日本在线www-日本在线播放一区-日本在线不卡免费视频一区-日本在线不卡视频-成人影院久久久久久影院-成人影院一区二区三区

    1　引言

    電力監控系統，在電力行業內部，一般稱為“電力二次系統”，是指“用于監視和控制電力生產及供應過程的、基于計算機及網絡技術的業務系統及智能設備，以及作為基礎支撐的通信及數據網絡等”^[1]。電力監控系統相當于整個電力系統的神經網絡和控制中樞，對于保障電力系統的安全穩定運行和電力可靠供應具有重要意義。二十一世紀初期，我國多個電力企業相繼發生了一些與電力監控系統相關的信息安全事件，如“二灘電廠停機事件”、“時間邏輯炸彈事件”、“換流站感染病毒事件”等，造成事故或形成安全隱患。這些事例說明電力監控系統所面臨的信息安全風險日益增大，直接威脅到電力系統安全穩定運行和電力可靠供應。對于上述情況，電力行業高度重視，制定了《電力二次系統安全防護規定》、《電力監控系統安全防護規定》及相關配套方案，并按照國家信息安全等級保護要求制定了電力行業標準，積極推動了電力監控系統安全防護建設，取得了極大成效。

    2　電力二次系統安全防護

    2.1　電力二次系統安全防護

    2004年，原國家電力監管委員會（簡稱電監會）組織系統內、外部信息安全專家對電力監控系統的應用特點、面臨安全風險進行了深入系統的研究論證，制定并發布了《電力二次系統安全防護規定》（電監會5號令），隨后陸續下發《電力二次系統安全防護總體方案》等相關配套文件。

    《電力二次系統安全防護規定》首次明確提出了“安全分區、網絡專用、橫向隔離、縱向認證”的電力監控系統安全防護總體策略^[2]，如圖1所示。

圖1 電力二次系統安全防護總體策略

    在技術層面，《電力二次系統安全防護規定》明確要求電力企業網絡應劃分為生產控制大區網絡和管理信息大區網絡，兩個大區之間必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置；在專用通道上使用獨立的網絡設備組建電力調度數據網，實現與電力企業其它數據網及外部公共信息網的物理隔離；采用經過國家指定部門檢測認證的電力專用縱向加密認證裝置或者加密認證網關及相應設施實現生產控制大區與廣域網的縱向連接；建立基于公鑰技術的分布式電力調度數字證書系統，為生產控制大區中的重要業務系統提供認證加密機制。

    在管理層面，《電力二次系統安全防護規定》明確了電力調度機構對電力二次系統安全防護的歸口管理職責，按照“分級負責”的責任制，各級調度機構負責直接調度范圍內的下一級電力調度機構、變電站、發電廠輸變電部分的二次系統安全防護的技術監督；接入電力調度數據網絡的設備和應用系統，其接入技術方案和安全防護措施須經直接負責的電力調度機構核準。

    2.2　電力監控系統安全防護

    隨著國內外信息安全形勢發展，特別是由伊朗布什爾核電站遭受“震網”蠕蟲病毒攻擊事件暴露出工業控制系統存在安全隱患，電力企業對電力監控系統的安全防護也進行了深入研究和反思。2014年由國家發改委發布了《電力監控系統安全防護規定》（以下簡稱《規定》），從技術和管理兩個方面對電力監控系統安全防護提出了更高的要求。

    在技術層面，隨著分布式能源、配網自動化、智能電網等新技術的快速發展和應用，針對電力監控系統使用無線公網進行數據通信日益普遍的情況，《規定》重申了電力監控系統“安全分區、網絡專用、橫向隔離、縱向認證”的防護原則；提出了在生產控制大區內設置“安全接入區”的理念^[1]；強調了當生產控制大區的業務系統在與其終端的縱向聯接時，如果使用無線通信網、電力企業其它數據網（非電力調度數據網）或者外部公用數據網的虛擬專用網絡方式（VPN）等進行通信的，應當設立安全接入區，在安全接入區與生產控制大區中其他部分的聯接處必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置，如圖2所示。生產控制大區中除安全接入區外，禁止選用具有無線通信功能的設備。

圖2 安全接入區設置

    在管理層面，結合國家公安部、國資委關于中央企業信息安全等級保護工作的要求^[3]，《規定》明確了信息安全等級保護在電力監控系統安全防護中的基礎地位。

    3　電力監控系統安全等級保護

    3.1　系統定級

    按照國家信息安全等級保護工作要求，電力行業也在積極推進電力監控系統安全等級保護工作。2007年，原電監會發布《電力行業信息系統等級保護定級工作指導意見》，給出了包括電力二次系統在內的電力行業信息系統安全等級保護定級的方法和建議，主要分為二級、三級、四級，其中涉及電力生產控制的核心業務系統為四級^[4]。

    按照該文件要求，各電力企業開展了電力監控系統定級、測評和備案等工作。由于該文件要求將變電站自動化系統單獨定級，導致各企業定級系統數量龐大（例如，國家電網公司定級的電力監控系統將近8000個，其中三級系統3000多個，按照等保要求每年測評一次）。

    為了加強電力監控系統等級保護管理，2011年，電監會對電力監控系統的定級進行了調整，將變電站自動化系統作為相關調度自動化系統的子站部分，不再作為獨立系統進行定級。按照新的定級備案原則，定級系統數量大幅減少（例如，國家電網公司定級的電力監控系統減少到400多個，約為原來的5%），極大地減少了定級系統管理工作量，提高了管理質量。

    3.2　安全等級保護要求

    2012年，電監會以部門文件形式下發了《電力行業信息系統安全等級保護基本要求（試行）》^[5]（簡稱“行標”），明確規定了電力監控系統的安全等級保護要求。

    根據電力行業信息系統功能和已有防護體系特點，行業標準在不同安全等級要求的基礎上，提出了總體要求，分別由總體技術要求和總體管理要求組成。其中總體技術要求主要參照電監會5號令及其配套方案，進一步明確了“安全分區、網絡專用、橫向隔離、縱向認證”的安全防護要求，規定：電力企業內部基于計算機和網絡技術的業務系統應劃分為生產控制大區和管理信息大區；生產控制大區可分為控制區和非控制區；管理信息大區網絡與生產控制大區網絡應物理隔離；不同等級的信息系統應成獨立的域；調度數據網上應實現縱向數據認證加密傳輸等。此外，總體技術要求還提出了不同等級系統之間互聯及共用網絡、設備、系統的安全防護要求。總體管理要求規定了一個電力企業存在不同等級系統時，應遵循“就高原則”進行管理，即：如果生產控制大區僅有一級信息系統時，通用管理要求等同采用一級；如果含有二級及以下等級信息系統時，通用管理要求等同采用二級；如果含有三級及以下等級信息系統時，通用管理要求等同采用三級；如果含有四級及以下等級信息系統時，通用管理要求等同采用四級基本要求。

    結合電力監控系統應用特點和安全防護需求，電力行標對各等級電力監控系統安全防護要求進行了新增、細化、增強、落實四種具體的修訂，使得行業標準更貼近電力監控系統安全防護的實際需求。例如，針對二級系統，行標在網絡訪問控制方面新增了要求：“生產控制大區的撥號訪問服務，服務器和客戶端均應使用經安全加固的達到國家相應等級保護要求的操作系統，并采取加密、數字證書認證和訪問控制等安全防護和其他管理措施”；將國標要求的“網段級”訪問控制力度提高為“端口級”；針對網絡安全審計，規定審計內容應包括用戶的添加和刪除、審計功能的啟動和關閉、審計策略的調整、權限變更、系統資源的異常使用、重要的系統操作等安全相關事件，細化了國標的要求。表1、表2分別列出了在技術和管理方面，電力行業標準與國家標準的主要變化情況。

表1 電力行業等級保護標準與國家標準對比（技術要求）


表2 電力行業等級保護標準與國家標準對比（管理要求）

    3.3　等級測評與整改

    2011年以來，原國家電監會組織電力行業信息安全等級保護測評機構對電力企業的重要電力監控系統進行了等級測評。測評結果表明，電力監控系統安全防護情況良好，大部分系統與行業標準規定要求的符合度能夠達到80%，部分系統甚至超過90%。存在的主要問題有：部分建設較早的系統未實現對敏感標記、強制訪問控制和雙因子認證等的有效技術措施；部分網絡、主機及數據庫系統安全配置存在不足，補丁更新不夠及時；部分單位審計監控手段比較缺乏，不具備系統日志安全審計、分析的能力；部分單位電力二次系統安全管理制度不夠完善，崗位職責不夠明確等。

    針對發現的問題，電力企業積極組織了整改，對照行業標準，一方面通過全面采用國產化設備、國產安全操作系統、國產安全數據庫和自主開發的應用軟件，結合調度數字證書建設，推動電力監控系統升級改造，深化安全防護，實現等級保護四級要求。同時，積極推進電力監控系統安全監視平臺的研發和應用，解決電力監控系統關鍵安全設備、服務器的日志集中采集和統一管理問題，實現對安全設備的實時告警與運行狀態監測，并形成“安全運行月報”制度，每月對安全事件的報警情況、安全設備運行情況、鏈路連通情況等，進行在線統計分析。通過整改，進一步提升了電力監控系統的安全防護水平。

    4　結語

    自《電力二次系統安全防護規定》發布以來，各電力企業從管理、技術兩方面持續開展工作，建立了較為完善的電力監控系統安全防護體系，取得了明顯的效果，全國電力監控系統未再發生因受到惡意信息攻擊而導致的電力安全事件[6]。特別是在北京奧運會、上海世博會、廣州亞運會、抗戰70周年大閱兵等重要保電時期，電力監控系統安全防護體系經受住了來自境內外各種敵對勢力的高密度、高強度的惡意網絡滲透和攻擊的嚴峻考驗，確保了各項重要活動期間的電力可靠供應。隨著業務發展和信息安全技術發展，今后電力監控系統安全防護需要逐步向縱深防御發展，一是需要進一步擴展安全防護體系的覆蓋范圍，規范和加強對風電、光伏等新能源電力監控系統的安全防護，加強智能變電站等新技術、新應用的安全防護；二是要積極推進國產化工作，研發并應用基于可信計算的安全免疫技術，提高電力監控系統的自主可控能力。


參考文獻：

[1] 國家發改委. 電力監控系統安全防護規定（發改委令[2014]第14號）[EB/OL]. http://www.sdpc.gov.cn/zcfb/zcfbl/201408/t20140814_622262.html.
 
[2] 國家電力監管委員會. 電力二次系統安全防護規定（國家電力監管委員會令 第5號） [EB/OL]. http://www.gov.cn/gongbao/content/2005/content_75122.htm.

[3] 國家公安部, 國資委. 關于進一步推進中央企業信息安全等級保護工作的通知（公通字[2010]70號）[S].

[4] 國家電力監管委員會. 電力行業信息系統等級保護定級工作指導意見（電監信息[2007]44號）[S].

[5] 國家電力監管委員會. 電力行業信息系統安全等級保護基本要求（試行）（電監信息[2012]62號）[S].

[6] 陳學婧. 獨家：史玉波解讀《電力監控系統安全防護規定》[EB/OL]. http://www.cpnn.com.cn/zdzgtt/201412/t20141204_769667.html.


作者簡介

邱意民（1973-），男，江西人，高級工程師，碩士，現就職于國網智能電網研究院，主要研究方向為信息安全。