划分和保护能力目标 14 5.1 关键系统的网络安全等级划分 14 5.2 关键系统的网络安全能力目标 17 6. 纵深防御策略和防御架构 18 6.1 网络安全纵深防御策略 18 6.2 网络安全防御架构 19 6.3 安全域 20 7. 网络安全控制 21 7.1 技术控制 23 7.2 运维控制 25 7.3 管理控制 30 8. 《核设施网络安全实施计划》与《核设施实物保护与保密实施计划》的协同执行 30 9. 场址网络安全方针和规程 32 10. 网络安全实施计划的维护 32 10.1 持续监控与评估 33 10.2 变更控制 36 10.3 网络安全实施计划的检查 41 11. 文档控制和记录保存与处理 42 12. 术语 43 附件1 46 PAGE 50 核设施网络安全实施计划 1.引言 1.1 目的 本导则对核设施营运单位制定、运行和维护《核设施网络安全实施计划》（下称“网络安全实施计划”）提供指导, 使得能够实现核设施网络安全的总体目标，确保关键系统免受设计基准威胁所规定的网络攻击损坏而造成下述后果: 1) 对数据和软件完整性或机密性产生不利影响； 2) 拒绝访问系统、服务或数据产生的不利影响； 3) 对系统、网络和相关设备运行的不利影响。 1.2 依据 依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》《中华人民共和国密码法》《中华人民共和国保守国家秘密法》《中华人民共和国核材料管制条例》制定本导则。 1.3 范围 本导则适用于我国核动力厂（核电厂、核热电厂、核供汽供热厂等）和研究堆、实验堆、临界装置等；核燃料生产、加工、贮存和后处理设施；放射性废物的储存、处理和处置设施营运单位的核设施网络安全管理。 2.核设施网络安全实施计划的要素 网络安全实施计划应叙述核设施营运单位如何通过实行分等级保护，制定纵深防御策略，编制、执行和维护一系列规程，采取网络安全控制措施，实现上述第1.1节所描述目的。 2.1 网络安全实施计划的要素 核设施营运单位的网络安全实施计划应描述： 1) 识别和认证关键系统的方案是什么； 2) 网络安全实施计划怎样确保关键系统免受网络攻击的不利影响； 3) 怎样制定、运行和维护网络安全实施计划； 4) 怎样使得网络安全实施计划与《核设施实物保护与保密实施计划》协同执行； 5) 采取了哪些控制措施，以及它们是怎样保护关键系统的； 6) 采用的纵深防御策略是什么，以及怎样利用这一策略防御、检测、响应网络攻击和在受到攻击后恢复系统功能的； 7) 网络安全实施计划的要素是怎样用于减轻网络攻击产生的不利影响的； 8) 网络安全的意识教育和培训计划是怎样为员工提供履行其职责所需要的技能的； 9) 怎样评估和管控网络安全风险的； 10) 怎样实现配置管理控制和设计控制过程，确保资产变更和设备添置不影响网络安全的；是怎样在关键系统的设计、建造、运行和维护的整个生命周期内确保执行网络安全措施； 11) 场址的特定条件是怎样影响执行网络安全计划的； 12) 采用了哪些网络安全事故响应和网络攻击恢复措施，包括： (1) 维持及时检测和响应的能力； (2) 减轻网络攻击后果； (3) 脆弱性整改； (4) 恢复受到网络攻击影响的系统、网络和设备。 13) 制定了哪些场址特定的网络安全方针和规程，确保实现网络安全总体目标的； 14) 怎样使得网络安全实施计划与《核设施实物保护与保密实施计划》共同进行定期评估和检查； 15) 怎样组织网络安全事故应急响应演练，包括与实物保护突发事件应急响应