电力行业信息系统安全等级保护基本要求2
电力行业信息系统安全等级保护基本要求(三级)
电力行业信息系统安全等级保护基本要求1 第三级基本要求 (1)1.1 技术要求 (1)1.1.1 物理安全 (1)1.1.1.1 物理位置的选择（G3） (1)1.1.1.2 物理访问控制（G3） (1)1.1.1.3 防盗窃和防破坏（G3） (1)1.1.1.4 防雷击（G3） (2)1.1.1.5 防火（G3） (2)1.1.1.6 防水和防潮（G3） (2)1.1.1.7 防静电（G3） (2)1.1.1.8 温湿度控制（G3） (3)1.1.1.9 电力供应（A3） (3)1.1.1.10 电磁防护（S3） (3)1.1.2 网络安全 (3)1.1.2.1 结构安全（G3） (3)1.1.2.2 访问控制（G3） (4)1.1.2.3 安全审计（G3） (5)1.1.2.4 边界完整性检查（S3） (5)1.1.2.5 入侵防范（G3） (5)1.1.2.6 恶意代码防范（G3） (5)1.1.2.7 网络设备防护（G3） (6)1.1.3 主机安全 (6)1.1.3.1 身份鉴别（S3） (6)1.1.3.2 访问控制（S3） (7)1.1.3.3 安全审计（G3） (7)1.1.3.4 剩余信息保护（S3） (8)1.1.3.6 恶意代码防范（G3） (8)1.1.3.7 资源控制（A3） (9)1.1.4 应用安全 (9)1.1.4.1 身份鉴别（S3） (9)1.1.4.2 访问控制（S3） (9)1.1.4.3 安全审计（G3） (10)1.1.4.4 剩余信息保护（S3） (10)1.1.4.5 通信完整性（S3） (10)1.1.4.6 通信保密性（S3） (11)1.1.4.7 抗抵赖（G3） (11)1.1.4.8 软件容错（A3） (11)1.1.4.9 资源控制（A3） (11)1.1.5 数据安全 (12)1.1.5.1 数据完整性（S3） (12)1.1.5.2 数据保密性（S3） (12)1.1.5.3 备份和恢复（A3） (12)1.2 管理要求 (13)1.2.1 安全管理制度 (13)1.2.1.1 管理制度（G3） (13)1.2.1.2 制定和发布（G3） (13)1.2.1.3 评审和修订（G3） (13)1.2.2 安全管理机构 (14)1.2.2.1 岗位设置（G3） (14)1.2.2.2 人员配备（G3） (14)1.2.2.3 资金保障（G3） (14)1.2.2.4 授权和审批（G3） (15)1.2.2.5 沟通和合作（G3） (15)1.2.2.6 审核和检查（G3） (15)1.2.3 人员安全管理 (16)1.2.3.2 人员离岗（G3） (16)1.2.3.3 人员考核（G3） (16)1.2.3.4 安全意识教育和培训（G3） (17)1.2.3.5 外部人员访问管理（G3） (17)1.2.4 系统建设管理 (17)1.2.4.1 系统定级（G3） (17)1.2.4.2 安全方案设计（G3） (18)1.2.4.3 产品采购和使用（G3） (18)1.2.4.4 自行软件开发（G3） (18)1.2.4.5 外包软件开发（G3） (19)1.2.4.6 工程实施（G3） (19)1.2.4.7 测试验收（G3） (19)1.2.4.8 系统交付（G3） (20)1.2.4.9 系统备案（G3） (20)1.2.4.10 等级测评（G3） (20)1.2.4.11 安全服务商选择（G3） (21)1.2.5 系统运维管理 (21)1.2.5.1 环境管理（G3） (21)1.2.5.2 资产管理（G3） (21)1.2.5.3 介质管理（G3） (22)1.2.5.4 设备管理（G3） (22)1.2.5.5 监控管理和安全管理中心（G3） (23)1.2.5.6 网络安全管理（G3） (23)1.2.5.7 系统安全管理（G3） (24)1.2.5.8 恶意代码防范管理（G3） (24)1.2.5.9 密码管理（G3） (25)1.2.5.10 变更管理（G3） (25)1.2.5.11 备份与恢复管理（G3） (25)1.2.5.12 安全事件处置（G3） (26)1 第三级基本要求1.1 技术要求1.1.1 物理安全1.1.1.1 物理位置的选择（G3）本项要求包括：a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁,如果不可避免，应采取有效防水措施。
电力行业重要信息系统安全等级保护定级建议(电监会发-)
本文档部分内容来源于网络，如有内容侵权请告知删除，感谢您的配合!
公司及以下
2
邮件系统
2
人力资源管理系统
2
物资管理系统
2
项目管理系统
2
ERP系统
2
修造管理信息系统
2
施工管理信息系统
2
系统类
别
系统名称
范围
建议等级
备注
电力设计管理信息
系统
省院（或甲级资
质）及以上设计
单位
3
省院（或Hale Waihona Puke 级资质）及以下设计单位
2
电力监管信息系统
3
信息网
络
电力调度数据网络
3
电力企业广域网
2
电力监管专网
水调自动化系统
2
调度生产管理系统
省级以上
3
省级以下
2
发电厂SIS
总装机1000兆
瓦及以上
3
若含控制 功能则为 生产控制 系统
总装机1000兆
瓦以下
2
系统类
别
系统名称
范围
建议等级
备注
梯级水调自动化系
统
2
大坝自动监测系统
2
雷电（气象）监测
系统
2
核电站环境监测系
统
3
网站系
统
企业内部网站系统
2
企业对外网站系统
电力行业信息系统安全等级保护定级建议
系统类
别
系统名称
范围
建议等级
备注
生产
控制
系统
能量管理系统
省级及以上
4
省级以下
3
电力行业等级保护基本要求
业务信息安全保护等级矩阵表
业务信息安全被破坏时所侵 害的客体
公民、法人和其他组织的合 法权益 社会秩序、公共利益
对相应客体的侵害程度
一般损害
严重损害 特别严重损害
第一级
第二级
第二级
第二级
第三级
第四级
国家安全
第三级
第四级
第五级
中国南方电网有限责任公司
定级方法
系统服务安全保护等级矩阵表
业务信息安全被破坏时所侵 害的客体
中国南方电网有限责任公司
定级备案作业规范
二、南方电网管理信息系统安全保护等级建议
企业级应用系统类 企业分析决策应用类
专业系统类
2. 财务管理类系统的安全保护等级
名称
运营使用单位 公司总部
系统服务安全 业务信息安全 信息系统安全
保护等级
保护等级
保护等级
第二级
第三级
第三级
财务管理系统
分子公司
第二级
第三级
企业级应用系统类
企业级应用系统类包括但不限于资产管理系统、财务管理系统、人力资源管理系统、 营销管理系统、协同办公系统、综合管理系统。
人力资 源管理
系统
资产管 理系统
财务管 理系统
营销管 理系统
协同办 公系统
综合管 理系统
中国南方电网有限责任公司
定级备案作业规范
南方电网管理信息系统安全保护的定级对象及等级建议
中国南方电网有限责任公司
定级备案作业规范
二、南方电网管理信息系统安全保护等级建议
企业级应用系统类 企业分析决策应用类
专业系统类
1.资产管理系统的安全保护等级
名称 投资计划管理子系统 项目管理子系统 物资管理子系统 安全生产管理子系统 固定资产管理子系统
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求
随着我国电力行业的不断发展与加强，对于电力行业信息系统安全等级保护也
十分重要，我们就其相关的基本要求作一些详细阐述。
首先，做好信息系统巡检，定期回查，在设备的安装运作过程的全过程中做防
护工作。
通过专业的人员，在安装完毕后进行巡视，确保设备安全可靠。
此外，根据各项相关业务定都不同等级的安全检查，并保持良好记录。
其次，对设备进行认真审查，调整符文防护设置，同时加强基本信息系统的安
全防护，保护国家的安全与重要性，阻止前犯攻击手段的入侵，调整基于网络的身份验证和保护系统，加强身份令牌的使用，数字证书的设计功能，及时系统升级与维护。
再者，加强信息安全管理，形成数据库安全法令，重视信息共享机制的架构和
管理，开展人员安全宣传培训，开展信息安全意识教育与安全资讯阅读，完善安全基础设施，及时发现安全问题，防止信息系统对外散播，负责确保隐私和系统安全，编辑及检查威胁模型。
最后，在信息系统安全等级保护时，要重视管理组的建立，将安全保护作为团
队的核心进行管理，通过行业部门的审议方式，结合高级管理者的重视，保证信息系统安全等级的高效实施。
总的可以看出，对于电力行业信息系统安全等级保护，建立及实施了基本要求，有效控制了信息系统安全环境，减少安全事故、预防潜在风险，为我国电力行业安全带来重要保障。
信息安全等级保护标准
信息安全等级保护标准
1. 安全目标：明确了信息系统安全保护的目标，包括机密性、完整性和可用性。
2. 安全等级划分：根据信息系统的安全需求和重要性，将其划分为不同的安全等级。
3. 安全技术要求：包括物理安全、网络安全、系统安全等方面的技术要求，如访问控制、身份认证、加密传输等。
4. 安全管理措施：包括组织结构、人员管理、安全培训等方面的管理措施，以保证信息安全的有效管理。
5. 安全测试评估：对信息系统进行定期的安全测试和评估，发现系统中存在的安全漏洞和风险，并及时采取措施进行修复。
6. 安全事件响应：建立健全的安全事件响应机制，对安全事件进行及时处理和跟踪，同时进行安全事故的调查与处理。
等保标准适用于政府机关、企事业单位等组织，旨在加强信息系统的安全保护，防止信息泄露、数据破坏、系统瘫痪等安全事件的发生。
对于不同行业和领域的组织，根据其安全需求和实际情况，可以进行相应的等级划分和安全措施的实施。
《网络安全管理员》技师理论知识模考试题与参考答案
《网络安全管理员》技师理论知识模考试题与参考答案一、单选题（共60题，每题1分，共60分）1、《电力行业信息系统安全等级保护基本要求》中，技术要求的类型中，通用保护类要求标识为：A、SB、AC、GD、M正确答案：C2、基于端口划分VLAN的特点是（）？A、根据报文携带的IP地址给数据帧添加VLAN标签B、根据数据帧的协议类型、封装格式来分配VLAN IDC、主机移动位置不需要重新配置VLAND、主机移动位置需要重新配置VLAN正确答案：D3、造成系统不安全的外部因素不包含（）。
A、黑客攻击B、没有及时升级系统漏洞C、间谍的渗透入侵D、DDOS正确答案：B4、小张是信息安全风险管理方面的专家，被某单位邀请过去对其核心机房经受某种灾害的风险进行评估，已知：核心机房的总价价值一百万，灾害将导致资产总价值损失二成四(24%)，历史数据统计告知该灾害发生的可能性为八年发生三次，请问小张最后得到的年度预期损失为多少（）？A、9 万B、24 万C、37．5 万D、0．09 万正确答案：A5、“应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
”是第（）级或以上级别的要求A、4B、1C、2D、3正确答案：D6、系统建设管理阶段中，下列关于系统开发测试做法不正确的是（）A、生产数据脱敏后用于测试B、开发环境与实际运行环境物理分离C、开发人员和测试人员分离D、生产数据用于测试环境正确答案：D7、完整的数字签名过程（包括从发送方发送消息到接收方安全的接收到消息）包括（）和验证过程。
A、加密B、保密传输C、签名D、解密正确答案：C8、ARP协议的作用是（）A、将端口号映射到ip地址B、连接ip层和tcp层C、广播ip地址D、将ip地址映射到第二层地址正确答案：D9、以下哪些是需要在信息安全策略中进行描述的（）。
A、组织信息安全技术参数B、信息安全工作的基本原则C、组织信息系统安全架构D、组织信息安全实施手段正确答案：B10、数据恢复时，我们应该选择什么样的备份方式：（）。
国家标准《电力信息系统安全等级保护实施指南》导读
24· 自动化博览·工业控制系统信息安全专刊
Industry Voice
订，所引用的GB/T 25069和GB/T 25058均未注日期， 表示其最新版本（包括所有的修改单）适用于37138， 此外，37138还给出5个术语定义，分别为：
（1）电力信息系统（ electric power information system）
标准的研究与编制工作遵循了以下原则： （1）科学性与实用性相结合的原则 科学性是标准化的最基本原则，规范的科学性直 接关系到37138能否对电力信息系统安全起到积极、稳 定和长久的作用。实用性表明标准体系是否与实际情 况相符合，是标准化研究中最重要的基本原则。科学 性与实用性相结合就是理论与实践相结合在标准体系 研究中的具体体现。 （2）先进性与开放性相结合的原则 在执行37138研制项目时，积极引入了先进的管 理理念和前沿技术，充分考虑到电力信息系统安全等 级保护实施的未来发展的方向和特点。但同时也要考 虑到目前的需求和技术水平，使37138能够根据科学技 术以及需求的变化而不断进行扩充和完善。 （3）安全性和可用性相结合的原则 37138用来指导和规范电力信息系统安全等级保 护实施，是安全范畴的规范。但是标准在起草过程中 不能一味地追求绝对安全，而应根据当地电力信息系 统建设的实际情况，构建保证电力信息系统可用性和 实用性基础上的适度安全体系。
等级保护二级相关介绍
北京地区做等级保护 有推荐的机构吗？
北京大概有一百多家机构，其中大部 分都是代理商，只有37家是网络安全 等级保护测评机构推荐的，找测评机 构的时候一定要檫亮眼睛了，第三方 都是代理公司，外包的。
在北京做等保，个人还是比较推荐时 代新威，他们是等级保护测评测评机 构推荐的，而且资质也还不错，喜欢 的小伙伴可以去了解一下。
等保测评应该怎么做？
等级保护定级流程： 1：确定定级对象 2：初步确定等级 3：专家评审 4：主管部门核转 5：公安机关备案审核
哪些机构能测评？对测评机构有哪些要求？什么是等 级保护测评？
测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准， 对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。 网络安全等级保护测评是指测评机构依据国家网络安全等级保护制度规定，按照有关管
网络安全等级保护对象有哪些？
信息系统：应首先考虑组织管理的要素，然后考虑业务类型、物理区域等要素。承载比 较单一的业务应用或者承载相对
国家法律要求.： ○ 国家法律法规及行业监管政策都要求开展等级保护工作。如（网络安全法）和 l 信 息安全等级保护管理办法 》 明确规定信息系统运营、使用单位应当按照网络安全等 级保护制度要求，压行安全保护义务，如果拒不从行，将会受到相应处罚。
客户要求： ○ 信息系统运营单位在向外部客户提供业务服务时，通过等保测评，能向客户及利益相 关方展示信息系统安全性承诺，增强客户、合作伙伴及利益相关方的信心。
另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、 依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整 体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相 关。