02信息安全检测标准清单 - 国家电网
等保2.0一二三级测评指标大全
等保2.0测评详细指标（1-3级）PS：一级指标没有整理成表格，二三级整理成表格，看的会清晰一点。
一级测评要求指标一．技术安全大类1.安全的物理环境物理访问控制：机房出入口应安排专人值守或配置电子门禁系统，控制，鉴别和记录进入的人员。
防盗窃和破坏：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
防雷击：应将各类机柜，设施和设备等通过基地系统安全接地。
防火：机房应该设置灭火设备。
防水和防潮：应采取措施防止雨水通过机房窗户，屋顶和墙壁渗透。
温湿度控制：应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。
电力供应：应在机房供电线路上配置稳压器和过电压防护设备。
2.安全的通信网络通信传输：应采用检验技术保证通信过程中数据的完整性。
可信验证：可给予可信根对通信设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
3.安全的计算环境身份鉴别：1.应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份辨别信息具有复杂度要求并定期更换。
2.应具有登陆失败处理功能，应配置并启用结束会话，限制非法登录次数和挡登录连接超时自动退出等相关措施。
访问控制：1.应对登录的用户分配账户和权限2.应重命名或删除默认账户，修改默认账户的默认口令。
3.应及时删除或停用多余的，过期的账户，避免共享账户的存在。
入侵防范：1.应遵循最小安装的原则，仅安装需要的组件和应用程序。
2.应关闭不需要的系统服务，默认共享和高危端口。
恶意代码防范：应安装放恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
可信验证：可基于可信根对计算机设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
数据完整性：应采用检验技术保证重要数据在传输过程中的完整性。
数据备份恢复：应提供重要数据的本地数据备份与恢复功能。
4.安全的区域边界边界防护：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
等保测评2.0标准
等保测评2.0标准
等保测评2.0标准是指中国国家信息安全等级保护制度中的一
项安全评估标准。
该标准被广泛应用于评估信息系统的安全性和满足相关法律法规的要求，以确保信息系统的保密性、完整性、可用性和可控性。
等保测评2.0标准包括七个等级，分别为一级到七级，等级越
高要求越严格。
每个等级都有对应的安全要求和评估指标，包括技术要求、管理要求和工程建设要求等方面。
在等保测评2.0标准中，具体的评估指标包括：网络与终端安全、服务器与存储安全、数据安全、应用系统安全、密钥管理安全、安全运维管理、安全事件与应急管理、人员安全管理等。
通过进行等保测评，组织可以了解自身信息系统的安全状况，有针对性地修复和改进系统中的安全问题，提高信息系统的安全性和可信度。
同时，符合等保测评2.0标准也是企业在信息
安全方面的合规要求，能够获得相关行业和政府部门的认可和信任。
M30内六角螺栓的尺寸标准主要包括直径、螺距和螺栓长度。
直径：M30表示螺栓的直径为30mm。
螺距：M30的螺距为3.5mm。
螺栓长度：根据具体应用的需要，螺栓长度可以有不同的要求，例如M30x60表示螺栓的长度为60mm。
此外，螺栓的材质和表面处理也是标准中需要考虑的因素。
电力信息安全水平评价指标
电力信息安全水平评价指标1 范围本标准规定了电力信息安全水平评价指标，描述了评价指标量化方法。
本标准适用于电力监管机构对电网、发电、电力科研及电力设计施工等电力组织机构开展信息安全水平评价，也适用于上述电力组织机构开展信息安全水平自评价。
信息安全服务提供商为电力组织机构提供服务时也可参考使用。
2 电力信息安全水平评价指标框架及量化方法2.1 评价指标框架电力信息安全水平评价指标分为组织体系、规章制度、资金保障、人员安全管理、服务外包管控、关键信息资产管控、信息系统建设安全管理、安全分区防御、网络安全防护、主机和设备安全防护、应用系统和数据安全防护、物理环境安全防护、信息系统运行安全管理、灾难恢复和应急管理等15类，共70项。
表1描述了电力信息安全水平评价指标框架。
1232.2 评价指标项描述评价指标项包含评价要素、指标权重、指标属性和量化方法四个部分，四个部分含义分别为：a) 评价要素：说明每个评价指标项的具体评价内容和要求，在定性评价指标项中描述组织机构信息安全工作应达到的水平，在定量评价指标项中描述应从组织机构信息安全工作中提取的具体量值。
b) 指标权重：每个评价指标项被赋予一个参考数值，以反映其相对于其他评价指标项的重要程度。
在水平评价实施过程中，如果部分评价指标项不适用于被评价组织机构，此部分评价指标项的权重按0计。
c) 指标属性：每个评价指标项的属性为“定性指标”和“定量指标”之一。
d) 量化方法：每个评价指标项的量化方法为“判断法”、“比率值法”和“选项赋值法”之一。
2.3 量化方法2.3.1 评价指标项量化方法 2.3.1.1 判断法根据组织机构信息安全工作实际情况是否符合评价要素描述，为评价指标项赋予量化值，表2列出了评价指标项量化值ij P 的赋值方法。
表2 应用判断法的P 2.3.1.2 比率值法根据组织机构信息安全工作实际情况，依据评价要素计算得出比率或比值，并将比率或比值作为评价指标项量化值。
电力行业等保测评标准
电力行业等保测评标准
电力行业等保测评标准是指对电力行业信息系统等级保护水平进行评估和测定的标准。
下面是一些常见的电力行业等保测评标准：
1. 电力行业信息系统安全等级保护基本要求：该标准规定了电力行业信息系统的基本安全保护要求，包括网络安全、物理安全、应急响应等方面的要求。
2. 电力行业信息系统安全等级保护测评技术要求：该标准规定了电力行业信息系统安全等级测评的具体技术要求和方法，包括系统分类、测评流程、测评指标等方面的内容。
3. 电力行业信息系统等级保护测评规则：该标准规定了电力行业信息系统等级保护测评的一般规则和程序，包括测评申请、测评范围、测评周期等方面的规定。
4. 电力行业信息系统安全等级保护测评指南：该指南提供了电力行业信息系统安全等级保护测评的详细指导，包括测评目标、测评内容、测评方法等方面的指导。
这些等保测评标准旨在帮助电力行业建立健全的信息系统安全保护机制，确保电力行业信息系统的安全可靠运行。
电力行业信息系统安全等级保护基本要求
电力行业信息系统安全等级保护基本要求随着信息技术在电力行业中的广泛应用，电力行业信息系统安全问题日益凸显。
为了保护电力行业的信息安全，提高电力行业信息系统的安全等级，国家制定了电力行业信息系统安全等级保护基本要求。
以下是这些基本要求的详细介绍。
一、基本要求的概述基本要求包括安全等级划分、安全技术要求、安全管理要求、监督检查要求等方面内容。
二、安全等级划分根据不同的保护需求，将电力行业信息系统分为五个等级，从低到高分别是一级、二级、三级、四级、五级。
三、安全技术要求安全技术要求包括电力行业信息系统安全的要求和控制措施。
控制措施包括访问控制、身份认证、数据加密、安全传输、安全审计等方面。
四、安全管理要求安全管理要求包括组织管理、安全策略和规程、人员安全管理、物理环境管理等方面。
组织管理主要涉及电力行业信息系统安全的组织机构、职责划分和人员配备。
安全策略和规程要求制定合理的安全策略和规程，明确安全责任、权限和流程。
人员安全管理要求对操作人员进行安全培训，确保人员的安全意识和安全素质。
物理环境管理要求对信息系统的机房、终端设备等进行有效的保护和管理。
五、监督检查要求监督检查要求包括自查、定期检查、不定期检查等方面。
自查是指电力企事业单位定期对信息系统进行自我评估，发现问题及时改进。
定期检查是指国家相关部门定期对电力行业信息系统进行检查，评估其安全状况。
不定期检查是指国家相关部门根据需要对电力行业信息系统进行突击检查。
六、其它要求此外，电力行业信息系统安全等级保护基本要求还包括突发事件处置、安全漏洞管理、信息共享和协作等方面的要求。
突发事件处置要求电力行业信息系统建立应急响应机制，及时处置信息安全事件。
安全漏洞管理要求建立漏洞监测和修复机制，及时修补系统中的漏洞。
信息共享和协作要求电力行业加强与相关部门的信息共享和协作，形成多方合作、共同防范的态势。
总之，电力行业信息系统安全等级保护基本要求对电力行业的信息系统进行了全面规范和保护，为电力行业信息安全提供了重要的技术和管理支持，有效保障了电力行业信息系统的安全等级。
《国家电网公司信息系统安全管理办法》
《国家电网公司信息系统安全管理办法》第一章总则第一条为加强和规范国家电网公司（以下简称公司）信息系统安全工作，提高公司信息系统整体安全防护水平，实现信息系统安全的可控、能控、在控，依据国家有关法律、法规、规定及公司有关制度，制定本办法。
第二条本办法所称信息系统指公司一体化企业级信息系统，主要包括一体化企业级信息集成平台（以下简称“一体化平台”）和八大业务应用。
“一体化平台”包含信息网络、数据交换、数据中心、应用集成和企业门户；“业务应用”包含财务（资金）管理、营销管理、安全生产管理、协同办公、人力资源管理、物资管理、项目管理、综合管理业务应用。
电力二次系统安全防护遵照国家电力监管委员会5号令《电力二次系统安全防护规定》及其配套文件《电力二次系统安全防护总体方案》执行。
第三条信息系统安全主要任务是确保信息系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止公司对外服务中断和由此造成的电力系统运行事故。
第四条公司信息系统安全坚持“分区、分级、分域”总体防护策略，执行信息系统安全等级保护制度。
管理信息网络分为信息内网和信息外网，实现“双机双网”，信息内网定位为公司信息化“sg186”工程业务应用承载网络和内部办公网络，信息外网定位为对外业务网络和访问互联网用户终端网络。
信息内、外网之间实施强逻辑隔离的措施。
电力二次系统实行“安全分区、网络专用、横向隔离、纵向认证”的安全防护策略。
第五条在规划和建设信息系统时，信息系统安全防护措施应按照“三同步”原则，与信息系统建设同步规划、同步建设、同步投入运行。
第六条本办法适用于公司总部，各区域电网、省（自治区、直辖市）电力公司和公司直属单位（以下简称各单位）的信息系统安全管理工作。
信息安全国家标准清单
GB/T 20519-2006
《信息安全技术公钥基础设施特定权限管理中心技术规范》
39.
GB/T 20520-2006
《信息安全技术公钥基础设施时间戳规范》
40.
GB/T 20987-2007
《信息安全技术网上证券交易系统信息安全保障评估准则》
41.
GB/T 18018-2007
《信息安全技术 路由器安全技术要求》
《信息技术 安全技术 实体鉴别 第3部分: 采用数字签名技术的机制》
57.
GB/T 15843.4-2008
《信息技术 安全技术 实体鉴别 第4部分: 采用密码校验函数的机制》
58.
GB/T 15852.1-2008
《信息技术 安全技术 消息鉴别码 第1部分：采用分组密码的机制》
59.
GB/T 17710-2008
《信息技术安全技术IT网络安全第4部分：远程接入的安全保护》
93.
GB/T 25068.5-2010
《信息技术安全技术IT网络安全第5部分：使用虚拟专用网的跨网通信安全保护》
94.
GB/T 25069-2010
《信息安全技术术语》
95.
GB/T 25070-2010
《信息安全技术 信息系统等级保护安全设计技术要求》
34.
GB/T 20281-2006
《信息安全技术防火墙技术要求和测试评价方法》
35.
GB/T 20282-2006
《信息安全技术信息系统安全工程管理要求》
36.
GB/Z 20283-2006
《信息安全技术保护轮廓和安全目标的产生指南》
37.
GB/T 20518-2006
《信息安全技术 公钥基础设施 数字证书格式》
信息安全检测依据的标准清单
国标
GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》
GB/T 28448-2012《信息安全技术 信息系统安全等级保护检测要求》
GB/T 20984-2007《信息安全技术 信息安全风险评估规范》
行标
《电力行业信息系统安全等级保护基本要求》（电监信息[2012]62号）
GB/T 30976.2-2014《 工业控制系统信息安全 第2部分：验收规范》
行标
DL/T 1455-2015《电力系统控制类软件安全性及其测评技术要求》
电力二次设备
企标
Q/GDW/Z 1938-2013《嵌入式电力测控终端设备的信息安全检测技术指标框架-指导性技术文件》
基础软件
国标
GB/T 20272-2006《信息安全技术 操作系统安全技术要求》
GB/T 20273-2006《信息安全技术 数据库管理系统安全技术要求》
云安全终端系统
企标
Q/GDW 11353-2014《国家电网公司云安全终端系统技术要求》
信息安全检测依据的标准清单
业务
标准类型
标准名称
应用系统安全测试
行标
DL/T 1455-2015 电力系统控制类软件安全性及其测评技术要求
企标
Q/GDW1597-2015《国家电网公司应用软件通用安全要求》
Q/GDWZ 1942-2013《国家电网公司应用系统安全性测试方法》
代码安全检测
企标
Q/GDW 1929.5-2013《信息系统应用安全 第5部分：代码安全检测》
IDS产品
国标
GB/T 20275-2006《信息安全技术网络入侵检测系统技术要求和测试评价方法》
电力行业网络与信息安全检查方案详细
电力行业网络与信息安全检查方案详细为确保电力行业网络和信息安全，提供一份详细的安全检查方案，以保护电力行业的关键基础设施和敏感信息免受各种安全威胁的侵害。
一、引言随着信息技术的迅猛发展，电力行业越来越依赖于网络和信息系统来进行数据传输、监控和管理。
然而，与此同时，网络和信息系统也面临着日益复杂和智能化的网络安全威胁。
因此，制定和实施一套全面的网络和信息安全检查方案至关重要。
二、风险评估首先，进行风险评估是制定有效安全检查方案的关键步骤。
对于电力行业的网络和信息系统，以下几个关键风险因素需要进行详细评估：1. 外部威胁：包括黑客攻击、病毒和恶意软件、勒索软件等。
这些威胁可能导致电力系统瘫痪、数据泄露和财务损失。
2. 内部威胁：包括员工错误操作、内部恶意行为和数据泄露等。
这些威胁可能导致敏感信息泄露和系统破坏。
3. 物理威胁：包括自然灾害、电力设备损坏和非授权访问等。
这些威胁可能导致停电和系统故障。
基于对以上风险因素的评估，我们可以制定针对电力行业的网络和信息系统的安全检查方案。
三、安全政策与控制制定和实施明确的安全政策和控制措施是确保电力行业网络和信息安全的基础。
以下是一些重要的安全政策和控制建议：1. 强化密码策略：要求员工使用强密码，并定期更换密码。
禁止使用弱密码、共享密码和使用默认密码。
2. 访问控制：限制对关键系统和数据的访问权限，仅授权人员可以访问。
实施多层次的访问控制措施，如实施双因素身份验证。
3. 数据备份：定期备份电力系统中的重要数据。
同时，确保备份数据的安全性，防止未经授权的访问和恢复数据时的数据损坏。
4. 员工培训与教育：对员工进行网络安全培训和教育，提高他们对网络和信息安全的意识，减少社会工程和恶意软件攻击的风险。
5. 安全漏洞管理：定期评估和修复网络和信息系统中的安全漏洞，及时更新和升级系统补丁。
四、网络监控与响应在安全检查方案中，建议进行实时网络监控和响应，以及建立灵活的安全事件响应机制。
中国信息安全产品测评认证标准目录
GB/T 18336.1-2001信息技术安全技术信息技术安全性评估准则第1部分：简介和一般模型
GB/T 18336.2-2001信息技术安全技术信息技术安全性评估准则第2部分：安全功能要求
GB/T 18336.3-2001信息技术安全技术信息技术安全性评估准则第3部分：安全保证要求
7
抗抵赖产品
GB/T 17903.1-1999 信息技术安全技术抗抵赖 第1部分：概述（idt ISO/IEC 13888-1：1998）
GB/T 17903.2-1999 信息技术安全技术抗抵赖 第2部分：使用对称技术的机制（
中国信息安全产品测评认证标准目录-按产品分类
2002年 01月31日 16:51
序号
产品、过程或服务
标准或规范名称
补充技术要求
1
访问控制产品
防火墙
路由器
代理服务器/网关
GB/T 18019-1999 信息技术包过滤防火墙安全技术要求
GB/T 18020-1999 信息技术应用级防火墙安全技术要求GB/T 18018-1999路由器安全技术要求GB/T 17900-1999网络代理服务器的安全技术要求
GB 15843.2-1997 信息技术安全技术实体鉴别 第2部分：采用对称加密算法的机制 （idt ISO/IEC 9798-2：1994）
GB/T 15843.3-1998 信息技术安全技术实体鉴别 第3部分：用非对称算法的机制 （idt ISO/IEC 9798-3：1997）
GB/T 15843.4-1999 信息技术安全技术实体鉴别 第4部分：采用密码校验函数的机制 （idt ISO/IEC 9798-4：1995）
电力行业网络与信息安全检查方案标准本
电力行业网络与信息安全检查方案标准本一、引言随着电力行业信息化程度的不断提高，网络与信息安全问题日益凸显。
为保障电力系统的安全稳定运行，防范网络攻击、数据泄露等安全风险，制定一套科学、规范、有效的网络与信息安全检查方案标准至关重要。
二、检查目的电力行业网络与信息安全检查的主要目的在于：1、发现潜在的安全威胁和漏洞，包括网络架构、系统配置、应用程序等方面的弱点。
2、评估现有安全措施的有效性，确保其能够抵御已知和未知的安全风险。
3、促进电力企业落实网络与信息安全管理制度，提高员工的安全意识。
4、保障电力生产、传输和分配等关键业务的连续性和可靠性。
三、检查范围1、电力生产控制系统，如 SCADA 系统、DCS 系统等。
2、电力调度自动化系统。
3、电力营销管理系统。
4、企业内部办公网络，包括计算机终端、服务器、网络设备等。
5、移动办公设备和应用。
四、检查内容（一）物理安全1、机房环境，包括温度、湿度、防火、防水、防雷等设施是否符合标准。
2、设备的物理访问控制，是否有门禁系统、监控系统等。
（二）网络安全1、网络拓扑结构的合理性，是否存在单点故障和网络瓶颈。
2、网络访问控制策略，如防火墙规则、VLAN 划分等是否有效。
3、网络设备的安全配置，如密码强度、SNMP 协议的安全性等。
（三）系统安全1、操作系统的安全补丁更新情况。
2、系统账号和权限管理，是否存在弱口令、多余账号等。
3、服务器的安全配置，如关闭不必要的服务和端口。
（四）应用安全1、应用程序的漏洞扫描和修复情况。
2、数据库的安全配置，如访问控制、数据备份和恢复等。
3、 Web 应用的安全防护，如防止 SQL 注入、XSS 攻击等。
（五）数据安全1、数据的加密存储和传输情况。
2、数据备份和恢复策略的有效性。
3、数据访问权限的管理，是否遵循最小权限原则。
（六）安全管理制度1、是否制定完善的网络与信息安全管理制度和流程。
2、安全责任的落实情况，是否明确各部门和人员的安全职责。
国网公司信息安全要求
国网公司信息安全要求1. 背景随着信息化发展的迅猛，各类企业都已经将信息化应用到生产生活中的各个方面。
信息技术的应用为企业带来了很多便利和效益，但是也暴露了诸多风险。
信息安全问题已经成为了企业运营中的重要问题。
为了更好地保护信息安全和保障企业的长期发展，国网公司制定了一系列信息安全要求。
2. 安全要求2.1 确保网络安全网络安全是企业信息安全的重要组成部分，国网公司要求全员重视和加强网络安全建设，在网络建设和应用中要做到以下：•合理规划网络拓扑结构，限制数据传输的路径，避免存在的安全漏洞；•确保所有网络设备均进行严格授权管理，并具备高效的监管和管理机制；•多层次采用及时更新的防火墙、IDS、IPS、交换机热备等设备及方案，确保网络安全防护到位；•加强对所购买和使用的网络设备安全性能要求的考核，确保信息系统设备和系统安全性符合行业及公司要求。
2.2 安全保护措施国网公司要求对企业的信息设施进行完整性、保密性和可用性的保护，在信息安全管理中要做到以下：•对企业病毒、木马、恶意代码的攻击进行预测、发现和处置；•在网络上设置强制加密、身份认证和访问控制等保护机制，并定期检查。
•基于零信任原则，在企业的权限管理和安全域划分上要非常严格，需要将没有必要操作和资源访问权限的用户禁止或者限制，确保安全性。
•加强对于重要资产的安全管理，包括数据备份、灾难恢复、加密存储、分级授权等操作的建立和执行。
2.3 加强安全意识除了以上两个方面的要求，国网公司也非常重视企业员工的安全意识培养，根据其特殊的业务特点，要求做到以下：•通过各种方式，及时给企业员工普及信息安全知识，有计划、有系统地进行培训，提高工作人员信息安全的素质和技能。
•通过形式多样的活动和事件，重视常规的信息安全意识教育试点，对有安全专业背景的员工重点培训，提升他们成为公司信息安全保障的重要力量。
•对于企业领导、高管等需要使用特殊权限的用户，要在其信用背景中查阅其授权情况，防止可能存在的安全风险。
计算机信息系统安全专用产品检测执行标准规范目录
计算机信息系统安全专用产品检测计算机信息系统安全专用产品检测执行标准规范目录执行标准规范目录序号标准规范名称标准规范编号 备注1 信息安全技术信息安全技术网络和终端设备隔离部件安全技术要求技术要求 GB/T 20279-2006 分级分级2 信息安全技术信息安全技术 防火墙技术要求和测试评价防火墙技术要求和测试评价方法方法 GB/T 20281-2006 分级分级3 信息安全技术信息安全技术 入侵检测系统技术要求入侵检测系统技术要求GB/T 20275-2006 分级分级4 信息安全技术信息安全技术 网络脆弱性扫描产品技术要求网络脆弱性扫描产品技术要求 GB/T 20278-2006 分级分级5 信息安全技术信息安全技术 信息系统安全审计产品技术要求和测试评价方法求和测试评价方法 GB/T 20945-2007 分级分级 6 信息安全技术信息安全技术 网络通讯安全审计数据留存功能要求能要求GA/T 695-2007 分级分级7 信息安全技术信息安全技术 单机防入侵产品安全功能要求单机防入侵产品安全功能要求 GA/T 696-2007 分级分级 8 信息安全技术信息安全技术 路由器安全技术要求路由器安全技术要求 GB/T 18018-2007 分级分级 9 信息安全技术信息安全技术 虚拟专用网安全技术要求虚拟专用网安全技术要求 GA/T 686-2007 分级分级 10 信息安全技术信息安全技术 静态网页恢复产品安全功能要求 GA/T 697-2007 分级分级 11 信息安全技术信息安全技术 操作系统安全技术要求操作系统安全技术要求 GB/T 20272-2006 分级分级 12 信息安全技术信息安全技术 数据库管理系统安全技术要求数据库管理系统安全技术要求 GB/T 20273-2006 分级分级 13 信息安全技术信息安全技术 信息过滤产品安全功能要求信息过滤产品安全功能要求 GA/T 698-2007 分级分级 14 信息安全技术信息安全技术 公钥基础设施安全技术要求公钥基础设施安全技术要求 GA/T 687－2007 分级分级 15 信息技术信息技术 安全技术安全技术 公钥基础设施在线证书状态协议状态协议GB/T 19713-200516 信息技术信息技术 安全技术安全技术 公钥基础设施证书管理协议协议GB/T 19714-2005 17 信息技术信息技术 安全技术安全技术 公钥基础设施PKI 组件最小互操作规范最小互操作规范GB/T 19771-2005 18 信息安全技术信息安全技术 公钥基础设施数字证书格式公钥基础设施数字证书格式GB/T 20518-200619 信息安全技术信息安全技术 公钥基础设施特定权限管理中心技术规范心技术规范GB/T 20519-2006 20 信息安全技术信息安全技术 公钥基础设施时间戳规范公钥基础设施时间戳规范 GB/T 20520-200621 网络代理服务器的安全技术要求网络代理服务器的安全技术要求 GB/T 17900-1999 22 信息安全技术信息安全技术 交换机安全技术要求交换机安全技术要求信息安全技术信息安全技术 交换机安全评估准则交换机安全评估准则 GA/T 684-2007GA/T 685-2007 分级分级23信息安全技术信息安全技术终端计算机系统安全等级技术要求要求GA/T 671-2006 GA/T 672-2006 分级分级信息安全技术信息安全技术 终端计算机系统安全等级评估准则准则24 信息安全技术信息安全技术 网关安全技术要求网关安全技术要求GA/T 681-2007分级分级 25 电子数据存储介质复制工具要求及检测方法电子数据存储介质复制工具要求及检测方法 GA/T 754-2008 26 电子数据存储介质写保护设备要求及检测方法GA/T 755-200827 信息安全技术信息安全技术 服务器安全技术要求服务器安全技术要求 GB/T 21028-2007 分级分级 28 计算机信息系统安全产品部件计算机信息系统安全产品部件 第一部分：安全功能检测全功能检测 GA 216.1-1999 29 信息技术信息技术 小型防火墙产品安全检验规范小型防火墙产品安全检验规范 MSCTC-GFJ-0130信息技术信息技术 访问控制产品安全检验规范访问控制产品安全检验规范MSTL_JGF_04-010 分级分级 31 信息技术信息技术本地数据备份与恢复产品安全检验规范规范MSTL_JGF_04-024 分级分级 32 信息技术信息技术 Web Web 过滤防护产品安全检验规范过滤防护产品安全检验规范 MSTL_JGF_04-02033 信息技术信息技术 数据库安全审计产品安全检验规范数据库安全审计产品安全检验规范 MSTL_JGF_04-021 分级分级 34 信息技术信息技术 非授权外联监测产品安全检验规范非授权外联监测产品安全检验规范 MSTL_JGF_04-01235 信息技术信息技术网际恶意代码控制产品安全检验规范MSTL_JGF_04-022 36信息技术信息技术 主机安全漏洞扫描产品安全检验规范MSTL_JGF_04-017分级分级 37 信息技术信息技术 数据库扫描器产品安全检验规范数据库扫描器产品安全检验规范 MSTL_JGF_04-016 38 信息技术信息技术 远程主机监测产品安全检验规范远程主机监测产品安全检验规范 MSTL_JGF_04-011 39 信息技术信息技术 主机文件监测产品安全检验规范主机文件监测产品安全检验规范 MSTL_JGF_04-02540 信息技术信息技术 文件加密产品安全检验规范文件加密产品安全检验规范 MSTL_JGF_04-009 分级分级 41 信息技术信息技术 入侵防御产品安全检验规范入侵防御产品安全检验规范MSCTC-GFJ-0542信息技术信息技术 自适应网络主动防御产品安全检验规范规范MSTL_JGF_04-026 43 信息技术信息技术 日志分析产品安全检验规范日志分析产品安全检验规范 MSTL_JGF_04-01844 信息技术信息技术 反垃圾邮件产品安全检验规范反垃圾邮件产品安全检验规范MSTL_JGF_04-013 分级分级 45信息技术信息技术 反垃圾邮件客户端产品安全检验规范MSTL_JGF_04-023 分级分级 46 信息技术信息技术 安全管理平台产品安全检验规范安全管理平台产品安全检验规范 MSTL_JGF_04-019 47 互联网上网服务营业场所信息安全管理系统系列标准列标准GA 557～562562——2005 2005 48互联网公共上网服务场所信息安全管理系统系列标准列标准 GA 658～663663——2006 2006 49 计算机病毒防治产品评级准则计算机病毒防治产品评级准则GA 243-2000 分级分级 50 移动终端病毒防治产品评级准则移动终端病毒防治产品评级准则分级分级51DOS 操作系统环境中计算机病毒防治产品测试方法方法 GA 135-1996 52 基于DOS 的信息安全产品评级准则的信息安全产品评级准则 GA 174-1998 分级分级 53 计算机信息系统防雷保安器计算机信息系统防雷保安器GA 173—2002分级分级。
正式发布的信息安全国家标准清单【范本模板】
112.
GB/Z 28828-2012
《信息安全技术公共及商用服务信息系统个人信息保护指南》
113.
GB/T 29240-2012
《信息安全技术终端计算机通用安全技术要求与测试评价方法》
114.
GB/T 29241-2012
《信息安全技术公钥基础设施PKI互操作性评估准则》
38.
GB/T 20519—2006
《信息安全技术公钥基础设施特定权限管理中心技术规范》
39.
GB/T 20520—2006
《信息安全技术公钥基础设施时间戳规范》
40.
GB/T 20987—2007
《信息安全技术网上证券交易系统信息安全保障评估准则》
41.
GB/T 18018—2007
《信息安全技术路由器安全技术要求》
23.
GB/T 20270-2006
《信息安全技术网络基础安全技术要求》
24.
GB/T 20271-2006
《信息安全技术信息系统通用安全技术要求》
25.
GB/T 20272-2006
《信息安全技术操作系统安全技术要求》
26.
GB/T 20273-2006
《信息安全技术数据库管理系统安全技术要求》
27.
42.
GB/T 20945-2007
《信息安全技术信息系统安全审计产品技术要求和测试评价方法》
43.
GB/T 20979-2007
《信息安全技术虹膜识别系统技术要求》
44.
GB/T 20983—2007
《信息安全技术网上银行系统信息安全保障评估准则》
45.
GB/T 20984-2007
电力行业网络与信息安全检查方案
电力行业网络与信息安全检查方案一、背景随着信息化的快速发展，电力行业也面临着越来越多的网络与信息安全威胁。
电力行业是国家基础设施的重要组成部分，其网络和信息系统的安全至关重要。
任何安全事件都可能导致恶劣的后果，如电力系统瘫痪、数据丢失、用户信息泄露等。
为了确保电力行业网络与信息的安全，有必要定期进行检查与评估，发现潜在的风险并及时采取措施进行防护。
二、检查目标1. 确保电力行业网络与信息系统的稳定性和可用性。
2. 防范网络攻击、恶意代码入侵、信息泄露等安全威胁。
3. 发现网络设备和系统的漏洞，及时修复，防止被攻击利用。
4. 加强内部安全管理，防范员工的错误操作和不当行为。
三、检查内容1. 网络基础设施安全a. 检查网络设备的安全设置，包括路由器、交换机、防火墙等，确保其配置符合最佳安全实践。
b. 检查网络设备的固件版本，及时升级到最新版本，修复已知的安全漏洞。
c. 检查网络设备的物理安全措施，如设备放置的位置、防盗锁等，防止设备被恶意篡改或窃取。
d. 检查网络设备的日志功能是否开启，并定期审计与存档。
2. 系统与应用程序安全a. 检查操作系统和应用程序的安全配置，包括密码策略、访问控制、权限设置等，确保系统和应用程序的安全性。
b. 检查操作系统和应用程序的补丁更新情况，及时安装最新的安全补丁，修复已知的漏洞。
c. 检查系统和应用程序的日志功能是否开启，并定期审计与存档。
d. 检查系统和应用程序的备份策略，确保数据可以及时恢复。
e. 检查系统和应用程序的访问控制措施，包括身份验证、权限管理等，应该限制访问权限，防止未经授权的访问。
3. 数据安全a. 检查数据库的安全设置，包括权限控制、访问控制、数据加密等，防止数据泄露和篡改。
b. 检查数据备份策略，确保数据可以及时恢复。
c. 检查敏感数据的加密措施，如用户个人信息等需要进行加密保护。
d. 检查数据传输的安全措施，如使用加密协议、VPN等，确保数据在传输过程中不被窃取或篡改。
国家电网公司2013年3月以来发布的技术标准清单
否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是否是是运维部是是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部是是运维部。
等保2.0 测评项目清单内容 228项清单
等保2.0 是指信息系统安全等级保护2.0的缩写，是我国信息安全领域的重要标准之一。
为了评估一个信息系统是否符合等保2.0的标准，就需要进行等保2.0的测评。
而在进行等保2.0的测评时，就需要使用到228项的测评项目清单。
下面就来详细介绍一下等保2.0测评项目清单的内容。
一、网络安全1. 网络安全管理制度是否健全2. 网络安全保护技术是否到位3. 网络边界安全防护能力是否强化4. 网络安全监测和预警系统是否完善5. 网络安全事件应急响应能力是否有保障二、数据安全1. 数据安全管理制度是否健全2. 数据备份与恢复是否得当3. 数据加密技术是否应用到位4. 数据安全监测和预警系统是否完善5. 数据泄露风险防范能力是否符合要求三、应用安全1. 应用系统安全管理制度是否健全2. 应用系统权限控制是否有效3. 应用系统漏洞管理是否及时4. 应用系统安全防护技术是否到位5. 应用系统安全审计与监测能力是否完善四、系统安全1. 操作系统安全配置是否合规2. 系统基线配置是否达标3. 系统安全防护能力是否强化4. 系统漏洞管理是否及时5. 系统安全审计和监测系统是否完善五、物理安全1. 机房和设备的物理安全控制是否符合要求2. 机房和设备的入侵检测与防范能力是否到位3. 机房和设备的监控与报警系统是否完善4. 机房和设备的灾备和可用性控制是否有效5. 机房和设备的维护管理制度是否健全六、人员安全1. 信息安全人员的保密意识与责任制度是否健全2. 信息安全人员的权限控制管理是否有效3. 信息安全人员的培训与考核是否得当4. 信息安全事件处置与报告流程是否符合要求5. 信息安全人员的岗位责任是否明确七、管理安全1. 信息安全管理制度是否健全2. 信息安全政策与规范是否完善3. 信息安全管理控制是否有效4. 信息安全内部审核与评估是否及时5. 信息安全管理体系是否符合等保2.0标准要求总结：等保2.0 测评项目清单内容共包括228项清单，涵盖了网络安全、数据安全、应用安全、系统安全、物理安全、人员安全和管理安全等多个方面。
国家电网公司公司级信息和通信系统监测工作实施细则
规章制度编号：国网（运监/4)530-2014 国家电网公司公司级信息和通信系统监测工作实施细则第一章总则第一条为保障国家电网公司（以下简称“公司”）公司级信息和通信系统监测工作有效开展，促进公司信息和通信系统安全稳定运行，依据《国家电网公司公司级信息和通信系统监测工作管理办法》等规定，结合实际情况特制定本细则。
第二条本细则所称公司级信息和通信系统监测工作，是指在总部开展的公司级信息和通信系统实时监视工作，及为保障系统运行和应用功能正常而进行的相应监测等工作。
第三条公司级信息和通信系统监测范围为处理公司主营业务活动、监测核心业务资源的信息系统，及支撑其正常运行的通信网络和软硬件设备。
第四条公司级信息和通信系统监测工作遵循“全局性、实时性、主动性、创新性”的原则。
第五条本细则主要就公司级信息和通信系统监测涉及的信息和通信系统安全运行监测、业务应用质量监测、运营监测（控）信息支撑系统运行应用监控、信息和通信系统检修沟通机制、异动整改督办管理和系统分析预测等工作内容提出规范性要求。
第六条本细则适用于公司总（分）部、各单位及所属各级单位（含全资、控股单位）公司级信息和通信系统监测工作。
代管单位和集体企业参照执行。
第二章信息和通信系统安全运行监测第七条信息和通信系统安全运行监测指利用信息内网综合监管系统（IMS）、信息外网安全监测系统（ISS）、通信管理系统（TMS）、信息调度管理系统（IDS）、桌面管理系统、信息运行呼叫中心系统（ICS）和桌面可视化系统等监测支撑系统对公司级信息和通信系统的安全运行状态进行的7*24小时实时监测。
主要监测内容包括：（一）信息网络监测: 对信息网骨干网、分部及省（市）公司广域网的运行情况进行监测，包括网络容量、性能、可靠性、通断性、拓扑变更情况等；（二）通信网络监测：对一二级通信网及所承载业务进行监测，包括全网告警、业务通道异常监测、方式变更、缺陷处理等；（三）业务系统运行监测：对公司业务系统的运行状态、性能、负载及功能应用等进行监测；（四）安全态势监测：协同对公司信息安全情况进行监测，包括安全告警、威胁漏洞、内外网病毒、网络受攻击、信息内外网用户桌面终端数量、终端注册率及内网终端违规外联告警等；（五）级联贯通监测：对公司业务系统及相关接口的运行和纵向贯通情况进行监视和监测。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
业务
标准类型
标准名称
应用系统安全测试
行标
DL/T 1455-2015 电力系统控制类软件安全性及其测评技术要求
企标
Q/GDW1597-2015《国家电网公司应用软件通用安全要求》
Q/GDWZ 1942-2013《国家电网公司应用系统安全性测试方3《信息系统应用安全 第5部分：代码安全检测》
等保检测和风险评估
国标
GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》
GB/T 28448-2012《信息安全技术 信息系统安全等级保护检测要求》
GB/T 20984-2007《信息安全技术 信息安全风险评估规范》
行标
《电力行业信息系统安全等级保护基本要求》（电监信息[2012]62号）
GB/T 30976.2-2014《 工业控制系统信息安全 第2部分：验收规范》
行标
DL/T 1455-2015《电力系统控制类软件安全性及其测评技术要求》
电力二次设备
企标
Q/GDW/Z 1938-2013《嵌入式电力测控终端设备的信息安全检测技术指标框架-指导性技术文件》
基础软件
国标
GB/T 20272-2006《信息安全技术 操作系统安全技术要求》
企标
Q/GDW1594-2014《国家电网公司管理信息系统安全防护技术要求》
Q/GDW 1595-2014《国家电网公司管理信息系统安全等级保护技术验收规范》
防火墙产品
国标
GB/T 20281-2015《信息安全技术防火墙安全技术要求和测试评价方法》
企标
Q/GDW 1940-2013《国家电网公司防火墙测试要求》
GB/T 20273-2006《信息安全技术 数据库管理系统安全技术要求》
云安全终端系统
企标
Q/GDW 11353-2014《国家电网公司云安全终端系统技术要求》
IDS产品
国标
GB/T 20275-2006《信息安全技术网络入侵检测系统技术要求和测试评价方法》
企标
Q/GDW 1941-2013《国家电网公司入侵检测系统测试要求》
IPS产品
国标
GB/T 28451-2012《信息安全技术网络型入侵防御产品技术要求和测试评价方法》
电力自动化系统
国标
GB/T 30976.1-2014 《工业控制系统信息安全 第1部分：评估规范》