搜索
南瑞集团水利水电技术分公司内容提纲一、背景及历史二、电力安全防护要求三、电力安全防护任务四、水情水调安全防护应用五、结语电力是我国国民经济的基础产业，关系到千家万户，关系到国家安定的大局，决不允许出现大的电力系统事故。一、背景及历史1、电力二次系统组成水情自动测报系统电站监控系统MIS系统EMS系统水调自动化系统电网调度自动化系统配电自动化系统变电自动化系统...................生产信息管理系统......................................一、背景及历史2、网络电力危害事件发生后，电力系统开始采取“物理隔离”安全防护2000年中国二滩水电厂遭网络攻击停机7秒内甩出力万千瓦川渝电网几乎解列89一、背景及历史打破了“物理隔离”系统“绝对”安全的神话2010年伊朗核电站遭“震网”病毒攻击多台离心机损毁核电站瘫痪1000一、背景及历史对乌克兰社会稳定与经济发展造成灾难性影响瘫痪个变电站影响万用户停电小时3014062015年乌克兰遭网络攻击大面积停电一、背景及历史3、电力安全防护历史由来•2002年5月，国家经贸委发布30号令《电网和电厂计算机监控系统及调度数据网络安全防护的规定》•2004年10月，电监会发布第5号令《电力二次系统安全防护规定》•2014年8月，国家发改委发布第14号令《电力监控系统安全防护规定》•2015年2月，国家能源局制定第36号文《电力监控系统安全防护总体方案》•2017年4月，国家电网公司出台第263号文，提出关于进一步加强电力监控系统安全防护工作的意见•2017年12月，国调中心169号文，提出对Windows系统进行安全加固的通知要求。一、背景及历史4、电力安全防护相关文件•2007年6月，公通字〔2007〕43号《信息安全等级保护管理办法》•2011年9月，工信部协〔2011〕451号《关于加强工业控制系统信息安全管理的通知》•2011年1月修订，中华人民共和国国务院令第147号《中华人民共和国计算机信息系统安全保护条例》•2016年11月，《中华人民共和国网络安全法》5、电力安全分区情况一、背景及历史生产控制大区安全Ⅰ区安全Ⅱ区信息管理大区安全Ⅲ区安全Ⅳ区电调自动化系统配电自动化系统变电自动化系统电站监控系统水调自动化系统继电保护系统电能量计量系统电力交易系统调度仿真系统水调自动化系统气象信息系统报表系统MISOA系统信息发布系统6、电力安全防护现状一、背景及历史遵照国家相关文件要求建设信息系统在硬件、软件操作系统方面有所选择通过行业标准规范运行维护通过管理手段进行监督和考核全方位监控网络违规操作实时监视网络运行状态规范建设严格运维实时监控内容提纲一、背景及历史二、电力安全防护要求三、电力安全防护任务四、水情水调安全防护应用五、结语1、国家发展和改革委员会年令14号二、电力防护要求《电力监控系统安全防护规定》《电力监控系统安全防护规定》已经国家发展和改革委员会主任办公会审议通过，现予公布，自2014年9月1日起施行。2014年8月1日二、电力防护要求电力监控系统具体包括：电力数据采集与监控系统、能量管理系统、变电站自动化系统、换流站计算机监控系统、发电厂计算机监控系统、配电自动化系统、微机继电保护和安全自动装置、广域相量测量系统、负荷控制系统、水调自动化系统和水电梯级调度自动化系统、电能量计量系统、实时电力市场的辅助控制系统、电力调度数据网络等。二、电力防护要求1）技术管理控制区非控制区安全Ⅰ区安全Ⅱ区信息管理大区生产控制大区在不影响生产控制大区前提下各单位根据安全需求自行划分不同的安全区。!!!!避免不同的安全区纵向交叉联结电网企业内部发电企业内部适用范围二、电力防护要求电力调度数据网•专用通道•独立网络设备•在物理上与其它网隔离•在逻辑上划分实时子网和非实时子网，分别连接控制区和非控制区•纵向联接其他网、无线通信、VPN等，建立数据接入区安全区之间联接•生产控制大区与信息管理大区设置国家指定部门认证的电力专用横向单向隔离装置•数据接入区与生产控制大区联接同上•生产控制大区与广域网纵向联接设置隔离装置或加密认证网关•生产控制大区不同安全区间采用具有访问控制功能、防火墙或相当功能设置物理隔离逻辑隔离二、电力防护要求技术保障生产控制大区重要控制系统采用认证加密机制（基于公钥技术的分布式电力调度数字证书及安全标签）禁止任何穿越生产控制大区和信息管理大区之间边界的通用网络服务（安全分险高）二、电力防护要求管理保障对已投入运行的系统应按要求进行整改设备与选型配置禁止选用国家相关部门认定并经能源局通报存在风险和漏洞的设备和系统加强相关系统及设备的运行管理与安全防护生产控制大区除接安全入区外，禁止选用具有无线通信功能的设备二、电力防护要求2）安全管理建立安全防护应急机制建立健全安全防护管理制度落实分级负责并监督谁主管谁负责谁运营谁负责安全防护方案通过方可验收安全防护纳入安全生产管理（含信息报送）建立安全防护评估机制二、电力防护要求3）保密管理对全生命周期负责提供的设备和系统符合本规定要求禁止关键设备和技术的扩散对评估资料和评估结果保密开发单位按合同条款或保密协议供应商运行管理单位二、电力防护要求4）监督管理能源局及派出机构负责制定安全防护相关管理和技术规范，并监督实施；不符合规定限期整改，逾期未整改，由能源局及派出机构依据国家有关规定予以处罚；违法本规定造成电力监控系统安全故障的，由其上级按有关规定进行处理；违法本规定发生电力设备事故或电力安全事故（事件）的，按国家有关事故（事件）调查规定进行处理。二、电力防护要求《电力监控系统安全防护总体方案》关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知。1、电力监控系统安全防护总体方案2、省级以上调度中心监控系统安全防护方案3、地级调度中心监控系统安全防护方案4、发电厂监控系统安全防护方案5、变电站监控系统安全防护方案6、配电监控系统安全防护方案7、电力监控系统安全防护评价规范2、国能安全〔2015〕36号二、电力防护要求安全分区网络专用横向隔离纵向认证二、电力防护要求二、电力防护要求1）安全分区•安全区Ⅰ：实时控制区。直接实现实时监控功能，毫秒级或秒级实时性。•安全区Ⅱ：非控制生产区。是电力生产的必要环节，但不具备控制功能，实时性是分钟级、小时级。•安全区Ⅲ：生产管理区。实现电力生产的管理功能，但不具备控制功能，不使用电力调度数据网络。•安全区Ⅳ：管理信息区。实现电力信息管理和办公自动化功能。•数据接入区：如果生产控制区需要个别业务需要使用公共网络、无线网络或联系非安全网络，应设立安全接入区，使用物理隔离装置连接。二、电力防护要求二、电力防护要求安全区III信息管理、发布信息管理、发布E-Mail用户Web服务器Web用户电力信息系统安全区II保护、故录系统…水调自动化系统电力交易系统安全区I信息采集、信息采集、存储、检索、存储、检索、数据挖掘数据挖掘终端用户终端用户…文件服务雷电监测气象\卫星云图计划日报\早报安全区I安全区IIWEB调度中心安全防护方案调度中心安全防护方案电能量计量系统安全Web服务器安全Web用户广域相量测量系统EMS…LDAPIDS探头IDS探头IDS探头IDS探头IP认证加密装置IP认证加密装置PSTN/PSTN/专线专线非实时VPN实时VPNSPDnet管理VPN生产VPNSPTnet反向型正向型系统外单位系统内单位二、电力防护要求水电厂安全防护总体框图EMS系统水电厂水调自动化系统电量计量终端故障录波装置市场报价终端故障录波系统电力交易系统电能量计量系统调度中心水调调度自动化系统SPDnet实时VPN非实时VPN安全区I安全区II安全区III水电厂生产管理系统气象网关水文网关防汛网关公共数据网或SPTnet水电厂调度中心厂级监控系统机组单元控制公用系统闸门控制辅机控制保护安控水电厂监控系统安全区IVMISOA。。。二、电力防护要求2）网络专用建立调度专用数据网络，实现与其它数据网络物理隔离。并以技术手段在专网上形成多个相互逻辑隔离的子网，以保障上下级各安全区的纵向互联仅在相同安全区进行，避免安全区纵向交叉。•安全区Ⅰ：电力调度数据网，实时子网段。•安全区Ⅱ：电力调度数据网，非实时子网段。•安全区Ⅲ：电力企业数据网•安全区Ⅳ：电力企业数据网或互联网二、电力防护要求采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护，关键是将实时监控系统与办公自动化系统等实行有效安全隔离，隔离强度应接近或达到物理隔离。•安全区Ⅰ与安全区II之间须采用硬件防火墙或相当设备进行逻辑隔离。•安全区III与安全区IV之间应采用硬件防火墙或相当设备进行逻辑隔离。•安全区Ⅰ、Ⅱ不得与安全区Ⅳ直接联系；安全区Ⅰ、Ⅱ与安全区Ⅲ之间应该采用专用安全隔离装置。3）横向隔离•1、实现两个安全区之间的非网络方式的安全的数据交换，并且保证安全隔离装置内外两个处理系统不同时连通。•2、禁止telnet、ftp、http等通用网络服务和数据库连接穿透隔离装置。•3、实现数据完全单向传输，TCP应答报文禁止携带应用数据。穿越隔离装置的数据传输流程：1、将数据库数据提取后生成ETF格式文件2、将ETF文件穿越隔离装置送入对端3、解析ETF文件写入数据库。二、电力防护要求二、电力防护要求4）纵向认证采用认证、加密、访问控制等手段实现数据的远方安全传输以及纵向边界的安全防护，防止数据在传输过程中被窃听和篡改。•上下级电力系统同等级安全区之间部署IP认证加密装置，为通信网关间的广域网通信提供具有认证与加密功能的VPN，对传输的数据通过数据签名与加密进行数据机密性、完整性保护，实现数据传输的机密性、完整性保护。•关键技术：数字证书二、电力防护要求5）其他要求二、电力防护要求1.机房物理安全2.容灾和备份3.恶意代码防护4.入侵监测5.主机加固6.安全审计7.安全监视，信息上传电力行业信息系统安全等级保护定级内容提纲一、背景及历史二、电力安全防护要求三、电力安全防护任务四、水情水调安全防护应用五、结语三、电力安全防护主要任务总体原则外防与内防结合，人防与技防并重总体目标外部浸入有效阻断，外部干扰有效隔离，内部介入有效遏制，安全风险有效管控1、总体要求目标三、电力安全防护任务1、主要任务1）强化网络安全风险与责任意识学习贯彻《中华人民共和国网络安全法》，落实关键信息基础设施运行者的网络安全义务和责任，提高依法、守法、用法自觉性，加强专业技术培训，提高网络安全风险意识。三、电力安全防护任务2）建立网络安全运行机制建立网络安全监测和运行值班制度；落实维护、监视、处置和管理责任；建立网络安全事件实时监视、在线处置、统一指挥、协同应对的运行保障机制；提高网络安全风险动态感知、预防预控的主动应对能力。三、电力安全防护任务3）健全网络安全标准制度体系制定《电力监控系统本体安全技术规范》、《电力监控系统内网安全监视功能规范》、《电力监控系统安全防护监测装置技术规范》等专业技术标准，完善等保测评及安全评估、安全事件应急报告等管理制度，不断健全电力监控系统安全防护标准和制度体系。三、电力安全防护任务4）研发应用网络安全保障技术完善升级内网安全监管平台，提高网络安全管理工具的实用性。深化安全事件及风险分析功能，提高运行分析和风险预知能力。强化安全审计功能，实现电力监控系统远程登录、设备接入、人员操作等行为的在线监视和分析。逐步在变电站（发电厂）监控系统内网部署网络安全监测终端，建立内网安全监视告警协同机制。三、电力安全防护任务5）加快推进安全防护设施建设35千伏以上变电站全面部署纵向加密认证装置；地级及以上调控机构全面建设内网安全监视平台，实现所辖电网安防设备的全接入和内网安全的全面管控；省地两级电网调度控制系统远方控制功能全面应用调度数字证书;加强配电自动化安全防护设施建设，强化专用安全防护设备的部署和安全接入区建设。三、电力安全防护任务6）加强电力调度专用网络空间的安全监管加强调度数据网与新增