1 范圍

      本標準規(guī)定了電力監(jiān)控系統(tǒng)網(wǎng)絡安全評估工作的評估內(nèi)容、系統(tǒng)生命周期各階段的安全評估、評估流程及方法、安全防護技術評估、應急備用措施評估、安全管理評估。

      本標準適用于各電力企業(yè)電力監(jiān)控系統(tǒng)規(guī)劃階段、設計階段、實施階段、運行維護階段和廢棄階段的網(wǎng)絡安全防護評估工作。

2 規(guī)范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 9361 計算機場地安全要求

      GB 17859-1999 計算機信息系統(tǒng) 安全保護等級劃分準則

      GB/T 18336.2-2015 信息技術 安全技術 信息技術安全性評估準則 第2部分：安全功能組件

      GB/T 20272-2006 信息安全技術 操作系統(tǒng)安全技術要求

      GB/T 20984-2007 信息安全技術 信息安全風險評估規(guī)范

      GB/T 21028-2007 信息安全技術 服務器安全技術要求

      GB/T 21050-2007 信息安全技術 網(wǎng)絡交換機安全技術要求（評估保證級3）

      GB/T 22186-2016 信息安全技術 具有中央處理器的IC卡芯片安全技術要求

      GB/T 22239-2019 信息安全技術 網(wǎng)絡安全等級保護基本要求

      GB/T 22240-2008 信息安全技術 信息系統(tǒng)安全等級保護定級指南

      GB/T 25058-2010 信息安全技術 信息系統(tǒng)安全等級保護實施指南

      GB/T 25068.3-2010 信息技術 安全技術 IT網(wǎng)絡安全 第3部分：使用安全網(wǎng)關的網(wǎng)間通信安全保護

      GB/Z 25320（所有部分）電力系統(tǒng)管理及其信息交換 數(shù)據(jù)和通信安全

      GB/T 31509-2015 信息安全技術 信息安全風險評估實施指南

      GB/T 36572-2018 電力監(jiān)控系統(tǒng)網(wǎng)絡安全防護導則

3 術語和定義

      GB/T 36572-2018和GB/T 20984-2007界定的以及下列術語和定義適用于本文件。

3.1

      自評估 self-assessment

      運行單位對本單位電力監(jiān)控系統(tǒng)組織實施的安全評估，以及調(diào)度機構在調(diào)度管轄范圍內(nèi)（以下簡稱“調(diào)管范圍內(nèi)”）各運行單位自評估結果基礎上，對調(diào)管范圍內(nèi)電力監(jiān)控系統(tǒng)組織實施的安全評估。

3.2

      檢查評估 inspection assessment

      由被評估單位的業(yè)務主管部門組織或委托安全評估機構，依據(jù)有關標準和管理規(guī)定，對電力監(jiān)控系統(tǒng)進行的具有強制性的安全評估。

3.3

      上線安全評估 online implementation security assessment

      電力監(jiān)控系統(tǒng)投運前及發(fā)生重大變更時，運行單位自行組織或委托評估機構對系統(tǒng)進行的安全評估。      注：重大變更包括，但不限于：

      a）增加新的應用或應用發(fā)生較大變更；

      b）網(wǎng)絡結構和連接狀況發(fā)生較大變更；

      c）技術平臺大規(guī)模更新；

      d）系統(tǒng)擴容或改造；

      e）系統(tǒng)運行維護管理機構或人員發(fā)生較大規(guī)模調(diào)整。

3.4

      型式安全評估 type safety assessment

      電力監(jiān)控系統(tǒng)設計、開發(fā)完成后，系統(tǒng)供應商自行組織或委托評估機構對系統(tǒng)進行的安全評估。

4 縮略語

      下列縮略語適用于本文件。

      FTP：文件傳輸協(xié)議（File Transfer Protocol）

      HTTP：超文本傳輸協(xié)議（Hyper-Text Transfer Protocol）

      IED：智能電子設備（Intelligent Electronic Device）

      LAN：局域網(wǎng)絡（Local Area Network）

      OSPF：開放式最短路徑優(yōu)先（Open Shortest Path First）

      SCADA：監(jiān)視控制與數(shù)據(jù)采集系統(tǒng)（Supervisory Control And Data Acquisition）

      SNMP：簡單網(wǎng)絡管理協(xié)議（Simple Network Management Protocol）

      UPS：不間斷電源（Uninterruptible Power System）

      USB：通用串行總線（Universal Serial Bus）

      VLAN：虛擬局域網(wǎng)（Virtual Local Area Network)

      VPN：虛擬專用網(wǎng)（VirtVirtual Private Networks)

5 評估內(nèi)容

      評估內(nèi)容包括資產(chǎn)評估、威脅評估、脆弱性評估。

      資產(chǎn)評估通過資產(chǎn)分類、資產(chǎn)調(diào)查、資產(chǎn)賦值等過程，最終形成資產(chǎn)列表和資產(chǎn)賦值報告。資產(chǎn)評估按照、國家等級保護相關標準及GB/T 31509-2015中5.2.2的規(guī)定執(zhí)行。資產(chǎn)分類按照GB/T 20984-2007中5.2.1的規(guī)定執(zhí)行。

      威脅評估通過威脅分類、威脅調(diào)查、威脅分析和賦值等過程，最終形成威脅分析報告。威脅評估按照GB/T 31509-2015中5.2.3的規(guī)定執(zhí)行。威脅分類按照GB/T 20984-2007 中5.3.1和GB/T 36572-2018中5.2的規(guī)定執(zhí)行。

      脆弱性評估主要包括基礎設施安全、體系結構安全、本體安全、可信安全免疫、應急備用措施、安全

管理等。

6 系統(tǒng)生命周期各階段的安全評估

6.1 評估概述

      電力監(jiān)控系統(tǒng)生命周期包含5個基本階段：規(guī)劃階段、設計階段、實施階段、運行維護階段和廢棄階段。安全評估工作應貫穿于電力監(jiān)控系統(tǒng)整個生命周期。各階段中涉及的安全評估的原則和方法一致，但由于實施的內(nèi)容、對象、信息安全需求不同，安全評估的對象、目的、要求等方面也不同。

6.2 規(guī)劃階段

      規(guī)劃階段的安全評審是根據(jù)電力監(jiān)控系統(tǒng)的業(yè)務使命和功能，確定系統(tǒng)建設應達到的安全目標。主要根據(jù)未來系統(tǒng)的應用對象、應用環(huán)境、業(yè)務狀況、操作要求等方面進行威脅分析，重點分析系統(tǒng)應達到的安全目標。規(guī)劃階段的評審結果應包含在電力監(jiān)控系統(tǒng)整體規(guī)劃中。

以上為標準部分內(nèi)容，如需看標準全文，請到相關授權網(wǎng)站購買標準正版。