华能嘉祥发电有限公司网络安全等级保护测评项目技术规范书.docx

《华能嘉祥发电有限公司网络安全等级保护测评项目技术规范书.docx》由会员分享，可在线阅读，更多相关《华能嘉祥发电有限公司网络安全等级保护测评项目技术规范书.docx（17页珍藏版）》请在第一文库网上搜索。

1、华能嘉祥发电有限公司网络安全等级保护测评项目技术规范书批准:审核:编制:华能嘉祥发电有限公司2023年09月目录1总则31. 1弓言31. 2总体要求和概况31.3适用范围31. 4标准和规范41.5 权利和职责41.6 项目工作范围51.7 服务周期或施工周期62技术规范62. 1项目实施原则62.5 实施要求62.6 等级保护测评内容82.7 电力监控系统安全防护评估内容102.8 测评及评估流程123项目服务商要求153.1 服务团队技术要求153.2 服务人员要求153.3 技术支持服务要求154工程管理164. 1项目验收161.1 2项目文档164.3 质量保证174.4 保密要求

2、171总则1.1 引言为了落实公安部、国家能源局关于电力监控系统安全等级保护要求，进一步 增强电力监控系统安全防护能力，确保电力监控系统安全稳定运行，依据信息 系统安全等级保护基本要求（GB/T 22239-2008）、电力行业信息系统安全等级 保护基本要求（电监信息201262号）、电力监控系统安全防护规定（国家 发展改革委员会2014年第14号令）、电力行业网络与信息安全管理办法（国 能安全2014317号）和电力行业信息安全等级保护管理办法（国能安全 20141318号）等制度和标准要求，进行本次电力监控系统信息安全技术服务, 内容包括等级保护测评、安全防护评估、安全审计等。1.2 总体

3、要求和概况通过信息系统安全测评工作促进系统安全整改与安全建设，保证电力监控系 统安全防护体系的强壮性和有效性；加强信息系统安全建设、提升从业人员安全 意识，为电力监控系统安全奠定良好基础，保证电力监控系统安全可靠运行并完 成等级保护备案工作。华能嘉祥发电有限公司根据区域划分生产控制大区和管理信息大区，电力监 控系统包含DCS、SlS及调度数据网等。根据三同时要求机组DCS系统完成国产 化改造后重新备案并进行等保测评。PI系统升级改造为厂级监控SIS系统，完 成定级、等保测评及备案。燃料管理信息系统完成等保测评及备案。配合信息中心完成信息内、外网安全风险评估工作，出具报告。1.3 适用范围本技术

4、规范适用于信息安全技术服务项目的采购，包括技术服务要求和验收 要求。1.3.1 本技术规范提出的是最低限度的技术要求。凡本技术规范中未规定，但 在相关国家标准、电力行业标准或IEC标准中有规定的规范条文，投标人应按相 应标准的条文进行服务供应说明。1.3.2 如果投标人没有以书面形式对本技术规范的条文提出异议，则招标方认 为投标人提供的服务完全符合本技术规范。1. 3. 3本技术规范所建议使用的标准如与投标人所执行的标准不一致，投标人 应按更严格标准的条文执行或按双方商定的标准执行。1.3.4 本项目涉及到的知识产权费用均已包含在报价中，因知识产权产生的纠纷由报价人自行承担或解决，采购人不承担

5、相应责任。1.3.5 技术规范书经双方确认后，作为合同的附件，与合同正文具有同等的法 律效力。1. 4标准和规范下列文件中的条款通过本规范的引用而成为本规范的条款，除本技术规范书 特别规定外，投标人所提供的测评标准均应遵循公安部、能源局相关文件要求和 招标方的相关文件要求，所用的标准必须是其最新版本；如果这些标准内容矛盾 时，应按最高标准的条款执行或按双方商定的标准执行；如果投标人选用本技术 规范书规定以外的标准时，需提交与这种替换标准相当的或优于规定标准的证明， 供招标方确认。 信息安全等级保护管理办法（公通字200743号） GBT 22239-2019信息安全技术 信息系统安全等级保护基

6、本要求 GA/T 1389-2017信息安全技术信息系统安全等级保护定级指南 GBT 25058-2019信息安全技术信息系统安全等级保护实施指南 GB/T 28448信息安全技术信息系统安全等级保护测评要求 GB/T 28449信息安全技术信息系统安全等级保护测评过程指南 关于开展电力行业信息系统安全等级保护定级工作的通知（电监信息（2007） 34号） 电力行业信息系统安全等级保护基本要求（电监信息201262号） 电力行业网络与信息安全管理办法（国能安全2014317号） 电力行业信息安全等级保护管理办法（国能安全2014318号） 电力监控系统安全防护规定（国家发展改革委员会2014年

7、第14号令） 电力监控系统安全防护总体方案国能安全201536号 发电厂监控系统安全防护方案国能安全201536号 电力监控系统安全防护评估规范国能安全201536号1.5 权利和职责为切实保障本项目的工作质量，确保测评及评估工作达到预期目标，对招标 方及项目实施方双方技术工作责任约定如下:1.6 . 1招标方责任 负责测评实施过程中同相关单位和部门的协调。 为项目实施方提供良好的工作场地和环境。 按工作要求提供相关的资料和信息。 准备应急措施，负责实施过程中的紧急情况的处理。1.5.2项目实施方责任 按照招标方工作章程开展工作。 项目内容的变更及时与招标方代表沟通。 按照协议要求提供技术服务

8、和成果。 确保信息安全技术服务工作质量。 配合招标方准备应急预案和实施过程中的紧急情况处理。 负责按时完成所有工作。同时，双方都必须遵循保密要求。1.6 项目工作范围信息安全技术服务范围如下：(1)等级保护测评对象：火电机组分散控制系统DCS (330MW)安全等级保 护测评为三级。燃料管理系统、SlS系统安全等级保护测评均为二级。(2)根据国家等级保护相关标准，安全等级保护测评应包括以下内容：安全技术测评：包括物理安全、网络安全、主机安全、应用安全和数据安全 及备份恢复等五个方面的安全测评；安全管理测评：包括安全管理制度、安全管理机构、人员安全管理、系统建 设管理和系统运维管理等五个方面的安

9、全测评。(3)电力监控系统安全防护评估的主要内容包括：资产评估、威胁评估、脆弱性评估、现有安全措施有效性评估等。本次服务范围见下表：序号系统名称工程内容1DCS系统三级等保测评2SIS系统二级等保测评3燃料监管系统二级等保测评4电力监控系统安全防护评估电力监控系统安全防护评估1.7 服务周期或施工周期在合同签订后，根据发标方各系统实施时间要求，中标方入厂进行等级保护 现场测评，并出具系统的等级保护测评报告，完成备案等全部相关事项；2技术规范2.1 项目实施原则本项目实施方案设计与具体实施应满足以下原则：2.1.1 保密性原则：项目实施方应与招标方签订保密协议，对服务的过程数据 和结果数据严格保

10、密，未经授权不得泄露给任何单位和个人，不得利用此数据侵 害招标方的权益，否则招标方有权追究投标人的责任。2.1.2 2标准性原则：测评及评估方案的设计与实施应依据国家的相关标准进行。 2.1.3规范性原则：项目实施方工作中的过程和文档，应具有规范性，便于项 目跟踪和控制。2.1.4 可控性原则：项目的进度应符合进度安排，保证招标方对服务工作的可 控性。2.1.5 整体性原则：测评及评估的范围和内容应系统、全面、规范，满足等级 保护和安全防护评估的相关基本要求。2.1.6 最小影响原则：技术服务工作应尽可能小的影响在线系统和网络的正常 运行，不能对现有运行系统造成影响。在线测评及评估应在招标方许

11、可的条件下 进行。2.2 实施要求投标人在签订合同后开工前应提供详细的信息安全技术服务的整体实施方 案，包括项目概述、等保测评方案、安全防护评估方案、项目实施方案、时间安 排、阶段性文档提交和验收标准等。投标人应详细描述服务人员的组成、资质及 各自职责的划分。2.2.1 测评及评估方法测评及评估方法包括访谈、检查和测试三种方法，可细化为文档审查、配置 检查、工具测试和实地察看等多种方法。如需在电力监控系统等级保护测评及安全防护评估实施过程中采用在线测 评工具，各种工具软件由项目实施方推荐，经招标方确认后由项目实施方提供并 在工作中使用。安全测评工具软件运行可能需要的硬件平台（如笔记本电脑、PC

12、、工作站等） 和操作系统软件等由项目实施方推荐，经确认后由项目实施方提供并在测评中使 用。安全测评需要的运行环境（如场地、网络环境等）由招标方提供，项目实施 方应详细描述需要的运行环境的具体要求。2.2.2 工作进度2.2.3 . 1筹划准备阶段工作周期：12周工作内容：对被测评及评估系统防护现状进行详细分析和调研，初步确定测评及 评估实施方案、范围，收集材料，签署保密协议，组建测评及评估项目组，并进 行进场实施前的安全教育工作，同时完成检测工具、装备配置等各项准备工作。 2.2.2.2启动阶段工作周期：12个工作日工作内容：项目组进驻被测单位，收集分析信息资产资料、网络资料、业务系统 资料和

13、信息安全管理制度方针等相关测评所需材料，并召开启动会，就测评及评 估工作具体事宜进行落实，包括确定测评及评估计划安排、测评及评估范围、测 评及评估内容和配合需求等。2.2.2.3 现场测评工作周期：4-5个工作日工作内容：项目组从管理和技术两个方面入手，开展被测单位测评及评估工作， 包括安全区划分、网络专用，评估管理和制度、基础网络、业务系统、通用服务、 主机系统、数据库系统、现有安全措施等。测评及评估方法有顾问访谈、日志审计、人工查看、漏洞扫描等。现场工作结束后，测评及评估工作小组对现场测评情况进行初步整理汇总， 向被测单位领导和系统管理员等汇报现场阶段工作情况。2.2.2.4 结论分析报告

14、编制阶段工作周期：34周工作内容：项目组对检测情况和采集的数据进行分类统计、风险计算、综合分析 与评估，撰写被测单位系统等级保护测评报告及电力监控系统安全防护评 估报告。2.2.2.5 整改技术支持阶段工作内容：项目组针对现场测评及评估发现的问题，出具整改建议后，向被测单 位提供整改技术咨询支持。2.2.3风险控制测评及评估工作本身也会引入安全风险，必须加强测评及评估过程中的风险 控制。项目实施前，双方应充分讨论并明确测评及评估对系统可能带来的风险和 隐患，确定测评及评估对象、测评及评估方法和工具，并制定应急恢复措施。(1)操作的申请和监护测评及评估操作必须遵守现场运行规章制度，确保系统安全稳

15、定运行。如需 在线测试，按照相关工作规程，事前申请，并在专责人员的指导和监护下进行。(2)人员与数据管理重视保密工作，加强测评及评估过程中的保密管理，确保参与测评工作人员 的可靠、稳定，防止敏感信息泄漏。(3)测评对象选择优先选择备用设备(系统)或临时搭建的模拟环境进行测评及评估，避免影 响在线系统运行。(4)制定应急预案根据被测系统情况，在测评及评估实施前制定应急预案，加强系统在线应急 处置能力。(5)关键业务系统风险控制生产控制大区在线运行系统禁止采用渗透测试工具进行测评。2.3等级保护测评内容根据国家等级保护相关标准，本次项目的安全等级保护测评应包括以下内容:安全技术测评：包括物理安全、网络安全、主机安全、应用安全和数据安全 及备份恢复等五个方面的安全测评；安全管理测评：包括安全管理制度、安全管理机构、人员安全管理、系统建 设管理和系统运维管理