【正文】 制終端登錄；b) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；c) 應(yīng)根據(jù)需要限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度；d) 應(yīng)對(duì)重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤(pán)、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；e) 應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測(cè)和報(bào)警；f) 應(yīng)關(guān)閉或拆除主機(jī)的軟盤(pán)驅(qū)動(dòng)、光盤(pán)驅(qū)動(dòng)、USB接口、串行口等，確需保留的必須通過(guò)安全管理平臺(tái)實(shí)施嚴(yán)格管理。 評(píng)審和修訂（G3）a) 信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門(mén)和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定；b) 應(yīng)定期或不定期或在發(fā)生重大變更時(shí)對(duì)安全管理制度進(jìn)行檢查和審定，對(duì)存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂。 外包軟件開(kāi)發(fā)（G3）本項(xiàng)要求包括：a) 應(yīng)根據(jù)開(kāi)發(fā)要求檢測(cè)軟件質(zhì)量；b) 應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南；c) 應(yīng)在軟件安裝之前檢測(cè)軟件包中可能存在的惡意代碼；d) 應(yīng)在外包開(kāi)發(fā)合同中明確開(kāi)發(fā)單位、供應(yīng)商所提供的電力二次設(shè)備及系統(tǒng)應(yīng)包含保密、生命周期、禁止關(guān)鍵技術(shù)和設(shè)備擴(kuò)散等方面的條款；（增強(qiáng)）e) 外包開(kāi)發(fā)的軟件應(yīng)在本單位存有源代碼備份，并已通過(guò)軟件后門(mén)等安全性檢測(cè)。 密碼管理（G3）應(yīng)建立密碼使用管理制度，使用符合國(guó)家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。（新增） 監(jiān)控管理和安全管理中心（G3）本項(xiàng)要求包括：a) 應(yīng)對(duì)通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測(cè)和報(bào)警，形成記錄并妥善保存；b) 應(yīng)定期對(duì)監(jiān)測(cè)和報(bào)警記錄進(jìn)行分析、評(píng)審，發(fā)現(xiàn)可疑行為，形成分析報(bào)告，并采取必要的應(yīng)對(duì)措施；（落實(shí)）c) 應(yīng)建立安全管理中心，對(duì)設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級(jí)、安全審計(jì)等安全相關(guān)事項(xiàng)進(jìn)行集中管理。 系統(tǒng)建設(shè)管理 系統(tǒng)定級(jí)（G3）本項(xiàng)要求包括：a) 應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí)；b) 應(yīng)以書(shū)面的形式說(shuō)明信息系統(tǒng)確定為某個(gè)安全保護(hù)等級(jí)的方法和理由；c) 應(yīng)組織相關(guān)部門(mén)和有關(guān)安全技術(shù)專家對(duì)信息系統(tǒng)定級(jí)結(jié)果的合理性和正確性進(jìn)行論證和審定；d) 應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過(guò)行業(yè)信息安全主管部門(mén)批準(zhǔn)，方可到公安機(jī)關(guān)備案。 數(shù)據(jù)保密性（S3）a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；b) 應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密性。 安全審計(jì)（G3）本項(xiàng)要求包括：a) 審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；系統(tǒng)不支持該要求的，應(yīng)以系統(tǒng)運(yùn)行安全和效率為前提，采用第三方安全審計(jì)產(chǎn)品實(shí)現(xiàn)審計(jì)要求；（增強(qiáng)）b) 審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件，審計(jì)內(nèi)容至少包括：用戶的添加和刪除、審計(jì)功能的啟動(dòng)和關(guān)閉、審計(jì)策略的調(diào)整、權(quán)限變更、系統(tǒng)資源的異常使用、重要的系統(tǒng)操作（如用戶登錄、退出）等；（細(xì)化）c) 審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等；d) 應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等；e) 應(yīng)能夠通過(guò)操作系統(tǒng)自身功能或第三方工具根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；（增強(qiáng)）f) 應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷。 電磁防護(hù)（S3）本項(xiàng)要求包括：a) 電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；b) 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；c) 應(yīng)對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。 防靜電（G3）本項(xiàng)要求包括：a) 主要設(shè)備采用必要的接地防靜電措施；b) 機(jī)房應(yīng)采用防靜電地板。口令長(zhǎng)度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令禁止相同；（增強(qiáng)）c) 啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施。 軟件容錯(cuò)（A3）本項(xiàng)要求包括:a) 應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過(guò)人機(jī)接口輸入或通過(guò)通信接口輸入的數(shù)據(jù)格式或長(zhǎng)度符合系統(tǒng)設(shè)定要求；b) 應(yīng)提供自動(dòng)保護(hù)功能，當(dāng)故障發(fā)生時(shí)自動(dòng)保護(hù)當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)。（細(xì)化） 人員考核（G3）a) 應(yīng)定期對(duì)各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核；b) 應(yīng)對(duì)關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核；c) 應(yīng)對(duì)考核結(jié)果進(jìn)行記錄并保存。c) 應(yīng)根據(jù)資產(chǎn)的重要程度對(duì)資產(chǎn)進(jìn)行標(biāo)識(shí)管理，根據(jù)資產(chǎn)的價(jià)值選擇相應(yīng)的管理措施；d) 應(yīng)對(duì)信息分類與標(biāo)識(shí)方法作出規(guī)定，并對(duì)信息的使用、傳輸和存儲(chǔ)等進(jìn)行規(guī)范化管理。 安全事件處置（G3）本項(xiàng)要求包括：a) 應(yīng)報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；b) 應(yīng)制定安全事件報(bào)告和處置管理制度，明確安全事件類型，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)；c) 應(yīng)根據(jù)國(guó)家相關(guān)管理部門(mén)對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法和安全事件對(duì)本系統(tǒng)產(chǎn)生的影響，對(duì)本系統(tǒng)計(jì)算機(jī)安全事件進(jìn)行等級(jí)劃分；d) 應(yīng)制定安全事件報(bào)告和響應(yīng)處理程序，確定事件的報(bào)告流程，響應(yīng)和處置的范圍、程度，以及處理方法等；e) 應(yīng)在安全事件報(bào)告和響應(yīng)處理過(guò)程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過(guò)程，總結(jié)經(jīng)驗(yàn)教訓(xùn)，制定防止再次發(fā)生的補(bǔ)救措施，過(guò)程形成的所有文件和記錄均應(yīng)妥善保存；f) 對(duì)造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報(bào)告程序；g) 應(yīng)建立電力二次系統(tǒng)聯(lián)合防護(hù)和應(yīng)急機(jī)制，負(fù)責(zé)處置跨部門(mén)電力二次系統(tǒng)安全事件。 系統(tǒng)交付（G3）本項(xiàng)要求包括：a) 應(yīng)制定詳細(xì)的系統(tǒng)交付清單，并根據(jù)交付清單對(duì)所交接的設(shè)備、軟件和文檔等進(jìn)行清點(diǎn)；b) 應(yīng)對(duì)負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)行相應(yīng)的技能培訓(xùn)；c) 應(yīng)確保提供系統(tǒng)建設(shè)過(guò)程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔；d) 應(yīng)對(duì)系統(tǒng)交付的控制方法和人員行為準(zhǔn)則進(jìn)行書(shū)面規(guī)定；e) 應(yīng)指定或授權(quán)專門(mén)的部門(mén)負(fù)責(zé)系統(tǒng)交付的管理工作，并按照管理規(guī)定的要求完成系統(tǒng)交付工作。 資金保障（G3）本項(xiàng)要求包括：a) 應(yīng)保障落實(shí)電力二次系統(tǒng)安全建設(shè)、運(yùn)維及等級(jí)保護(hù)測(cè)評(píng)資金等；（新增）b) 系統(tǒng)建設(shè)資金籌措方案和年度系統(tǒng)維護(hù)經(jīng)費(fèi)應(yīng)包括信息安全保障資金項(xiàng)目。 訪問(wèn)控制（S3）本項(xiàng)要求包括：a) 應(yīng)提供訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等客體的訪問(wèn)；b) 訪問(wèn)控制的覆蓋范圍應(yīng)包括與資源訪問(wèn)相關(guān)的主體、客體及它們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問(wèn)控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問(wèn)權(quán)限；d) 應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；e) 應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記，系統(tǒng)不支持設(shè)置敏感標(biāo)記的，應(yīng)采用專用安全設(shè)備生成敏感標(biāo)記，用以支持強(qiáng)制訪問(wèn)控制機(jī)制；f) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作。 入侵防范（G3）本項(xiàng)要求包括：a) 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門(mén)攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲(chóng)攻擊等；b) 當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。電力行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)基本要求1 第三級(jí)基本要求 1 技術(shù)要求 1 物理安全 1 物理位置的選擇（G3） 1 物理訪問(wèn)控制（G3） 1 防盜竊和防破壞（G3） 1 防雷擊（G3） 2 防火（G3） 2 防水和防潮（G3） 2 防靜電（G3） 2 溫濕度控制（G3） 3 電力供應(yīng)（A3） 3 電磁防護(hù)（S3） 3 網(wǎng)絡(luò)安全 3 結(jié)構(gòu)安全（G3） 3 訪問(wèn)控制（G3） 4 安全審計(jì)（G3） 5 邊界完整性檢查（S3） 5 入侵防范（G3） 5 惡意代碼防范（G3） 5 網(wǎng)絡(luò)設(shè)備防護(hù)（G3） 6 主機(jī)安全 6 身份鑒別（S3） 6 訪問(wèn)控制（S3） 7 安全審計(jì)（G3） 7 剩余信息保護(hù)（S3） 8 入侵防