新能源场站电力监控系统安全防护总体方案新能源场站.docx

新能源场站电力监控系统安全防护总体方案新能源场站.docx

《新能源场站电力监控系统安全防护总体方案新能源场站.docx》由会员分享，可在线阅读，更多相关《新能源场站电力监控系统安全防护总体方案新能源场站.docx（12页珍藏版）》请在冰豆网上搜索。

新能源场站电力监控系统安全防护总体方案新能源场站

XXXX新能源场站电力监控系统

安全防护总体方案

XXXXX）新能源场站

2017年xx月xx

1.概述1

2.适用范围1

3.方案依据2

4.总体目标2

5.防护原则3

5.1安全分区3

5.2网络专用3

5.3横向隔离3

5.4纵向认证4

5.5综合防护4

6.电力监控系统基本情况介绍4

6.1监控系统4

6.2系统25

6.3系统35

6.4系统45

6.5系统55

7.总体安全防护措施6

7.1安全区划分6

7.1.1控制区（安全区I）7

7.1.2非控制区（安全区II）7

7.1.3管理信息大区7

7.2安全区边界防护7

7.2.1生产控制大区和管理信息大区边界安全防护.7

7.2.2安全区I与安全区II边界安全防护7

7.2.3系统间安全防护8

7.2.4纵向边界防护8

7.2.5横向隔离8

7.2.6管理信息大区与外部网络之间边界防护.....9

7.2.7第三方边界安全防护9

8.技术防护措施9

8.1入侵检测9

8.2主机设备加固9

8.3安全审计10

8.4专用安全产品的管理10

8.5备用与容灾10

8.6恶意代码防范11

8.7设备选型及漏洞整改11

9.管理安全措施11

9.1安全管理制度12

9.2安全管理机构12

9.3人员安全管理12

9.4系统建设管理错误！

未定义书签

9.5系统运维管理13

10.应急保障措施13

10.1应急指挥机构14

10.2安全应急预案14

10.3应急响应与处置14

10.4应急培训与演练14

附件XX:

XX系统网络拓扑结构图15

附件xx:

xx系统资产清单15

附件xx:

xx系统安全产品清单15

附件xx:

xx系统安全产品资质证明15

附件xx:

《保密协议》15

附件XX:

《外来人员访问管理规定》15

附件xx:

《信息安全培训管理规范》15

附件xx:

《xx新能源场站机房管理规定》15

附件xx:

《xx新能源场站设备及系统安全维护管理规范》.15

附件xx:

《xx新能源场站存储介质管理规范》15

附件xx:

《xx新能源场站恶意代码防护管理规范》15

附件xx:

《xx新能源场站数据及系统备份管理规范》..…16

附件xx:

《xx新能源场站系统用户及密码安全管理规范》.16

附件xx:

《xx新能源场站电力监控系统信息安全应急预案》16

1.概述

为贯彻落实《中华人民共和国网络安全法》、《电力监控

系统安全防护规定》（国家发展改革委员会第14号令）、《国家能源局关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范》（国能安全[2015]36号文）、《电力行业网络与信息安全管理办法》（国能安全[2014]317号文）、

《电力行业信息安全等级保护管理办法》（国能安全

[2014]318号文）等国家有关规定，加强发电厂电力监控系统安全防护，抵御黑客及恶意代码等对发电厂电力监控系统发起的恶意破坏和攻击，以及其它非法操作，防止发电厂电力监控系统瘫痪和失控，防止由此导致的电力监控系统一次系统事故和其它事故，确保电力监控系统的安全、稳定、可靠运行，制定本方案。

新能源场站概况：

介绍机组数量、装机容量、使用的监控系统等主要电力监控系统的品牌等。

电力调度数据网络承载着电力调度生产各类业务数据的传输，XX新能源场站作为接入节点接入XX省调电力调度

数据网络，为电站相关应用系统的数据交换和资源共享提供传输平台。

2.适用范围

本安全防护总体方案适用于XX新能源场站电力监控系统等工控系统的规划设计、项目审查、工程实施、系统改造、

运行管理等相关工作内容。

3.方案依据

本方案制定过程中依据以下标准：

《电力监控系统安全防护规定（国家发改委〔2014〕年

第14号）

《电力监控系统安全防护总体方案》（国能安全〔2015〕

36号）

《发电厂电力监控系统安全防护方案》

《信息安全等级保护管理办法》（公通字〔2007〕43号）

《电力行业信息安全等级保护管理办法》（国能安全

[2014]318号）

《电力行业网络与信息安全管理办法》（国能安全

[2014]317号）

《电力行业信息安全等级保护基本要求》

《电力监控系统安全防护评估规范》

4.总体目标

xx新能源场站电力监控系统安全防护的总体目标：

坚持

“安全分区、网络专用、横向隔离、纵向认证”的总体原则，明确分层分区，以生产控制大区和管理信息大区之间的安全防护为重点，有效抵御黑客、病毒、恶意代码等通过两个大区的边界连接对电厂生产网络系统发起的恶意破坏和攻击，防止由此导致的一次系统事故或大面积停电事故，以及电力监控系统的崩溃或瘫痪；防止未授权用户访问系统或非法获取信息和侵入以及重大的非法操作；不发生电力监控系统的人为责任事故，不因电力监控系统的安全问题引发电网事

故。

5.防护原则

5.1安全分区

按照《电力监控系统安全防护规定》，将xx新能源场站基于计算机及网络技术的业务系统划分为生产控制大区和管理信息大区，并根据业务系统的重要性和对一次系统的影响程度将生产控制大区划分为控制区（安全区I）及非控制区

（安全区II），重点保护生产控制以及直接影响电力生产（机

组运行）的系统。

5.2网络专用

电力调度数据网是与生产控制大区相连接的专用网络，承载电力实时控制等业务。

发电厂端的电力调度数据网应当在专用通道上使用独立的网络设备组网，在物理层面上实现与电力企业其它数据网及外部公共信息网的安全隔离。

发电厂端的电力调度数据网应当划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。

5.3横向隔离

横向隔离是电力监控系统安全防护体系的横向防线。

应当采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信息大区之间必须部署经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应当接近或达到物理隔离。

生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、安全可靠的硬件防火墙或者相当功能的设施，实现逻辑隔离。

防火墙的功能、性能、电磁兼容

性必须经过国家相关部门的认证和测试。

5.4纵向认证

纵向加密认证是电力监控系统安全防护体系的纵向防线。

电厂生产控制大区与调度数据网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置，实现双向身份认证、数据加密和访问控制。

5.5综合防护

综合防护是结合国家及电力行业信息安全管理的相关要求对电力监控系统从主机安全、网络及安全设备安全、恶意代码防范、应用安全控制、审计、备份及容灾等多个层面进行信息安全防护的过程。

6.电力监控系统基本情况介绍

6.1监控系统

描述新能源场站监控系统（如风机监控系统）的基本情况。

分四个部分介绍，分别是

（1）系统情况简介、

（2）系统边界分析、（3）网络拓扑结构、（4）设备清单。

其中网络拓扑结构和设备清单需要以附件的形式提供：

XXXX系统网络拓扑结构图见附件XX。

XXXX系统资产清单。

6.2系统2

6.3系统3

6.4系统4

6.5系统5

7.总体安全防护措施

7.1安全区划分

根据电力监控系统防护“安全分区、网络专用、横向隔离、纵向认证”的原则，对xx新能源场站的监控系统、功率预测系统、天气预报系统、AVG五防系统、调度数据网

等进行安全防护。

以风电场为例，各系统所处安全分区如下所示:

序号

业务系统及设备

控制区

非控制区

管理信息大区

备注

1

风电场监控系统

风机监控

风电场监控

A2

2

无功电压控制

无功电压控制

功能

A1

3

发电功率控制

发电功率控制

功能

A1

4

升压站监控系统

升压站监控功

能

A1

5

向量测量装置PMU

PMU

B

6

继电保护

继电保护装置

及管理终端

B

7

故障录波

故障录波装

置

B

8

电能量采集装置

电能量采集

装置

A1、B

9

风功率预测系统

风功率预测

A1

10

状态监测系统

风机状态监

测

A2

11

测风塔系统

测风塔

A2

12

天气预报系统

数字天气预报

A2

13

管理信息系统MIS

管理信息系统

A2

注:

A1:

与调度中心有关的电厂监控系统

A2:

电厂内部监控系统

B:

调度中心监控系统的厂站侧设备

与调度中心无关的电力监控系统不能接入调度数据网。

7.1.1控制区（安全区I）

控制区中的业务系统或其功能模块（子系统）的典型特征为：

是电力生产的重要环节，直接实现对电力一次系统的实时监控，纵向使用调度数据网或专用通道，是安全防护的重点与核心。

介绍一下新能源场站控制区的主要业务系统。

7.1.2非控制区（安全区II）

介绍一下新能源场站非控制区的主要业务系统。

7.1.3管理信息大区

介绍一下新能源场站管理信息大区的主要业务系统。

7.2安全区边界防护

7.2.1生产控制大区和管理信息大区边界安全防护

xx新能源场站在生产控制大区与管理信息大区之间部署了电力专用横向单向安全隔离装置。

7.2.2安全区I与安全区II边界安全防护

XX新能源场站在安全区I与安全区II之间部署了逻辑隔离装置。

723系统间安全防护

介绍一下xx新能源场站同属于安全区I的各系统之间安全防护措施。

724纵向边界防护

XX新能源场站调度数据网与生产控制大区控制区纵向边界之间部署经有关部门认可的纵向认证加密装置，通过建立加密隧道，实现网络层双向身份认证、数据加密和访问控制。

XX新能源场站非控制区（安全区II）调度数据网与生

产控制大区非控制区纵向边界之间部署经有关部门认可的纵向认证加密装置，通过建立加密隧道，实现网络层双向身份认证、数据加密和访问控制。

调度数据网相关的交换机、路由器、纵向加密认证装置由对应的XX新能源场站进行端口配置、策略配置，而数据备份等运维管理工作则由XX新能源场站及调度共同组织工作。

电站负责供电保障、巡视检查、信息报送等工作。

7.2.5横向隔离

按照相关要求生产控制大区与管理信息大区之间部署了接近于物理隔离强度的正向隔离装置2台。

采用符合国家

和电力行业要求的正向网络安全隔离装置。

I区与II区之间通过IP、端口、MAC地址绑定进行数据单向传输，II区无法进行与I区的数据回传，II区III区采用相同方式进行单向隔离。

726管理信息大区与外部网络之间边界防护

管理信息大区信息内网与外部网络之间边界防护应遵循“双网双机”的物理隔离防护要求，严禁出现“非法外联、一机两用”的现象，严禁通过电话拨号、无线等方式与信息外网和互联网联接。

7.2.7第三方边界安全防护

xx新能源场站生产控制大区中的业务系统未与政府部门进行数据传输，因此无需部署第三方边界防护。

8.技术防护措施（以下为全部综合安全防护方面，请根据场内实际情况进行填写）

8.1入侵检测

xx新能源场站在生产控制大区（控制区和非控制区统一

部署一套）边界部署一套xxxx入侵检测系统，用以监测核心节点异常业务流量。

应当合理设置检测规则，检测发现隐藏于流经网络边