【正文】 立介質(zhì)安全管理制度，對介質(zhì)的存放環(huán)境、使用、維護和銷毀等方面作出規(guī)定；b) 應建立生產(chǎn)控制大區(qū)移動存儲介質(zhì)安全管理制度，對移動存儲介質(zhì)的使用進行嚴格限制；（增強）c) 應確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護，并實行存儲環(huán)境專人管理；d) 應對介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，對介質(zhì)歸檔和查詢等過程進行記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點；e) 應對存儲介質(zhì)的使用過程、送出維修以及銷毀等進行嚴格的管理，對帶出工作環(huán)境的存儲介質(zhì)進行內(nèi)容加密和監(jiān)控管理，對送出維修或銷毀的介質(zhì)應首先清除介質(zhì)中的敏感數(shù)據(jù)，對保密性較高的存儲介質(zhì)未經(jīng)批準不得自行銷毀；f) 應根據(jù)數(shù)據(jù)備份的需要對某些介質(zhì)實行異地存儲，存儲地的環(huán)境要求和管理方法應與本地相同；g) 應對重要介質(zhì)中的數(shù)據(jù)和軟件采取加密存儲，并根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進行分類和標識管理。 設備管理（G3）本項要求包括：a) 應對信息系統(tǒng)相關(guān)的各種設備（包括備份和冗余設備）、線路等指定專門的部門或人員定期進行維護管理；b) 應建立基于申報、審批和專人負責的設備安全管理制度，對信息系統(tǒng)的各種軟硬件設備的選型、采購、發(fā)放和領用等過程進行規(guī)范化管理；c) 應建立配套設施、軟硬件維護方面的管理制度，對其維護進行有效的管理，包括明確維護人員的責任、涉外維修和服務的審批、維修過程的監(jiān)督控制等；d) 應對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡等設備的操作和使用進行規(guī)范化管理，按操作規(guī)程實現(xiàn)關(guān)鍵設備（包括備份和冗余設備）的啟動/停止、加電/斷電等操作；e) 應確保信息處理設備必須經(jīng)過審批才能帶離機房或辦公地點；f) 應確保信息處理設備必須經(jīng)過審批才能帶入機房或辦公地點。（新增） 監(jiān)控管理和安全管理中心（G3）本項要求包括：a) 應對通信線路、主機、網(wǎng)絡設備和應用軟件的運行狀況、網(wǎng)絡流量、用戶行為等進行監(jiān)測和報警，形成記錄并妥善保存；b) 應定期對監(jiān)測和報警記錄進行分析、評審，發(fā)現(xiàn)可疑行為，形成分析報告，并采取必要的應對措施；（落實）c) 應建立安全管理中心，對設備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進行集中管理。 網(wǎng)絡安全管理（G3）本項要求包括：a) 應指定人員對網(wǎng)絡進行管理，負責運行日志、網(wǎng)絡監(jiān)控記錄的日常維護和報警信息分析和處理工作；b) 應建立網(wǎng)絡安全管理制度，對網(wǎng)絡安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規(guī)定；c) 應根據(jù)廠家提供的軟件升級版本對網(wǎng)絡設備進行更新，并在更新前對現(xiàn)有的重要文件進行測試和備份；（增強）d) 應定期對網(wǎng)絡系統(tǒng)進行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡系統(tǒng)安全漏洞進行及時的修補；e) 應實現(xiàn)設備的最小服務配置，并對配置文件進行定期離線備份；f) 應保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準；g) 應依據(jù)安全策略對允許或者拒絕便攜式和移動式設備的網(wǎng)絡接入；h) 應依據(jù)安全策略對接入網(wǎng)絡的便攜式和移動式設備的網(wǎng)絡使用行為進行管控；（新增）i) 應定期檢查違反規(guī)定撥號上網(wǎng)或其他違反網(wǎng)絡安全策略的行為。 系統(tǒng)安全管理（G3）本項要求包括：a) 應根據(jù)業(yè)務需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略；b) 應定期進行漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞及時進行修補；c) 應安裝系統(tǒng)的最新補丁程序，在安裝系統(tǒng)補丁前，應首先在測試環(huán)境中對補丁的兼容性和安全性進行測試通過，并對重要文件進行備份后，方可實施系統(tǒng)補丁程序的安裝；（細化）d) 應建立系統(tǒng)安全管理制度，對系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面作出規(guī)定；e) 應指定專人對系統(tǒng)進行管理，劃分系統(tǒng)管理員角色，明確各個角色的權(quán)限、責任和風險，權(quán)限設定應當遵循最小授權(quán)原則；f) 應依據(jù)操作手冊對系統(tǒng)進行維護，詳細記錄操作日志，包括重要的日常操作、運行維護記錄、參數(shù)的設置和修改等內(nèi)容，嚴禁進行未經(jīng)授權(quán)的操作；g) 應定期對運行日志和審計數(shù)據(jù)進行分析，以便及時發(fā)現(xiàn)異常行為；h) 電力調(diào)度機構(gòu)應指定專人負責管理本級調(diào)度數(shù)字證書系統(tǒng)。（增強） 惡意代碼防范管理（G3）本項要求包括：a) 應提高所有用戶的防病毒意識，告知及時升級防病毒軟件，在讀取移動存儲設備上的數(shù)據(jù)以及網(wǎng)絡上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網(wǎng)絡系統(tǒng)之前也應進行病毒檢查；b) 在更新惡意代碼庫、木馬庫以及IDS規(guī)則庫前，應首先在測試環(huán)境中對惡意代碼庫、木馬庫以及IDS規(guī)則庫的安全性和兼容性進行測試通過，更新操作應離線進行，生產(chǎn)控制大區(qū)惡意代碼更新應由專人負責，并保存更新記錄；（新增）c) 應指定專人對網(wǎng)絡和主機進行惡意代碼檢測并保存檢測記錄；d) 應對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確規(guī)定；e) 應定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫的升級情況并進行記錄，對主機防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲的危險病毒或惡意代碼進行及時分析處理，并形成書面的報表和總結(jié)匯報。 密碼管理（G3）應建立密碼使用管理制度，使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。 變更管理（G3）本項要求包括：a) 應確認系統(tǒng)中要發(fā)生的重要變更，并制定相應的變更方案；b) 應建立變更管理制度，明確變更執(zhí)行及變更校核程序，系統(tǒng)發(fā)生重要變更前，應向主管領導申請，審批后方可實施變更，并在實施后向相關(guān)人員通告；（增強）c) 應建立變更控制的申報和審批文件化程序，對變更影響進行分析并文檔化，記錄變更實施過程，并妥善保存所有文檔和記錄；d) 應建立中止變更并從失敗變更中恢復的文件化程序，明確過程控制方法和人員職責，必要時對恢復過程進行演練。 備份與恢復管理（G3）本項要求包括：a) 應識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；b) 應建立備份與恢復管理相關(guān)的安全管理制度，對備份信息的備份方式、備份頻度、存儲介質(zhì)和保存期等進行規(guī)范；c) 應根據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復策略，備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和數(shù)據(jù)離站運輸方法；d) 應建立控制數(shù)據(jù)備份和恢復過程的程序，對備份過程進行記錄，所有文件和記錄應妥善保存；e) 應定期執(zhí)行恢復程序，檢查和測試備份介質(zhì)的有效性，確?？梢栽诨謴统绦蛞?guī)定的時間內(nèi)完成備份的恢復。 安全事件處置（G3）本項要求包括：a) 應報告所發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應嘗試驗證弱點；b) 應制定安全事件報告和處置管理制度，明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責；c) 應根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響，對本系統(tǒng)計算機安全事件進行等級劃分；d) 應制定安全事件報告和響應處理程序，確定事件的報告流程，響應和處置的范圍、程度，以及處理方法等；e) 應在安全事件報告和響應處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗教訓，制定防止再次發(fā)生的補救措施，過程形成的所有文件和記錄均應妥善保存；f) 對造成系統(tǒng)中斷和造成信息泄密的安全事件應采用不同的處理程序和報告程序；g) 應建立電力二次系統(tǒng)聯(lián)合防護和應急機制，負責處置跨部門電力二次系統(tǒng)安全事件。（新增） 應急預案管理（G3）本項要求包括：a) 應在統(tǒng)一的應急預案框架下制定不同事件的應急預案，應急預案框架應包括啟動應急預案的條件、應急處理流程、系統(tǒng)恢復流程、事后教育和培訓等內(nèi)容；b) 應從人力、設備、技術(shù)和財務等方面確保應急預案的執(zhí)行有足夠的資源保障；c) 應對安全管理員、系統(tǒng)管理員、網(wǎng)絡管理員等相關(guān)的人員進行應急預案培訓，應急預案的培訓應至少每年舉辦一次。（增強）d) 應定期對應急預案進行演練，根據(jù)不同的應急恢復內(nèi)容，確定演練的周期；e) 應制定電力二次系統(tǒng)聯(lián)合防護和應急處置預案，并經(jīng)過演練；（新增）f) 應規(guī)定應急預案需要定期審查和根據(jù)實際情況更新的內(nèi)容，并按照執(zhí)行。