电力行业信息系统安全等级保护基本要求管理信息类分册-全国信息安全
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求
随着我国电力行业的不断发展与加强，对于电力行业信息系统安全等级保护也
十分重要，我们就其相关的基本要求作一些详细阐述。
首先，做好信息系统巡检，定期回查，在设备的安装运作过程的全过程中做防
护工作。
通过专业的人员，在安装完毕后进行巡视，确保设备安全可靠。
此外，根据各项相关业务定都不同等级的安全检查，并保持良好记录。
其次，对设备进行认真审查，调整符文防护设置，同时加强基本信息系统的安
全防护，保护国家的安全与重要性，阻止前犯攻击手段的入侵，调整基于网络的身份验证和保护系统，加强身份令牌的使用，数字证书的设计功能，及时系统升级与维护。
再者，加强信息安全管理，形成数据库安全法令，重视信息共享机制的架构和
管理，开展人员安全宣传培训，开展信息安全意识教育与安全资讯阅读，完善安全基础设施，及时发现安全问题，防止信息系统对外散播，负责确保隐私和系统安全，编辑及检查威胁模型。
最后，在信息系统安全等级保护时，要重视管理组的建立，将安全保护作为团
队的核心进行管理，通过行业部门的审议方式，结合高级管理者的重视，保证信息系统安全等级的高效实施。
总的可以看出，对于电力行业信息系统安全等级保护，建立及实施了基本要求，有效控制了信息系统安全环境，减少安全事故、预防潜在风险，为我国电力行业安全带来重要保障。
信息系统安全等级保护基本要求
目次前言 (IX)引言 (X)1 范围 (11)2规范性引用文件 (11)3术语和定义 (11)4信息系统安全等级保护概述 (11)4.1 信息系统安全保护等级 (11)4.2 不同等级的安全保护能力 (11)4.3 基本技术要求和基本管理要求 (12)4.4 基本技术要求的三种类型 (12)5第一级基本要求 (12)5.1 技术要求 (12)5.1.1物理安全 (12)5.1.1.1 物理访问控制（G1） (12)5.1.1.2 防盗窃和防破坏（G1） (12)5.1.1.3 防雷击（G1） (13)5.1.1.4 防火（G1） (13)5.1.1.5 防水和防潮（G1） (13)5.1.1.6 温湿度控制（G1） (13)5.1.1.7 电力供应（A1） (13)5.1.2网络安全 (13)5.1.2.1 结构安全（G1） (13)5.1.2.2 访问控制（G1） (13)5.1.2.3 网络设备防护（G1） (13)5.1.3主机安全 (13)5.1.3.1 身份鉴别（S1） (13)5.1.3.2 访问控制（S1） (13)5.1.3.3 入侵防范（G1） (14)5.1.3.4 恶意代码防范（G1） (14)5.1.4应用安全 (14)5.1.4.1 身份鉴别（S1） (14)5.1.4.2 访问控制（S1） (14)5.1.4.3 通信完整性（S1） (14)5.1.4.4 软件容错（A1） (14)5.1.5数据安全及备份恢复 (14)5.1.5.1 数据完整性（S1） (14)5.1.5.2 备份和恢复（A1） (14)5.2 管理要求 (14)5.2.1安全管理制度 (14)5.2.1.1 管理制度（G1） (14)5.2.1.2 制定和发布（G1） (14)5.2.2安全管理机构 (14)I5.2.2.1 岗位设置（G1） (14)5.2.2.2 人员配备（G1） (14)5.2.2.3 授权和审批（G1） (14)5.2.2.4 沟通和合作（G1） (15)5.2.3人员安全管理 (15)5.2.3.1 人员录用（G1） (15)5.2.3.2 人员离岗（G1） (15)5.2.3.3 安全意识教育和培训（G1） (15)5.2.3.4 外部人员访问管理（G1） (15)5.2.4系统建设管理 (15)5.2.4.1 系统定级（G1） (15)5.2.4.2 安全方案设计（G1） (15)5.2.4.3 产品采购和使用（G1） (15)5.2.4.4 自行软件开发（G1） (15)5.2.4.5 外包软件开发（G1） (15)5.2.4.6 工程实施（G1） (16)5.2.4.7 测试验收（G1） (16)5.2.4.8 系统交付（G1） (16)5.2.4.9 安全服务商选择（G1） (16)5.2.5系统运维管理 (16)5.2.5.1 环境管理（G1） (16)5.2.5.2 资产管理（G1） (16)5.2.5.3 介质管理（G1） (16)5.2.5.4 设备管理（G1） (16)5.2.5.5 网络安全管理（G1） (17)5.2.5.6 系统安全管理（G1） (17)5.2.5.7 恶意代码防范管理（G1） (17)5.2.5.8 备份与恢复管理（G1） (17)5.2.5.9 安全事件处置（G1） (17)6第二级基本要求 (17)6.1 技术要求 (17)6.1.1物理安全 (17)6.1.1.1 物理位置的选择（G2） (17)6.1.1.2 物理访问控制（G2） (17)6.1.1.3 防盗窃和防破坏（G2） (17)6.1.1.4 防雷击（G2） (18)6.1.1.5 防火（G2） (18)6.1.1.6 防水和防潮（G2） (18)6.1.1.7 防静电（G2） (18)6.1.1.8 温湿度控制（G2） (18)6.1.1.9 电力供应（A2） (18)6.1.1.10 电磁防护（S2） (18)6.1.2网络安全 (18)6.1.2.1 结构安全（G2） (18)II6.1.2.2 访问控制（G2） (18)6.1.2.3 安全审计（G2） (19)6.1.2.4 边界完整性检查（S2） (19)6.1.2.5 入侵防范（G2） (19)6.1.2.6 网络设备防护（G2） (19)6.1.3主机安全 (19)6.1.3.1 身份鉴别（S2） (19)6.1.3.2 访问控制（S2） (19)6.1.3.3 安全审计（G2） (19)6.1.3.4 入侵防范（G2） (20)6.1.3.5 恶意代码防范（G2） (20)6.1.3.6 资源控制（A2） (20)6.1.4应用安全 (20)6.1.4.1 身份鉴别（S2） (20)6.1.4.2 访问控制（S2） (20)6.1.4.3 安全审计（G2） (20)6.1.4.4 通信完整性（S2） (20)6.1.4.5 通信保密性（S2） (20)6.1.4.6 软件容错（A2） (21)6.1.4.7 资源控制（A2） (21)6.1.5数据安全及备份恢复 (21)6.1.5.1 数据完整性（S2） (21)6.1.5.2 数据保密性（S2） (21)6.1.5.3 备份和恢复（A2） (21)6.2 管理要求 (21)6.2.1安全管理制度 (21)6.2.1.1 管理制度（G2） (21)6.2.1.2 制定和发布（G2） (21)6.2.1.3 评审和修订（G2） (21)6.2.2安全管理机构 (21)6.2.2.1 岗位设置（G2） (21)6.2.2.2 人员配备（G2） (22)6.2.2.3 授权和审批（G2） (22)6.2.2.4 沟通和合作（G2） (22)6.2.2.5 审核和检查（G2） (22)6.2.3人员安全管理 (22)6.2.3.1 人员录用（G2） (22)6.2.3.2 人员离岗（G2） (22)6.2.3.3 人员考核（G2） (22)6.2.3.4 安全意识教育和培训（G2） (22)6.2.3.5 外部人员访问管理（G2） (22)6.2.4系统建设管理 (23)6.2.4.1 系统定级（G2） (23)6.2.4.2 安全方案设计（G2） (23)III6.2.4.3 产品采购和使用（G2） (23)6.2.4.4 自行软件开发（G2） (23)6.2.4.5 外包软件开发（G2） (23)6.2.4.6 工程实施（G2） (23)6.2.4.7 测试验收（G2） (23)6.2.4.8 系统交付（G2） (24)6.2.4.9 安全服务商选择（G2） (24)6.2.5系统运维管理 (24)6.2.5.1 环境管理（G2） (24)6.2.5.2 资产管理（G2） (24)6.2.5.3 介质管理（G2） (24)6.2.5.4 设备管理（G2） (24)6.2.5.5 网络安全管理（G2） (25)6.2.5.6 系统安全管理（G2） (25)6.2.5.7 恶意代码防范管理（G2） (25)6.2.5.8 密码管理（G2） (25)6.2.5.9 变更管理（G2） (25)6.2.5.10 备份与恢复管理（G2） (26)6.2.5.11 安全事件处置（G2） (26)6.2.5.12 应急预案管理（G2） (26)7第三级基本要求 (26)7.1 技术要求 (26)7.1.1物理安全 (26)7.1.1.1 物理位置的选择（G3） (26)7.1.1.2 物理访问控制（G3） (26)7.1.1.3 防盗窃和防破坏（G3） (26)7.1.1.4 防雷击（G3） (27)7.1.1.5 防火（G3） (27)7.1.1.6 防水和防潮（G3） (27)7.1.1.7 防静电（G3） (27)7.1.1.8 温湿度控制（G3） (27)7.1.1.9 电力供应（A3） (27)7.1.1.10 电磁防护（S3） (27)7.1.2网络安全 (28)7.1.2.1 结构安全（G3） (28)7.1.2.2 访问控制（G3） (28)7.1.2.3 安全审计（G3） (28)7.1.2.4 边界完整性检查（S3） (28)7.1.2.5 入侵防范（G3） (29)7.1.2.6 恶意代码防范（G3） (29)7.1.2.7 网络设备防护（G3） (29)7.1.3主机安全 (29)7.1.3.1 身份鉴别（S3） (29)7.1.3.2 访问控制（S3） (29)IV7.1.3.3 安全审计（G3） (30)7.1.3.4 剩余信息保护（S3） (30)7.1.3.5 入侵防范（G3） (30)7.1.3.6 恶意代码防范（G3） (30)7.1.3.7 资源控制（A3） (30)7.1.4应用安全 (30)7.1.4.1 身份鉴别（S3） (31)7.1.4.2 访问控制（S3） (31)7.1.4.3 安全审计（G3） (31)7.1.4.4 剩余信息保护（S3） (31)7.1.4.5 通信完整性（S3） (31)7.1.4.6 通信保密性（S3） (31)7.1.4.7 抗抵赖（G3） (31)7.1.4.8 软件容错（A3） (32)7.1.4.9 资源控制（A3） (32)7.1.5数据安全及备份恢复 (32)7.1.5.1 数据完整性（S3） (32)7.1.5.2 数据保密性（S3） (32)7.1.5.3 备份和恢复（A3） (32)7.2 管理要求 (32)7.2.1安全管理制度 (32)7.2.1.1 管理制度（G3） (32)7.2.1.2 制定和发布（G3） (33)7.2.1.3 评审和修订（G3） (33)7.2.2安全管理机构 (33)7.2.2.1 岗位设置（G3） (33)7.2.2.2 人员配备（G3） (33)7.2.2.3 授权和审批（G3） (33)7.2.2.4 沟通和合作（G3） (34)7.2.2.5 审核和检查（G3） (34)7.2.3人员安全管理 (34)7.2.3.1 人员录用（G3） (34)7.2.3.2 人员离岗（G3） (34)7.2.3.3 人员考核（G3） (34)7.2.3.4 安全意识教育和培训（G3） (34)7.2.3.5 外部人员访问管理（G3） (35)7.2.4系统建设管理 (35)7.2.4.1 系统定级（G3） (35)7.2.4.2 安全方案设计（G3） (35)7.2.4.3 产品采购和使用（G3） (35)7.2.4.4 自行软件开发（G3） (35)7.2.4.5 外包软件开发（G3） (36)7.2.4.6 工程实施（G3） (36)7.2.4.7 测试验收（G3） (36)V7.2.4.8 系统交付（G3） (36)7.2.4.9 系统备案（G3） (36)7.2.4.10 等级测评（G3） (37)7.2.4.11 安全服务商选择（G3） (37)7.2.5系统运维管理 (37)7.2.5.1 环境管理（G3） (37)7.2.5.2 资产管理（G3） (37)7.2.5.3 介质管理（G3） (37)7.2.5.4 设备管理（G3） (38)7.2.5.5 监控管理和安全管理中心（G3） (38)7.2.5.6 网络安全管理（G3） (38)7.2.5.7 系统安全管理（G3） (39)7.2.5.8 恶意代码防范管理（G3） (39)7.2.5.9 密码管理（G3） (39)7.2.5.10 变更管理（G3） (39)7.2.5.11 备份与恢复管理（G3） (39)7.2.5.12 安全事件处置（G3） (40)7.2.5.13 应急预案管理（G3） (40)8第四级基本要求.......................................................错误!未定义书签。
电力行业信息系统安全等级保护基本要求[整理]
![电力行业信息系统安全等级保护基本要求[整理]](https://img.taocdn.com/s3/m/f5d37976dd3383c4ba4cd28f.png)
体系常识汇编Compilation of system knowledge20XXDL电力职业网络与信息安全领导小组作业室201×-××-××施行201×-××-××发布电力职业信息体系安全等级维护根本要求Baseline for classified protection of power industry information system（征求定见稿）ICSDL/T ××××—××××中华人民共和国电力职业规范目次前言V引言VI榜首部分通用要求11 适用规模12 规范性参阅文件13 术语和界说14 信息体系安全等级维护概述14.1 信息体系安全维护等级14.2 不平等级的安全维护才干14.3 全体要求、根本技能要求和根本处理要求2 4.4 根本技能要求的三种类型2第二部分：处理信息体系类要求45 全体要求45.1 全体技能要求45.2 全体处理要求46 榜首级根本要求56.1 技能要求56.1.1 物理安全56.1.2 网络安全56.1.3 主机安全66.1.4 运用安全66.1.5 数据安全及备份康复7 6.2 处理要求76.2.1 安全处理原则76.2.2 安全处理安排76.2.3 人员安全处理76.2.4 体系建造处理86.2.5 体系运维处理97 第二级根本要求107.1 技能要求107.1.1 物理安全107.1.2 网络安全117.1.3 主机安全137.1.4 运用安全147.1.5 数据安全157.2 处理要求157.2.1 安全处理原则15 7.2.2 安全处理安排16 7.2.3 人员安全处理16 7.2.4 体系建造处理177.2.5 体系运维处理198 第三级根本要求21 8.1 技能要求228.1.1 物理安全228.1.2 网络安全238.1.3 主机安全258.1.4 运用安全278.1.5 数据安全298.2 处理要求298.2.1 安全处理原则298.2.2 安全处理安排308.2.3 人员安全处理318.2.4 体系建造处理328.2.5 体系运维处理35第三部分：出产操控信息体系类要求40 9 全体要求409.1 全体技能要求409.2 全体处理要求4010 榜首级根本要求4110.1 技能要求4110.1.1 物理安全4110.1.2 网络安全4110.1.3 主机安全4210.1.4 运用安全4210.1.5 数据安全及备份康复42 10.2 处理要求4210.2.1 安全处理原则4210.2.2 安全处理安排4310.2.3 人员安全处理4310.2.4 体系建造处理4410.2.5 体系运维处理4511 第二级根本要求4611.1 技能要求4611.1.1 物理安全4611.1.2 网络安全4711.1.3 主机安全4811.1.4 运用安全4911.1.5 数据安全5011.2 处理要求5111.2.1 安全处理原则51 11.2.2 安全处理安排51 11.2.3 人员安全处理52 11.2.4 体系建造处理5211.2.5 体系运维处理5412 第三级根本要求56 12.1 技能要求5612.1.1 物理安全56 12.1.2 网络安全58 12.1.3 主机安全60 12.1.4 运用安全61 12.1.5 数据安全63 12.2 处理要求6312.2.1 安全处理原则63 12.2.2 安全处理安排64 12.2.3 人员安全处理6512.2.4 体系建造处理6612.2.5 体系运维处理6813 第四级根本要求7113.1 技能要求7113.1.1 物理安全7213.1.2 网络安全7313.1.3 主机安全7513.1.4 运用安全7613.1.5 数据安全7813.2 处理要求7813.2.1 安全处理原则7813.2.2 安全处理安排7913.2.3 人员安全处理8013.2.4 体系建造处理8113.2.5 体系运维处理84附录A 关于信息体系全体安全维护才干的要求88附录B 根本安全要求的挑选和运用90参阅文献92前言本规范的附录A和附录B是规范性附录。
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求目录1 第二级基本要求11.1技术要求11.1.1物理安全11.1.1.1物理位置的选择（G2）11.1.1.2物理访问控制（G2）11.1.1.3防盗窃和防破坏（G2）11.1.1.4防雷击（G2）11.1.1.5防火（G2）21.1.1.6防水和防潮（G2）21.1.1.7防静电（G2）21.1.1.8温湿度控制（G2）21.1.1.9电力供应（A2）21.1.1.10电磁防护（S2）21.1.2网络安全31.1.2.1结构安全（G2）31.1.2.2访问控制（G2）31.1.2.3安全审计（G2）31.1.2.4边界完整性检查（S2）41.1.2.5入侵防范（G2）41.1.2.6网络设备防护（G2）41.1.3主机安全51.1.3.1身份鉴别（S2）51.1.3.2访问控制（S2）51.1.3.3安全审计（G2）51.1.3.4入侵防范（G2）61.1.3.5恶意代码防范（G2）61.1.3.6资源控制（A2）61.1.4应用安全61.1.4.1身份鉴别（S2）61.1.4.2访问控制（S2）71.1.4.3安全审计（G2）71.1.4.4通信完整性（S2）71.1.4.5通信保密性（S2）81.1.4.6软件容错（A2）81.1.4.7资源控制（A2）81.1.5数据安全81.1.5.1数据完整性（S2）81.1.5.2数据保密性（S2）81.1.5.3备份和恢复（A2）91.2管理要求91.2.1安全管理制度91.2.1.1管理制度（G2）91.2.1.2制定和发布（G2）91.2.1.3评审和修订（G2）101.2.2安全管理机构101.2.2.1岗位设置（G2）101.2.2.2人员配备（G2）101.2.2.3资金保障（G2）101.2.2.4授权和审批（G2）101.2.2.5沟通和合作（G2）111.2.2.6审核和检查（G2）111.2.3人员安全管理111.2.3.1人员录用（G2）111.2.3.2人员离岗（G2）111.2.3.3人员考核（G2）121.2.3.4安全意识教育和培训（G2）121.2.3.5外部人员访问管理（G2）121.2.4 系统建设管理121.2.4.1系统定级（G2）121.2.4.2安全方案设计（G2）131.2.4.3产品采购和使用（G2）131.2.4.4自行软件开发（G2）131.2.4.5外包软件开发（G2）131.2.4.6工程实施（G2）141.2.4.7测试验收（G2）141.2.4.8系统交付（G2）141.2.4.9安全服务商选择（G2）141.2.5系统运维管理151.2.5.1 环境管G2) 151.2.5.2 资产管理（G2) 151.2.5.3 介质管理（G2) 151.2.5.4 设备管理（G2) 161.2.5.5 网络安全管理（G2) 161.2.5.6 系统安全管理（G2) 161.2.5.7 恶意代码防范管理（G2)171.2.5.8 密码管理（G2) 171.2.5.9 变更管G2) 17 1.2.5.10 备份与恢复管理（G2）181.2.5.11 安全事件处置（G2）181.2.5.12 应急预案管理（G2）181 第二级基本要求1.1技术要求1.1.1物理安全1.1.1.1物理位置的选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。
信息系统安全等级保护基本要求
蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1范围本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求随着信息技术在电力行业中的广泛应用，电力行业信息系统安全问题日益凸显。
为了保护电力行业的信息安全，提高电力行业信息系统的安全等级，国家制定了电力行业信息系统安全等级保护基本要求。
以下是这些基本要求的详细介绍。
一、基本要求的概述基本要求包括安全等级划分、安全技术要求、安全管理要求、监督检查要求等方面内容。
二、安全等级划分根据不同的保护需求，将电力行业信息系统分为五个等级，从低到高分别是一级、二级、三级、四级、五级。
三、安全技术要求安全技术要求包括电力行业信息系统安全的要求和控制措施。
控制措施包括访问控制、身份认证、数据加密、安全传输、安全审计等方面。
四、安全管理要求安全管理要求包括组织管理、安全策略和规程、人员安全管理、物理环境管理等方面。
组织管理主要涉及电力行业信息系统安全的组织机构、职责划分和人员配备。
安全策略和规程要求制定合理的安全策略和规程，明确安全责任、权限和流程。
人员安全管理要求对操作人员进行安全培训，确保人员的安全意识和安全素质。
物理环境管理要求对信息系统的机房、终端设备等进行有效的保护和管理。
五、监督检查要求监督检查要求包括自查、定期检查、不定期检查等方面。
自查是指电力企事业单位定期对信息系统进行自我评估，发现问题及时改进。
定期检查是指国家相关部门定期对电力行业信息系统进行检查，评估其安全状况。
不定期检查是指国家相关部门根据需要对电力行业信息系统进行突击检查。
六、其它要求此外，电力行业信息系统安全等级保护基本要求还包括突发事件处置、安全漏洞管理、信息共享和协作等方面的要求。
突发事件处置要求电力行业信息系统建立应急响应机制，及时处置信息安全事件。
安全漏洞管理要求建立漏洞监测和修复机制，及时修补系统中的漏洞。
信息共享和协作要求电力行业加强与相关部门的信息共享和协作，形成多方合作、共同防范的态势。
总之，电力行业信息系统安全等级保护基本要求对电力行业的信息系统进行了全面规范和保护，为电力行业信息安全提供了重要的技术和管理支持，有效保障了电力行业信息系统的安全等级。
04_电力行业等级保护基本要求(PPT36页)
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求(总101页)-CAL-FENGHAI.-(YICAI)-Company One1-CAL-本页仅作为文档封面，使用请直接删除ICSDL电力行业信息系统安全等级保护基本要求Baseline for classified protection of power industry informationsystem（征求意见稿）目次前言................................................................ 错误!未定义书签。
引言................................................................ 错误!未定义书签。
第一部分通用要求..................................................... 错误!未定义书签。
1 适用范围............................................................ 错误!未定义书签。
2 规范性参考文件...................................................... 错误!未定义书签。
3 术语和定义.......................................................... 错误!未定义书签。
4 信息系统安全等级保护概述............................................ 错误!未定义书签。
信息系统安全保护等级................................................. 错误!未定义书签。
不同等级的安全保护能力............................................... 错误!未定义书签。
电力行业信息系统安全等级保护基本要求三级
电力行业信息系统安全等级保护基本要求1 第三级基本要求 (1)1.1 技术要求 (1)1.1.1 物理安全 (1)1.1.1.1 物理位置的选择（G3） (1)1.1.1.2 物理访问控制（G3） (1)1.1.1.3 防盗窃和防破坏（G3） (2)1.1.1.4 防雷击（G3） (2)1.1.1.5 防火（G3） (2)1.1.1.6 防水和防潮（G3） (3)1.1.1.7 防静电（G3） (3)1.1.1.8 温湿度控制（G3） (3)1.1.1.9 电力供应（A3） (3)1.1.1.10 电磁防护（S3） (4)1.1.2 网络安全 (4)1.1.2.1 结构安全（G3） (4)1.1.2.2 访问控制（G3） (5)1.1.2.3 安全审计（G3） (6)1.1.2.4 边界完整性检查（S3） (6)1.1.2.5 入侵防范（G3） (7)1.1.2.6 恶意代码防范（G3） (7)1.1.2.7 网络设备防护（G3） (7)1.1.3 主机安全 (8)1.1.3.1 身份鉴别（S3） (8)1.1.3.2 访问控制（S3） (9)1.1.3.3 安全审计（G3） (10)1.1.3.4 剩余信息保护（S3） (11)1.1.3.5 入侵防范（G3） (11)1.1.3.6 恶意代码防范（G3） (11)1.1.3.7 资源控制（A3） (12)1.1.4 应用安全 (12)1.1.4.1 身份鉴别（S3） (12)1.1.4.2 访问控制（S3） (13)1.1.4.3 安全审计（G3） (14)1.1.4.4 剩余信息保护（S3） (14)1.1.4.5 通信完整性（S3） (15)1.1.4.6 通信保密性（S3） (15)1.1.4.7 抗抵赖（G3） (15)1.1.4.8 软件容错（A3） (15)1.1.4.9 资源控制（A3） (16)1.1.5 数据安全 (16)1.1.5.1 数据完整性（S3） (16)1.1.5.2 数据保密性（S3） (17)1.1.5.3 备份和恢复（A3） (17)1.2 管理要求 (17)1.2.1 安全管理制度 (17)1.2.1.1 管理制度（G3） (17)1.2.1.2 制定和发布（G3） (18)1.2.1.3 评审和修订（G3） (19)1.2.2 安全管理机构 (19)1.2.2.1 岗位设置（G3） (19)1.2.2.2 人员配备（G3） (19)1.2.2.3 资金保障（G3） (20)1.2.2.4 授权和审批（G3） (20)1.2.2.5 沟通和合作（G3） (21)1.2.2.6 审核和检查（G3） (21)1.2.3 人员安全管理 (22)1.2.3.1 人员录用（G3） (22)1.2.3.2 人员离岗（G3） (22)1.2.3.3 人员考核（G3） (23)1.2.3.4 安全意识教育和培训（G3） (23)1.2.3.5 外部人员访问管理（G3） (23)1.2.4 系统建设管理 (24)1.2.4.1 系统定级（G3） (24)1.2.4.2 安全方案设计（G3） (24)1.2.4.3 产品采购和使用（G3） (25)1.2.4.4 自行软件开发（G3） (26)1.2.4.5 外包软件开发（G3） (26)1.2.4.6 工程实施（G3） (27)1.2.4.7 测试验收（G3） (27)1.2.4.8 系统交付（G3） (27)1.2.4.9 系统备案（G3） (28)1.2.4.10 等级测评（G3） (28)1.2.4.11 安全服务商选择（G3） (29)1.2.5 系统运维管理 (29)1.2.5.1 环境管理（G3） (29)1.2.5.2 资产管理（G3） (30)1.2.5.3 介质管理（G3） (30)1.2.5.4 设备管理（G3） (31)1.2.5.5 监控管理和安全管理中心（G3） (32)1.2.5.6 网络安全管理（G3） (32)1.2.5.7 系统安全管理（G3） (33)1.2.5.8 恶意代码防范管理（G3） (34)1.2.5.9 密码管理（G3） (35)1.2.5.10 变更管理（G3） (35)1.2.5.11 备份与恢复管理（G3） (35)1.2.5.12 安全事件处置（G3） (36)1.2.5.13 应急预案管理（G3） (37)1 第三级基本要求1.1 技术要求1.1.1 物理安全1.1.1.1 物理位置的选择（G3）本项要求包括：a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁,如果不可避免，应采取有效防水措施。
信息系统安全等级保护基本要求(三级要求)资料
信息系统安全等级保护基本要求(三级要求)资料信息系统安全等级保护基本要求2第三级安全保护能力：应能够在统一安全战略下防护系统免受来自外部有构造的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的天然灾害、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全变乱，在系统遭到损害后，能够较快恢复绝大部分功能。
1三级基本要求1.1技术要求1.1.1物理安全1.1.1.1物理位置的选择（G3）本项要求包括：a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。
1.1.1.2物理访问控制（G3）本项要求包括：a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；b)需进入机房的来访人员应颠末申请和审批流程，并限定和监控其活动范围；c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。
1.1.1.3防盗窃和防破损（G3）本项要求包括：a)应将主要设备放置在机房内；b)应将设备或主要部件进行固定，并设置明显的不易除去的标记；c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；d)应对介质分类标识，存储在介质库或档案室中；e)应利用光、电等技术设置机房防盗报警系统；f)应对机房设置监控报警系统。
1.1.1.4防雷击（G3）本项要求包括：a)机房建筑应设置避雷装置；b)应设置防雷保安器，防止感应雷；c)机房应设置交流电源地线。
1.1.1.5防火（G3）本项要求包括：a)机房应设置火警自动消防系统，能够自动检测火情、自动报警，并自动灭火；b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；c)机房应采取区域断绝防火步伐，将重要设备与其他设备断绝开。
31.1.1.6防水和防潮（G3）本项要求包括：a)水管安装，不得穿过机房屋顶和活动地板下；b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；c)应采取步伐防止机房内水蒸气结露和地下积水的转移与渗透；d)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
电力行业信息系统安全等级保护基本要求修订稿
电力行业信息系统安全等级保护基本要求 WEIHUA system office room 【WEIHUA 16H-WEIHUA WEIHUA8Q8-ICSDL电力行业信息系统安全等级保护基本要求Baseline for classified protection of power industry information system（征求意见稿）电力行业网络与信息安全领导小组办公室目次前言 (V)引言 (VI)第一部分通用要求 (1)1适用范围 (1)2规范性参考文件 (1)3术语和定义 (1)4信息系统安全等级保护概述 (1)信息系统安全保护等级 (1)不同等级的安全保护能力 (1)总体要求、基本技术要求和基本管理要求 (2)基本技术要求的三种类型 (2)第二部分：管理信息系统类要求 (4)5 总体要求 (4)总体技术要求 (4)总体管理要求 (4)6第一级基本要求 (5)技术要求 (5)物理安全 (5)网络安全 (5)主机安全 (6)应用安全 (6)数据安全及备份恢复 (7)管理要求 (7)安全管理制度 (7)安全管理机构 (7)人员安全管理 (7)系统建设管理 (8)系统运维管理 (9)7第二级基本要求 (10)技术要求 (10)物理安全 (10)网络安全 (11)主机安全 (13)应用安全 (14)数据安全 (15)管理要求 (15)安全管理制度 (15)安全管理机构 (16)人员安全管理 (16)系统建设管理 (17)系统运维管理 (19)8第三级基本要求 (21)技术要求 (22)物理安全 (22)网络安全 (23)主机安全 (25)应用安全 (27)数据安全 (29)管理要求 (29)安全管理制度 (29)安全管理机构 (30)人员安全管理 (31)系统建设管理 (32)系统运维管理 (35)第三部分：生产控制信息系统类要求 (40)9 总体要求 (40)总体技术要求 (40)总体管理要求 (40)10第一级基本要求 (41)技术要求 (41)物理安全 (41)网络安全 (41)主机安全 (42)应用安全 (42)数据安全及备份恢复 (42)管理要求 (42)安全管理制度 (42)安全管理机构 (43)人员安全管理 (43)系统建设管理 (44)系统运维管理 (45)11第二级基本要求 (46)技术要求 (46)物理安全 (46)网络安全 (47)主机安全 (48)应用安全 (49)数据安全 (50)管理要求 (51)安全管理制度 (51)安全管理机构 (51)人员安全管理 (52)系统建设管理 (52)系统运维管理 (54)12第三级基本要求 (56)技术要求 (56)物理安全 (56)网络安全 (58)主机安全 (60)应用安全 (61)数据安全 (63)管理要求 (63)安全管理制度 (63)安全管理机构 (64)人员安全管理 (65)系统建设管理 (66)系统运维管理 (68)13第四级基本要求 (71)技术要求 (71)物理安全 (72)网络安全 (73)主机安全 (75)应用安全 (76)数据安全 (78)管理要求 (78)安全管理制度 (78)安全管理机构 (79)人员安全管理 (80)系统建设管理 (81)系统运维管理 (84)附录A 关于信息系统整体安全保护能力的要求 (88)附录B 基本安全要求的选择和使用 (90)参考文献 (92)前言本标准的附录A和附录B是规范性附录。
信息系统安全等级保护基本要求
信息系统安全等级保护基本要求信息系统安全等级保护是指在安全风险评估的基础上，通过实行相应的技术、管理和组织措施，保障信息系统的安全性、完整性、可用性，防止信息泄露、篡改、破坏和否认等安全事件的发生。
信息系统安全等级保护已成为各个行业的必需和政府组织的紧要任务，对于保障国家安全、保护企业利益和个人隐私具有特别紧要的意义。
本文将从安全等级的划分、保护要求和管理措施三个方面介绍信息系统安全等级保护基本要求。
一、安全等级的划分信息系统安全等级的划分需要依据信息系统的紧要性、敏感度、保密等级、功能需求和安全风险等级等方面进行评估。
我国安全等级管理体系共分为四个等级：初级、一级、二级、三级。
其中四个等级分别对信息系统的保护要求进行了不同的划分，大体分为以下几个方面。
1.初级保护初级保护适用于对信息曝光和信息服务进行简单保护的网络系统，划分在初级保护等级的信息系统重要是一般的网站和信息发布平台。
初级保护作为等级保护中的最低级别，在保障系统基本的安全性和完整性的同时，强调在安全使用和管理上的规范。
保护要求：初级保护要求系统采纳常规火墙、入侵检测、杀毒软件等技术手段进行保护。
系统设置应采纳最小权限原则，用户权限仅限于其职权范围内。
同时，定期备份数据，完整记录、存储和管理系统日志。
2.一级保护一级保护适用于需要进行基本保密的网络系统，一级保护重要适用于机构、公司内部的信息系统，以对信息的渗透和泄露进行肯定的保护。
保护要求：在一级保护中，系统可以采纳多层次安全防护体系，采纳IPSEC、VPN、SSL等方式进行数据传输加密及用户身份认证。
系统的日志备份要定期进行，备份数据要保证数据的完整性和适时性。
同时，对于系统中的数据能够进行备份、存储和恢复功能的测试。
3.二级保护二级保护适用于国家紧要部门以及紧要企业的需要保密的网络系统，二级保护重要适用于信息敏感度高、保密性强、危害性大的信息系统。
保护要求：在二级保护的系统中需要采纳安全认证、虚拟专用网、访问掌控等多种保护手段，使得系统的可用性、牢靠性和安全性得到加强。
信息系统安全等级保护基本要求
资料范本本资料为word版本，可以直接编辑和打印，感谢您的下载信息系统安全等级保护基本要求地点：__________________时间：__________________说明：本资料适用于约定双方经过谈判，协商而共同承认，共同遵守的责任与义务，仅供参考，文档可直接下载或修改，不需要的部分可直接删除，使用时请详细阅读内容蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
2023-电力行业信息系统安全等级保护基本要求-1
电力行业信息系统安全等级保护基本要求电力行业信息系统安全等级保护基本要求是指在电力行业信息系统运行过程中所要满足的安全要求，其目的是确保电力行业信息系统运行的可靠性和安全性，保护用户和相关利益方的合法权益。
下面，我们将围绕电力行业信息系统安全等级保护基本要求展开阐述。
第一步：建立安全保护体系为确保电力行业信息系统运行的安全性，必须建立完善的安全保护体系。
这一体系包括信息系统安全管理、网络安全防护、应急响应、安全技术保障等方面。
建立安全保护体系是电力系统信息安全等级保护的基础，只有这些基本工作做得扎实、有效，才能形成一套完善、可靠、高效的信息安全保障机制。
第二步：设立安全保护的技术措施基于电力行业信息系统的特点与需求，必须采取相应的技术措施来确保信息系统运行的安全性。
其中，设立安全保护的技术措施包括：网络安全防护、程序安全、数据安全、物理安全等方面。
这些措施不仅要防止网络攻击的威胁，还要保护电力行业信息系统的数据、设备等重要资源的安全。
第三步：制定管理规定和保障措施制定管理规定和保障措施是保障电力行业信息系统安全的重要步骤。
这些规定和措施必须与当前的技术和管理需求相匹配，灵活适用，保障管理高效、稳定、协调。
同时，要制定电力行业信息系统安全保障的应急预案，一旦系统出现安全事件，能够快速、有效地做出响应，保障用户和相关利益方的合法权益。
第四步：建立信息安全验收和监督机制为确保电力行业信息系统安全等级的持续保障，必须建立一套完善的信息安全验收和监督机制。
该机制要坚持风险评估与监控相结合的原则，对电力行业信息系统安全等级保护工作进行动态监测和评估，及时发现和纠正信息安全问题，保障电力行业信息系统的安全、稳定、高效运行。
总之，电力行业信息系统安全等级保护基本要求围绕“建立安全保护体系、设立安全保护的技术措施、制定管理规定和保障措施、建立信息安全验收和监督机制”等方面展开。
只有加强对信息安全工作的规范和科学管理，才能确保电力行业信息系统的安全、稳定、高效运行，保护用户和相关利益方的合法权益。
信息系统安全等级保护基本要求(三级要求)
信息系统安全等级保护基本要求(三级要求)信息系统安全等级保护基本要求1 三级基本要求 (6)1.1 技术要求 (6)1.1.1 物理安全 (6)1.1.1.1 物理位置的选择（G3） (6)1.1.1.2 物理访问控制（G3） (6)1.1.1.3 防盗窃和防破坏（G3） (7)1.1.1.4 防雷击（G3） (7)1.1.1.5 防火（G3） (8)1.1.1.6 防水和防潮（G3） (8)1.1.1.7 防静电（G3） (8)1.1.1.8 温湿度控制（G3） (9)1.1.1.9 电力供应（A3） (9)1.1.1.10 电磁防护（S3） (9)1.1.2 网络安全 (10)1.1.2.1 结构安全（G3） (10)1.1.2.2 访问控制（G3） (10)1.1.2.3 安全审计（G3） (11)1.1.2.4 边界完整性检查（S3） (12)1.1.2.5 入侵防范（G3） (12)1.1.2.6 恶意代码防范（G3） (13)1.1.2.7 网络设备防护（G3） (13)1.1.3 主机安全 (14)1.1.3.1 身份鉴别（S3） (14)1.1.3.2 访问控制（S3） (14)1.1.3.3 安全审计（G3） (15)1.1.3.4 剩余信息保护（S3） (16)1.1.3.5 入侵防范（G3） (16)1.1.3.6 恶意代码防范（G3） (17)1.1.3.7 资源控制（A3） (17)1.1.4 应用安全 (18)1.1.4.1 身份鉴别（S3） (18)1.1.4.2 访问控制（S3） (18)1.1.4.3 安全审计（G3） (19)1.1.4.4 剩余信息保护（S3） (20)1.1.4.5 通信完整性（S3） (20)1.1.4.6 通信保密性（S3） (20)1.1.4.7 抗抵赖（G3） (20)1.1.4.8 软件容错（A3） (21)1.1.4.9 资源控制（A3） (21)1.1.5 数据安全及备份恢复 (22)1.1.5.1 数据完整性（S3） (22)1.1.5.2 数据保密性（S3） (22)1.1.5.3 备份和恢复（A3） (23)1.2 管理要求 (23)1.2.1 安全管理制度 (23)1.2.1.1 管理制度（G3） (23)1.2.1.2 制定和发布（G3） (24)1.2.1.3 评审和修订（G3） (24)1.2.2 安全管理机构 (25)1.2.2.1 岗位设置（G3） (25)1.2.2.2 人员配备（G3） (25)1.2.2.3 授权和审批（G3） (26)1.2.2.4 沟通和合作（G3） (26)1.2.2.5 审核和检查（G3） (27)1.2.3 人员安全管理 (28)1.2.3.1 人员录用（G3） (28)1.2.3.2 人员离岗（G3） (28)1.2.3.3 人员考核（G3） (29)1.2.3.4 安全意识教育和培训（G3） (29)1.2.3.5 外部人员访问管理（G3） (29)1.2.4 系统建设管理 (30)1.2.4.1 系统定级（G3） (30)1.2.4.2 安全方案设计（G3） (30)1.2.4.3 产品采购和使用（G3） (31)1.2.4.4 自行软件开发（G3） (32)1.2.4.5 外包软件开发（G3） (32)1.2.4.6 工程实施（G3） (33)1.2.4.7 测试验收（G3） (33)1.2.4.8 系统交付（G3） (34)1.2.4.9 系统备案（G3） (35)1.2.4.10 等级测评（G3） (35)1.2.4.11 安全服务商选择（G3） (36)1.2.5 系统运维管理 (36)1.2.5.1 环境管理（G3） (36)1.2.5.2 资产管理（G3） (37)1.2.5.3 介质管理（G3） (37)1.2.5.4 设备管理（G3） (38)1.2.5.5 监控管理和安全管理中心（G3）. 39 1.2.5.6 网络安全管理（G3） (40)1.2.5.7 系统安全管理（G3） (41)1.2.5.8 恶意代码防范管理（G3） (42)1.2.5.9 密码管理（G3） (43)1.2.5.10 变更管理（G3） (43)1.2.5.11 备份与恢复管理（G3） (43)1.2.5.12 安全事件处置（G3） (44)1.2.5.13 应急预案管理（G3） (45)第三级安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。
信息系统安全等级保护基本要求
蓝色部分是操作系统安全等级划分，红色部分是四级操作系统关于网络部分的要求:）《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准，本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，基本安全要求包括基本技术要求和基本管理要求，本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中，黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1范围本标准规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
电力行业信息系统安全等级保护基本要求管理信息类分册全国信息安全.doc
《工业控制系统测控终端安全要求（征求意见稿）》编制说明2014年6月一、编制背景针对目前工控现场测控设备存在的信息安全功能脆弱性和实现漏洞，亟需针对这些具有处理能力的现场测控设备制定信息安全要求标准，规范设备的安全功能和安全设计与实现，标准化有关部门、测评认证机构对设备的安全性评价、评估、认证基准。
2012年12月，中国电力科学研究院（以下简称中国电科院）与全国信息安全标准化技术委员会签订国家信息安全战略研究与标准制定工作专项项目任务书，开展《信息安全技术工业控制系统测控终端安全要求》标准的研究与编写工作。
二、编制依据1、《电力监管条例》（中华人民共和国国务院令第432号）、《电力行业网络与信息安全监督管理暂行规定》（电监信息[2007]50号）、《电力二次系统安全防护规定》（电监会5号令）等电监会规范性文件。
2、《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）、《信息技术安全技术信息技术安全性评估准则第2部分:安全功能要求》（GB/T 18336.2-2008/IEC 15408-2:2005）、NIST Special Publication 800-53 Revision 3 Recommended Security Controls for Federal Information Systems and Organizations、ISA-99.04.02 Security for industrial automation and control systems-Technical Security Requirements for IACS Components Draft 1 Edit 1等国家和国际标准。
三、标准范围本标准规定了工业控制系统现场测控终端设备的安全技术要求，适用于指导设备的安全设计、开发、测试与评估。
典型设备包括远程传输单元（RTU）、智能电子装置（IED）、可编程逻辑控制器（PLC）等。
电力行业信息系统安全等级保护基本要求之欧阳德创编
电力行业信息系统安全等级保护基本要求Baseline for classified protection of power industry information system（征求意见稿）目次前言 (V)引言................................................................................. V I 第一部分通用要求.. (1)1适用范围 (1)2规范性参考文件 (1)3术语和定义 (1)4信息系统安全等级保护概述 (1)4.1信息系统安全保护等级 (1)4.2不同等级的安全保护能力 (2)4.3总体要求、基本技术要求和基本管理要求 (2)4.4基本技术要求的三种类型 (3)第二部分：管理信息系统类要求 (4)5 总体要求 (4)5.1总体技术要求 (4)5.2总体管理要求 (4)6第一级基本要求 (5)6.1技术要求 (5)6.1.1物理安全 (5)6.1.2网络安全 (5)6.1.3主机安全 (6)6.1.4应用安全 (6)6.1.5数据安全及备份恢复 (7)6.2管理要求 (7)6.2.1安全管理制度 (7)6.2.2安全管理机构 (7)6.2.3人员安全管理 (8)6.2.4系统建设管理 (8)6.2.5系统运维管理 (10)7第二级基本要求 (12)7.1技术要求 (12)7.1.1物理安全 (12)7.1.2网络安全 (13)7.1.3主机安全 (15)7.1.4应用安全 (16)7.1.5数据安全 (18)7.2管理要求 (18)7.2.1安全管理制度 (18)7.2.2安全管理机构 (19)7.2.3人员安全管理 (20)7.2.4系统建设管理 (20)7.2.5系统运维管理 (23)8第三级基本要求 (26)8.1技术要求 (26)8.1.1物理安全 (26)8.1.2网络安全 (28)8.1.3主机安全 (31)8.1.4应用安全 (33)8.1.5数据安全 (36)8.2管理要求 (37)8.2.1安全管理制度 (37)8.2.2安全管理机构 (37)8.2.3人员安全管理 (39)8.2.4系统建设管理 (40)8.2.5系统运维管理 (44)第三部分：生产控制信息系统类要求 (50)9 总体要求 (50)9.1总体技术要求 (50)9.2总体管理要求 (51)10第一级基本要求 (51)10.1 技术要求 (51)10.1.1物理安全 (51)10.1.2网络安全 (51)10.1.3主机安全 (52)10.1.4应用安全 (52)10.1.5数据安全及备份恢复 (53)10.2 管理要求 (53)10.2.1安全管理制度 (53)10.2.2安全管理机构 (54)10.2.3人员安全管理 (54)10.2.4系统建设管理 (55)10.2.5系统运维管理 (56)11第二级基本要求 (58)11.1 技术要求 (58)11.1.1物理安全 (58)11.1.2网络安全 (59)11.1.3主机安全 (61)11.1.4应用安全 (62)11.1.5数据安全 (63)11.2 管理要求 (64)11.2.1安全管理制度 (64)11.2.2安全管理机构 (64)11.2.3人员安全管理 (65)11.2.4系统建设管理 (66)11.2.5系统运维管理 (68)12第三级基本要求 (71)12.1 技术要求 (71)12.1.1物理安全 (71)12.1.2网络安全 (73)12.1.3主机安全 (75)12.1.4应用安全 (77)12.1.5数据安全 (80)12.2 管理要求 (80)12.2.1安全管理制度 (80)12.2.2安全管理机构 (81)12.2.3人员安全管理 (83)12.2.4系统建设管理 (84)12.2.5系统运维管理 (87)13第四级基本要求 (91)13.1 技术要求 (91)13.1.1物理安全 (91)13.1.2网络安全 (93)13.1.3主机安全 (95)13.1.4应用安全 (98)13.1.5数据安全 (100)13.2 管理要求 (101)13.2.1安全管理制度 (101)13.2.2安全管理机构 (102)13.2.3人员安全管理 (103)13.2.4系统建设管理 (105)13.2.5系统运维管理 (108)附录A 关于信息系统整体安全保护能力的要求 (114)附录B 基本安全要求的选择和使用 (116)参考文献 (118)前言本标准的附录A和附录B是规范性附录。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《工业控制系统测控终端安全要求（征求意
见稿）》编制说明
2014年6月
一、编制背景
针对目前工控现场测控设备存在的信息安全功能脆弱性和实现漏洞，亟需针对这些具有处理能力的现场测控设备制定信息安全要求标准，规范设备的安全功能和安全设计与实现，标准化有关部门、测评认证机构对设备的安全性评价、评估、认证基准。
2012年12月，中国电力科学研究院（以下简称中国电科院）与全国信息安全标准化技术委员会签订国家信息安全战略研究与标准制定工作专项项目任务书，开展《信息安全技术工业控制系统测控终端安全要求》标准的研究与编写工作。
二、编制依据
1、《电力监管条例》（中华人民共和国国务院令第432号）、《电力行业网络与信息安全监督管理暂行规定》（电监信息[2007]50号）、《电力二次系统安全防护规定》（电监会5号令）等电监会规范性文件。
2、《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）、《信息技术安全技术信息技术安全性评估准则第2部分:安全功能要求》（GB/T 18336.2-2008/IEC 15408-2:2005）、NIST Special Publication 800-53 Revision 3 Recommended Security Controls for Federal Information Systems and Organizations、ISA-99.04.02 Security for industrial automation and control systems-Technical Security Requirements for IACS Components Draft 1 Edit 1等国家和国际标准。
三、标准范围
本标准规定了工业控制系统现场测控终端设备的安全技术要求，适用于指导设备的安全设计、开发、测试与评估。
典型设备包括远程传输单元（RTU）、智能电子装置（IED）、可编程逻辑控制器（PLC）等。
某些内容因涉及设备功能实现原理、工业控制系统整体管理和运行或仅仅是信息技术安全的外围技术，因此不在本标准范围之内。
四、编制过程
2013年2月，成立了由8家单位共同组成的标准编写组。
2013年3月28日，召开了《工业控制系统测控终端安全要求》标准编制工作启动会，确定了标准编制的技术思路、主要内容、标准框架及工作计划。
2013年5月，编写组采用研究与编制相结合的原则，采
用分散研究和集中讨论的形式，形成标准草案的结构、范围和对象描述。
2013年7月，初步完成标准草案中安全技术要求的编写，并在协调会上对标准的内容和工作进展进行了汇报。
2013年8月-9月，根据协调会意见对标准进行了修改，并编制完成安全分级与安全要求的对应关系。
2013年10月，同包括施奈德、西门子、上海自动化仪表公司、罗克韦尔登多个工控系统厂商对PLC设备的功能和安全需求进行了讨论，会后并对安全要求进行了调整。
2013年12月，在安标委的组织下，召开了标准初审会，编写组根据会上意见对初稿进行了调整，形成初稿中间稿。
2014年5月，在对初稿进行修改后，再一次召开了标准初审会，专家通过了标准初稿，并提出了修改意见。
工作组对根据专家意见对标准进行修改。
2014年6月，在安标委的组织下，进行了标准初稿的投标，工作组根据投票过程中专家提出的意见对标准进行了修改形成了标准征求意见稿。
五、主要内容
本标准参照GB/T1.1—2009《标准化工作导则第1部分：标准的结构和编写规则》进行编制。
标准的主要结构和内容如下：
目次
前言
引言
标准正文设6章：范围、规范性引用文件、术语和定义、缩略语、概述、安全技术要求。
附录A（规范性附录）安全功能要求汇总表
附录B（资料性附录）工控系统安全级及设备安全功能要求与能力安全级对应关系
附录C（资料性附录）典型工业控制系统现场测控设备功能与构成
附录D（资料性附录）重要信息安全术语和定义
5．安全技术要求
安全技术要求是通过嵌入式测控终端设备安全性分析得出的安全需求分析来的。
（1）典型攻击
终端可能遭受的攻击包括已知服务漏洞攻击、Fuzz测试攻击和非法访问等。
已知服务漏洞攻击：攻击者可以通过连接网络或外置网口对设备开启的服务进行扫描，利用已知的服务漏洞对设备进行攻击，获取设备的控制权限或读取配置，进而直接控制下层开关设备或向监控后台发送错误报告，导致误动。
Fuzz测试攻击：攻击者也可以对设备启用的端口进行监听，利用工具构造报文对设备进行Fuzz攻击，可能发现溢出漏洞或直接导致设备异常运行，或在对配置通信协议分析的基础上，构造恶意报文发送至配置端口，实现对设备配置的
修改或直接导致设备异常。
非法访问：对于有显示屏可以直接配置的设备，攻击者暴力猜测设备管理员口令，一旦成功将直接获取设备的控制权限。
（2）安全需求
为防止对设备的攻击，应保证设备本身具有必要的安全功能，如访问控制、授权与认证、安全审计、存储数据的机密性和完整性保护等。
另一方面，管理上要保证设备在设计与实现过程中应符合相关的安全开发要求，并经过必要安全测试。