電力監控系統網絡安全防護技術導則征求意見稿22目 次前言 3引言 4電力控統絡全護技導則 51范圍 5規性用件 5術和義 5總要求 8網安防要及護措施 9全理境 9全算境 9全域界 10全信絡 10電監系網安防護計 10全理境計 10全算境計 11全域界計 11全信絡計 11安管中設計 128附錄 1PAGEPAGE10電力監控系統網絡安全防護技術導則范圍本標準規定了電力監控系統網絡安全防護的技術要求、防護措施及設計原則。GB/T36572電力GB/T22239GB/T25070GB/T28448GB/T36958GB/T9361GB/T50174 DL/T1936DL/T1941《電力監控系統安全防護規定》（國家發改委令2014年第14號）《電力監控系統安全防護總體方案》（國能安全〔2015〕36號文）下列術語和定義適用于本文件。3.1電力監控系統CA【GB/T36572-2018，定義3.1】3.2網絡安全【GB/T22239-2019，定義3.1】3.3定級系統已確定安全保護定級的系統。定級系統分為第一級、第二級、第三級、第四級和第五級。【GB/T25070-2019，定義3.2】3.4等級測評【GB/T28448-2019，定義3.6】3.5上線安全評估電力監控系統投運前及發生重大變更時，運行單位自行組織或委托評估機構對系統進行安全評估。注：重大變更包括，但不限于：a）增加新的應用或應用發生較大變更；b）網絡結構和連接狀況發生較大變更；c）技術平臺大規模更新；系統擴容或改造；系統運行維護管理機構或人員發生較大規模調整。【GB/T38318-2019，定義3.3】3.6密碼技術密碼技術，是指能夠實現密碼算法的加密、解密和認證等功能的技術。3.7安全計算環境對定級系統的信息進行存儲、處理及實施安全策略的相關部件。【GB/T25070-2019，定義3.4】3.8安全區域邊界【GB/T25070-2019，定義3.5】3.9安全通信網絡對定級系統的安全計算環境之間進行信息傳輸及實施安全策略的相關部件。【GB/T25070-2019，定義3.6】3.10安全管理中心【GB/T25070-2019，定義3.7】3.11云計算一種通過網絡將可伸縮、彈性的共享物理和虛擬資源池以按需自服務的方式供應和管理的模式。注：資源包括服務器、操作系統、網絡、軟件、應用和存儲設備等。【GB/T32400-2015，定義3.2.5】3.12生產控制大區由具有數據采集與控制功能、縱向連接使用專用網絡或專用通道的的電力監控系統構成的安全區域。【GB/T36572-2018，定義3.3】3.13控制區【GB/T36572-2018，定義3.4】3.14非控制區【GB/T36572-2018，定義3.5】3.15管理信息大區生產控制大區之外，主要由企業管理、辦公自動化系統及信息網絡構成的安全區域。【GB/T36572-2018，定義3.6】3.16橫向隔離生產控制大區之外，在不同安全區域間禁止通用網絡通信服務，僅允許單向數據傳輸，采用訪問控制、簽名驗證、內容過濾、有效性檢查的技術，實現接近或達到物理隔離強度的安全措施。【GB/T36572-2018，定義3.7】3.17縱向認證采用認證、加密、訪問控制等技術實現數據的遠方安全傳輸以及縱向邊界的安全防護的措施。【GB/T36572-2018，定義3.8】縮略語下列縮略語適用于本文件LAN：局域網絡（LocalAreaNetwork）MPLS：多協議標簽交換（Multi-ProtocolLabelSwitching）PVC：永久虛擬電路（PermanentVirtualCircuit）SDH：同步數字傳輸體系（SynchronousDigitalHierarchy）OTN：光傳送網（OpticalTransferPlatform）VLAN：虛擬局域網（VirtualLocalAreaNetwork）VXLAN：虛擬擴展局域網（VirtualExtensibleLocalAreaNetwork）VPN：虛擬專網（VirtualPrivateNetwork）WAF：web應用防火墻（WebApplicationFirewall）“”的GB/T36572、GB/T22239-2019GB/T22239-2019GB/T25070-2019（監管機房應選擇建設在具備防風、防雨、防震能力的建筑物內，應按照GB/T22239、GB/T36572、GB/50174GB/T22239GB/T36572GB/501742GB/T22239-2019安全性和完整性不被破壞或感染。UPSGB50174-2017要求。。四級系統機房內關鍵區域及關鍵設備應采取電磁屏蔽措施，可采用電磁屏蔽機柜，具GB/T22239-2019的要求。控（VLAN等。WebWeb。135kV應基于SDH/OTNMPLS-VPNPVCMPLS/VPNVLANVLAN、VXLANSDH安全通信網絡應保證網絡設備的業務處理能力以及網絡各個部分的帶寬滿足業務高峰期需要。安全通信網絡應劃分不同的網絡區域，并按照方便管理和控制的原則為各網絡區域分配地址。35kV套配置，根據調度管轄關系，分別接入相應的接入網。220kVSDH控（（）11附錄生產控制大區生產控制大區））控制區（安全I區）非控制區（安全II區