标准规范下载简介

GB∕T 36572-2018 电力监控系统网络安全防护导则.pdf简介：

GB/T 36572-2018《电力监控系统网络安全防护导则》是由中国国家标准化管理委员会和中国国家电力监管委员会联合制定的一项国家标准。该标准的全称为《电力监控系统安全防护技术导则》，主要针对电力监控系统的网络安全提出了详细的防护要求和建议。

该导则主要目的是为了规范电力监控系统的网络安全管理，包括对系统的设计、开发、实施、运行和维护等各个环节的网络安全防护措施。它涵盖了电力监控系统的基本安全防护要求，如身份认证、访问控制、数据加密、安全审计、应急响应等方面，以确保电力系统的正常运行和数据安全。

具体内容包括了电力监控系统的安全防护框架、安全策略、安全防护技术、安全管理、安全审计和应急响应等，为电力监控系统的网络安全提供了全面的指导和规范。通过实施这个标准，可以有效提升电力监控系统的网络安全防护能力，降低网络安全风险。

GB∕T 36572-2018 电力监控系统网络安全防护导则.pdf部分内容预览：

电力监控系统网络安全防护导则

本标准规定了电力监控系统网络安全防护的基本原则、体系架构、防护技术、应急备用措施和安全 管理要求。 本标准适用于发电、输配电、用电、电网调度等电力生产各环节的电力监控系统安全防护，覆盖其规 划设计、研究开发、施工建设、安装调试、 退役报废等各阶段

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件 GB/T9361计算机场地安全要求 GB17859一1999计算机信息系统安全保护等级划分准则 GB/T18336.2一2015信息技术安全技术信息技术安全性评估准则 第2部分：安全功能 组件 GB/T20272—2006 信息安全技术 操作系统安全技术要求 GB/T20984—2007 信息安全技术 信息安全风险评估规范 GB/T21028—2007 信息安全技术 服务器安全技术要求 GB/T21050—2007 信息安全技术 网络交换机安全技术要求（评估保证级3） GB/T22186—2016 信息安全技术 具有中央处理器的IC卡芯片安全技术要求 GB/T22239—2008 信息安全技术 信息系统安全等级保护基本要求 GB/T222402008 信息安全技术 信息系统安全等级保护定级指南 GB/T25058—2010 信息安全技术 信息系统安全等级保护实施指南 GB/T25068.32010 信息技术安全技术IT网络安全第3部分：使用安全网关的网间通信 安全保护 GB/Z25320（所有部分） 电力系统管理及其信息交换数据和通信安全 GB/T30976.1一2014工业控制系统信息安全第1部分：评估规范 IEC62443（所有部分） 工业自动化和控制系统安全（SecurityforIndustrialAutomationandCon trol Systems)

用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备， 基础支撑的通信及数据网络等，包括电力数据采集与监控系统（SCADA）、能量管理系统、变电 系统、换流站计算机监控系统、发电厂计算机监控系统、配电自动化系统、微机继电保护和安

监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及作为 的通信及数据网络等《天然花岗石建筑板材 GB/T 18601-2009》，包括电力数据采集与监控系统（SCADA）、能量管理系统、变电站自动化 站计算机监控系统、发电厂计算机监控系统、配电自动化系统、微机继电保护和安全自动装

GB/T 365722018

可信安全免疫trustsecurityimmunology

基于可信计算技术实现电力监控系统的安全免疫，保障操作系统和电力监控软件安全可信，防范 和未知的病毒、木马及恶意代码的侵害

你密码asymmetricciph

基于非对称密码技术的体制，公开变换用于加密，私有变换用于解密，反之亦然。

GB/T 365722018

身份认证authentication 专用于确定传输、消息或发信方的有效性的安全措施，或者对接受特定的信息类别的个人 验证的手段。

5电力监控系统特性及安全防护原则

5.1电力监控系统特性

电力监控系统具有如下特性： a 可靠性。电力监控系统的可靠稳定运行是确保电力生产安全的基础，安全防护措施应融入生 产控制业务中，减少中间环节，提高电力监控系统的可靠性。 b 实时性。电力监控系统从过程数据的实时采集、传输到控制指令的下达执行，周期短，安全措 施应适应电力监控系统的实时性，保证系统正常运行， C 安全性。电力监控系统大量采用计算机及通信技术，应在保障电力生产过程安全的同时，确保 系统及网络安全，能够抵御网络安全威胁。 d 分布性。电力监控系统具有实时闭环控制的特性，采集、传输、控制等业务模块采用地理或空 间位置上的分散布置方式，生产过程的实时性越高分布性越强，网络安全防护应适应其分 布性。 e） 系统性。电力监控系统在时间上具有时变性和连续性，在空间上具有分布参数和分布处理的 特性，在技术上涉及技术领域和设备系统较多，在管理上涉及业务部门和层级较多，对系统性 要求很高，网络安全防护具有很强的系统性

GB/T 365722018

5.2电力监控系统面临的网络安全威助

方监控系统面临的主要网络安全威胁如表1所示

表1电力监控系统面临的主要网络安全威胁

5.3电力监控系统网络安全防护原则

结合电力监控系统特性和面临网络安全威胁，网络安全防护应遵循以下基本原则： a 建立体系不断发展。逐步建立电力监控系统网络安全防护体系，主要包括基础设施安全、体系 结构安全、系统本体安全、可信安全免疫、安全应急措施、全面安全管理等，形成多维栅格状架 构，并随着技术进步而不断动态发展完善。 b 分区分级保护重点。根据电力监控系统的业务特性和业务模块的重要程度，遵循国家信息安 全等级保护的要求，准确划分安全等级，合理划分安全区域，重点保护生产控制系统核心业务 的安全。 C 网络专用多道防线。电力监控系统应采用专用的局域网络（LAN)和广域网络（WAN），与外 部因特网和企业管理信息网络之间进行物理层面的安全隔离；在与本级其他业务系统相连的 横向边界，以及上下级电力监控系统相连的纵向边界，应部署高强度的网络安全防护设施，并 对数据通信的七层协议采用相应安全措施，形成立体多道安全防线 d） 全面融入安全生产。应将安全防护技术融入电力监控系统的采集、传输、控制等各个环节各 业务模块，融入电力监控系统的设计研发和运行维护；应将网络安全管理融人电力安全生产管 理体系，对全体人员、全部设备、全生命周期进行全方位的安全管理

GB/T 365722018

管控风险保障安全。电力监控系统安全直接影响电网安全，关乎国家安全和社会稳定，应全面 加强网络安全风险管控，保障电力监控系统安全，确保电力系统安全稳定经济运行

尔准从安全防护技不、应急备用循施、全值 安全管理的三维描述安全防护体系的立体结构，三个维度相互支撑、相互融合、动态关联，并不断发展进 化，形成动态的三维立体结构，如图1所示，

其中，安全防护技术维度主要包括基础设施安全、体系结构安全、系统本体安全、可信安全免疫等； 应急备用措施维度主要包括元余备用、应急响应、多道防线等；全面安全管理维度主要包括全体人员安 全管理、全部设备安全管理、全生命周期安全管理、融人安全生产管理体系。如图2所示

图2电力监控系统网络安全防护体系示意图

网络安全防护体系应融入电力监控系统的规划设计、研究开发、施工建设、安装调试、系统改造、运 行管理、退役报废等各个阶段，且应随着计算机技术、网络通信技术、安全防护技术、电力控制技术的发 展面不断发展完善

GB/T 365722018

电力监控系统机房和生产场地应选择在具有防震、防风和防雨等能力的建筑内，应采取有效防水、 方潮、防火、防静电、防雷击、防盗窃、防破环措施；机房场地应避免设在建筑物的高层或地下室，以及用 水设备的下层或隔壁（见GB/T9361）。 应在机房供电线路上配置稳压器和过电压防护设备，设置穴余或并行的电力电缆线路为计算机系 充供电，应建立备用供电系统，提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求； 主产控制大区机房与管理信息大区机房应独立设置，应安排专人值守并配置电子门禁系统及具备存储 力能的视频、环境监控系统以加强物理访问控制；应对生产控制大区关键区域或关键设备实施电磁屏 鼓。（见GB/T22239一2008中的四级系统物理安全和三级系统物理安全等部分。） 生产控制大区所有的密码基础设施，包括对称密码、非对称密码、摘要算法、调度数字证书和安全标 签等，应符合国家有关规定，并通过国家有关机构的检测认证

结构安全是电力监控系统网络安全防护体系的基础框架，也是所有其他安全防护措施的重要基础。电 空系统结构安全应采用"安全分区、网络专用、横向隔离、纵向认证”的基本防护策略，如图3所示。

监控系统结构安全总体

GB/T 365722018

电力监控系统应划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区（安全区I） 和非控制区（安全区Ⅱ）；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同 安全要求划分安全区；生产控制大区的纵向互联应与相同安全区互联，避免跨安全区纵向交叉联接。对 于小型变电站和发电厂可根据具体情况简化安全区的设置，应按就高不就低的原则对简化后的安全区 进行防护，同时避免形成不同安全区的纵向交叉联接。 生产控制天区的业务系统在与其终端的纵向联接中使用无线通信网、电力企业其他数据网（非电力 调度数据网）或者外部公用数据网的虚拟专用网络方式（VPN）等进行通信的，应设立安全接入区，如 图4所示。

GB 26469-2011 架桥机安全规程图4安全接入区防护结构示意图

各区域安全边界应采取必要的安全防护措施.禁止任何穿越生产控制大区和管理信息大区之间达 界的通用网络服务（如FTP、HTTP、TELNET、ML、RLOGIN、SNMP等）。 应遵循国家信息安全等级保护要求，准确划分电力监控系统安全等级（见GB17859一1999的第 章、GB/T22240一2008中的5.5、GB/T25058一2010中的5.3），生产控制大区的控制区（安全区I）的 安全等级最高，非控制区（安全区I）次之，管理信息大区再次之

全隔离装置，隔离强度应接近或达到物理隔离，只允许单向数据传输，禁止HTTP、TELNET等双 通用网络安全服务通信生产控制大区内部的安全区之间应采用具有访问控制功能的设备、防火墙

者相当功能的设施，实现逻辑隔离， 生产控制大区到管理信息大区的数据传输采用正向安全隔离设施，仅允许单向数据传输；管理信息 大区到生产控制大区的数据传输采用反向安全隔离设施，仅允许单向数据传输，并采取基于非对称密钥 技术的签名验证、内容过滤、有效性检查等安全措施。 安全接入区与生产控制大区中其他部分的联接处应设置通过国家有关机构安全检测认证的电力专 用横向单向安全隔离装置

GB 50244-1995 建筑防腐蚀工程质量 检验评定标准在生产控制大区与广域网的纵向联接处应设置通过国家有关机构安全检测认证的电力专用纵向加 密认证装置或者加密认证网关及相应设施

6.2.6数字证书和安全标签