sg186工程安全防護(hù)總體方案-電力交易平臺-資料下載頁
2025-05-03 00:47本頁面
【正文】 法》中對于三級系統(tǒng)安全保障要求及國家信息安全監(jiān)管部門的監(jiān)管執(zhí)行要求強(qiáng)度高于二級系統(tǒng)，因此安全域劃分采取將等級保護(hù)要求較高的各三級系統(tǒng)劃分獨(dú)立的安全域進(jìn)行安全防護(hù)，以實(shí)現(xiàn)三級系統(tǒng)間及與其他系統(tǒng)之間的獨(dú)立安全防護(hù)，也便于國家電網(wǎng)公司及外部監(jiān)管機(jī)構(gòu)對于三級系統(tǒng)的安全監(jiān)管，對于信息內(nèi)網(wǎng)的應(yīng)用系統(tǒng)安全域劃分依據(jù)以下方法：二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)獨(dú)立分域；依據(jù)以上分域方法進(jìn)行安全域劃分后信息內(nèi)網(wǎng)將有以下安全域：第 9 頁 ? 電力市場交易系統(tǒng)域；? 財務(wù)（資金）管理系統(tǒng)域（將逐步被 ERP 系統(tǒng)財務(wù)模塊替代）；? 辦公自動化系統(tǒng)域（僅國家電網(wǎng)公司總部劃分為三級系統(tǒng)域）；? 營銷管理系統(tǒng)域（基于營銷管理系統(tǒng)的重要性及目前各單位的安全建設(shè)現(xiàn)狀，按等級保護(hù)三級要求進(jìn)行安全防護(hù)建設(shè)) ；? ERP 系統(tǒng)域（由于“SG186”規(guī)劃中財務(wù)（資金）管理系統(tǒng)將最終以模塊的形式整合于 ERP 系統(tǒng)中，因此 ERP 系統(tǒng)按財務(wù)（資金）管理系統(tǒng)所屬的等級保護(hù)三級進(jìn)行安全建設(shè)）；? 二級系統(tǒng)域：所有二級系統(tǒng)統(tǒng)一部署于二級系統(tǒng)域中進(jìn)行安全防護(hù)建設(shè)。? 內(nèi)網(wǎng)桌面終端域：由于桌面終端的安全防護(hù)與應(yīng)用系統(tǒng)不同，將其劃分為獨(dú)立區(qū)域進(jìn)行安全防護(hù)，信息內(nèi)網(wǎng)桌面終端用于內(nèi)網(wǎng)業(yè)務(wù)操作及內(nèi)網(wǎng)業(yè)務(wù)辦公處理，建議各單位根據(jù)各自具體情況對桌面辦公終端按業(yè)務(wù)部門或訪問類型進(jìn)一步進(jìn)行區(qū)域細(xì)分，以便于針對不同的業(yè)務(wù)訪問需求制定訪問控制及制定其他防護(hù)措施。以上分域方法應(yīng)當(dāng)在國家電網(wǎng)公司總部、網(wǎng)省、地市等各級單位獨(dú)立應(yīng)用以進(jìn)行安全域劃分。此外考慮到總部、網(wǎng)省及地市公司層面系統(tǒng)安全防護(hù)體系建設(shè)的一致性，營銷管理及 ERP 系統(tǒng)在各單位均按等級保護(hù)三級要求進(jìn)行建設(shè)；財務(wù)（資金）管理系統(tǒng)在總部、網(wǎng)省按三級防護(hù)，地市按二級防護(hù)。由于國家電網(wǎng)公司主要應(yīng)用系統(tǒng)部署于信息內(nèi)網(wǎng)，信息外網(wǎng)主要包括需要與互聯(lián)網(wǎng)交互的子系統(tǒng)或應(yīng)用模塊，且系統(tǒng)數(shù)量較少，因此將信息外網(wǎng)的應(yīng)用系統(tǒng)統(tǒng)一部署于同一安全域內(nèi)進(jìn)行安全防護(hù)，該安全域中的應(yīng)用系統(tǒng)在主機(jī)及應(yīng)用層面按各系統(tǒng)所屬的安全級別進(jìn)行防護(hù)，網(wǎng)絡(luò)及與信息外網(wǎng)邊界防護(hù)按滿足域中各系統(tǒng)所屬最高等級就高進(jìn)行安全建設(shè)。信息外網(wǎng)系統(tǒng)劃分為以下安全域：第 10 頁 ? 外網(wǎng)應(yīng)用系統(tǒng)域：需與互聯(lián)網(wǎng)進(jìn)行數(shù)據(jù)交換的系統(tǒng)部署于外網(wǎng)應(yīng)用系統(tǒng)域進(jìn)行安全防護(hù)；? 外網(wǎng)桌面終端域：外網(wǎng)桌面終端用于外網(wǎng)業(yè)務(wù)辦公及互聯(lián)網(wǎng)訪問，建議各單位跟據(jù)各自具體情況對外網(wǎng)桌面辦公終端按業(yè)務(wù)部門或訪問類型進(jìn)行區(qū)域細(xì)分，以便于針對不同的業(yè)務(wù)訪問需求進(jìn)行訪問控制及實(shí)施其他安全防護(hù)措施。按以上方案進(jìn)行安全域劃分后，國家電網(wǎng)公司各單位安全域分布結(jié)構(gòu)如下：圖 4 國家電網(wǎng)公司各級單位安全域分布示意圖. 信息安全防護(hù)設(shè)計信息安全防護(hù)設(shè)計將在國家電網(wǎng)公司分區(qū)、分級、分域防護(hù)原則的基礎(chǔ)上，將公司各業(yè)務(wù)單位的信息系統(tǒng)安全防護(hù)劃分為邊界安全防護(hù)、網(wǎng)絡(luò)環(huán)境安全防護(hù)、主機(jī)系統(tǒng)安全防護(hù)及應(yīng)用安全防護(hù)四個層次進(jìn)行安全防護(hù)措施設(shè)計。對于物理層面安全防護(hù)，由于其相對固定，可參照“ 物理安全防護(hù)措施”結(jié)合《國家電網(wǎng)公司信息機(jī)房設(shè)計及建設(shè)規(guī)范》及《國家電網(wǎng)公司信息機(jī)房管理規(guī)范》實(shí)施。第 11 頁 邊界安全防護(hù)邊界安全防護(hù)關(guān)注如何對進(jìn)出該邊界的數(shù)據(jù)流進(jìn)行有效的檢測和控制，有效的檢測機(jī)制包括基于網(wǎng)絡(luò)的入侵檢測（IDS）、對流經(jīng)邊界的信息進(jìn)行內(nèi)容過濾，有效的控制措施包括網(wǎng)絡(luò)訪問控制、入侵防護(hù)、虛擬專用網(wǎng)（VPN）以及對于遠(yuǎn)程用戶的標(biāo)識與認(rèn)證／訪問權(quán)限控制。上述邊界安全防護(hù)機(jī)制與其它層面安全措施可協(xié)同使用以提供對系統(tǒng)的防護(hù)。進(jìn)行邊界安全防護(hù)目標(biāo)是使邊界的內(nèi)部不受來自外部的攻擊，同時也用于防止惡意的內(nèi)部人員跨越邊界對外實(shí)施攻擊，或外部人員通過開放接口、隱通道進(jìn)入內(nèi)部網(wǎng)絡(luò)；在發(fā)生安全事件前期能夠通過對安全日志及入侵檢測事件的分析發(fā)現(xiàn)攻擊企圖，安全事件發(fā)生后可以提供入侵事件記錄以進(jìn)行審計追蹤。進(jìn)行邊界安全防護(hù)的首要任務(wù)是明確安全邊界，國家電網(wǎng)公司網(wǎng)絡(luò)邊界歸為信息外網(wǎng)第三方邊界、信息內(nèi)網(wǎng)第三方邊界、信息內(nèi)外網(wǎng)邊界、信息內(nèi)網(wǎng)縱向上下級單位邊界及橫向域間邊界五類，國家電網(wǎng)公司網(wǎng)絡(luò)邊界類型如下圖所示：第 12 頁 圖 4 邊界分類示意圖信息內(nèi)網(wǎng)與生產(chǎn)控制大區(qū)的邊界安全防護(hù)請參考《電力二次系統(tǒng)安全防護(hù)總體方案》，本方案不作詳細(xì)分析。由于信息外網(wǎng)所面臨來自互聯(lián)網(wǎng)的威脅較多，加之信息外網(wǎng)的一部分系統(tǒng)直接向互聯(lián)網(wǎng)發(fā)布服務(wù)，因此安全防護(hù)措施設(shè)計將加強(qiáng)信息外網(wǎng)第三方邊界安全防護(hù)；而對于信息內(nèi)網(wǎng)，其網(wǎng)絡(luò)環(huán)境相對較為封閉，僅與可確定的外部網(wǎng)絡(luò)進(jìn)行連接，內(nèi)外網(wǎng)間采用了邏輯強(qiáng)隔離設(shè)備進(jìn)行安全防護(hù)，且安全域劃分更為嚴(yán)格，在實(shí)現(xiàn)網(wǎng)絡(luò)、主機(jī)、應(yīng)用層面嚴(yán)格安全防護(hù)的前提下，可以適當(dāng)降低對內(nèi)網(wǎng)第三方邊界和縱向上下級單位邊界的安全防護(hù)要求。
公司管理相關(guān)推薦
鄂ICP備17016276號-1