电力二次系统安全防护建设经验分享.pdfVIP

电力二次系统安全防护建设经验分享

一、二次安防建设过程中要以风险评估为开展方法

风险评估是通过脆弱点发现、威胁分析等手段对电力二次系统的安全风险状况进行掌

握和了解的过程。风险评估的主要目的是发现系统现有的安全风险，并在对风险数据进行

合理分析和判断的基础上提出解决方法，为提高系统的安全水平提供基础数据依据和实施

指导。通过评估掌握并一定程度量化信息系统安全现状和存在的各种安全风险;在风险分析

的基础上，对改进与完善二次系统现有安全水平提供建议。

风险评估应该全程有机贯穿在二次安防建设过程中：

1.1在二次安防建设前，首先要对整个二次网络进行风险评估，评估工作主要有在现场

对电力二次系统安全设备、网络及业务系统进行数据收集，通过漏洞扫描系统、人工审计

脚本、网管工具、渗透测试对系统进行分析。对二次系统网络及设备威胁和脆弱性，策略

及管理等多方面综合分析，了解现有二次系统整体安全现状，依据安全现状，制定出二次

系统安全风险分析报告。

1.2其次是依靠安全风险分析数据和二次系统安全风险分析报告，遵循国内及行业的信

息安全标准及电力二次系统规定设计出符合电厂实际情况并且具有可操作性的二次系统安

全规划及安全体系，即电力二次系统总体规划报告。

1.3电力企业通过总体规划报告可以进行网络整改和设备选型安装调试。

1.4网络和设备改造完后，开始针对生产控制大区的服务器、数据库、关键业务系统进

行加固，针对非生产控制大区里面的所有服务器、操作系统、数据库、业务系统进行安全

加固。同时针对电力二次系统完善一些管理制度要求比如运行维护办法、应急预案、操作

审计办法等。

1.5评估与加固完成后，在整个项目验收前，再对二次系统进行第二次安全评估，确定

是否满足加固前期望要求，是否达到电力二次系统总体规划报告预期要求，是否系统的建

设符合国家电监会[2006]34号文件的技术要求。最后准备好项目验收。

二、电力二次系统安全防护一定要按照电监会文件执行

实施电力二次系统安防改造项目，一定要深入理解电监会5号令《电力二次系统安全

防护规定》里的十六字方针，即“安全分区、网络专用、横向隔离、纵向认证”，电力二

次系统安全防护工作也应当严格按照“安全分区、网络专用、横向隔离、纵向认证”的原

则进行设计工作，这样才能有效满足电力二次系统整体的安全。在实施项目过程中，对于

许多电力企业二次安防建设，我们对方针有如下体会：

对安全分区的要求

通知规定，发电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制

大区和管理信息大区，目前许多电力企业都按照控制区、非控制区和信息管理大区对资产

进行区分，也有一部企业生产控制区和管理区划分不明确。

通知规定，不同的安全等级生产设备划分在不同的区域实行不同的等级保护。虽存在

安全等级的概念，对业务服务器并没有安全等级高低设置。

通知规定，生产控制大区可以分为控制区(安全区I)和非控制区(安全区II);管理信息大

区内部在不影响生产控制大区安全的前提下，可以根据各企业不同的要求划分安全区。许

多电厂业务系统按照方案要求进行分区管理，很多未进行安全域划分。

对网络专用的要求

同时，由于电厂大部分都在郊外，生产、办公、公寓和招待所网络共用现象严重，很

多企业都未完全实现专网专用。

对横向隔离的要求

生产控制大区与信息管理大区之间;信息管理大区和互联网之间的网络节点上，部署硬

件防火墙系统，并执行严格的访问控制，并且防火墙系统采取集中管理的方式，确保访问

控制策略的有效性，杜绝非授权或非法的访问;

在生产控制大区和管理信息大区边界部署专用安全隔离装置，实现更为安全的隔离，

保障生产控制大区和管理信息大区只有数据被传递，任何直接的访问均被禁止。达到《电

力二次系统安全防护总体方案》的要求。

在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横

向单向安全隔离装置。

生产控制大区内部的安全区之间应当采用具有访问控制功能的设备、防火墙或者相当

功能的设施，实现逻辑隔离。

对纵向认证的要求

按照电监会5号令的要求，生产控制大区与广域网的纵向交接处应当设置经过国家指

定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施。此外，针对

信息管理大区，在纵向上也需要考虑采取