2021電力物聯(lián)網(wǎng)感知層設(shè)備接入安全技術(shù)規(guī)范

電力物聯(lián)網(wǎng)感知層設(shè)備接入安全技術(shù)規(guī)范IIIIII目??次前言 II范圍 1規(guī)范性引用文件 1術(shù)語和定義 1縮略語 1總則 2防護(hù)原則 2防護(hù)架構(gòu) 2感知層設(shè)備本體安全要求 3通用要求 3物聯(lián)網(wǎng)終端 3邊緣物聯(lián)代理 4感知層設(shè)備通信安全要求 4通用要求 4物聯(lián)網(wǎng)終端 5邊緣物聯(lián)代理 5本地通信網(wǎng)絡(luò)安全要求 6附錄A（資料性附錄）感知層設(shè)備安全接入典型場景 7編制說明 9PAGEPAGE11PAGEPAGE10電力物聯(lián)網(wǎng)感知層設(shè)備接入安全技術(shù)規(guī)范范圍本標(biāo)準(zhǔn)規(guī)定了電力物聯(lián)網(wǎng)感知層設(shè)備本體安全、通信安全和本地通信網(wǎng)絡(luò)安全的技術(shù)要求。本標(biāo)準(zhǔn)適用于電力物聯(lián)網(wǎng)感知層設(shè)備接入公司信息系統(tǒng)的網(wǎng)絡(luò)安全設(shè)計(jì)、選型和系統(tǒng)集成。規(guī)范性引用文件GB/T2421.1 電子電工產(chǎn)品環(huán)境實(shí)驗(yàn)概述和指南GB/T22239 信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T36951 信息安全技術(shù)物聯(lián)網(wǎng)感知終端應(yīng)用安全技術(shù)要求GB/T37092 信息安全技術(shù)密碼模塊安全要求Q/GDW12098 電力物聯(lián)網(wǎng)術(shù)語Q/GDW12108 電力物聯(lián)網(wǎng)全場景安全技術(shù)要求術(shù)語和定義Q/GDW12098界定的以及下列術(shù)語和定義適用于本文件。3.1感知層設(shè)備perceptionlayerdevice縮略語下列縮略語適用于本文件。ACL：訪問控制列表（AccessControlList）CBC-MAC：密碼塊鏈消息完整碼（CipherBlockChain-MessageAuthenticationCodemode）CCM：帶密碼塊鏈消息完整碼的計(jì)數(shù)器模式（CountermodewithCBC-MAC）FTP：文件傳輸協(xié)議（FileTransferProtocol）IP：互聯(lián)網(wǎng)協(xié)議（InternetProtocol）IPSec：互聯(lián)網(wǎng)協(xié)議安全框架（InternetProtocolSecurity）JTAG：測試行動(dòng)聯(lián)合組織（JointTestActionGroup）LoRa：遠(yuǎn)距離無線通信（LongRange）LoRaWAN：遠(yuǎn)距離無線通信廣域網(wǎng)（LongRangeWideAreaNetwork）MAC：媒體訪問控制（MediaAccessControl）OTAA：空中入網(wǎng)方式（Over-The-AirActivation）PIN：個(gè)人識(shí)別碼（PersonalIdentificationNumber）QoS：服務(wù)質(zhì)量（QualityofService）RS-485：一種電氣信號(hào)接口標(biāo)準(zhǔn)（RecommendedStandard485）SSID：服務(wù)集標(biāo)識(shí)（ServiceSetIdentifier）SSL：安全套接層（SecureSocketsLayer）SWD：串行調(diào)試（SerialWireDebug）TELNET：遠(yuǎn)程登錄（TelecommunicationsNetwork）USB：通用串行總線（UniversalSerialBUS）VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）Wi-Fi：基于IEEE802.11.b標(biāo)準(zhǔn)的無線網(wǎng)絡(luò)通信技術(shù)（WirelessFidelity）WPA2-PSK：基于預(yù)共享密鑰的Wi-Fi保護(hù)接入（Wi-FiProtectedAccess-Pre-ShareKey）總則防護(hù)原則電力物聯(lián)網(wǎng)感知層設(shè)備接入應(yīng)按照GB/T22239中相應(yīng)級(jí)別等級(jí)保護(hù)相關(guān)規(guī)定執(zhí)行。防護(hù)架構(gòu)感知層設(shè)備接入安全防護(hù)架構(gòu)見圖1，感知層設(shè)備安全接入典型場景參見附錄A，防護(hù)要求如下：6767678圖1感知層設(shè)備安全接入防護(hù)示意圖感知層設(shè)備本體安全要求通用要求物理環(huán)境安全感知層設(shè)備應(yīng)滿足GB/T36951要求，同時(shí)滿足如下要求：a）應(yīng)采取防盜防破壞措施，防范對(duì)設(shè)備造成物理破壞，如擠壓、強(qiáng)振動(dòng)等；b）應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；應(yīng)具備信號(hào)防干擾、防屏蔽、防阻擋等能力，如電源線和通信線纜應(yīng)隔離鋪設(shè)且加裝防護(hù)管，避免互相電磁干擾及小動(dòng)物外破；GB/T2421.1要求；f）2小時(shí)要求。計(jì)算環(huán)境安全計(jì)算環(huán)境安全應(yīng)滿足GB/T36951要求，同時(shí)滿足如下要求：應(yīng)具備在電源電量不足時(shí)保存重要信息的機(jī)制；應(yīng)采取措施保障處理器的執(zhí)行環(huán)境安全；應(yīng)在不影響系統(tǒng)安全穩(wěn)定運(yùn)行的情況下對(duì)設(shè)備進(jìn)行補(bǔ)丁更新、固件更新等；應(yīng)能控制設(shè)備用戶的訪問權(quán)限，按照最小權(quán)限原則僅授予設(shè)備用戶完成任務(wù)所需的最小權(quán)限，如控制設(shè)備用戶訪問本地?cái)?shù)據(jù)、遠(yuǎn)程數(shù)據(jù)的權(quán)限，并避免權(quán)限擴(kuò)散、越權(quán)；應(yīng)保證只有授權(quán)的用戶可對(duì)設(shè)備上的軟件應(yīng)用進(jìn)行配置或變更；應(yīng)關(guān)閉不必要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口；接口等），防范軟硬件逆向工程；宜對(duì)本地存儲(chǔ)的用戶口令等關(guān)鍵數(shù)據(jù)進(jìn)行加密保護(hù)。物聯(lián)網(wǎng)終端現(xiàn)場采集部件現(xiàn)場采集部件在滿足第6.1條要求的前提下，同時(shí)滿足如下要求：智能業(yè)務(wù)終端智能業(yè)務(wù)終端在滿足第6.1條要求的前提下，同時(shí)滿足如下要求：應(yīng)采用校驗(yàn)技術(shù)或密碼技術(shù)保證企業(yè)重要數(shù)據(jù)在存儲(chǔ)過程中的完整性；f）應(yīng)支持遠(yuǎn)程安全升級(jí)與版本安全更新，并具備升級(jí)失敗回退功能；宜采用口令、密碼技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對(duì)本地運(yùn)維用戶進(jìn)行身份鑒別；j）宜實(shí)現(xiàn)本地應(yīng)用間的數(shù)據(jù)隔離，防范用戶未授權(quán)訪問其他本地應(yīng)用數(shù)據(jù)；邊緣物聯(lián)代理邊緣物聯(lián)代理本體安全滿足第6.1條、第6.2.2條要求。感知層設(shè)備通信安全要求通用要求感知層設(shè)備通信安全滿足以下要求：應(yīng)具有可用于電力物聯(lián)網(wǎng)中通信識(shí)別的唯一標(biāo)識(shí)，并且該標(biāo)識(shí)應(yīng)具備防篡改保護(hù)；應(yīng)對(duì)接入設(shè)備采取接入身份認(rèn)證措施，認(rèn)證方式至少包括設(shè)備標(biāo)識(shí)和口令的認(rèn)證；應(yīng)具有通信延時(shí)和通信中斷的處理機(jī)制；ACL方式控制接入設(shè)備對(duì)通信網(wǎng)的訪問；應(yīng)支持制定和執(zhí)行訪問控制策略的功能，訪問控制策略由基于地址標(biāo)識(shí)、用戶/用戶組、讀/寫等操作，有效時(shí)間周期、敏感標(biāo)記等的兩種及以上構(gòu)成的組合；應(yīng)采取審計(jì)記錄保護(hù)措施，防范審計(jì)記錄被非法讀取、篡改或刪除等；宜采用國家密碼主管部門認(rèn)可的密碼算法保護(hù)數(shù)據(jù)傳輸過程中的完整性和保密性；宜采用數(shù)字簽名等密碼算法或組合算法保障控制命令等數(shù)據(jù)的來源可鑒別；宜支持包含時(shí)間序列的數(shù)據(jù)信息及信息驗(yàn)證，應(yīng)采用加密技術(shù)保護(hù)數(shù)據(jù)信息中的時(shí)間序列。物聯(lián)網(wǎng)終端現(xiàn)場采集部件現(xiàn)場采集部件在滿足第7.1條要求的前提下，同時(shí)滿足如下要求：智能業(yè)務(wù)終端智能業(yè)務(wù)終端在滿足第7.1條要求的前提下，同時(shí)滿足如下要求：GB/T37092二級(jí)及以上安全要求的密碼模塊，實(shí)現(xiàn)與安全接入網(wǎng)關(guān)之間的雙向身應(yīng)提供安全措施，對(duì)智能業(yè)務(wù)終端進(jìn)行遠(yuǎn)程安全配置管理；邊緣物聯(lián)代理邊緣物聯(lián)代理在滿足第7.1條，第7.2.2條中a）～c）項(xiàng)要求的前提下，同時(shí)滿足以下要求：應(yīng)提供安全措施，對(duì)邊緣物聯(lián)代理進(jìn)行遠(yuǎn)程安全配置管理；宜對(duì)自身的安全狀態(tài)進(jìn)行標(biāo)識(shí)，并具備將該狀態(tài)標(biāo)識(shí)向安全接入網(wǎng)關(guān)報(bào)送的能力；本地通信網(wǎng)絡(luò)安全要求本地通信網(wǎng)絡(luò)指物聯(lián)網(wǎng)終端與邊緣物聯(lián)代理等設(shè)備，通過Wi-Fi、載波通信、微功率無線通信等通道，不經(jīng)過安全大區(qū)，在現(xiàn)場互連通信，在滿足Q/GDW12108相關(guān)要求的前提下，同時(shí)滿足以下要求：MACWi-Fi屏蔽等；Wi-FiSSIDWPA2-PSKPIN碼用于認(rèn)證；應(yīng)避免使用LoRa方式傳輸敏感數(shù)據(jù)及控制信號(hào)，LoRa通信應(yīng)采用不低于1.0.3版本的LoRaWAN協(xié)議，并使用OTAA模式實(shí)現(xiàn)終端節(jié)點(diǎn)激活入網(wǎng)；ZigBee通信方式的網(wǎng)絡(luò)應(yīng)設(shè)置本地信任中心，應(yīng)采用公司統(tǒng)一密碼基礎(chǔ)設(shè)施提供的密鑰CCM模式，實(shí)現(xiàn)對(duì)傳輸數(shù)據(jù)的加密保護(hù)；RS-485進(jìn)行通信時(shí)，通信鏈路應(yīng)具有防物理破壞的措施，并有效接地；對(duì)于有運(yùn)算能力的設(shè)備，宜使用可信計(jì)算等技術(shù)增強(qiáng)固件的安全運(yùn)行能力。附錄A（資料性附錄）感知層設(shè)備安全接入典型場景綜合能源服務(wù)屬于公司資產(chǎn)的一般業(yè)務(wù)采集類終端，不強(qiáng)制要求認(rèn)證和加密傳輸；GB/T37092二級(jí)及以上安全要求的密碼模塊，對(duì)終端私車聯(lián)網(wǎng)平臺(tái)車聯(lián)網(wǎng)平臺(tái)感知層設(shè)備包含電動(dòng)汽車充電樁等智能終端和邊緣物聯(lián)代理等，通過電信運(yùn)營商網(wǎng)絡(luò)，經(jīng)安全接入網(wǎng)關(guān)接入物聯(lián)管理平臺(tái)后再接入車聯(lián)網(wǎng)服務(wù)平臺(tái)，整體架構(gòu)如圖A.1所示。具體安全接入設(shè)計(jì)如下：接入邊緣物聯(lián)代理的電動(dòng)汽車充電樁，需至少具備可信軟件模塊保障充電樁計(jì)算環(huán)境安全可信，由邊緣物聯(lián)代理對(duì)充電樁的身份、狀態(tài)的安全可信進(jìn)行驗(yàn)證，數(shù)據(jù)傳輸過程需加密；圖A.1車聯(lián)網(wǎng)平臺(tái)感知層設(shè)備安全接入架構(gòu)電力物聯(lián)網(wǎng)感知層設(shè)備接入安全技術(shù)規(guī)范編 制 說 明目 次編制背景 編制主要原則 與其他標(biāo)準(zhǔn)文件的關(guān)系 主要工作過程 12標(biāo)準(zhǔn)結(jié)構(gòu)和內(nèi)容 12條文說明 12編制背景本標(biāo)準(zhǔn)依據(jù)《國家電網(wǎng)有限公司關(guān)于下達(dá)2019年第二批技術(shù)標(biāo)準(zhǔn)制修訂計(jì)劃的通知》（國家電網(wǎng)科〔2019〕807號(hào)文）的要求編寫。GB/T《信息安全技（國家電網(wǎng)互聯(lián)〔2019〕806號(hào)）等標(biāo)準(zhǔn)和規(guī)定的重要補(bǔ)充，指導(dǎo)信息化等專業(yè)人員在感知層設(shè)備安全方面的實(shí)際工作。編制主要原則本標(biāo)準(zhǔn)主要根據(jù)以下原則編制：堅(jiān)持適度防范、分級(jí)別防護(hù)，分析各業(yè)務(wù)系統(tǒng)的安全需求、性能特征，研究提出具有必要性、實(shí)用性和可實(shí)施性的安全機(jī)制和實(shí)施措施；借鑒現(xiàn)行相關(guān)的國際標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)、企業(yè)標(biāo)準(zhǔn)，使標(biāo)準(zhǔn)具有科學(xué)性和規(guī)范性；從感知層設(shè)備本體安全、通信安全、本地通信網(wǎng)絡(luò)安全等方面提出綜合的全環(huán)節(jié)防護(hù)要求。與其他標(biāo)準(zhǔn)文件的關(guān)系本標(biāo)準(zhǔn)與相關(guān)技術(shù)領(lǐng)域的國家現(xiàn)行法律、法規(guī)和政策保持一致。本標(biāo)準(zhǔn)不涉及專利、軟件著作權(quán)等知識(shí)產(chǎn)權(quán)使用問題。本標(biāo)準(zhǔn)主要參考文件：GB/T25069 GB/T33745—2017 GB/T36968—2018 信息安全技術(shù)IPSecVPN技術(shù)規(guī)范GB/T37024—2018 信息安全技術(shù)物聯(lián)網(wǎng)感知層網(wǎng)關(guān)安全技術(shù)要求GB/T37044—2018 信息安全技術(shù)物聯(lián)網(wǎng)安全參考模型及通用要求GB/T37093—2018 信息安全技術(shù)物聯(lián)網(wǎng)感知層接入通信網(wǎng)的安全要求GA/T681—2007 信息安全技術(shù)網(wǎng)關(guān)安全技術(shù)要求GM/Z0001 密碼術(shù)語GM/T0024—2014 SSLVPN技術(shù)規(guī)范YD/T1742 接入網(wǎng)安全防護(hù)要求YD/B171—2017 物聯(lián)網(wǎng)感知層協(xié)議安全技術(shù)要求DB37/T2656—2015 物聯(lián)網(wǎng)感知層安全要求Q/GDW11184—2014 配電自動(dòng)化規(guī)劃設(shè)計(jì)技術(shù)導(dǎo)則Q/GDW1594—2014 管理信息系統(tǒng)安全防護(hù)技術(shù)要求Q/GDW/Z11212 信息系統(tǒng)非功能性需求規(guī)范國務(wù)院第273號(hào)令商用密碼管理?xiàng)l例國家發(fā)展和改革委員會(huì)〔2014〕14號(hào)令電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定國能安全〔2015〕36號(hào)關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評(píng)估規(guī)范的通知國家電網(wǎng)安監(jiān)〔2011〕2024 國家電網(wǎng)公司安全事故調(diào)查規(guī)程主要工作過程2019年7月，項(xiàng)目啟動(dòng)，對(duì)感知層設(shè)備安全防護(hù)相關(guān)技術(shù)標(biāo)準(zhǔn)進(jìn)行資料收集和分析。2019年8月，成立編寫組，確立分工與職責(zé)，完成標(biāo)準(zhǔn)大綱編寫，組織召開大綱研討會(huì)，并針對(duì)標(biāo)2019年9（TC06）2019年9月至11月，多次在公司范圍內(nèi)征求意見，完成征求意見（發(fā)函）和初稿審查；匯總梳理征求意見稿反饋意見，認(rèn)真討論，修改形成標(biāo)準(zhǔn)送審稿。2019年12月，召開評(píng)審會(huì)議，對(duì)送審稿進(jìn)行評(píng)審。2019年12月，公司互聯(lián)網(wǎng)技術(shù)標(biāo)準(zhǔn)專業(yè)工作