編制說明-發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范

（一）工作簡況：1、任務來源本標準是根據(jù)中電聯(lián)（中電聯(lián)標準[2018]209號)《中電聯(lián)關于轉發(fā)國家能源局2018年能源領域行業(yè)標準制（修）訂計劃及英文版翻譯出版計劃的通知》（電力部份“能源20180650”項）的要求組織制訂，主管部門為中國電力企業(yè)聯(lián)合會，技術歸口并解釋單位為電力行業(yè)熱工自動化與信息標準化技術委員會，制定主持單位為國網河南省電力有限公司電力科學研究院（以下簡稱：國網河南省電科院）。2、工作過程2018年7月，《中電聯(lián)關于轉發(fā)國家能源局2018年能源領域行業(yè)標準制（修）訂計劃及英文版翻譯出版計劃的通知》（中電聯(lián)標準[2018]209號)下達后，根據(jù)“通知”中計劃編號“能源20180650”，在中國自動化學會發(fā)電自動化專業(yè)委員會組織下，成立了以國網河南省電科院為主持單位的標準編制項目組，開展《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》的編制工作。主要制定過程節(jié)點如下：（1）2018年8月22日，國網河南省電科院完成《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》編制大綱框架的起草。（2）2018年9月6日，國網河南電科院、國網浙江電科、華潤潤電能源科學技術有限公司、大唐華中電力試驗研究院等單位，對《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》編制大綱框架進行討論，形成了《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》編制大綱編制大綱草案。（3）2018年9月12日，由發(fā)電自動化專業(yè)委員會組織參編單位對《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》編制大綱草案進行研討。（4）2018年10月16日，根據(jù)各參編單位意見，修改大綱草案，形成《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》編制大綱送審稿，提交電力行業(yè)熱工自動化與信息標準化技術委員會（以下簡稱熱工標委會）。（5）2018年11月1日，工標委會在北京召開了《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》編制大綱審查會。中國電力企業(yè)聯(lián)合會標準化中心汪毅、于明、常云嶺等領導參加了審查會。尹松，楊新民、侯子良、許繼剛、金豐、范科峰、陳雪紅、張晉賓、李衛(wèi)兵、王洪、李輝、李國勝、董勇衛(wèi)、尹峰、周力、盧華、蘇燁等為專家組成審查組，對大綱進行了認真仔細的審查。審查組原則上同意大綱的框架結構，并提出了部份修改意見，審查組專家建議將《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術要求》更名為《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》。會后，標準編寫組根據(jù)審查組的意見，修改完善了編寫大綱。（6）2018年11月6日，各參編單位根據(jù)完善后的編寫大綱，開始分頭收資、起草《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》（草稿）。（7）2019年3月7日，中國自動化學會發(fā)電自動化專業(yè)委員會組織專家和參編單位召開了標準編寫項目啟動暨編寫會。與會專家尹峰、鄭渭建、魏路平、劉林虎、鄭迎九、夏克晁、吳永存、董勇衛(wèi)、郝濤、張之剛、余程、胡樹云、孫永紅、葉鵬、陳剛、王玉濤、謝東、陳君、左天才、呂平洋、杜永春和李敏等專家對參編單位所提交的《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》草稿進行了認真仔細的審查，肯定了標準草稿的主要內容，并提出了部分修改意見。（8）2019年5月6日，各參編單位根據(jù)分工，完成《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》內部交流稿的編寫，并組織對內部交流稿進行集中審查工作。各參編單位對內部交流稿進行了認真仔細的審查，并對需要進一步修改、完善的內容各抒己見，提出了詳細的修改意見。（9）2019年6月20日，各參編單位根據(jù)分工，對《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》內部交流稿進一步進行修改和完善，形成征求意見稿。3、編制單位、主要起草人及其所作工作（1）編制單位：（2）主要起草人：（3）主要起草人分工：（二）標準制定原則和主要制定內容1、制定原則在《中華人民共和國網絡安全法》發(fā)布之前，我國信息安全管理的主要依據(jù)是1994年2月18日發(fā)布的中華人民共和國國務院令第147號《中華人民共和國計算機信息系統(tǒng)安全保護條例》。2017年6月1日，《中華人民共和國網絡安全法》正式實施，標志著網絡安全管理在我國已經上升到法律的高度。網絡安全法第三章第二十一條明確規(guī)定“國家實行網絡安全等級保護制度”。網絡安全法和等級保護制度是我國網絡安全必須普遍遵守的法律、法規(guī)。在電力行業(yè)，對于電力監(jiān)控系統(tǒng)的安全防護，早年遵循的是前國家電力監(jiān)管委員會于2004年12月20日發(fā)布并于2005年2月1日開始實施的第5號令《電力二次系統(tǒng)安全防護規(guī)定》。之后，“電監(jiān)會5號令”由國家發(fā)展和改革委員會2014年第14號令廢止，替代為《電力監(jiān)控系統(tǒng)安全防護規(guī)定》。發(fā)電廠在對其監(jiān)控系統(tǒng)進行信息安全防護時，應嚴格遵行國家的法律、法規(guī)，與此同時，針對發(fā)電廠監(jiān)控系統(tǒng)的特點，在操作層面又需要有相關的技術標準，來指導和規(guī)范其信息安全防護工作。《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》的制定遵循了合規(guī)性、適宜性和可操作性原則。（1）合規(guī)性：《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》的制定，以GB/T1.1-2009“標準化工作導則第1部分：標準的結構和編寫”和GB/T20001.1-2001“標準編寫規(guī)則第1部分：術語”為依據(jù)，符合標準編寫規(guī)則的有關要求。《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》在內容編制上，滿足《中華人民共和國網絡安全法》、國家發(fā)展和改革委員會2014年第14號令《電力監(jiān)控系統(tǒng)安全防護規(guī)定》和GB/T22239-2019《信息安全技術網絡安全等級保護基本要求》等國家法律、法規(guī)和標準的要求。（2）適宜性：本標準編寫工作組，由電科院、發(fā)電廠和相關單位及廠家的專家組成，在標準編寫過程中，工作組開展了廣泛的調研、收資和分析工作，并根據(jù)工作組各位專家在日常信息防護工作中的經驗開展編寫工作。在編寫的過程中，工作組還廣泛征求了相關各方的意見，數(shù)易其稿，提高了各項防護要求在發(fā)電廠監(jiān)控系中的適宜性。（3）可操作性：針對發(fā)電廠監(jiān)控系統(tǒng)底層技術規(guī)范普遍缺乏對信息安全考慮的現(xiàn)狀，本標準調整了監(jiān)控系統(tǒng)安全防護體系的分層模型，采用了“安全分區(qū)、網絡專用、橫向隔離、縱向認證”的總體原則，通過分區(qū)分域、縱深防御的策略，強調邊界防護和可信訪問，在實際應用中既能滿足“合規(guī)性”的要求，有大大提高了標準的可操作性。2、主要制定內容在我國發(fā)電廠監(jiān)控系統(tǒng)信息安全防護工作起步稍晚，而在傳統(tǒng)的信息安全防護工作中有一定的技術和經驗積累。傳統(tǒng)的信息安全防護工作一般有三個目標，要保證系統(tǒng)的保密性、完整性和可用性。在傳統(tǒng)信息系統(tǒng)中，保密性通常都放在首位，配以必要的訪問控制，以保護系統(tǒng)和用戶信息的安全。而對監(jiān)控系統(tǒng)而言，可用性則直接影響到企業(yè)生產，機組的停機或者誤動作都可能導致巨大的經濟損失，甚至是威脅到人員生命和環(huán)境的破壞。因此，信息安全的防護首要考慮的是所有系統(tǒng)部件的可用性，完整性則在第二位，因為監(jiān)控數(shù)據(jù)都是原始格式，需要配合有關使用環(huán)境進行分析才能獲取其價值，所以保密性通常都在最后考慮。本標準在編制中，充分考慮了監(jiān)控系統(tǒng)信息安全防護的特殊性，提出較完整的技術要求和規(guī)范，主要內容如下：（1）第2章規(guī)范性引用文件中，列入了本標準所涉及的國家標準；（2）第3章術語和定義，對本標準所采用的術語、定義進行了定義；（3）第4章縮略語，對本標準中所采用的縮略語進行了說明；（4）第5章監(jiān)控系統(tǒng)信息安全基本要求，從發(fā)電廠監(jiān)控系統(tǒng)概述、潛在的脆弱性和面臨的主要威脅、防護的基本原則和防護工作應滿足的法律法規(guī)要求；（5）第6章監(jiān)控系統(tǒng)信息安全技術要求，從物理安全、邊界安全、集中管控、網絡和通信安全、主機和設備安全、應用軟件和數(shù)據(jù)安全等幾方面提出了防護的具體要求；（6）第7章監(jiān)控系統(tǒng)信息安全評估，對監(jiān)控系統(tǒng)是否滿足規(guī)范的內容，提出了評估要求。并從基本原則、評估對象、評估方法、評估實施和評估結論等幾方面給出了簡要要求。（三）主要試驗（或驗收）的分析、綜合報告，技術經濟論證，預期的經濟效果本標準的應用，可以提升發(fā)電廠監(jiān)控系統(tǒng)的信息安全防護水平，對提高發(fā)電廠監(jiān)控系統(tǒng)安全防護工作的合規(guī)性有很好的幫助，可有效提高發(fā)電廠信息安全防護工作的可操作性，具有很好的經濟效益和社會效益。（四）與現(xiàn)行法律、法規(guī)、政策及相關標準的協(xié)調性本標準的編制與國家現(xiàn)行的相關標準協(xié)調一致，不與現(xiàn)行的有關法律、法規(guī)、政策沖突。（五）貫徹標準的要求和措施建議標準的貫徹首先需做好標準的宣貫工作，使相關發(fā)電廠充分了解監(jiān)控系統(tǒng)信息安全防護與傳統(tǒng)信息安全防護工作的異同、標準的實施可有效提高監(jiān)控系統(tǒng)信息安全防護工作的合規(guī)性、標準本身具備很好的可操作性等特點。（六）代替或廢止現(xiàn)行標準的建議無(七)標準名稱與計劃項目名稱發(fā)生變化的主要原因在中電聯(lián)（中電聯(lián)標準[2018]209號)《中電聯(lián)關于轉發(fā)國家能源局2018年能源領域行業(yè)標準制（修）訂計劃及英文版翻譯出版計劃的通知》（電力部分“能源20180650”項）中，本標準名為：《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護基本要求》。編制大綱審查會上，與會專家建議，作為標準的名稱“技術規(guī)范”更為確切，后經編制工作組討論確認，本標準更名為《發(fā)電廠監(jiān)控系統(tǒng)信息安全防護技術規(guī)范》。（八）重要內容的解釋和其它應予說明的事項在中電聯(lián)（中電聯(lián)標準[2018]209號)《中電聯(lián)關于轉發(fā)國家能源局2018年能源領域行業(yè)標準制（修）訂計劃及英文版翻譯出版計劃的通知》（電力部分“能源20180650”項）中，本標準的主要起草單位是：國網河南省電力公司電力科學研究院、中國電力企業(yè)聯(lián)合會科技開發(fā)服務中心、華能電力股份有限公司長興發(fā)電廠司、國網四川省電力公司電力科學研究院等。標準編制過程中，為了能更廣泛地借鑒更多信息安全人員的經驗，經與編寫主持單位和各相關方商定，并報電