8.3體系結構安全

8.3.1分區分級

8.3.1.1評估要求

分區分級宜符合GB/T36572—2018中6.2.2的要求。

8.3.1.2評估實施

評估實施主要包括以下內容：

a)核查電力監控系統網絡拓撲圖和網絡設備，評估安全區劃分情況。評估內容包括，但不限于：

1)網絡拓撲圖中所示的網絡結構是否符合安全區劃分要求；

2)生產控制大區是否有跨安全區縱向交叉連接等違規情況；

3)各安全區網絡設備部署情況與網絡拓撲圖是否一致；

4)是否有不同安全區的設備混用、違規連接等違規情況。

b)核查電力監控系統網絡拓撲圖，生產控制大區的網絡中如存在業務系統在與其終端的縱向連接中使用無線通信網、電力企業其他數據網(非電力調度數據網)或者外部公用數據網的虛擬專用網絡方式(VPN) 等進行通信的情況， 評估是否按要求設立安全接入區。

c)核查邊界安全防護設備、網絡設備等可管控通用網絡服務(FTP、HTTP、SNMP、遠程登錄、電子郵件等)的設備和系統，評估區域邊界安全防護情況。評估內容包括，但不限于：

1)是否使用數據過濾、簽名認證、訪問控制策略、物理隔離等措施禁止通用網絡服務穿越生產控制大區和管理信息大區之間邊界；

2)是否存在設備生產廠商或其他外部企業(單位)遠程連接發電廠生產控制大區中的監控系統及設備的情況；

3)發電廠生產控制大區因業務需求與地方行政部門進行數據傳輸時，其邊界是否采用類似生產控制大區與管理信息大區間的安全防護措施。

d)核查電力監控系統等級保護定級報告、專家論證和審定記錄等相關文檔，評估是否依照GB17859-1999中第4章、GB/T22240—2008中5.5、GB/T25058—2010中5.3等國家標準及行業相關要求進行合理定級，系統定級結果是否經過定級系統相關部門和安全技術專家的論證和審定。

8.3.2網絡專用

8.3.2.1評估要求

網絡專用宜符合 GB/T 36572-2018 中6.2.3的要求。

8.3.2.2評估實施

評估實施主要包括以下內容：

a)核查網絡拓撲圖、組網設計方案等相關文檔，評估網絡安全隔離情況。評估內容包括，但不限于：

1)網絡拓撲圖中生產控制大區專用通道上是否使用獨立的網絡設備組網；

2)是否存在生產控制大區與其他網絡直連、邏輯隔離或共用網絡設備的情況；

3)網絡設備的配置信息是否包含與其他通信網絡相關的配置內容；

4)相關設計文檔中生產控制大區組網方式和組網技術是否符合要求。

b)核查生產控制大區網絡拓撲圖、組網設計方案等相關文檔，評估子網劃分情況。評估內容包括，但不限于：

1)子網劃分、構造技術、邊界隔離措施是否符合要求；

2)實時子網和非實時子網邊界是否使用防火墻等邏輯隔離設備或措施進行隔離。

c)核查各層協議對應的網絡設備、加密認證相關措施，評估生產控制大區數據通信七層協議的安全措施是否符合GB/Z 25320(所有部分)的要求。評估內容包括，但不限于：

1)是否實現與其他網絡的物理隔離；

2)是否存在默認路由， 是否按照業務需求劃分VLAN， 是否關閉網絡邊界OSPF路由功能，是否采用符合要求的虛擬專網、加密隧道技術；

3)是否使用符合國家要求的加密算法，是否使用調度數字證書實現安全認證。

8.3.3橫向隔離

8.3.3.1評估要求

橫向隔離宜符合GB/T36572-2018中6.2.4的要求。

8.3.3.2評估實施

評估實施主要包括以下內容：

a)核查電力專用橫向單向安全隔離裝置和廠商提供的檢測報告或認證證書，評估裝置的檢測認證情況、部署位置及策略配置是否符合要求，反向安全隔離設施是否采取基于非對稱密鑰技術的簽名驗證、內容過濾、有效性檢查等安全措施，限定傳輸協議、返回字節數和文件類型；

b)核查生產控制大區內部的安全區之間具有訪問控制功能的設備、防火墻或者相當功能的設施，評估訪問控制設備或設施的部署位置及訪問控制策略配置是否符合要求。

8.3.4縱向認證

8.3.4.1評估要求

縱向認證宜符合GB/T36572-2018中6.2.5的要求。

8.3.4.2評估實施

核查生產控制大區與廣域網的縱向連接處部署的電力專用縱向加密認證裝置或者加密認證網關及相應設施、廠商提供的檢測報告或認證證書，評估裝置、網關及相應設施的檢測認證情況、部署位置及策略配置是否符合要求。

8.3.5數字證書和安全標簽

8.3.5.1評估要求

數字證書和安全標簽宜符合GB/T36572-2018中6.2.6的要求。

8.3.5.2評估實施

核查基于公鑰技術的分布式電力調度數字證書及安全標簽，評估是否按照電力調度管理體系要求進行配置，加密認證機制是否涵蓋生產控制大區中的所有重要業務系統。

8.3.6防火墻和入侵檢測

8.3.6.1評估要求

防火墻和入侵檢測宜符合GB/T36572-2018中6.2.7的要求。

8.3.6.2評估實施

評估實施主要包括以下內容：

a)核查生產控制大區內不同系統間的防火墻等邏輯隔離措施，評估系統間邏輯隔離情況。評估內容包括，但不限于：

1)邏輯隔離、訪問控制、報文過濾等功能是否符合GB/T25068.3—2010中第6章、第7章的要求；

2)策略配置是否合理有效；

3)是否存在未部署邏輯隔離措施的情況。

b)核查生產控制大區已部署的入侵檢測措施，評估檢測規則是否配置合理有效，是否有特征碼離線更新前的測試記錄，是否存在直接連接因特網在線更新的情況。

8.3.7防惡意代碼

8.3.7.1評估要求

防惡意代碼宜符合GB/T36572-2018中6.2.8的要求。

8.3.7.2評估實施

核查生產控制大區惡意代碼防范措施，評估是否有特征碼離線更新前的測試記錄，是否存在直接連接因特網在線更新的情況，是否存在與管理信息大區共用一套惡意代碼防護措施的情況。

8.3.8撥號認證

8.3.8.1評估要求

撥號認證設施安全防護宜符合GB/T36572-2018中6.2.9的要求。

8.3.8.2評估實施

核查撥號認證設施，評估安全防護措施是否符合要求。評估內容包括，但不限于：

a)在無連接需求時是否處于斷電關機狀態；

b)是否存在直接連接核心交換機的情況；

c)是否僅允許單用戶登錄，并采取嚴格監管審計措施；

d)是否使用安全加固的操作系統，使用數字證書技術進行登錄和訪問認證；

e)是否通過國家有關機構安全檢測認證，有廠商提供的認證證書或測試報告。