电力行业重要信息系统安全等级保护定级建议(电监会发 )
《电力行业网络安全等级保护管理办法》
电力行业网络安全等级保护管理办法第一章总则第一条为规范电力行业网络安全等级保护管理，提高电力行业网络安全保障能力和水平，维护国家安全、社会稳定和公共利益，根据《中华人民共和国网络安全法》《中华人民共和国密码法》《中华人民共和国计算机信息系统安全保护条例》《关键信息基础设施安全保护条例》《信息安全等级保护管理办法》等法律法规和规范性文件，制定本办法。
第二条电力企业在中华人民共和国境内建设、运营、维护、使用网络（除核安全外），开展网络安全等级保护工作，适用本办法。
本办法所称网络是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统，包括电力监控系统、管理信息系统及通信网络设施。
本办法不适用于涉及国家秘密的网络。
涉及国家秘密的网络应当按照国家保密工作部门有关涉密信息系统分级保护的管理规定和技术标准，结合网络实际情况进行管理。
第三条国家能源局根据国家网络安全等级保护政策法规和技术标准要求，结合行业实际，组织制定适用于电力行业的网络安全等级保护管理规范和技术标准，对电力行业网络安全等级保护工作的实施进行指导和监督管理。
国家能源局各派出机构根据国家能源—1—局授权，对本辖区电力企业网络安全等级保护工作的实施进行监督管理。
电力企业依照国家和电力行业相关法律法规和规范性文件，履行网络安全等级保护的义务和责任。
第二章等级划分与保护第四条根据电力行业网络在国家安全、经济建设、社会生活中的重要程度，以及一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素，电力行业网络划分为五个安全保护等级：第一级，受到破坏后，会对相关公民、法人和其他组织的合法权益造成一般损害，但不危害国家安全、社会秩序和公共利益。
第二级，受到破坏后，会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全。
关于开展电力行业信息系统安全等级保护定级工作的通知
关于开展电力行业信息系统安全等级保护定级工作的通知关于开展电力行业信息系统安全等级保护定级工作的通知各相关单位：为进一步加强电力行业信息系统的安全保护工作，提高信息系统安全等级保护水平，确保电力行业信息系统的稳定运行和数据安全，根据《国家信息安全等级保护制度》和《电力行业信息系统安全等级保护实施基本要求》，我单位决定开展电力行业信息系统安全等级保护定级工作。
现将有关事项通知如下：一、工作目标本次工作的目标是全面了解电力行业信息系统的安全现状，明确电力行业信息系统安全等级，确保信息系统的安全性、完整性和可用性。
二、工作内容1. 电力行业信息系统安全等级评定根据电力行业的实际情况，制定电力行业信息系统安全等级评定指南，包括系统规模、重要性、业务功能等方面的要求。
各相关单位需全面了解自身信息系统的情况，按照评定指南进行自查自评，并提交相应的材料，协助进行等级评定工作。
2. 安全风险评估为进一步了解电力行业信息系统的安全风险，各相关单位需配合进行安全风险评估工作。
评估内容包括但不限于系统漏洞、网络安全、物理安全等方面。
评估结果将作为安全等级定级的重要依据。
3. 安全等级定级根据各单位自查自评和安全风险评估的结果，结合评定指南要求，我单位将对各相关单位的信息系统进行安全等级定级工作。
定级结果将根据等级评定指南进行分类确定，并向各单位下发安全等级证书。
4. 信息系统安全建设方案各单位在完成自查自评和安全等级定级后，需根据定级结果，提出信息系统安全建设方案，针对可能存在的安全问题提出具体的整改措施和时间节点。
三、工作要求1. 提高安全意识各相关单位应进一步提高安全意识，加强信息安全管理，加大对电力行业信息系统的保护力度。
培训和教育工作也需加强，确保全体员工都具备一定的信息安全意识和技能。
2. 合理规划信息系统各单位在规划、设计和建设信息系统时，必须充分考虑安全因素，制定相应的安全策略和措施，并确保系统能够满足安全等级定级的要求。
电力行业信息系统安全等级保护基本要求内容
为便于和GB/T 22239—2008比照，分别用“（新增）”、“（细化）”、“（增强）”和“（落实）”来标识本标准的该条目和GB/T 22239—2008中相关条目的差异，未标识则是等同采用。
电力行业信息系统安全等级保护基本要求
2
适用围
本规规定了电力行业管理类信息系统和生产控制类信息系统不同安全等级的信息系统等级保护要求，包括安全技术指标和安全管理指标，用于指导电力行业各单位信息系统的安全等级保护建设工作。其中，通用要求部分同时适用于管理类信息系统和生产控制类信息系统，管理信息系统类基本要求适用于管理类信息系统的安全等级保护建设工作，生产控制信息系统类基本要求适用于生产控制类信息系统的安全等级保护建设工作。
《电力行业信息系统安全等级保护定级工作指导意见》（电监信息[2007]44号）
术语和定义
GB/T 5271.8和GB 17859-1999确立的以与下列术语和定义适用于本标准。
安全保护能力security protection ability
系统能够抵御威胁、发现安全事件以与在系统遭到损害后能够恢复先前状态等的程度。
数据安全与备份恢复
数据完整性（S1）
应能够检测到重要用户数据在传输过程中完整性受到破坏。
备份和恢复（A1）
应能够对重要信息进行备份和恢复。
管理要求
安全管理制度
管理制度（G1）
应建立日常管理活动中常用的安全管理制度。
制定和发布（G1）
本项要求包括：
a)应指定或授权专门的人员负责安全管理制度的制定；
b)应将安全管理制度以某种方式发布到相关人员手中。
c)具有层次网络结构的单位可统一提供互联网出口；（新增）
2023-信息系统安全等级保护整改建议方案V2-1
信息系统安全等级保护整改建议方案V2信息系统安全等级保护是国家对于信息安全的一项重要工作，针对当前信息安全攸关重要的形势，全面提升信息系统安全保护等级就尤为重要。
但是，无论我们如何强调信息安全，仍然不能防止安全漏洞和攻击。
因此，为了进一步提升信息系统的安全等级保护，我们需要制定一定的整改方案。
第一步，加强信息安全意识。
加强员工个人和团体的信息安全教育培训，增强员工和团队信息安全意识，以减少外界安全威胁的同时提高内部安全防范意识。
第二步，改进信息系统结构。
信息安全是一个系统工程，信息系统结构的不合理会导致信息安全缺陷。
通过完善信息系统结构，增强信息系统的安全性和可靠性，提高其防抵抗攻击的能力。
第三步，强化安全管理。
管理是保障安全的前提，明确安全管理职责，并制定相应的实施细则，完善应对紧急情况的预案。
同时，加强对系统、数据、网络的全面监控和实时分析，防止系统漏洞被利用，有效地处理安全事件和安全问题。
第四步，加强技术防范。
通过技术手段，防止和减少信息泄露、攻击行为发生。
技术防范包括完善网络安全设备，防御网络攻击等。
同时，在签订合同时，应加入相关法律夹款，利用法律手段加强信息安全的保障。
第五步，加强安全评估。
对信息系统安全等级保护实施安全评估，识别安全漏洞，并制定相应的整改计划。
在实施方案的过程中，需要定期开展安全评估，以不断完善安全措施和加强安全保护。
以上就是信息系统安全等级保护整改建议方案V2的主要内容，可以看出，保护信息系统安全等级，需要从多个方面入手，全面提升信息安全保护能力，让我们共同努力，建设一个更加安全稳定的信息体系。
关于信息系统安全等级保护定级的意见
关于信息系统安全等级保护定级的意见说到信息系统的安全，大伙儿是不是都有点儿懵？尤其是那什么“安全等级保护定级”，听着就高大上，感觉跟咱老百姓的生活好像没啥关系。
其实啊，搞清楚这事儿，就能明白咱们平时上网购物、看视频、刷社交，怎么才能保证不被黑客瞄上。
不信？那就跟我一块儿探个究竟，看看这背后的故事是怎么回事。
你知道吗，现在很多公司和相关部门单位都依赖信息系统，来完成工作，储存数据啥的。
用的设备和系统越来越复杂，谁知道它们藏了多少“宝贝”？比如说咱们的个人信息、商业机密，甚至是国家机密。
这些东西一旦被黑客拿到，后果不堪设想。
所以，国家就出台了这个“信息系统安全等级保护定级”的，想通过它来分类管理，确保不同类型的信息安全能达到相应的保护级别。
简单说，就是让大家都知道：这系统得防得住，守得住。
有的朋友可能会问，定级有什么用？哎呀，别急，接下来我就给你捋捋。
先别说“定级”啥意思，光是想想咱们平时的生活就明白了。
你比如你家里有个保险柜，里面放的是银行卡、身份证这些贵重的东西。
你能让它随便放在客厅大摆吗？肯定不能！你得放在一个安全的地方，锁得好，防得住小偷偷进来。
信息系统也是一样的，根据它的性质和重要性，需要做不同的防护。
定级就是给这些系统一个“安全标签”，按照重要程度和安全需求来划分保护级别。
比如说，一个普通的公司内部邮件系统，万一泄露了，大家就是看到点儿日常沟通内容，不至于引起大规模的麻烦。
但如果是国家安全、军事机密系统，哇，那就得严防死守，连防火墙都得是厚得像墙壁一样！所以这“定级”就是根据系统的风险和影响，来分高低，给它们量身定制一个安全防护方案。
要是系统的定级不准确，那可就麻烦了。
万一把重要的东西当成普通的东西来看待，咱们的防护力度就不够，一不小心就被攻击了，那结果可真不堪设想。
反过来说，如果一个不那么重要的系统，弄得像防核武器一样的强大防护，那也没必要浪费资源。
所以呀，这个定级可是精准到位的工作，得确保每个系统都得到应有的保护。
电力行业信息系统安全等级保护定级工作指导意见
电力行业信息系统安全等级保护定级工作指导意见国家电力监管委员会二〇〇七年十一月目录1 引言 (1)2 依据 (1)3 术语和定义 (1)3.1 信息系统 (1)3.2 等级保护对象 (2)3.3 客体 (2)3.4 系统服务 (2)4 工作组织 (2)5 定级原理 (3)5.1 信息系统安全保护等级 (3)5.2 信息系统安全保护等级的定级要素 (4)5.2.1 受侵害的客体 (4)5.2.2 对客体的侵害程度 (4)5.3 定级要素与等级的关系 (4)6 定级方法 (5)6.1 定级流程 (5)6.2 确定定级对象 (6)6.2.1 作为定级对象的基本特征 (7)6.2.2 定级对象的识别方法 (7)6.2.3 定级对象信息系统边检和边界设备的确定方法 (11)6.2.4 电力行业信息系统安全等级保护定级对象分类 (13)6.3 确定受侵害的客体 (13)6.4 确定对客体的侵害程度 (14)6.4.1 侵害的客观方面 (14)6.4.2 综合判定侵害程度 (15)6.5可能侵害的客体及侵害程度的确定方法 (17)6.6 确定定级对象的安全保护等级 (19)6.7 关于定级过程的说明 (20)7 关于审批流程的说明 (23)8 等级变更 (24)9 电力行业信息系统安全等级保护定级参考 (24)1 引言为贯彻落实公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）、《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861号）和国家电力监管委员会《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息〔2007〕34号）要求，指导电力行业信息系统安全保护定级工作，制定本意见。
2 依据《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861号）《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息〔2007〕34号）3 术语和定义3.1 信息系统基于计算机或计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索和服务的系统。
浅谈电力设计企业信息安全等级保护定级
对相应客体 的侵害程度 一般损 害 严重损害 特别严重损害
２ ． １ 定级流程 。 信 息系统 的定级应从业务流程 的完整性上进行整 体考虑 ， 具体步骤如下 ： 一是明确定级对象 ； 二是 明确 业务信息安
全受 到破 坏时所侵害的客体和对客体 的侵 害程度 ； 三是确定业务 信息 安全保 护等级 ； 四是 明确 系统服务安全受 到破坏时所侵害 的 客体 和 对 客 体 的 侵 害 程 度 ；五 是 确 定 系 统 服 务 安 全 保 护 等 级 ； 六 企业确定定级 系统 的安全保护等级。 ２ ． ２ 定 级对 象 。 通常 ， 在信息 系统划分过 程中 ， 应 当结合信息系统 的现状 ， 综 合考虑信息系统的责任单位 、 业务类型和业务重 要性及物理位置 差异 等各种 因素对信息系统进行合理划分 。设计企业内部各个信 息系统之 间的关联较 强 ， 按照优化 资源配置 、 强 化系统边 界安全 防护 、 本 地 计 算 环 境 安 全 防 护 和 通 信 网络 安 全 防 护 的 原 则 ， 定级 的信 息系统在业务流程上具有相对的完整性 和独立性 。按照以上 原则和方 法 ， 企业 内部 可以确定 以下几个 定级对象 ： １ ） 设 计管理 系统包括综合信息管理系统 、 项 目管理 系统 、 三维设计 系统 、 图档 ５ 结论 管理系统 、 经营管理 系统等 。２ ） 外部信息 系统包括 Ｖ Ｐ Ｎ、 邮件 系 通 过开展信 息系统定 级和备案工作 ， 可使企业 清晰了解各信 统、 企 业 门户 网 站 等 。３ ） 财 务 管理 系统 。 息系统的重要程度和需要达到的防护要求 ， 利于对重要 信息系统 ２ ． ３ 确定受侵害的客体 与侵害程度 。 实施统一监管。随着企业业务的发展和信 息科 技的进步 ， 信息 系 对客体的侵害表现为对业务信息安全和系统服务安全的破坏 ， 统的安全 防护等级会随之变化 。因此应根据其业务状态和安全 防 其中系统服务安全可以通过保证信息系统完整性 、 可用性和可靠性 护需求 ，不断进行信息系统的安全防护等级 变更和策略调整 ， 以 来实现 ， 而业务信息安全具体可通过机密性 、 完整性和可用性来实 确保 系统安全和平稳运行。 现。其侵害程度分为一般损害 、 严重损害和特别严重损害。 参 考 文献
电力行业信息系统安全等级保护定级工作指导意见
电力行业信息系统安全等级保护定级工作指导意见国家电力监管委员会二〇〇七年十一月目录1 引言 (2)2 依据 (2)3 术语和定义 (3)信息系统 (3)等级保护对象 (3)客体 (3)客观方面 (3)系统服务 (3)4 工作组织 (3)5 定级原理 (4)信息系统安全保护等级 (4)信息系统安全保护等级的定级要素 (5)5.2.1 受侵害的客体 (5)5.2.2 对客体的侵害程度 (5)定级要素与等级的关系 (6)6 定级方法 (6)定级流程 (6)确定定级对象 (8)6.2.1 作为定级对象的基本特征 (8)6.2.2 定级对象的识别方法 (9)6.2.3 定级对象信息系统边界和边界设备的确定方法 (13)6.2.4 电力行业信息系统安全等级保护定级对象分类 (14)确定受侵害的客体 (14)确定对客体的侵害程度 (16)6.4.1 侵害的客观方面 (16)6.4.2 综合判定侵害程度 (16)可能侵害的客体及侵害程度的确定方法 (18)确定定级对象的安全保护等级 (20)关于定级过程的说明 (21)7 关于审批流程的说明 (24)8 等级变更 (25)9 电力行业重要信息系统安全等级保护定级建议 (25)1 引言为贯彻落实公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）、《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861号）和国家电力监管委员会《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息〔2007〕34号）要求，指导电力行业信息系统安全保护定级工作，制定本意见。
2 依据《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861号）《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息〔2007〕34号）3 术语和定义信息系统基于计算机或计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索和服务的系统。
电力行业信息系统安全等级保护基本要求内容
c)应告知人员相关的安全责任和惩戒措施。
c)应绘制与当前运行情况相符的网络拓扑结构图。
访问控制（G1）
本项要求包括：
a)应在网络边界部署访问控制设备，启用访问控制功能；
b)应根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包出入；
c)应通过访问控制列表对系统资源实现允许或拒绝用户访问，控制粒度至少为用户组。
本标准与GB17859-1999、GB/T 22239—2008等标准共同构成了电力行业信息系统安全等级保护的相关配套标准。其中GB17859-1999、GB/T 22239—2008是基础性标准，本标准是在GB17859-1999和GB/T 22239—2008基础上，根据电力行业信息系统和信息安全防护特点与要求，对GB/T 22239—2008的进一步细化和扩展。
目 次
前 言
本标准的附录A和附录B是规性附录。
本标准由国家电力监管委员会提出。
1
依据国家信息安全等级保护管理规定和电力行业有关要求制定本标准。
本标准是电力行业信息安全等级保护相关系列规性文件之一。
与本标准相关的系列标准包括：
——《电力行业信息系统安全等级保护定级工作指导意见》（电监信息[2007]44号）。
数据安全与备份恢复
数据完整性（S1）
应能够检测到重要用户数据在传输过程中完整性受到破坏。
备份和恢复（A1）
应能够对重要信息进行备份和恢复。
管理要求
安全管理制度
管理制度（G1）
应建立日常管理活动中常用的安全管理制度。
制定和发布（G1）
本项要求包括：
a)应指定或授权专门的人员负责安全管理制度的制定；
电力行业信息系统安全等级保护定级建议
省级以下
2
发电厂SIS
总装机1000兆瓦及以上
3
若含控制功能则为生产控制系统
总装机1000兆瓦以下
2
梯级水调自动化系统
2
大坝自动监测系统
2
雷电（气象）监测系统
2
核电站环境监测系统
3
网站系统
企业内部网站系统
2
企业对外网站系统
集团公司本部
3
二级公司、网省公司以下
2
电力监管门户网站系统
电监会本部
3
电监会派出机构
2
管理信息
系统
生产管理信息系统
2
电力市场信息系统
3
财务（资金）管理系统
集团公司本部、二级公司、网省公司
3
二级公司、网省公司以下
2
营销管理系统
2
办公自动化（OA）
集团公司本部
3
二级公司、网省公司及以下
2
邮件系统
2
人力资源管理系统
2
物资管理系统
2
项目管理系统
2
ERP系统
2
修造管理信息系统
2
施工管理信息系统
水电厂监控系统
总装机1000兆瓦及以上
3
总装机1000兆瓦以下
2
梯级调度监测系统
总装机2000兆瓦及以上
3
若无控制功能则为生产管理系统
总装机2000兆瓦以下
2
生产管理
系统
继电保护和故障录波信息管理系统
2
电能量计量系统
3
广域相量测量系统
3
若含控制功能则为生产控制系统
水调自动化系统
2
调度生产管理系统
(电力行业}电力行业信息系统安全等级保护基本要求
（电力行业）电力行业信息系统安全等级保护基本要求1DL/T××××—××××电力行业信息系统安全等级保护基本要求Baseline for classified protection of power industry information system（征求意见稿）2目次前言 (V)引言 (VI)第一部分通用要求 (1)1 适用范围 (1)2 规范性参考文件 (1)3 术语和定义 (1)4 信息系统安全等级保护概述 (1)4.1 信息系统安全保护等级 (1)4.2 不同等级的安全保护能力 (1)4.3 总体要求、基本技术要求和基本管理要求 (2)4.4 基本技术要求的三种类型 (2)第二部分：管理信息系统类要求 (3)5 总体要求 (3)5.1 总体技术要求 (3)5.2 总体管理要求 (3)6 第一级基本要求 (4)6.1 技术要求 (4)6.1.1 物理安全 (4)6.1.2 网络安全 (4)6.1.3 主机安全 (5)6.1.4 应用安全 (5)6.1.5 数据安全及备份恢复 (5)6.2 管理要求 (5)6.2.1 安全管理制度 (5)6.2.2 安全管理机构 (6)6.2.3 人员安全管理 (6)6.2.4 系统建设管理 (6)6.2.5 系统运维管理 (7)7 第二级基本要求 (9)7.1 技术要求 (9)7.1.1 物理安全 (9)7.1.2 网络安全 (10)7.1.3 主机安全 (11)7.1.4 应用安全 (12)I7.2 管理要求 (13)7.2.1 安全管理制度 (13)7.2.2 安全管理机构 (13)7.2.3 人员安全管理 (14)7.2.4 系统建设管理 (15)7.2.5 系统运维管理 (16)8 第三级基本要求 (18)8.1 技术要求 (19)8.1.1 物理安全 (19)8.1.2 网络安全 (20)8.1.3 主机安全 (22)8.1.4 应用安全 (23)8.1.5 数据安全 (25)8.2 管理要求 (25)8.2.1 安全管理制度 (25)8.2.2 安全管理机构 (26)8.2.3 人员安全管理 (27)8.2.4 系统建设管理 (28)8.2.5 系统运维管理 (30)第三部分：生产控制信息系统类要求 (35)9 总体要求 (35)9.1 总体技术要求 (35)9.2 总体管理要求 (35)10 第一级基本要求 (36)10.1 技术要求 (36)10.1.1 物理安全 (36)10.1.2 网络安全 (36)10.1.3 主机安全 (37)10.1.4 应用安全 (37)10.1.5 数据安全及备份恢复 (37)10.2 管理要求 (37)10.2.1 安全管理制度 (37)10.2.2 安全管理机构 (38)10.2.3 人员安全管理 (38)10.2.4 系统建设管理 (39)10.2.5 系统运维管理 (40)11 第二级基本要求 (41)11.1 技术要求 (41)II11.1.2 网络安全 (42)11.1.3 主机安全 (43)11.1.4 应用安全 (44)11.1.5 数据安全 (45)11.2 管理要求 (46)11.2.1 安全管理制度 (46)11.2.2 安全管理机构 (46)11.2.3 人员安全管理 (47)11.2.4 系统建设管理 (48)11.2.5 系统运维管理 (49)12 第三级基本要求 (51)12.1 技术要求 (51)12.1.1 物理安全 (51)12.1.2 网络安全 (53)12.1.3 主机安全 (55)12.1.4 应用安全 (56)12.1.5 数据安全 (58)12.2 管理要求 (58)12.2.1 安全管理制度 (58)12.2.2 安全管理机构 (59)12.2.3 人员安全管理 (60)12.2.4 系统建设管理 (61)12.2.5 系统运维管理 (63)13 第四级基本要求 (67)13.1 技术要求 (67)13.1.1 物理安全 (67)13.1.2 网络安全 (68)13.1.3 主机安全 (70)13.1.4 应用安全 (72)13.1.5 数据安全 (73)13.2 管理要求 (74)13.2.1 安全管理制度 (74)13.2.2 安全管理机构 (75)13.2.3 人员安全管理 (76)13.2.4 系统建设管理 (77)13.2.5 系统运维管理 (79)附录A 关于信息系统整体安全保护能力的要求 (84)附录B 基本安全要求的选择和使用 (85)IV前言本标准的附录A和附录B是规范性附录。
电力行业加快组织开展信息安全等级保护定级工作
信息安全等级保护工作简报第（10）期国家信息安全等级保护工作协调小组办公室2007年8月29日电力行业加快组织开展信息安全等级保护定级工作为贯彻落实《信息安全等级保护管理办法》和《关于开展全国重要信息系统安全等级保护定级工作的通知》要求，提高电力行业网络和信息系统的安全保障能力和水平，国家电力监管委员会（以下简称电监会）作为电力行业网络与信息安全监督管理部门，结合行业特点，近期印发了《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息[2007]34号，以下简称《通知》），组织国家电网公司、南方电网公司、华能、大唐、华电、国电、中电投集团公司以及各有关电力公司开展重要信息系统安全等级保护定级工作。
一是明确了定级工作的组织。
为在电力行业有效贯彻落实国家信息安全等级保护制度，《通知》中明确了定级工作的组织机构及职责分工。
电监会成立电力行业网络与信息安全领导小组，统一协调领导电力行业信息系统安全等级保护定级工作，领导小组下设办公室，具体负责定级工作的组织开展，监督、指导信息系统运营使用单位的定级工作。
同时，成立了电力行业信息系统安全等级保护定级工作专家组，就定级工作提供指导、咨询，对定级结果进行评审。
此外，《通知》要求各电力公司确定等级保护责任部门，负责组织开展本公司信息系统安全等级保护定级工作。
二是明确了定级工作的内容。
第一，各电力公司责任部门要组织本系统的信息系统运营使用单位，开展对所属网络和信息系统的摸底调查工作，全面掌握信息网络和信息系统的数量、分布、业务类型、系统结构、应用或服务范围等基本情况。
第二，各电力公司在摸底调查的基础上，按照要求确定各定级对象，初步确定其安全保护等级，起草定级报告，并由各电力公司责任部门汇总后统一报送领导小组办公室。
涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
第三，领导小组办公室印发《电力行业信息系统安全等级保护定级实施指南》（以下简称《实施指南》），指导各电力公司和信息系统运营使用单位的定级工作，组织专家对上报的定级报告进行分类评审。
电力行业信息系统等级保护定级现状分析及建议
产业 | Industry50 风能 Wind Energy电力行业信息系统等级保护定级现状分析及建议文 | 叶林2007年，公安部等四部委印发《信息安全等级保护管理办法》，信息系统安全等级保护定级及相关测评工作开始在国内各行业逐步落实开展。
同年11月，原国家电力监管委员会下发了《电力行业信息系统等级保护定级工作指导意见》，以此文件为主要依据，电力行业信息系统安全等级保护定级和实施的相关文件、标准陆续颁布执行，电力行业企业、安全等级保护测评单位也按要求不断开展和改进相关工作，信息系统网络安全防护的意识和实施水平普遍得到了极大加强。
但经过十几年的实践，从等级保护评测现状来看，部分标准和专家越来越倾向于细分定级系统、将安全分区与等级保护定级混同，这种倾向偏离了种类越来越多、融合度越来越高、安全防护技术能力越来越强的信息系统等级保护定级的需求。
因此，电力行业信息系统安全等级保护定级的原则和发展思路亟待进一步优化和明确，以防因“过度防护”加大企业负担，困扰企业正常生产经营。
现状分析《电力行业信息系统等级保护定级工作指导意见》（电监信息❲2007❳44号）中提出：“一般来讲单位信息系统可以划分为几个定级对象，如何划分系统是定级之前的主要问题。
信息系统的划分没有绝对的对与错，只有合理与不合理，合理地划分信息系统有利于信息系统的保护及安全规划，反之可能给将来的应用和安全保护带来不便，又可能需要重新进行信息系统的划分。
”“应当结合信息系统的现状，从信息系统的管理机构、业务特点或物理位置等几个方面考虑对信息系统进行划分，当然也可以根据信息系统的实际情况，选择其他的划分依据，只要最终划分结果合理就可以。
”同时明确“可将电力行业信息系统分为生产控制系统、生产管理系统、网站系统、管理信息系统、信息网络五大类”，并给出了等级保护定级建议表格。
上述前两个意见的总体原则显然是科学合理并长期有效的，但缺点是含混，不方便统一、标准化地执行；而规定的等级保护定级建议表格在近十几年的实践操作过程中，被越来越多的专家、后续标准制定者以及测评单位僵化地解读和执行成了强制性条款，已不适应信息系统安全保护工作的发展。
电力行业信息系统安全等级保护定级工作指导意见
电力行业信息系统安全等级保护定级工作指导意见国家电力监管委员会二〇〇七年十一月目录1 引言错误!未定义书签。
2 依据错误!未定义书签。
3 术语和定义错误!未定义书签。
信息系统错误!未定义书签。
等级保护对象错误!未定义书签。
客体错误!未定义书签。
系统服务错误!未定义书签。
4 工作组织错误!未定义书签。
5 定级原理错误!未定义书签。
信息系统安全保护等级错误!未定义书签。
信息系统安全保护等级的定级要素错误!未定义书签。
受侵害的客体错误!未定义书签。
对客体的侵害程度错误!未定义书签。
定级要素与等级的关系错误!未定义书签。
6 定级方法错误!未定义书签。
定级流程错误!未定义书签。
确定定级对象错误!未定义书签。
作为定级对象的基本特征错误!未定义书签。
定级对象的识别方法错误!未定义书签。
定级对象信息系统边检和边界设备的确定方法错误!未定义书签。
电力行业信息系统安全等级保护定级对象分类错误!未定义书签。
确定受侵害的客体错误!未定义书签。
确定对客体的侵害程度错误!未定义书签。
侵害的客观方面错误!未定义书签。
综合判定侵害程度错误!未定义书签。
可能侵害的客体及侵害程度的确定方法错误!未定义书签。
确定定级对象的安全保护等级错误!未定义书签。
关于定级过程的说明错误!未定义书签。
7 关于审批流程的说明错误!未定义书签。
8 等级变更错误!未定义书签。
9 电力行业信息系统安全等级保护定级参考错误!未定义书签。
1 引言为贯彻落实公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）、《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861号）和国家电力监管委员会《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息〔2007〕34号）要求，指导电力行业信息系统安全保护定级工作，制定本意见。
2 依据《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安〔2007〕861号）《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息〔2007〕34号）3 术语和定义信息系统基于计算机或计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索和服务的系统。
国家能源局 电力行业等级保护定级指南
国家能源局电力行业等级保护定级指南《国家能源局电力行业等级保护定级指南指南说明》嗨，新手朋友！今天咱们来唠唠国家能源局电力行业等级保护定级指南这个事儿。
一、基本注意事项首先啊，你得知道这个定级可不是瞎定的。
就像咱们盖房子，得先知道这房子是用来干啥的，是住人的小房子还是要盖个高楼大厦呢？这电力行业等级保护定级呀，要基于对电力系统、数据和业务的全面了解。
我一开始就觉得，不就是定个级嘛，没那么复杂，结果发现大错特错。
这时候你要全面梳理电力企业内部的信息资产，这包括硬件设备，像什么服务器啊，电力设备那些；还有软件系统，各种各样的电力运营系统。
不能漏了任何一个有价值的东西。
拿我之前的经历来说，有一次梳理，我就差点遗漏了一个看似不起眼但实际很关键的辅助系统，到后来才发现这系统要是出问题，也会影响整个电力业务流程。
二、实用建议在定级的时候呢，要根据重要性和受到破坏后的影响程度来分级。
这里有个诀窍，你可以先画个简单的表格，横向列上可能受到的损失类型，比如经济损失、社会影响、电力稳定运行影响这一类的；纵向呢列出各个信息资产。
然后逐一分析每个资产在受到破坏时在不同方面产生的影响大小。
就像给人看病一样，得把各个症状都分析清楚了才能确诊是个啥病，这定级也是这个道理。
同时，多参考同行业的案例。
看别人是怎么做定级的，比如说别的电力企业有类似的系统，他们定的啥级，为啥这么定。
这就是站在巨人的肩膀上嘛。
我当时就是这么做的，发现真的省了不少事儿。
三、容易忽视的点我跟你说啊，可别小瞧了一些基础的辅助设备或者不太常用的功能模块。
有时候大家都把注意力放在核心业务系统上，觉得那些小设备或者不太起眼的功能无所谓。
但是你想想，假如是一个小小的传感器出了问题，也许它就影响了整个电力设备的监控数据准确性，进而可能影响到其他重要的操作决策呢。
所以啊，每个环节，哪怕再小，都要在你的考虑范围之内。
还有啊，这定级不是定完就完事儿的。
要根据实际情况动态调整。
我国电力信息系统面临的网络安全风险及处置建议
2019.11 / 97一、针对电力信息系统的网络攻击已成为现实危害2015年12月23日，乌克兰国家电网系统遭到黑客攻击，首都基辅部分地区和乌克兰西部突遭大面积停电，成为全球首例针对电力系统导致大面积停电的网络攻击事件，引国内外舆论关注。
一年后，2016年12月17日，乌克兰国家电力部门再次遭遇黑客攻击。
2017年1月10日，美网络媒体援引参与调查乌克兰电网被黑事件的安全专家观点称，乌克兰电网遭遇两次攻击的始作俑者或为同一黑客组织。
2019年3月7日晚，委内瑞拉发生全国范围的大规模停电，全国23个州中有18个州电力供应中断，成为今年首例针对电力系统导致大面积停电的网络攻击事件。
三个多月后的7月22日，委内瑞拉首都加拉加斯及10余个州再度发生大范围停电，引发国内外舆论的高度关注。
据调查，导致此次事件的原因可能是，委内瑞拉电力系统主要遭遇了针对国家电力公司位于玻利瓦尔州（南部）古里水电站的计算机系统中枢，以及连接到加拉加斯（首都）控制中枢的网络攻击。
而后又遭对移动设备中断和逆转恢复过程的电磁攻击。
委内瑞拉总统马杜罗声称攻击来自休斯敦和芝加哥，是在五角大楼的命令下由美军南方司令部直接执行，其请求俄罗斯等国协助调查。
6月16日，美国《纽约时报》爆料称，美国政府官员承认，早在2012年就已在俄罗斯电网中植入病毒程序，可随时发起网络攻击。
这一惊人爆料立即引发世界关注，在今年的南美国家停电事件中，阿根廷政府也宣称不排除网络攻击。
如果此次断电确为黑客所为，未来还有可能会造成一系列类似的断电事件，对于其他国家也会同样地产生威胁。
多国电网遭到网络攻击暴露出电力信息系统脆弱性，电力信息系统作为关系国计民生的信息系统，其网络安全风险所带来的，不再仅仅是信息泄露、信息系统无法使用等“小”问题，而是会对现实世界造成直接的、实质性的影响，如社会生产瘫痪、交通瘫痪、设备损坏、环境污染等。
以网络攻击方式破坏对手的电力基础设施，造成对方国家的混乱，是成本最小的大国博弈手段，既削弱了对手，又规避了风险，电力网络威胁成为大国博弈的新手段。
电力行业信息安全系统等级保护定级工作指导意见
电力行业信息安全系统等级保护定级工作指导意见1. 概述电力行业信息安全系统是保障电力生产、传输及管理过程中信息安全的重要组成部分。
为了有效管理和保护电力行业信息系统的安全，制定本指导意见，明确信息系统定级的方法、步骤和要求，并为后续的安全保护工作提供指导。
2. 定义2.1 信息系统等级保护信息系统等级保护是指根据信息系统的风险等级，确定相应的安全保护措施和技术要求，以保护信息系统的机密性、完整性和可用性。
2.2 信息系统等级信息系统等级是根据信息系统的安全需求和风险评估结果，将信息系统划分为不同的等级。
3. 系统等级划分3.1 风险评估对电力行业信息系统进行全面的风险评估，包括对信息泄露、数据篡改、系统中断等方面进行评估，确定信息系统所面临的安全风险。
3.2 安全需求分析根据风险评估结果，结合电力行业的特点和安全要求，分析确定信息系统的安全需求，包括机密性、完整性、可用性等方面。
3.3 等级划分根据安全需求的不同，将信息系统划分为不同的等级，可分为第一级（最高级）、第二级、第三级等。
4. 定级步骤4.1 收集信息收集与信息系统相关的资料和文件，包括系统架构、应用程序、数据流程图等。
4.2 风险评估根据收集到的信息，进行风险评估工作，确定信息系统的各项安全风险。
4.3 分析安全需求根据风险评估的结果和电力行业的特点，分析确定信息系统的安全需求。
4.4 确定等级根据安全需求和现有的定级标准，确定信息系统的等级。
4.5 制定保护计划根据信息系统的等级，制定相应的保护计划和措施，包括物理安全、网络安全、权限控制等。
5. 监督与评估对已定级的信息系统进行定期的监督和评估，确保保护计划的有效实施和安全措施的有效性。
6. 培训与宣传加强对电力行业信息系统安全定级工作的培训和宣传，提高相关人员对信息安全的认识和意识。
7. 附则7.1 根据电力行业信息系统的发展和变化，本指导意见可进行适当的修订和调整。
7.2 本指导意见自发布之日起实施。
电力行业重要信息系统安全等级保护定级建议(电监会发-)
调度生产管理系统
省级以上
3
省级以下
2
发电厂SIS
总装机1000兆瓦及以上
3
若含控制功能则为生产控制系统
总装机1000兆瓦以下
2
系统类别
系统名称
范围
建议等级
备注
梯级水调自动化系统
2
大坝自动监测系统
2
雷电（气象）监测系统
2
核电站环境监测系统
3
网站系统
企业内部网站系统
2
企业对外网站系统
集团公司本部
3
二级公司、网省公司以下
水电厂监控系统
总装机1000兆瓦及以上
3
总装机1000兆瓦以下
2
系统类别
系统名称
范围
建议等级
备注
梯级调度监测系统
总装机2000兆瓦及以上
3
若无控制功能则为生产管理系统
总装机2000兆瓦以下
2
生产管理系统
继电保护和故障录波信息管理系统
2
电能量计量系统
3
广域相量测量系统
3
若含控制功能则为生产控制系统
水调自动化系统
电力行业信息系统安全等级保护定级建议
系统类别
系统名称
范围
建议等级
备注
生产控制
系统
能量管理系统
省级及以上
4
省级以下
3
变电站自动化系统
220千伏及以上
3
含开关站、换流站
220千伏以下
2
配网自动化系统
3
电力负荷管理系统
3
火电机组控制系统DCS
单机容量300兆瓦及以上
3
含辅机控制系统
电力行业信息系统安全等级保护流程工作指导意见
电力行业信息系统安全等级保护流程工作指导意见背景电力行业的信息系统安全对于保障电力供应和维护行业稳定运行至关重要。
为了保护电力行业信息系统的安全，需要建立一套安全等级保护流程工作指导意见。
目标本指导意见的目标是为电力行业的信息系统安全等级保护流程提供详细的工作指导，确保信息系统的安全性和可靠性。
流程概述1. 评估：对电力行业的信息系统进行安全评估，包括风险评估、脆弱性评估和安全需求评估。
2. 等级划分：根据评估结果，将信息系统划分为不同的安全等级。
3. 安全控制措施：根据安全等级，制定相应的安全控制措施，包括物理安全、网络安全、访问控制等。
4. 实施：按照制定的安全控制措施进行实施，并进行监控和管理。
5. 评价和改进：定期评价信息系统的安全性，并根据评估结果不断改进安全措施。
具体步骤1. 评估- 进行风险评估，分析潜在的安全威胁和漏洞。
- 进行脆弱性评估，发现系统中存在的弱点和漏洞。
- 进行安全需求评估，确定信息系统的安全需求和目标。
2. 等级划分根据评估结果，将信息系统划分为适当的安全等级，可以根据保密性、完整性和可用性进行划分。
3. 安全控制措施根据各个安全等级，制定相应的安全控制措施，并确保措施的合理性和可行性。
控制措施可以包括以下方面：- 物理安全：保护信息系统的物理环境，包括访问控制、视频监控等。
- 网络安全：保护信息系统的网络通信，包括防火墙、入侵检测系统等。
- 访问控制：控制信息系统的访问权限，包括身份验证、权限管理等。
4. 实施按照制定的安全控制措施进行实施，并进行监控和管理。
确保安全措施的有效性和实施的及时性。
5. 评价和改进定期评价信息系统的安全性，包括安全事件的发生情况、安全措施的有效性等，并根据评估结果不断改进安全措施，提升信息系统的安全级别。
结论通过建立和遵循电力行业信息系统安全等级保护流程工作指导意见，可以有效提升电力行业的信息系统安全性，保障电力供应和维护行业稳定运行。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
省级以下
2
发电厂SIS
总装机1000兆瓦及以上
3
若含控制功能则为生产控制系统
总装机1000兆瓦以下
2
梯级水调自动化系统
2
大坝自动监测系统
2
雷电（气象）监测系统
2
核电站环境监测系统
3
网站系统
企业内部网站系统
2
企业对外网ቤተ መጻሕፍቲ ባይዱ系统
集团公司本部
3
二级公司、网省公司以下
2
电力监管门户网站系统
电监会本部
3
电监会派出机构
2
管理信息系统
生产管理信息系统
2
电力市场信息系统
3
财务（资金）管理系统
集团公司本部、二级公司、网省公司
3
二级公司、网省公司以下
2
营销管理系统
2
办公自动化（OA）
集团公司本部
3
二级公司、网省公司及以下
2
邮件系统
2
人力资源管理系统
2
物资管理系统
2
项目管理系统
2
ERP系统
2
修造管理信息系统
2
施工管理信息系统
水电厂监控系统
总装机1000兆瓦及以上
3
总装机1000兆瓦以下
2
梯级调度监测系统
总装机2000兆瓦及以上
3
若无控制功能则为生产管理系统
总装机2000兆瓦以下
2
生产管理系统
继电保护和故障录波信息管理系统
2
电能量计量系统
3
广域相量测量系统
3
若含控制功能则为生产控制系统
水调自动化系统
2
调度生产管理系统
省级以上
2
电力设计管理信息系统
省院（或甲级资质）及以上设计单位
3
省院（或甲级资质）及以下设计单位
2
电力监管信息系统
3
信息网络
电力调度数据网络
3
电力企业广域网
2
电力监管专网
2
感谢下载!
欢迎您的下载，资料仅供参考
电力行业信息系统安全等级保护定级建议
系统类别
系统名称
范围
建议等级
备注
生产控制
系统
能量管理系统
省级及以上
4
省级以下
3
变电站自动化系统
220千伏及以上
3
含开关站、换流站
220千伏以下
2
配网自动化系统
3
电力负荷管理系统
3
火电机组控制系统DCS
单机容量300兆瓦及以上
3
含辅机控制系统
单机容量300兆瓦以下
2