附件：國家電網公司信息化“SG186”工程安全防護總體方案（試行）目錄第一章總則 41.1. 目標 41.2. 范圍 41.3. 防護對象 41.4. 方案結構 51.5. 參考資料 6第二章信息安全防護方案 72.1. 管理信息系統(tǒng)安全防護策略 72.2. 分級分域安全防護設計 8 安全域的定義 8 安全域的劃分方案 82.3. 信息安全防護設計 10 邊界安全防護 11 網絡環(huán)境安全防護 18 主機系統(tǒng)安全防護 21 應用安全防護 282.4. 各域安全防護措施對應表 34第三章安全控制措施及防護要點 413.1. 網絡訪問控制 413.2. 系統(tǒng)安全加固 423.3. 系統(tǒng)弱點掃描 433.4. 入侵檢測措施 443.5. 無線安全措施 453.6. 遠程接入控制 463.7. 內容安全措施 473.8. 病毒檢測措施 483.9. 日志審計措施 483.10. 備份恢復措施 493.11. 身份認證和訪問管理相關控制措施 503.12. 物理安全措施 51附表一：詞匯表 57附表二：國家電網公司信息系統(tǒng)安全等級保護定級表 60附1：安全方案實施指引 61附2：安全產品功能與技術要求 83附3：ERP系統(tǒng)域安全防護方案 109附4：營銷管理系統(tǒng)域安全防護方案 135附5：電力市場交易系統(tǒng)域安全防護方案 161附6：財務（資金）管理系統(tǒng)域安全防護方案 187附7：總部辦公自動化系統(tǒng)域安全防護方案 211附8：二級系統(tǒng)域安全防護方案 233附9：桌面終端域安全防護方案 253

總則目標國家電網公司信息化“SG186”工程安全防護體系建設的總體目標是防止信息網絡癱瘓、防止應用系統(tǒng)破壞、防止業(yè)務數據丟失、防止企業(yè)信息泄密、防止終端病毒感染、防止有害信息傳播、防止惡意滲透攻擊，以確保信息系統(tǒng)安全穩(wěn)定運行，確保業(yè)務數據安全。范圍安全防護總體方案是面向國家電網公司信息化“SG186”工程一體化平臺及業(yè)務應用的安全技術防護方案，是落實國家等級保護工作的典型設計；本方案不對公司的信息安全管理、業(yè)務連續(xù)性/災難恢復、信任體系建設、數據分級分類等內容進行深入設計。安全防護總體方案適用于公司各單位，包括總部、網省公司及其直屬單位，作為信息系統(tǒng)規(guī)劃、設計、審查、實施、監(jiān)理、改造及運行管理中關于信息安全方面的技術參照。防護對象國家電網公司信息系統(tǒng)部署于管理信息大區(qū)和生產控制大區(qū)，管理信息大區(qū)用以支撐國家電網公司不涉及國家秘密的企業(yè)管理信息業(yè)務應用，包括國家電網公司一體化平臺、八大業(yè)務應用及支持系統(tǒng)正常運營的基礎設施及桌面終端。管理信息大區(qū)劃分為用于承載“SG186”工程業(yè)務應用和內部辦公的信息內網（可涉及企業(yè)商業(yè)秘密）以及用于支撐對外業(yè)務和互聯網用戶終端的信息外網（不涉及企業(yè)商業(yè)秘密），信息系統(tǒng)基本部署結構如下圖所示：圖SEQ圖\*ARABIC1國家電網公司網絡分區(qū)示意圖本方案的防護對象為國家電網公司總部、網省及其直屬單位的管理信息系統(tǒng)，主要包括一體化企業(yè)信息集成平臺和八大業(yè)務應用相關系統(tǒng)。涉及國家秘密的信息系統(tǒng)（涉密信息系統(tǒng)）按照國家《計算機信息系統(tǒng)保密管理暫行規(guī)定》（國保發(fā)[1998]1號）、《涉及國家秘密的信息系統(tǒng)審批管理規(guī)定》（國保辦發(fā)[2007]18號）、《信息安全等級保護管理辦法》（公通字[2007]43號）等文件對于涉密信息系統(tǒng)的要求進行管理，本方案不涉及。生產控制大區(qū)的相關信息系統(tǒng)依據《電力二次系統(tǒng)安全防護總體方案》進行安全體系建設，本方案不涉及。方案結構《國家電網公司信息化“SG186”工程安全防護總體方案》附件包含有各域安全防護方案、《安全產品功能技術要求》及《安全方案實施指引》，結構如下圖所示：圖SEQ圖\*ARABIC2國家電網公司信息化“SG186”工程安全防護總體方案結構示意圖參考資料在總體方案的編制過程中，參考了如下資料：文件名稱發(fā)布時間《電力二次系統(tǒng)安全防護總體方案》二OO六年十一月《信息安全等級保護管理辦法》（公通字[2007]43號）二OO七年六月《信息安全技術信息系統(tǒng)安全等級保護基本要求》二OO七年六月《網絡與信息系統(tǒng)安全隔離實施指導意見》二OO七年十一月《國家電網公司信息機房設計及建設規(guī)范》二OO六年九月《國家電網公司信息機房管理規(guī)范》二OO六年九月

信息安全防護方案安全防護總體方案將依據“分區(qū)、分級、分域”防護方針，將各系統(tǒng)劃分至相應安全域進行防護，并且將各安全域劃分為網絡邊界、網絡環(huán)境、主機系統(tǒng)及應用環(huán)境四個層次實施安全防護措施。圖SEQ圖\*ARABIC3國家電網公司安全防護架構示意圖管理信息系統(tǒng)安全防護策略國家電網公司管理信息系統(tǒng)安全防護體系將遵循以下策略進行建設：雙網雙機：管理信息大區(qū)劃分為信息內網和信息外網，管理信息內外網間采用邏輯強隔離設備進行隔離，信息內外網分別采用獨立的服務器及桌面主機；分區(qū)分域：在國家電網公司信息系統(tǒng)劃分為管理信息大區(qū)與生產控制大區(qū)的基礎上，將管理信息大區(qū)的系統(tǒng)，依據定級情況及業(yè)務系統(tǒng)類型，進行安全域劃分，以實現不同安全域的獨立化、差異化防護；等級防護：管理信息系統(tǒng)將以實現等級保護為基本出發(fā)點進行安全防護體系建設，并參照國家等級保護基本要求進行安全防護措施設計；多層防御：在分域防護的基礎上，將各安全域的信息系統(tǒng)劃分為邊界、網絡、主機、應用四個層次進行安全防護設計，以實現層層遞進，縱深防御。分級分域安全防護設計安全防護總體方案將結合國家電網公司等級保護定級結果以及各應用系統(tǒng)的管理相似性、業(yè)務相近性對管理信息內外網中的系統(tǒng)進行安全域劃分，以更有針對性地進行各系統(tǒng)的安全防護措施設計。信息系統(tǒng)進行安全域劃分可將復雜安全防護問題進行分解，有助于實現信息系統(tǒng)分等級保護，有針對性地實施應用邊界防護，防止安全問題擴散。安全域的定義安全域是由一組具有相同安全保障需求、并相互信任的系統(tǒng)組成的邏輯區(qū)域，同一安全域的系統(tǒng)共享相同的安全保障策略。安全域的劃分方案國家電網公司應用系統(tǒng)主要部署于信息內網，與互聯網有交互的子系統(tǒng)或功能單元部署于信息外網，信息內網與信息外網以邏輯強隔離設備進行安全隔離，對于信息內外網分別進行安全域劃分?！缎畔踩燃壉Ｗo管理辦法》中對于三級系統(tǒng)安全保障要求及國家信息安全監(jiān)管部門的監(jiān)管執(zhí)行要求強度高于二級系統(tǒng)，因此安全域劃分采取將等級保護要求較高的各三級系統(tǒng)劃分獨立的安全域進行安全防護，以實現三級系統(tǒng)間及與其他系統(tǒng)之間的獨立安全防護，也便于國家電網公司及外部監(jiān)管機構對于三級系統(tǒng)的安全監(jiān)管，對于信息內網的應用系統(tǒng)安全域劃分依據以下方法：二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)獨立分域；依據以上分域方法進行安全域劃分后信息內網將有以下安全域：電力市場交易系統(tǒng)域； 財務（資金）管理系統(tǒng)域（將逐步被ERP系統(tǒng)財務模塊替代）；辦公自動化系統(tǒng)域（僅國家電網公司總部劃分為三級系統(tǒng)域）；營銷管理系統(tǒng)域（基于營銷管理系統(tǒng)的重要性及目前各單位的安全建設現狀，按等級保護三級要求進行安全防護建設)；ERP系統(tǒng)域（由于“SG186”規(guī)劃中財務（資金）管理系統(tǒng)將最終以模塊的形式整合于ERP系統(tǒng)中，因此ERP系統(tǒng)按財務（資金）管理系統(tǒng)所屬的等級保護三級進行安全建設）二級系統(tǒng)域：所有二級系統(tǒng)統(tǒng)一部署于二級系統(tǒng)域中進行安全防護建設。內網桌面終端域：由于桌面終端的安全防護與應用系統(tǒng)不同，將其劃分為獨立區(qū)域進行安全防護，信息內網桌面終端用于內網業(yè)務操作及內網業(yè)務辦公處理，建議各單位根據各自具體情況對桌面辦公終端按業(yè)務部門或訪問類型進一步進行區(qū)域細分，以便于針對不同的業(yè)務訪問需求制定訪問控制及制定其他防護措施。以上分域方法應當在國家電網公司總部、網省、地市等各級單位獨立應用以進行安全域劃分。此外考慮到總部、網省及地市公司層面系統(tǒng)安全防護體系建設的一致性，營銷管理及ERP系統(tǒng)在各單位均按等級保護三級要求進行建設；財務（資金）管理系統(tǒng)在總部、網省按三級防護，地市按二級防護。由于國家電網公司主要應用系統(tǒng)部署于信息內網，信息外網主要包括需要與互聯網交互的子系統(tǒng)或應用模塊，且系統(tǒng)數量較少，因此將信息外網的應用系統(tǒng)統(tǒng)一部署于同一安全域內進行安全防護，該安全域中的應用系統(tǒng)在主機及應用層面按各系統(tǒng)所屬的安全級別進行防護，網絡及與信息外網邊界防護按滿足域中各系統(tǒng)所屬最高等級就高進行安全建設。信息外網系統(tǒng)劃分為以下安全域：外網應用系統(tǒng)域：需與互聯網進行數據交換的系統(tǒng)部署于外網應用系統(tǒng)域進行安全防護；外網桌面終端域：外網桌面終端用于外網業(yè)務辦公及互聯網訪問，建議各單位跟據各自具體情況對外網桌面辦公終端按業(yè)務部門或訪問類型進行區(qū)域細分，以便于針對不同的業(yè)務訪問需求進行訪問控制及實施其他安全防護措施。按以上方案進行安全域劃分后，國家電網公司各單位安全域分布結構如下：圖4國家電網公司各級單位安全域分布示意圖信息安全防護設計信息安全防護設計將在國家電網公司分區(qū)、分級、分域防護原則的基礎上，將公司各業(yè)務單位的信息系統(tǒng)安全防護劃分為邊界安全防護、網絡環(huán)境安全防護、主機系統(tǒng)安全防護及應用安全防護四個層次進行安全防護措施設計。對于物理層面安全防護，由于其相對固定，可參照“3.12物理安全防護措施”結合《國家電網公司信息機房設計及建設規(guī)范》及《國家電網公司信息機房管理規(guī)范》實施。邊界安全防護邊界安全防