电力二次系统安全防护建设经验分享 .pdfVIP

电力二次系统安全防护建设经验分享

第一篇：电力二次系统安全防护建设经验分享

电力二次系统安全防护建设经验分享一、二次安防建设过程中要

以风险评估为开展方法

风险评估是通过脆弱点发现、威胁分析等手段对电力二次系统的

安全风险状况进行掌握和了解的过程。风险评估的主要目的是发现系

统现有的安全风险，并在对风险数据进行合理分析和判断的基础上提

出解决方法，为提高系统的安全水平提供基础数据依据和实施指导。

通过评估掌握并一定程度量化信息系统安全现状和存在的各种安全风

险;在风险分析的基础上，对改进与完善二次系统现有安全水平提供建

议。

风险评估应该全程有机贯穿在二次安防建设过程中：

1.1在二次安防建设前，首先要对整个二次网络进行风险评估，评

估工作主要有在现场对电力二次系统安全设备、网络及业务系统进行

数据收集，通过漏洞扫描系统、人工审计脚本、网管工具、渗透测试

对系统进行分析。对二次系统网络及设备威胁和脆弱性，策略及管理

等多方面综合分析，了解现有二次系统整体安全现状，依据安全现状，

制定出二次系统安全风险分析报告。

1.2其次是依靠安全风险分析数据和二次系统安全风险分析报告，

遵循国内及行业的信息安全标准及电力二次系统规定设计出符合电厂

实际情况并且具有可操作性的二次系统安全规划及安全体系，即电力

二次系统总体规划报告。

1.3电力企业通过总体规划报告可以进行网络整改和设备选型安装

调试。

1.4网络和设备改造完后，开始针对生产控制大区的服务器、数据

库、关键业务系统进

行加固，针对非生产控制大区里面的所有服务器、操作系统、数

据库、业务系统进行安全加固。同时针对电力二次系统完善一些管理

制度要求比如运行维护办法、应急预案、操作审计办法等。

1.5评估与加固完成后，在整个项目验收前，再对二次系统进行第

二次安全评估，确定是否满足加固前期望要求，是否达到电力二次系

统总体规划报告预期要求，是否系统的建设符合国家电监会[2006]34

号文件的技术要求。最后准备好项目验收。

二、电力二次系统安全防护一定要按照电监会文件执行

实施电力二次系统安防改造项目，一定要深入理解电监会5号令

《电力二次系统安全防护规定》里的十六字方针，即“安全分区、网

络专用、横向隔离、纵向认证”，电力二次系统安全防护工作也应当

严格按照“安全分区、网络专用、横向隔离、纵向认证”的原则进行

设计工作，这样才能有效满足电力二次系统整体的安全。在实施项目

过程中，对于许多电力企业二次安防建设，我们对方针有如下体会：

对安全分区的要求

通知规定，发电企业内部基于计算机和网络技术的业务系统，原

则上划分为生产控制大区和管理信息大区，目前许多电力企业都按照

控制区、非控制区和信息管理大区对资产进行区分，但也有一部企业

生产控制区和管理区划分不明确。

通知规定，不同的安全等级生产设备划分在不同的区域实行不同

的等级保护。虽存在安全等级的概念，但对业务服务器并没有安全等

级高低设置。

通知规定，生产控制大区可以分为控制区(安全区I)和非控制区(安

全区II);管理信息大区内部在不影响生产控制大区安全的前提下，可以

根据各企业不同的要求划分安全区。许多电厂业务系统按照方案要求

进行分区管理，但很多未进行安全域划分。

对网络专用的要求

同时，由于电厂大部分都在郊外，生产、办公、公寓和招待所网

络共用现象严重，很多企业都未完全实现专网专用。

对横向隔离的要求

生产控制大区与信息管理大区之间;信息管理大区和互联网之间的

网络节点上，部署硬件防火墙系统，并执行严格的访问控制，并且防

火墙系统采取集中管理的方式，确保访问控制策略的有效性，杜绝非

授权或非法的访问;

在生产控制大区和管理信息大区边界部署专用安全隔离装置，实

现更为安全的隔离，保障生产控制大区和管理信息大区只有数据被传

递，任何直接的访问均被禁止。达到《电力二次系统安全防护总体方

案》的要求。

在生产控制大区与管理信息大区之间必须设置经国家指定部门检

测认证的电力专用横向单向安全隔离装置。

生产控制大区内部的安全区之间应当采用具有访问控制功能的设

备、防火墙或者相当功能的设施，实现逻辑隔离。

对纵向认证的要求

按照电监会5号令的要求，生产控制大区与广域网的纵向交接处

应当设置经过国家指定