南方电网二次系统安全防护测评细则

南方电网二次系统安全防护测评细则

南方电网公司系统运行部

南方电网公司电网自动化重点实验室

2014年3月广州

目录

1. 测评目的 (1)

2. 测评依据 (1)

3. 测评范围 (1)

4. 测评流程 (2)

5. 评价细则 (2)

附件1 二次系统汇总列表 (5)

附件2二次系统详细信息调查表和系统主机、网络、安防设备信息表 (6)

附件3二次系统安全防护情况汇总表 (8)

附件4：二次系统安全防护评价细则（二级系统） (9)

附件5：二次系统安全防护评价细则（三级系统） (9)

附件6：二次系统安全防护评价细则（四级系统） (9)

贯彻落实公安部、国家电力监管机构、以及公司关于电力二次系统安全防护和等级保护工作的有关要求，统一二次系统安全防护测评标准，提高电力二次系统安全防护水平，确保电力二次系统安全稳定运行，编制本细则。

2.测评依据

1）《电力二次系统安全防护规定》（电监会5号令）

2）《电力二次系统安全防护总体方案》（电监安全[2006]34号）3）《信息系统安全等级保护基本要求》（GB/T 22239-2008)

4）《信息安全风险评估规范》（GB/T 20984-2007）

5）《信息系统安全等级保护测评要求》（GB/T 28448-2012）

6）《电力行业信息系统安全等级保护基本要求》（电监信息[2012]62号）

7）《电力二次系统安全防护评估规范（试行）》

8）《中国南方电网电力二次系统安全防护技术规范》（Q/CSG110005-2012）

3.测评范围

等保定级在二级及以上的电力二次系统，包括调度机构负责建设、运维的业务系统，以及其他业务部门负责建设、运维的二次系统。具体测评对象包括：网络结构、交换机/路由器、防火墙、操作系统、数据库、物理机房、数据安全管理、应用系统。

自查和抽查阶段的测评流程一般包括测评准备、现场测评和报告编制三个阶段。

1）资料收集要求被检单位向测评单位提交二次系统汇总列表（附件1）及二次系统详细信息调查表（附件2）等资料，提交的相关资料包括拓扑图和主要设备的配置信息。

2）现场测评是测评单位在现场采用访谈、调阅管理规定、核实系统的部署情况、查看设备的实际配置、漏洞扫描、渗透测试等手段，收集、记录存在问题的过程。

3）形成报告阶段，测评单位根据评价细则评分形成测评结果，列出存在的问题；被评价单位制定整改计划，上报二次系统安全防护情况汇总表（附件3）至公司系统运行部。

5.评价细则

1）系统测评的内容包括：二次安防整体安全、网络整体安全、交换/路由安全、防火墙安全、操作系统安全、数据库安全、应用系统安全、物理安全、数据管理安全共9个类别。

测评分项指标和加权分值如下：

表1 测评分项指标和加权分值

2）等保二级、三级和四级的系统采用不同的评价细则，具体参见附件4、5、6。

3）系统内某个测评指标涉及到多个测评对象（如：设备）的，超过5个的部分按30%抽样测评。

抽样公式：

?

?

?

>?-+≤=5%,30)5(55,x x x x y 其中：x 为所有测评对象，y 为抽样测评对象。

4）系统内某个测评指标涉及到多个测评对象的，测评指标的评价按二次平均法计算，即取平均分与最低分再次平均。

5）某个测评对象的测评指标得分，为该测评指标对应各测评项的平均分。

6）某个系统的分项得分，为该分项对应测评指标的平均分；分项加权得分为分项加权分值（表1）乘分项得分百分比。

公式：分项加权得分=加权分值*分项得分/100

7）某个系统的得分，为各分项加权得分的总加。

8）某个单位安全测评得分，按照被测评系统的同级系统平均分的定级权值加权计算得出，其中四级系统定级权值为5，三级系统定级权值为3，二级系统定级权值为2。

示例：

省公司得分=(四级系统得分*5+三级系统平均分*3+二级系统平均分*2)/(5+3+2)

供电局得分=（三级系统平均分*3+二级系统平均分*2)/( 3+2)

附件1 二次系统汇总列表

表2 二次系统汇总列表

.

附件2二次系统详细信息调查表和系统主机、网络、安防设备信息表

表3 二次系统详细信息调查表

表4 系统主机、网络、安防设备信息表.

.

附件3二次系统安全防护情况汇总表

表5 二次系统安全防护情况汇总表

.

.

附件4：二次系统安全防护评价细则（二级系统）另附文档。

附件5：二次系统安全防护评价细则（三级系统）另附文档。

附件6：二次系统安全防护评价细则（四级系统）另附文档。