关于电力行业安全通用要求、安全扩展要求和专用要求的选择和使用、等级保护对象整体安全保护能力的要求.docxVIP

（资料性附录）关于电力行业安全通用要求、安全扩展要求和专用要求的选择和使用 由于等级保护对象承载的业务不同，对其的安全关注点会有所不同，有的更关注信息的安全性，即更关注对搭线窃听、假冒用户等可能导致信息泄密、非法篡改等；有的更关注业务的连续性，即更关注保证系统连续正常的运行，免受对系统未授权的修改、破坏而导致系统不可用引起业务中断。 不同级别的等级保护对象，其对业务信息的安全性要求和系统服务的连续性要求是有差异的，即使相同级别的等级保护对象，其对业务信息的安全性要求和系统服务的连续性要求也有差异。 等级保护对象定级后，可能形成的定级结果组合见表A.1。 等级保护对象定级结果组合 安全保护等级 定级结果的组合 第一级 S1A1 第二级 S1A2，S2A2，S2A1 第三级 S1A3，S2A3，S3A3，S3A2，S3A1 第四级 S1A4，S2A4，S3A4，S4A4，S4A3，S4A2，S4A1 安全保护措施的选择应依据上述定级结果，本文件中的技术安全要求进一步细分为：保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求（简记为S）；保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求（简记为A）；其他安全保护类要求（简记为G）。本文件中所有安全管理要求、安全扩展要求和电力专用要求（总体要求）均标注为G。电力行业安全要求及属性标识见表A.2。 表A.2 电力行业安全要求及属性标识 安全要求 分类 安全控制点 属性标识 总体要求 总体技术要求 G 总体管理要求 G 安全技术要求 安全物理环境 物理位置的选择 G 物理访问控制 G 防盗窃和防破坏 G 防雷击 G 防火 G 防水与防潮 G 防静电 G 温湿度控制 G 电力供应 A 电磁防护 S 室外控制设备物理防护 G 安全通信网络 网络结构 G 通信传输 G 可信验证 S 安全区域边界 边界防护 G 访问控制 G 入侵防范 G 恶意代码防范 G 安全审计 G 可信验证 S 安全计算环境 身份鉴别 S 访问控制 S 安全审计 G 入侵防范 G 恶意代码防范 G 可信验证 S 数据完整性 S 数据必威体育官网网址性 S 数据备份恢复 A 剩余信息保护 S 个人信息保护 S 控制设备安全 G 安全管理中心 系统管理 G 审计管理 G 安全管理 G 集中管控 G 安全管理要求 安全管理制度 安全策略 G 管理制度 G 制定和发布 G 评审和修订 G 安全管理机构 岗位设置 G 人员配备 G 授权和审批 G 沟通和合作 G 审核和检查 G 安全人员管理 人员录用 G 人员离岗 G 安全意识教育和培训 G 外部人员访问管理 G 安全建设管理 定级和备案 G 安全方案设计 G 产品采购和使用 G 自行软件开发 G 外包软件开发 G 工程实施 G 测试验收 G 系统交付 G 等级测评 G 服务供应商管理 G 安全运维管理 环境管理 G 资产管理 G 介质管理 G 设备维护管理 G 漏洞和风险管理 G 网络和系统安全管理 G 恶意代码防范管理 G 配置管理 G 密码管理 G 变更管理 G 备份与恢复管理 G 安全事件处置 G 应急预案管理 G 外包运维管理 G 应按照以下过程进行安全要求的选择： 根据等级保护对象的级别选择安全要求。方法是根据本文件，第一级选择第一级安全要求，第二级选择第二级安全要求，第三级选择第三级安全要求，第四级选择第四级安全要求，以此作为出发点。 根据定级结果，基于表A.1和表A.2对安全要求进行调整。根据系统服务保证性等级选择相应级别的系统服务保证类（A类）安全要求；根据业务信息安全性等级选择相应级别的业务信息安全类（S类）安全要求；根据系统安全等级选择相应级别的安全通用要求（G类）和安全扩展要求（G类）。 根据等级保护对象采用新技术和新应用的情况，选用相应级别的安全扩展要求作为补充。电力信息系统选用电力行业安全要求、涉及云计算技术的选用云计算安全扩展要求，涉及移动互联技术的选用移动互联安全扩展要求，涉及物联网技术的选用物联网安全扩展要求，涉及大数据的选用大数据安全要求。 针对电力行业不同等级保护定级对象，分析可能在某些方面的特殊安全保护能力要求，选择较高级别的安全要求或其他标准的补充安全要求。对于本文件中提出的安全要求无法实现或有更加有效的安全措施可以替代的，可以对安全要求进行调整，调整的原则是保证不降低整体安全保护能力。 总之，保证电力信息系统不同安全保护等级的对象具有相应级别的安全保护能力，是电力行业安全等级保护的核心。正确选用本文件中提供的电力行业专用要求、安全通用要求和云计算、移动互联、物联网、大数据等安全扩展要求是提升电力行业等级保护对象安全保护能力的根基。 （规范性附录）关于等级保护对象整体安全保护能力