基于5G網絡的電力業務系統安全防護評估規范I Ⅱ 1 13術語和定義 14縮略語 2 3 35.2評估內容 35.3評估要求 4 55.5評估方法 5 6 6 6 66.3數據安全 76.4業務系統安全 7 8 87.1終端安全 87.2網絡安全 87.3數據安全 97.4業務系統安全 97.5管理安全 9附錄A(資料性)典型安全防護評估業務系統 附錄C(資料性)評估結果分析方法 22Ⅱ本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文好南路179號)、國網新疆電力有限公司電力科學研究院(烏魯木齊市高新技術產業開發區(新市區)恒達街200號)、新疆維吾爾自治區市場監督管理局(烏魯木齊市天山區新華南路167號)。新疆維吾爾自治區工業和信息化廳聯系電話傳真：0991-453615國網新疆電力有限公司電力科學研究院聯系電話傳真郵編：新疆維吾爾自治區市場監督管理局聯系電話傳真范性引用文件僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本GB/T20272—2019信息安全技術操作系統安全技術要求YD/T3628—20195G移動通信網安全技術要求2終端terminal4縮略語5G:第五代移動通信技術(5thGeneration5QI:5GQoS標識符(5GQoSIdentifier)3HTTP2.0:超文本傳輸協議2.0(HyperNAS:非接入層(NonAccessStratum)SIM:用戶身份識別卡(SubscriberIdentityModule)vCPU:虛擬處理器(VirtualCentralProcessingUnVLAN:虛擬局域網(VirtualLocalAreaN4運行單位估。5評估結果分析是總結被評估系統整體安全防護能力的綜合評價活動，根據評估結果，定位整個系統的安全防護現狀與安全要求之間的差距，并分析這些差距導致被評估系統存在的安全問題，從而給出評估結論和安全建議，形成評估報告，按照附錄C的定量或定性分析方法，給出分析結果。5.4評估流程基于5G網絡的電力業務系統安全防護評估流程分為啟動準備、現場實施、安全分析三個階段。基于5G網絡的電力業務系統安全防護評估流程見圖1。基本安全防護評估基本安全防護評估增強安全防護評估評估方案保密措施評估工具應急方案評估結果記錄評估結果記錄評估結果記錄評估結果記錄評估結果記錄安全問題清單評估結論安全建議評估報告成立工作組確定評估等級確定評估內容制定評估方案準備評估工具制定應急方案終端安全防護評估網絡安全防護評估數據安全防護評估業務系統安全防護評估管理安全防護評估安全問題整理評估結果分析編制評估報告系統描述文件安全防護方案評估表評估結果記錄已有安全防護措施啟動準備圖1基于5G網絡的電力業務系統安全防護評估流程5.5評估方法5.5.1文檔檢查檢查被評估單位提交的有關文檔(如系統配置文檔、安全防護方案、自評估報告等)是否符合相關5.5.2人工核查根據評估方案和評估指導書，核查各項安全功能和防護能力是否與提交文檔一致，是否符合相關標5.5.3工具檢查65.6評估注意事項c)通信模塊是否能夠根據簽約的5G網絡切片信息在網絡注冊時進行切d)通信模塊是否支持YD/T3628—2019、3GPPe)退役時是否刪除配置參數及證書，解護算法優先級配置，且完整性保護算法配置不能為NIA0;78b)是否通過具備國家檢測資質的第三方權威機構的安全檢測c)操作系統、數據庫、中間件等基礎軟件，是否滿足GB/T20272—2019中6.3和6.4的要求，d)操作系統及數據庫是否遵循最小安裝的原則，僅安裝必要的組件和應用程序，并及時更新系f)操作系統是否定期更新防病毒軟件和惡g)數據庫是否按照最小權限原則，僅授予管理用戶所需的最小權限；a)運行單位是否對業務系統制定日常運維和安全防護的相關管理制度、操作規程等管理措施，b)運行單位是否對業務系統制定安全防護方案，并指定相關系統、設備接入技術方案，安全防c)運行單位是否定期開展業務系統安全防護自評估工作，實現隱患排查整改閉環；d)運行單位是否對業務系統配備安全管理員、系統管理員和安全審計員，是否明確崗位職責、g)運行單位是否對業務系統制定廠家維護、評估檢測等第三方人員訪問管理制度或相關規范。7增強安全防護評估內容a)是否部署支持國密通用算法或電力專用算法的安全模塊，實現身份認證和數據加解密；c)涉控終端是否部署可信驗證模塊，在系統引導、操作系統加載、應用程序加載等階段進行靜d)是否禁止同時連接5G電力虛擬專網和其他7.2.1接入網安全a)空口是否選擇和業務系統安全等級相適應的RB資源預留方式；b)基站是否通過5QI保障切片內不同業務承載的優先級。9b)是否支持SR和L3VPN,實現硬切片內不同電力業務的軟切片隔離。a)基站與核心網間的用戶面接口(N3口)是否采用加密認證、訪問控制等技術措施，保障通信b)UPF與核心網間的信令接口(N4口)是否采用加密認證、訪問控制等技術措施，保障通信控c)是否能夠配合業務系統進行終端二次認證。c)MEC平臺是否支持動態身份標識、匿名化等技術削弱MEC平臺計算節點標識和地理位置的映射f)對于重點防護的調度中心、發電廠、變電站，是否設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置或加密認證網關及相關設施；發電廠、變電站關鍵設備是否定期對數據g)針對數據泄露、勒索攻擊等數據安全威脅h)存儲過企業重要數據的各類存儲介質在報廢、返廠維修、內部再利用等轉作他用之前，是否7.4業務系統安全b)終端和安全接入區之間是否建立通信隧道，支持終端安全接入認證及通信加密；d)系統服務器、匯聚服務器以及安全接入區中的服務器是否部e)下發控制指令的系統服務器、匯聚服務器和安全接入區中的服務器是否部署可信驗證模塊，加密機或加密卡等硬件加密設施進行加解密和簽名驗簽運算，是否使用簽名驗簽技術實現控1電力市場交易2車聯網3電子商務41234電能質量監測系統56精準負荷控制789配網差動保護評估類別問題描述12端SIM卡間是否禁止相互訪問是口否口3通信模塊是否能夠根據簽約的5G網絡切片信息4通信模塊是否支持YD/T3628—2019、3法，如：128-NEA1、128-NEA2、128-NEA3、128-NIA1、128-NIA2和128-NIA35回收是口否口6網絡安全網安全是口否口7是口否口8N1、N2、Uu接口是否具備機密性保護、保護和抗重放保護機制是口否口9空口AS信令是否支持對RRC信令進行機密能為NIA0空口NAS信令是否支持對NAS信令進行機密性和能為NIA0網安全是否支持VLAN方式實現軟隔離，VLAN標簽是否能夠與網絡切片標識進行映射是口力業務與非電力業務的隔離核心網安全是否建立切片隔離管理機制，是否支持多種隔評估類別問題描述網絡安全核心網安全是口否口份認證和訪問控制機制是否具備過載保護功能，是否設置最大連接限制MEC平臺是否部署抗DDos攻擊、入侵檢施是口否口在安全漏洞全隔離措施，包括物理隔離、虛擬機隔離、網是口否口加密機制施其存儲數據的有效銷毀，確保數據不可恢復和防止濫用誤用，是否對數據銷毀操作過程進行日志記錄以支持安全審計在MANO各實體間、以及SDN控制器南向和北向接口等進行數據傳輸時，是否采用傳輸通道或數據加密模式，如采用TLS/SSL協議進行數據評估類別問題描述否依據數據最小化原則，采用訪問控制、匿名敏感信息的請求、存儲、傳輸、使用等操作進行隱私保護小化原則，是否加密是口否口全與終端間是否部署安全接入網關，實現加密傳是口否口是否通過具備國家檢測資質的第三方權威機構的安全檢測，是否具備檢測報告操作系統、數據庫、中間件等基礎軟件，是否滿足GB/T20272—2019中6.3和6身份鑒別、訪問控制、安全審計等安全功能和統補丁和加固庫數據庫是否按照最小權限原則，僅授予管理用是否部署網絡安全監視措施，實現主機設備、實時監視告警等功能管理安全并依照執行，定期修訂評估類別問題描述指定相關系統、設備接入技術方案，安全防護措審計員等關鍵崗位人員簽署保密協議回收軟硬件設備是口否口評估類別問題描述12端SIM卡間是否禁止相互訪問34法，如：128-NEA1、128-NEA2、128-NEA3、128-NIA1、128-NIA2和128-NIA35回收6安全模塊，實現身份認證和數據加解密是口否口78量和校驗9網絡評估類別問題描述網安全是口否口是口否口NI、N2、Uu接口是否具備機密性保護、保護和抗重放保護機制是口否口是口否口空口AS信令是否支持對RRC信令進行機密空口NAS信令是否支持對NAS信令進行機密性和資源預留方式網安全是否支持VLAN方式實現軟隔離，VLAN標簽是否能夠與網絡切片標識進行映射力業務與非電力業務的隔離是口否口綁定功能，實現硬切片隔離是口否口是否支持SR和L3VPN,實現硬切片內不同電力是口否口核心網安全是口否口認證和訪問控制機制是口否口MEC平臺是否部署抗DDos攻擊、入侵檢施是口否口在安全漏洞評估類別問題描述網絡安全核心網安全隔離、網絡隔離、數據隔離、流量隔離等加密機制在MAN0各實體間、以及SDN控制器南向和保護評估類別問題描述小化原則，是否加密據等數據時是否進行加密保護是口否口改、防惡意刪除等數據安全保護措施削弱MEC平臺計算節點標識和地理位置的映射關系時，防止第三方根據MEC平臺節點位置推斷用戶的地理位置NFV/SDN是否對數據傳輸安全策略變更進是口否口全評估類別問題描述全是否通過具備國家檢測資質的第三方權威機構的安全檢測，是否具備檢測報告策略是否已啟用并配置合理統補丁和加固是口否口庫數據庫是否按照最小權限原則，僅授予管理用實時監視告警等功能與終端間是否設置安全接入區終端和安全接入區之間是否建立通信隧道，支持終端安全接入認證及通信加密安全接入區內是否部署隔離裝置，實現安全隔離系統服務器、匯聚服務器以及安全接入區中的塊，對系統引導程序、系統程序、應用程序和采用具備安全認證機制的通信規約，是否使用制指令的完整性保護管理安全并依照執行，定期修訂評估類別問題描述管理安全限、回收軟硬件設備定義高中低b)判斷安全問題被利用后，對基于5G網絡的電力業務系統安全造成的影響程度，等級定義