等保三级建设方案.docx
《等保三级建设方案.docx》由会员分享，可在线阅读，更多相关《等保三级建设方案.docx（29页珍藏版）》请在冰点文库上搜索。
等保三级建设方案
信息系统等级保护咨询服务方案
2018年10月
■版权声明
本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属并擎科技所有，受到有关产权及版权法保护。
任何个人、机构未经并擎科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。
■版本变更记录
时间
版本
说明
修改人
2018.10.8
V1
创建
袁佳昊
2018.10.9
V1
创建
袁佳昊
2018.10.11
V1.1
校审
穆云山
1概述
1.1目标与范围
智慧电厂是通过采用先进的信息技术，实现生产信息与管理信息的智慧，实现人、技术、经营目标和管理的集成，是电力能源行业的一大突破，也是日后电力行业的一个发展趋势。
电厂信息化系统可以定义为：
综合利用计算机技术、网络技术、软件技术等现代信息技术，融入先进的管理思想和技术策略，建立贯通发电企业生产经营管理各环节的信息网络，对企业各环节产生的信息数据进行采集、分析、处理、控制和反馈，通过生产实时系统与管理信息系统网络、集团信息网络相联，实现信息资源共享与管控一体化，为整个发电企业或集团的生产管理与经营管理服务。
实现电厂生产经营管理的智能化和自动化。
信息系统在智慧电厂中起着举足轻重的作用，一方面在信息系统为企业发展带来便利，另一方面信息系统的安全性也为系统的管理者和使用者带来了挑战。
目前网络战环境下的信息安全形势愈发严峻，分布式拒绝服务、高级持续威胁等新型攻击方式不断演变发展，也对电厂（下称“电厂”）的信息安全的防护能力要求提出了新的挑战。
随着网络与信息安全上升到国家安全的战略高度，相关行业以及相应监管部门对企业的信息安全工作重点和建设内容进行了明确指示，对电厂的信息安全工作开展提出了新的要求。
为了落实和贯彻公安部、能源局、电力行业、国家电网上级单位等国家有关部门信息安全等级保护工作要求，全面完善电厂的信息安全防护体系，落实“安全分区、专网专用、横向隔离、纵向加密”的安全防护策略，确保等级保护工作的顺利实施，提高电厂整体信息安全防护水平，开展等级保护建设工作。
本次等保建设实施的系统为：
DCS：
集散控制系统（DistributedControlSystem）
通过本方案的建设实施，进一步提高信息系统等级保护符合性要求，将整个信息系统的安全状况提升到一个较高的水平，并尽可能地消除或降低信息系统的安全风险。
1.2方案设计
根据前期调研结果，结合上级公司要求和电力行业的发文提出相关的建设意见，并最终形成安全解决方案。
1.3参照标准
本文参考的国家、电力行业信息安全政策法规及信息安全标准以及相关规范如下：
行业规范
●电监会第5号令
●电监会34号文
●国能36号文
●电监信息〔2007〕34号《关于开展电力行业信息系统安全等级保护定级工作的通知》
国家标准和规范
●信息安全等级保护管理办法（公通字200743号）;
●GB/T22239-2008信息系统安全等级保护基本要求;
●GB/T25070-2010信息系统等级保护安全设计技术要求;
●GB/T20984-2007信息安全技术信息安全风险评估规范
●工信部451号文《关于加强工业控制系统信息安全管理的通知》
●GB/T26333-2010《工业控制网络安全风险评估规范》
●GB/T30976.1-2014《工业控制系统信息安全第1部分：
评估规范》
●GB17859-1999计算机信息系统安全保护等级划分准则
2建设总目标
2.1等保建设总体目标
保障智慧电厂的信息系统的业务能力，分析电厂信息系统现有的安全防护措施，针对与《信息安全技术信息系统安全等级保护基本要求》间存在的差异，整改信息系统中存在的问题，电厂的信息系统满足《信息安全技术信息系统安全等级保护基本要求》中不同等级的防护要求，顺利通过公安部等级保护建设测评。
2.2用户建设收益
●通过评估，明确了现有安全措施和基本要求的差距；
●设计了整改方案，明确等级保护建设的方向；
●帮助电厂完成等级保护制度建设；
●协助电厂完成了等级保护测评工作；
●为客户提供了安全运维过程的支持；
●满足能源行业以及国家要求；
●保障电厂的业务能力。
3等保技术安全体系设计
3.1构建分域的控制体系
电厂信息安全等级保护方案，在总体架构上将按照分域保护思路进行，按照安全Ⅰ区和安全Ⅱ区以及信息管理大区的分域，各个安全区域内部的网络设备、服务器、终端、应用系统形成单独的计算环境、各个安全区域之间的访问关心形成边界、各个安全区域之间的连接链路和网络设备构成了网络基础设施；因此方案将从保护计算环境、保护边界、保护网络基础设施三个层面进行设计，并通过统一的基础支撑平台（这里我们将采用安全信息管理平台）来实现对基础安全设施的集中管理，构建分域的控制体系。
3.2构建纵深的防御体系
电厂信息系统的等保建设包括技术和管理两个部分，技术方面针对电厂相关信息系统的通信网络、区域边界、计算环境，综合采用访问控制、入侵检测、安全审计、防病毒、传输加密、集中数据备份等多种技术和措施，实现业务应用的可用性、完整性和保密性保护，并充分考虑各种技术的组合和功能，合理利用措施，从外到内形成一个纵深的安全防御体系，保障信息系统整体的安全保护能力。
3.3保证一致的安全强度
电厂参考电力行业文件的指引，进行信息系统的体系化建设，并采取统一的防护策略，使各安全措施在作用和功能上相互补充，形成可靠的防护体系。
4信息安全管理建设
4.1管理机构规划概述
关于管理建设，安全管理机构的规划，将依据电厂的实际情况，以安全组织架构设计为基础，定义架构中涉及到的部门和岗位的职责以及管理方法。
其内容包含但不少于等级保护基本要求中的第三级信息系统的管理要求中对管理机构的要求。
在完整的信息安全组织中一般包含以下几个重要组成部分：
●信息安全决策机构
●信息安全管理机构
●信息安全执行机构
●信息安全监管机构
以上组织机构的具体存在形式可以是多样的，如兼职的、虚拟的或者远程的。
4.2信息安全组织架构和相关职责
（1）信息安全领导小组
有管理领导层参加的信息安全领导小组，负责批准信息安全策略、分配安全责任并协调整个集团范围的安全策略实施，确保对安全管理和建设有一个明确的方向并得到管理层的实际支持。
信息安全领导小组应通过合理的责任分配和有效的资源管理促进网络信息系统的安全。
信息安全领导小组可以作为目前管理机构的一个组成部分。
（2）信息中心
负责设计、建设安全管理体系，包括策略、组织和运作模式，并且进行宣贯和培训。
（3）安全维护组
负责电厂日常安全维护工作，包括信息安全专员和各部门信息安全助理。
（4）安全审计组
电厂审计组对用户的各种行为进行审计，对安全监控中心的各项监控、处理和维护工作进行审计。
4.3安全管理制度规划
根据等级保护对管理制度建设的要求，结合电厂安全组织架构体系及实际工作情况，对安全策略体系进行规划。
体系包括确定信息安全愿景和使命的信息安全总体目标《信息安全方针》，确定信息安全工作要求和指标的总体框架《信息安全体系框架》，约束和指导各层人员信息安全工作的规章制度、管理办法和工作流程，规范系统、网络和安全管理员进行安全操作的技术标准和规范。
文档结构如下图所示：
4.4规章制度
规章制度材料包括：
●《信息安全组织体系和职责》：
规定安全组织机构的职责和工作。
●制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等。
●《信息安全岗位人员管理办法》：
加强内部人员安全管理，依据最小特权原则清晰划分岗位，在所有岗位职责中明确信息安全责任，要害工作岗位实现职责分离，关键事务双人临岗，重要岗位要有人员备份，定期进行人员的安全审查。
●《信息安全员工安全管理办法》：
员工在录用、调动、离职过程中的信息安全管理，提出对信息安全培训及教育、奖励和考核的要求。
●《信息安全培训及教育管理办法》：
集团各层面信息安全培训的要求和主要内容。
●《信息安全第三方人员安全管理办法》：
必须加强第三方访问和外包服务的安全控制，在风险评估的基础上制定安全控制措施，并与第三方公司和外包服务公司签署安全责任协议，明确其安全责任。
●《安全检查及考核管理办法》建立安全检查制度和安全处罚制度，对违反规章制度的部门和人员按照规定进行处罚。
●《信息安全体系管理办法》：
建设完整安全体系，实现从设计、实施、修改和维护生命周期的安全体系自身保障。
●《信息安全安全现状评估管理办法》：
集团信息安全体系的建设和维护，要通过及时获知和评价信息安全的现状，通过对于安全现状的评估，实施信息安全建设工作，减少和降低信息安全风险，提高信息安全保障水平。
●《信息安全信息资产管理办法》：
必须加强信息资产管理，建立和维护信息资产清单，维护最新的网络拓扑图，建立信息资产责任制，对信息资产进行分类管理和贴标签。
●《信息安全IT设备弱点评估及加固管理办法》：
增强主机系统和网络设备的安全配置，应定期进行安全评估和安全加固。
●《信息安全预警管理办法》：
对安全威胁提前预警，及时将国内外安全信息通知集团各级信息安全管理人员及员工，确保能够及时采取应对措施，以此降低集团的信息安全风险。
●《信息安全安全审计及监控管理办法》：
应部署网络层面和系统层面的访问控制、安全审计以及安全监控技术措施，保障业务系统的安全运行。
●《安全运行维护管理办法》：
建立日常维护操作规程和变更控制规程，规范日常运行维护操作。
●《信息安全配置变更管理办法》：
严格控制和审批任何变更行为。
●《信息安全病毒防护管理办法》：
加强集团病毒防治工作，提升集团病毒整体防护能力，降低并防范病毒对于集团业务造成的影响。
●《信息安全账号口令及权限管理办法》：
加强用户账号和权限管理，按照最小特权原则为用户分配权限，避免出现共用账号的情况。
●《信息安全应急响应管理办法》：
制定各业务系统的应急方案，及时发现、报告、处理和记录。
5三级系统域建设
5.1建设目标
三级系统安全域是依据等级保护定级标准而将电厂的应用系统定为三级的所有系统的集合，按等级保护方法将等级保护定级为三级的系统独立成域，进行安全防护建设。
那么本次等级保护建设项目是将DCS（集散控制系统）系统完善等级保护。
电厂等级保护三级系统等级保护建设目标是落实《信息安全技术信息安全等级保护基本要求》中三级系统各项指标和要求，实现信息系统三级系统独立分域，完善三级系统的安全防护、配置合理的网络环境、增强主机系统安全防护及三级系统应用的安全。
针对《信息安全技术信息安全等级保护基本要求》中三级系统各项指标和要求，为保障其稳定、安全运行，本方案从物理安全、网络安全、主机系统、应用安全和数据安全与备份等五个层面进行等级保护建设。
5.2物理安全
5.2.1物理安全建设目标
电厂的三级系统机房均需按照《信息安全技术信息系统安全等级保护基本要求》三级系统机房物理环境要求，并参照《信息机房设计及建设规范》的相关内容，对机房进行等级保护建设，建设目标如下：
（1）机房物理位置合适，环境控制措施得当，具有防震、防风、防水、防火、防尘、防盗、防雷、防静电以及温湿度可控等安全防护措施。
（2）机房管理措施全面得当，如：
出入管理规范、卫生管理规范、值班巡视制度等等，保障各业务系统稳定、安全的运行。
（3）电力冗余设计，从而保障公司各业务系统在遇断电、线路故障等突发事件时能正常稳定运行。
（4）机房各类指标应满足《信息安全技术信息系统安全等级保护基本要求》三级系统机房物理环境要求中的必须完成项。
5.2.2机房感应雷防护措施
电厂的信息机房均增加防雷保安器，防止感应雷的产生。
感应雷的防护措施是对雷云发生自闪、云际闪、云地闪时，在进入建筑物的各类金属管、线上所产生雷电脉冲起限制作用，从而保护建筑物内人员及各种电气设备的安全。
5.2.3物理访问控制
根据系统级别、设备类型等将信息机房进行区域划分，分为网络设备区、主机和服务器区等，区域之间应设置物理隔离装置，如隔墙、玻璃墙等；针对等待交付系统应设置过渡区域，与安装运行区域应分开。
对于未安装门禁系统的信息机房，在入口处安装电子门禁系统，控制、鉴别和记录进入人员；电子门禁系统应具有安全资质，能够有效的鉴别并记录进入人员的身份。
5.2.4防盗措施
根据《信息机房管理规范》要求，公司信息机房应使用光、电等技术配置机房防盗报警系统，报警系统满足以下要求：
（1）防盗监控系统覆盖机房每一个位置，定期对监控画面数据进行查阅和备份；
（2）使用光、电技术探测机房内重要设备的物理位置，当物理位置发生变化时，可自动报警；
（3）防盗报警系统实现现场报警（如蜂鸣）和远程报警（电话或短信息）。
（4）……
5.2.5防火措施
根据《信息机房设计与建设规范》的要求，对电厂的机房要求如下：
（1）主机房、基本工作间应设二氧化碳或卤代烷、七氟丙烷等灭火系统，并按现行有关规范要求执行。
（2）机房应设火灾自动报警系统，并符合现行国家标准《火灾自动报警系统设计规范》的规定。
（3）报警系统和自动灭火系统应与空调、通风系统联锁。
空调系统所采用的电加热器，应设置无风断电保护。
（4）机房安全，除执行以上的规定外，应符合现行国家标准《计算站场地安全要求》的规定。
（5）凡设置二氧化碳或卤代烷、七氟丙烷固定灭火系统及火灾探测器的机房，其吊顶的上、下及活动地板下，均应设置探测器和喷嘴。
（6）主机房应安装感烟探测器。
当设有固定灭火器系统时，使用感烟、感温两种探测器的组合对机房内进行探测。
（7）主机房和基本工作间应安装消防系统，主机房应配置灭火设备。
（8）机房出口必应向疏散方向开启且能自动关闭的门，门应是防火材料，并应保证在任何情况下都能从机房内打开。
（9）凡设有卤代烷灭火装置的机房，应配置专用的空气呼吸器或氧气呼吸器。
（10）机房内存放记录介质应使用金属柜或其他能防火的容器。
（11）……
5.2.6防水和防潮
针对电厂的机房存在的防水与防潮安全防护问题，并结合《信息机房设计与建设规范》中机房给水排水要求：
（1）在机房内应安装水敏感检测仪（水敏感测试仪应按机房建设规范的要求进行安装）；
（2）对机房进行防水防护，将水敏感仪器与报警系统相连，对机房水状况进行实时监控。
（3）……
5.2.7电磁防护
本次电厂的机房的建设按等级保护三级系统物理安全方面要求：
（1）机房应采用活动静电地板。
机房应选用无边活动静电地板，活动地板应符合现行国家标准《防静电活动地板通用规范》的要求。
敷设高度应按实际应要确定，为150～500mm，并将地板可靠接地。
（2）主机房内的工作台面及坐椅垫套材料应是导静电的，其体积电阻率为1.0×107～1.0×1010Ω•cm。
（3）主机房内的导体必须与大地作可靠的连接，不得有对地绝缘的孤立导体。
（4）导静电地面、活动地板、工作台面和坐椅垫套必须进行静电接地。
（5）静电接地的连接线要有足够的机械强度和化学稳定性，导静电地面和台面采用导电胶与接地导体黏结时，其接触面积不宜小于10cm2。
（6）主机房内绝缘体的静电电位不能大于1kV。
（7）将机房内电源线和通信线缆隔离，并采用接地的方式防止外接电磁干扰和设备寄生耦合干扰，可将电源线和通信线缆垂直铺设，进一步减少电磁干扰。
5.3网络安全
电厂的网络安全建设按照三级系统要求进行建设，通过等级保护建设，实现如下目标：
（1）网络结构清晰，具备冗余空间满足业务需求，根据各部门和业务的需求，划分不同的子网或网段，网络图谱图与当前运行情况相符；
（2）各网络边界间部署访问控制设备，通过访问控制功能控制各业务间及办公终端间的访问；
（3）启用网络设备安全审计，以追踪网络设备运行状况、设备维护、配置修改等各类事件；
（4）网络设备口令均符合能源行业口令要求，采用安全的远程控制方法对网络设备进行远程控制。
（5）……
5.4主机安全
5.4.1主机身份鉴别
针对主机身份鉴别现状按等级保护要求:
（1）对登录操作系统的用户进行身份标识和鉴别；
（2）操作系统管理用户身份标识具有不易被冒用的特点，口令有复杂度并定期更换；
（3）启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；
（4）对服务器进行远程管理时，采取必要措施，防止鉴别信息在网络传输过程中被窃听；
（5）……
5.4.2访问控制
针对访问控制等级保护要求：
（1）启用访问控制功能，依据安全策略控制用户对资源的访问；
（2）实现操作系统特权用户的权限分离；
（3）限制默认帐户的访问权限，重命名系统默认帐户，修改帐户的默认口令；
（4）及时删除多余的、过期的帐户，避免共享帐户的存在。
（5）……
5.4.3安全审计
针对主机访问控制现状与等级保护要求：
（1）审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；
（2）审计范围覆盖到服务器和重要客户端上的每个操作系统用户；
（3）审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等；
（4）保护审计记录，避免受到未预期的删除、修改或覆盖等。
（5）……
5.4.4入侵防范
针对入侵防范现状与等级保护要求：
（1）操作系统遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。
（2）检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。
（3）……
5.4.5恶意代码防范
针对主机恶意代码防范现状与等级保护要求：
（1）安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。
（2）……
5.4.6资源控制
针对主机资源控制现状与等级保护要求：
（1）通过设定终端接入方式、网络地址范围等条件限制终端登录；
（2）根据安全策略设置登录终端的操作超时锁定；
（3）限制单个用户对系统资源的最大或最小使用限度。
（4）……
5.5应用安全
5.5.1应用安全建设目标
电厂三级应用系统为DCS（集散控制系统）系统，根据前期调研结果，结合《信息安全技术信息安全等级保护基本要求》，针对三级系统应用安全从身份鉴别、访问控制、安全审计、通信完整性、通信保密性、通信抗抵赖性与资源控制等几个方面提出相应的整改方案，进行应用系统安全等级保护建设与改造。
5.5.2身份鉴别
针对电厂三级系统应用的身份鉴别现状按等级保护要求，比如有：
（1）应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；
（2）提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用。
（3）……
5.5.3访问控制
电厂三级系统应用的访问控制方面的要求有：
（1）对重要信息资源应设置敏感标记的功能；
（2）依据安全策略严格控制用户对有敏感标记重要信息资源的操作。
（3）……
5.5.4安全审计
针对三级系统应用的安全审计按等级保护要求如下：
（1）应用软件须提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；
（2）应保证无法删除、修改或覆盖审计记录；
（3）审计记录的内容至少包括事件的日期、时间、发起者信息、类型、描述和结果等；
（4）需提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。
（5）……
5.5.5剩余信息保护
电厂三级系统中剩余信息保护需要完善以下内容：
（1）需保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；
（2）需确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。
（3）……….
5.5.6通信完整性、通信保密性
针对电厂三级系统应用的通信完整性与保密性现状和等级保护要求，需对以下几个方面进行完善：
（1）采用密码技术保证通信过程中数据的完整性与保密性；
（2）在通信双方建立连接之前，应用系统利用密码技术进行会话初始化验证。
●密码算法的选择：
应用软件中选择的密码算法在强度上要等于或大于公司规定和用户提出的安全强度要求（《信息系统口令管理规定》中已对算法的安全强度要求给出明确说明）。
●密钥的安全管理：
应用软件要在密钥生成、存储、分配、销毁的整个生命周期中对其实施保护，确保密钥明文不能被其他进程、程序和应用中非相关组件访问到。
●证书验证：
应用软件应该确保能够对系统中使用的证书进行正确鉴别，而且不会接受或继续使用非法的或者无效的证书。
5.5.7资源控制
针对电厂三级系统应用的资源控制现状与等级保护要求，应对以下几个方面进行完善：
（1）限制对系统的最大并发会话连接数；
（2）限制单个帐户的多重并发会话；
5.6数据安全
5.6.1数据安全及备份恢复建设目标
根据电力行业要求，结合《信息安全技术信息安全等级保护基本要求》对三级系统数据安全及备份的要求，从数据完整性、数据保密性和备份与恢复等几个方面进行数据安全和备份安全等级保护建设与改造，实现如下目标：
（1）确保管理数据和业务数据等重要信息在传输过程与存储过程中的完整性与保密性；
（2）确保存储过程中检测到完整性错误时，具有相应的措施对信息进行恢复。
5.6.2数据完整性、数据保密性
针对电厂三级系统数据完整性和保密性等级保护要求有：
（1）系统管理数据、鉴别信息和重要业务数据在传输过程中需进行加密，确保信息在传输过程中的完整性和保密性；
（2）系统管理数据、鉴别信息和重要业务数据在存储过程中需进行加密，保证信息在存储过程中的完整性和保密性，存储过程中检测到完整性错误时需采取必要的恢复措施。
（3）………
5.6.3备份和恢复
对于电厂的三级系统的数据备份和恢复与等级保护要求有：
（1）需提供本地数据备份与恢复功能，完全数据备份需每天一次，备份介质场外存放；
（2）必须提供异地数据备份功能，关键数据需定时批量传送至备用场地。
（3）………
6三级等保服务介绍
6.1服务概述
并擎科技安全服务提供等保安全服务，是通过实现基本安全保护能力将通过选用合适的安全措施或安全控制来保证，根据等级保护要求，可以使用的安全措施或安全控制依据实现方式的不同，分为技术要求和管理要求两大类。
技术类安全要求通常与信息系统提供的技术安全机制有关，主要是通过在信息系统中部署软硬件并正确的配置其安全功能来实现；管理类安全要求通常与信息系统中各种角色参与的活动有关，主要是通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。
基本技术要求从物理安全、网络安全、主机系统安全、应用安全和数据安全几个层面提出安全要求；基本管理要求从安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理几个方面提出安全要求。
技术要求与管理要求是确保信息系统安全不可分割的两个部分，两者之间既互相独立，又互相关联，在一些情况下，技术和管理能够发挥它们各自的作用；在另一些情况下，需要同时使用技术和管理两种手段，实现安全控制或更强的安全控制；大多数情况下，技术和管理要求互相提供支撑以确保各自功能的正确实现。
6.2服务流程
服务流程图：
6.3服务方式
等级保护服务采取人工咨询、设备检查和具体实施相结合的方式，分为现场服务和非现场服务。
在整个咨询服务过程中，并擎科技高级安全顾问将根据客户选择的等级保护咨询服务范围，按照客户指定的时间开展咨询工作。
在充
升级会员 