工控系統(tǒng)網(wǎng)絡信息安全技術監(jiān)督檢查表

工控系統(tǒng)網(wǎng)絡信息安全技術監(jiān)督檢查表（總體檢查）項目檢查項目項目分值子項分值評分標準評分值評分原因說明編號1等級保護工作1001.1等保測評和整改工作1000-50開展過本年度的等保測評，取得相關報告。0-50根據(jù)年度等保測評結果制定整改計劃，形成相關工作記錄，并完成整改。2安全防護技術要求檢查6502.1安全分區(qū)502.1.1業(yè)務系統(tǒng)安全分區(qū)500-30有完整電廠生產(chǎn)監(jiān)控系統(tǒng)安全防護網(wǎng)絡拓撲圖、安全網(wǎng)絡設備部署列表與描述文檔。0-20有完整的電廠生產(chǎn)監(jiān)控系統(tǒng)安全分區(qū)表。與規(guī)范要求相符合。2.2網(wǎng)絡專用302.2.1網(wǎng)絡專用300-20電力調度數(shù)據(jù)網(wǎng)在物理層面上實現(xiàn)與本單位其它數(shù)據(jù)網(wǎng)及外部公用數(shù)據(jù)網(wǎng)的安全隔離。0-10電力調度數(shù)據(jù)網(wǎng)劃分為邏輯隔離的實時子網(wǎng)和非實時子網(wǎng)，分別連接控制區(qū)和非控制區(qū)。2.3邊界安全防護1502.3.1生產(chǎn)控制大區(qū)與管理信息大區(qū)邊界安全防護400-20生產(chǎn)控制大區(qū)和管理信息大區(qū)之間部署經(jīng)國家指定部門檢測認證的正向安全隔離裝置；單向安全隔離裝置滿足可靠性、傳輸流量等方面的要求。0-10禁止E-mail、WEB、Telnet、Rlogin、FTP等網(wǎng)絡服務；禁止以B/S或C/S方式的數(shù)據(jù)庫訪問穿越專用橫向單向安全隔離裝置等。0-10生產(chǎn)控制大區(qū)和管理信息大區(qū)之間業(yè)務系統(tǒng)未出現(xiàn)反向部署情況。2.3.2安全區(qū)I與安全區(qū)Ⅱ邊界安全防護300-10安全區(qū)I與安全區(qū)Ⅱ間部署工業(yè)防火墻等硬件設備并實現(xiàn)邏輯隔離、報文過濾、訪問控制等功能；工業(yè)防火墻的功能、性能、電磁兼容性經(jīng)過國家相關部門的認證和測試。0-10所選工業(yè)防火墻具備對流經(jīng)安全區(qū)I與安全區(qū)II工控通信協(xié)議進行解析的功能、參數(shù)設置合理并滿足電廠對業(yè)務數(shù)據(jù)的通信要求。0-10安全區(qū)I與安全區(qū)Ⅱ間業(yè)務系統(tǒng)未出現(xiàn)反向部署情況。2.3.3生產(chǎn)控制大區(qū)系統(tǒng)間安全防護300-30同屬安全區(qū)I內(nèi)或安全區(qū)II內(nèi)的各系統(tǒng)之間有防火墻、VLAN等邏輯訪問控制。2.3.4縱向邊界防護300-30部署經(jīng)國家指定部門檢測認證的電力專用縱向加密認證裝置或加密認證網(wǎng)關及相應設施。2.3.5第三方邊界安全防護200-20生產(chǎn)控制大區(qū)內(nèi)個別業(yè)務(子)系統(tǒng)、功能模塊使用公用通信網(wǎng)絡、無線通信網(wǎng)絡以及處于非可控狀態(tài)下的網(wǎng)絡設備與終端等進行通信時，設立安全接入?yún)^(qū)；生產(chǎn)控制大區(qū)內(nèi)業(yè)務系統(tǒng)與環(huán)保、安全等政府部門進行數(shù)據(jù)傳輸時采用經(jīng)過國家指定部門檢測認證的單向安全隔離裝置。2.4綜合防護4202.4.1物理安全600-20機房、集控室、工程師間等核心重點生產(chǎn)防護區(qū)域和場所具備防風、防雨、防震、防潮、防火、防靜電、防雷擊、防盜竊、防破壞等能力。0-20各出入口配置電子門禁系統(tǒng)或配置有24小時的連續(xù)視頻監(jiān)控記錄系統(tǒng)并保存至少30天以上。0-20進入機房的來訪人員有申請和審批流程記錄單，并對其活動范圍具有限制和監(jiān)控能力。2.4.2網(wǎng)絡設備安全防護400-10對登錄網(wǎng)絡設備、安全設備采用了HTTPS、SSH等加密方式或配置堡壘機。0-20對登錄用戶進行身份鑒別及權限控制，登錄用戶口令滿足復雜度要求，且制定有更換策略并由專人負責保管。0-10是否及時清理網(wǎng)絡及安全設備上的臨時用戶、多余用戶。2.4.3主機防護1主機加固400-20對DCS、NCS等人機交互站，廠級監(jiān)控信息系統(tǒng)等關鍵應用系統(tǒng)的主服務器，以及網(wǎng)絡邊界處的通信網(wǎng)關機、Web服務器、數(shù)據(jù)庫服務器等，采取了安全加固措施。0-10實施加固前，在測試環(huán)境中進行了操作系統(tǒng)及各項生產(chǎn)業(yè)務功能方面的測試并有完整測試記錄或原廠家的安全承諾。0-10制訂主機安全加固的審核流程與管理制度以及主機加固技術標準和加固管理的策略。惡意代碼防范200-20生產(chǎn)控制大區(qū)內(nèi)主機采取免受惡意代碼攻擊的技術措施或部署惡意代碼防護軟件或主機白名單軟件等；具有惡意代碼庫定期更新的工作記錄。補丁升級200-20對生產(chǎn)控制大區(qū)內(nèi)的服務器和操作員站等上位機操作系統(tǒng)，嚴格按廠家要求和操作說明，及時升級系統(tǒng)補丁和應用軟件補丁；在離線環(huán)境下經(jīng)過完整測試并提供記錄的。外設管控300-10生產(chǎn)控制大區(qū)內(nèi)各主機上不必要的軟盤、光盤驅動、USB接口、無線、藍牙等外設采取關閉、拆除、訪問控制等嚴格管控措施。0-10禁止在生產(chǎn)控制大區(qū)和管理信息大區(qū)之間交叉使用USB以及便攜計算機，確需外設接入的，在接入前進行了病毒查殺等安全預防措施，是否通過安全管理與技術措施實施嚴格監(jiān)控，并履行了電廠安全接入審批手續(xù)。0-10對電廠必要的USB外設采取了主機白名單等技術措施，對移動介質的插入、拷貝、寫入等操作具有安全審計功能。2.4.4入侵檢測300-30在生產(chǎn)控制大區(qū)和管理信息大區(qū)間部署網(wǎng)絡入侵檢測系統(tǒng)的；設置了包含有工控系統(tǒng)專有攻擊特征庫的檢測規(guī)則的。2.4.5遠程訪問300-20禁止其他設備生產(chǎn)廠商或其它外部企業(yè)(單位)遠程連接電廠生產(chǎn)控制大區(qū)中的業(yè)務系統(tǒng)及設備。0-10對于電廠內(nèi)部遠程訪問業(yè)務系統(tǒng)的情況，進行身份認證及權限控制，并采用會話認證、加密與抗抵賴、日志審計等安全機制。2.4.6安全審計600-30網(wǎng)絡審計：生產(chǎn)控制大區(qū)各關鍵生產(chǎn)系統(tǒng)內(nèi)部署網(wǎng)絡流量審計設備；具備針對工控協(xié)議的深度包協(xié)議解析、及時發(fā)現(xiàn)隱藏在正常流量中的異常數(shù)據(jù)包、實時檢測針對工業(yè)協(xié)議的網(wǎng)絡攻擊、用戶誤操作、用戶違規(guī)操作、違規(guī)外聯(lián)、非法設備接入等內(nèi)網(wǎng)異常行為的功能。0-30日志審計：安全II區(qū)內(nèi)部署一套日志審計設備的；在安全1區(qū)機組主控DCS、輔控系統(tǒng)即NCS系統(tǒng)需具備日志審計功能；保證至少6個月的日志數(shù)據(jù)。2.4.7網(wǎng)絡安全監(jiān)測裝置200-10在安全區(qū)II內(nèi)部署廠級生產(chǎn)安全監(jiān)測平臺，具備實時監(jiān)測生產(chǎn)監(jiān)控系統(tǒng)的主機、網(wǎng)絡設備、安全設備運行狀態(tài)和日志采集，進行集中化的性能狀態(tài)監(jiān)控、日志分析及安全事件的集中展示的功能。0-10監(jiān)測平臺留有與集團公司工控安全監(jiān)測平臺的數(shù)據(jù)接口，跨區(qū)間的安全數(shù)據(jù)傳輸，在邊界處部署了單向安全隔離裝置、工業(yè)防火墻。2.4.8網(wǎng)絡安全監(jiān)測裝置300-20部署了網(wǎng)絡安全監(jiān)測裝置并實現(xiàn)了采集涉網(wǎng)區(qū)域內(nèi)設備安全數(shù)據(jù)及網(wǎng)絡安全事件的功能；對電廠網(wǎng)絡安全事件進行本地監(jiān)視和管理并轉發(fā)至調控機構網(wǎng)絡安全監(jiān)管平臺的數(shù)據(jù)網(wǎng)關機。（涉網(wǎng)）0-10網(wǎng)絡安全監(jiān)測裝置可以將數(shù)據(jù)同步傳輸至廠級生產(chǎn)安全監(jiān)測平臺，并對傳輸網(wǎng)絡通道實施合規(guī)的安全防護。2.4.9備份與容災400-10對生產(chǎn)監(jiān)控系統(tǒng)的數(shù)據(jù)備份依據(jù)重要性實現(xiàn)了分級管理，并確保重要業(yè)務數(shù)據(jù)雙備份以及在故障發(fā)生時至少可異機恢復至一天前數(shù)據(jù)。0-20對關鍵主機設備、網(wǎng)絡設備或關鍵部件進行了冗余配置；有備份數(shù)據(jù)文件清單且不存在將備份數(shù)據(jù)文件保存在本機磁盤、移動存儲等不安全存儲介質上的現(xiàn)象。0-10定期對關鍵業(yè)務的數(shù)據(jù)進行備份，對生產(chǎn)運行等重要數(shù)據(jù)實現(xiàn)雙備份并保存12個月。3安全防護建設管理要求檢查2503.1組織機構400-20明確電廠工控系統(tǒng)網(wǎng)絡信息安全防護職責歸口管理部門為信息化及網(wǎng)絡安全領導小組，確定企業(yè)負責人作為生產(chǎn)監(jiān)控系統(tǒng)安全主要責任人，并指定專人負責本單位所轄生產(chǎn)監(jiān)控系統(tǒng)的公共安全設施，明確了各業(yè)務系統(tǒng)專責人的安全管理責任。建立了總工程師、工控系統(tǒng)網(wǎng)絡信息安全技術監(jiān)督專責、各專業(yè)部門網(wǎng)絡安全員的三級技術監(jiān)督網(wǎng)。0-20對各個部門和崗位的職責明確授權審批事項、審批部門和批準人。對于系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項建立審批程序并按照審批程序執(zhí)行審批過程，對重要活動建立逐級審批制度，記錄審批過程并保存審批文檔。3.2人員管理400-10各單位及業(yè)務部門設置信息安全專職崗位和人員，并簽署保密協(xié)議。0-10人員變動、崗位調整后建立有撤銷權限流程。0-10每年開展工控系統(tǒng)網(wǎng)絡信息安全培訓。0-10與第三方外包人員簽署保密協(xié)議，系統(tǒng)使用權限遵循權限最小化原則；當崗位調整時能及時向相關負責人提出變更申請，離職時能及時收回人員的相關證件，并在系統(tǒng)做注銷等相應處理。3.3管理制度300-10制訂門禁、人員、權限、訪問控制管理制度。0-10制訂安全防護系統(tǒng)的維護、常規(guī)設備及各系統(tǒng)的維護管理制度。0-10制訂惡意代碼防護、審計、數(shù)據(jù)及系統(tǒng)的備份、用戶口令、安全培訓等管理制度。3.4系統(tǒng)建設300-20系統(tǒng)建設所涉及到的軟硬件系統(tǒng)、設備及專用信息安全產(chǎn)品符合國家及行業(yè)資質、質量標準等相關規(guī)定與要求，自行開發(fā)或外包開發(fā)的軟件產(chǎn)品投運前進行安全評估并留有相關工作記錄。0-10選定的施工建設單位和安全服務商具備國家和行業(yè)主管部門要求的資質；與選定的安全服務商簽訂安全保護承諾等相關協(xié)議并明確約定相關責任并簽署保密協(xié)議。3.5系統(tǒng)運維500-10分別對各類設備、介質、資產(chǎn)、網(wǎng)絡、業(yè)務系統(tǒng)制訂了安全管理制度并在存放環(huán)境、使用以及銷毀、報廢等方面做出了詳細規(guī)定，并建立了安全審計管理制度。0-10指定專人對網(wǎng)絡和主機進行惡意代碼檢測并保存檢測記錄。0-20對移動存儲設備、重要文檔的安全管理具有完整、清晰的工作記錄；對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡等設備的操作符合規(guī)范化