《火力發(fā)電廠安全性評價標準生產(chǎn)設(shè)備系統(tǒng)信息網(wǎng)絡(luò)安全》由會員分享，可在線閱讀，更多相關(guān)《火力發(fā)電廠安全性評價標準生產(chǎn)設(shè)備系統(tǒng)信息網(wǎng)絡(luò)安全（7頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、火力發(fā)電廠安全性評價標準生產(chǎn)設(shè)備系統(tǒng)信息網(wǎng)絡(luò)安全序 號評 價 項 目標準分查評方法評分標準及辦法3.6信息網(wǎng)絡(luò)安全8003.6.1基礎(chǔ)管理1203.6.1.1組織與崗位職責201）安全管理體系健全，配備專職（兼職）工作人員10查看信息管理組織結(jié)構(gòu)文件體系不完整扣 37 分；未配備專職（兼職）工作人員扣 3 分2）各級責任制落實，相關(guān)工作人員的工作職責與工作范圍明確10查看信息管理崗位職責文件無工作職責與工作范圍扣 5 分，工作職責與工作范圍不完整的扣 15 分3.6.1.2網(wǎng)絡(luò)管理制度301）網(wǎng)絡(luò)設(shè)備管理制度健全10查看相關(guān)（廣域網(wǎng)、局域網(wǎng)設(shè)備，配套網(wǎng)絡(luò)線纜設(shè)施，網(wǎng)絡(luò)服務(wù)器、工作站等）制度無相

2、應制度不得分，制度內(nèi)容不全扣 15 分2）網(wǎng)絡(luò)安全設(shè)備管理制度健全10查看相關(guān)（IDS、漏洞掃描、防火墻、單向隔離裝置、VPN 等）制度無相應制度不得分，制度內(nèi)容不全扣 15 分3）網(wǎng)絡(luò)安全信息系統(tǒng)管理制度健全10查看相關(guān)（網(wǎng)管系統(tǒng)、上網(wǎng)行為管理系統(tǒng)、網(wǎng)絡(luò)用戶管理系統(tǒng)）制度無相應制度不得分，制度內(nèi)容不全扣 15 分3.6.1.3系統(tǒng)管理制度351）服務(wù)器系統(tǒng)管理制度健全5查看相關(guān)（補丁管理、權(quán)限管理、運行管理）制度無相應制度不得分，制度內(nèi)容不全扣 15 分2）存儲、備份系統(tǒng)管理制度健全5查看相關(guān)（備份介質(zhì)、備份策略、容災策略、恢復策略）制度無相應制度不得分，制度內(nèi)容不全扣 15 分3）數(shù)據(jù)庫系

3、統(tǒng)管理制度健全5查看相關(guān)（版本管理、權(quán)限管理、補丁管理、性能管理、可用性管理）制度無相應制度不得分，制度內(nèi)容不全的酌情扣 15 分4）生產(chǎn)應用系統(tǒng)管理制度健全5查看相關(guān)（上線測試管理、權(quán)限管理、運行管理）制度無相應制度不得分，制度內(nèi)容不全的酌情扣 15 分5）防病毒系統(tǒng)管理制度健全5查看相關(guān)（部署管理、策略管理、監(jiān)控管無相應制度不得分，制度內(nèi)容不全的酌情序 號評 價 項 目標準分查評方法評分標準及辦法理）制度扣 15 分6）辦公與管理應用軟件系統(tǒng)管理制度健全5查看相關(guān)（包括 OA、MIS、MAIL、ERP、WEB、ERP 等）制度無相應制度不得分，制度內(nèi)容不全的酌情扣 15 分7）各系統(tǒng)應急預

4、案健全5查看系統(tǒng)應急預案制度無相應制度不得分，制度內(nèi)容不全的酌情扣 15 分3.6.1.4計算機使用管理規(guī)定201）上網(wǎng)行為管理制度健全10查看相關(guān)（訪問內(nèi)容、流量控制、下載管理、信息發(fā)布）制度無相應制度不得分，制度內(nèi)容不全的酌情扣分2）制定計算機使用制度及移動介質(zhì)（如 U 盤、光盤等）使用管理制度10查看相關(guān)（密碼、計算機名、補丁、防病毒、個人防火墻、共享等）制度無相應制度不得分，制度內(nèi)容不全的酌情扣分3.6.1.5計算機房管理制度151）具有計算機房的管理制度10查看相關(guān)（包括機房準入準出制度、機房內(nèi)相關(guān)操作制度）制度無相應制度不得分，制度內(nèi)容不全的酌情扣分2）具有計算機房維護手冊5查看相

5、關(guān)（服務(wù)器系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、環(huán)境監(jiān)控系統(tǒng)）文件無相應制度不得分，制度內(nèi)容不全的酌情扣 15 分3.6.2技術(shù)管理4603.6.2.1技術(shù)管理通用要求1651）具有信息系統(tǒng)安全策略規(guī)劃，信息系統(tǒng)安全保障系統(tǒng)健全10查閱有關(guān)規(guī)劃，現(xiàn)場查問無安全保障系統(tǒng)扣 10 分，不健全的酌情扣分2）在相關(guān)網(wǎng)絡(luò)的隔離點，設(shè)立合理的訪問控制10查閱有關(guān)記錄文件無訪問控制不得分，控制不合理的酌情扣25 分3）按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段5檢查網(wǎng)絡(luò)結(jié)構(gòu)及 IP 地址分配方案沒有按需劃分子網(wǎng)不得分，分配不合理的酌情扣 25 分4）IP 地址的規(guī)劃方案、分配策略、分配記錄進行統(tǒng)一管理10檢查管理文檔或記錄

6、沒有相關(guān)文檔扣 5 分，記錄不全的酌情扣25 分5）VLAN 間訪問控制的合理性10檢查網(wǎng)絡(luò)配置、記錄文檔未配置訪問控制策略不得分，配置不合理的酌情扣 25 分6）重要網(wǎng)段應采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁5檢查設(shè)備配置、登記記錄無配置扣 3 分，無登記記錄扣 2 分序 號評 價 項 目標準分查評方法評分標準及辦法定措施，防止地址欺騙7）安全區(qū)邊界拓撲結(jié)構(gòu)是否合理，不應有不經(jīng)過防火墻的外聯(lián)鏈路10查閱網(wǎng)絡(luò)拓撲圖，現(xiàn)場查問拓撲圖不合理的酌情扣分8）在生產(chǎn)控制大區(qū)與管理信息大區(qū)之間必須設(shè)置經(jīng)國家指定部門檢測認證的電力專用橫向單向安全隔離裝置。生產(chǎn)控制大區(qū)內(nèi)部的安全區(qū)之間應當采用具有訪問控制功能的設(shè)

7、備、防火墻或者相當功能的設(shè)施，實現(xiàn)邏輯隔離5實地檢查設(shè)備安裝情況無物理單向隔離設(shè)備扣 5 分。內(nèi)部無訪問控制設(shè)備隔離各安全區(qū)扣 5 分9）電力調(diào)度信息系統(tǒng)安全評估體系，采取以自評估為主、聯(lián)合評估為輔的方式10檢查評估文檔無評估文檔不得分10）對所有通過防火墻或其他訪問控制設(shè)備的網(wǎng)絡(luò)地址、端口等進行控制10檢查網(wǎng)絡(luò)拓撲圖、在線檢查防火墻配置檢查網(wǎng)絡(luò)拓撲和防火墻配置，發(fā)現(xiàn)一個未覆蓋出口扣 5 分，如未做控制則不得分11）防火墻應具備防止已知攻擊的能力10查看配置，是否對常用攻擊端口進行限制如無相關(guān)能力，則不得分；功能不完善的酌情扣分12）防火墻管理對不同安全級別的網(wǎng)絡(luò)按其安全技術(shù)和機制的不同要求實

8、施相應的安全管理；10在線查看防火墻策略（禁止從外部網(wǎng)絡(luò)登錄，限制其他管理方式）等如未限制，則不得分，限制不完善的酌情扣 25 分13）為了便于防火墻的控制，應對各個系統(tǒng)、軟件所使用的端口進行登記10檢查端口開放記錄文檔無登記端口開放記錄文檔不得分14）重要系統(tǒng)的數(shù)據(jù)傳輸應通過安全鏈路（專線、加密 VPN）10現(xiàn)場詢問，并實地考察鏈路狀況沒有采取安全鏈路不得分，鏈路不夠安全酌情扣分15）定期進行漏洞掃描10檢查漏洞掃描記錄文檔無掃描記錄文檔不得分16）有專業(yè)的網(wǎng)絡(luò)管理系統(tǒng)對網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)流量、接入設(shè)備進行監(jiān)控與管理10檢查網(wǎng)絡(luò)管理系統(tǒng)無專業(yè)的網(wǎng)絡(luò)管理系統(tǒng)，不得分17）實施上網(wǎng)行為管理系統(tǒng)，系統(tǒng)

9、及設(shè)備口令符合密碼設(shè)置規(guī)則，重要設(shè)備及系統(tǒng)口令定期更換10檢查系統(tǒng)，系統(tǒng)應具備對 WEB 訪問、網(wǎng)絡(luò)聊天、P2P 下載、網(wǎng)絡(luò)娛樂、信息收發(fā)、帶寬流量等應用進行監(jiān)控，并具有互聯(lián)網(wǎng)審計功能無上網(wǎng)行為管理系統(tǒng)不得分，功能不全酌情扣分18）應有網(wǎng)絡(luò)用戶接入控制的技術(shù)手段，嚴格控制網(wǎng)10按全部用戶數(shù)的 5%進行隨機接入設(shè)備測無網(wǎng)絡(luò)用戶接入控制手段不得分序 號評 價 項 目標準分查評方法評分標準及辦法絡(luò)用戶的接入，重要的信息系統(tǒng)建立了身份識別和認證系統(tǒng)試3.6.2.2服務(wù)器技術(shù)管理601）重要系統(tǒng)服務(wù)器與網(wǎng)絡(luò)、存儲的接口采用雙鏈路連接方式10現(xiàn)場檢查設(shè)備連接情況主機與網(wǎng)絡(luò)非雙鏈路連接方式扣 5 分，主機與

10、存儲非雙鏈路連接方式扣 5 分2）重要系統(tǒng)服務(wù)器數(shù)據(jù)具有安全性10查看設(shè)備配置或?qū)嵉乜疾觳环弦蟛坏梅?）重要服務(wù)器系統(tǒng)可靠性，重要服務(wù)器采用雙機集群方式，本機磁盤為 RAID 方式，磁盤、電源等設(shè)備支持熱插拔10查看重要服務(wù)器等設(shè)備日志服務(wù)器系統(tǒng)可靠性應不低于 99.99%，平均故障間隔時間（MBFT）為 100000h 以上，不符合要求的酌情扣分4）重要服務(wù)器系統(tǒng)應具有詳實可行的應急預案（含事故處理流程）5查看重要服務(wù)器應急預案無應急預案扣 5 分，內(nèi)容不可行的酌情扣25 分5）對服務(wù)器進行地址綁定，IP 地址分配由信息主管部門負責，有詳細的 IP 地址分配表10在線檢查配置并查看 IP

11、 地址分配表未進行地址綁定扣 5 分，無 IP 地址分配表扣 5 分6）服務(wù)器系統(tǒng)采用復雜性安全口令，按需設(shè)置用戶權(quán)限5按服務(wù)器總數(shù)的 20%進行隨機抽查服務(wù)器口令不夠安全的，按安全性酌情扣分7）對服務(wù)器操作具有啟動/停止、配置保護、口令方式的身份鑒別等基本管理；對終端計算機應設(shè)置開機、屏幕保護等口令，軟件安裝等要求；5按服務(wù)器總數(shù)的 20%進行隨機抽查未設(shè)置扣 5 分，設(shè)置不完整酌情扣分8）系統(tǒng)安裝必要補丁5按服務(wù)器總數(shù)的 20%進行隨機抽查按系統(tǒng)補丁更新程度酌情扣分3.6.2.3安全系統(tǒng)101）具有系統(tǒng)運行風險控制措施5查看有關(guān)記錄無風險控制措施扣 5 分，未定期進行檢查扣 5 分2）具有

12、災難備份的手段及方式5查看存儲系統(tǒng)的災難備份方案無災難備份手段及方式不得分，災難備份內(nèi)容不全酌情扣分3.6.2.4數(shù)據(jù)庫系統(tǒng)安全技術(shù)管理201）數(shù)據(jù)庫口令復雜性檢查（包含密碼復雜度要求）10在線檢查密碼設(shè)置或利用漏洞掃描設(shè)備檢查不符合要求扣酌情扣分2）修改數(shù)據(jù)庫高級用戶默認密碼5查看數(shù)據(jù)庫高級用戶的密碼數(shù)據(jù)庫高級用戶密碼未更改不得分序 號評 價 項 目標準分查評方法評分標準及辦法3）按照最小權(quán)限原則設(shè)置數(shù)據(jù)庫用戶5登錄系統(tǒng)在線檢查，各用戶的權(quán)限分配未按照權(quán)限進行分配的不得分。未采取最小權(quán)限分配原則的酌情扣分3.6.2.5生產(chǎn)應用系統(tǒng)安全技術(shù)管理701）生產(chǎn)應用系統(tǒng)實施前應進行上線測試、功能和性

13、能測試并出具測試報告10查看生產(chǎn)應用測試報告無測試報告不得分，測試報告內(nèi)容不全的酌情扣 25 分2）生產(chǎn)應用系統(tǒng)的版本及軟件更新記錄10登陸系統(tǒng)查看系統(tǒng)版本，檢查軟件更新記錄無記錄不得分，記錄內(nèi)容不全的酌情扣25 分3）生產(chǎn)應用系統(tǒng)的用戶管理及賬戶維護記錄10查看生產(chǎn)系統(tǒng)的用戶管理及維護記錄無記錄不得分，記錄內(nèi)容不全的酌情扣25 分4）生產(chǎn)應用系統(tǒng)權(quán)限管理，實現(xiàn)權(quán)限分離10查看生產(chǎn)應用系統(tǒng)權(quán)限管理文件無記錄不得分；如未將管理與審計的權(quán)限分離或記錄缺失扣 5 分5）生產(chǎn)應用系統(tǒng)應具有詳實可行的應急預案10查看生產(chǎn)應用系統(tǒng)的應急預案無應急預案不得分，內(nèi)容不含事故處理流程的酌情扣 25 分6）定期對

14、生產(chǎn)應用系統(tǒng)進行分析評估，提出系統(tǒng)維護計劃10查看生產(chǎn)系統(tǒng)運行評估報告無評估文件及計劃不得分，內(nèi)容不詳實的酌情扣 25 分7）對新用戶進行培訓10查看培訓記錄和培訓操作計劃無培訓計劃及操作手冊不得分，內(nèi)容不詳實的酌情扣 25 分3.6.2.6防病毒系統(tǒng)技術(shù)管理251）防病毒系統(tǒng)應覆蓋所有 PC 服務(wù)器及客戶端10按 PC 服務(wù)器總數(shù)的 10%進行抽查按抽查服務(wù)器中未安裝防病毒系統(tǒng)所占比率扣分2）病毒掃描策略應規(guī)定周期進行掃描，出具病毒統(tǒng)計分析報告10檢查防病毒系統(tǒng)中掃描策略及記錄無策略不得分，策略不符合要求扣 3 分3）對防病毒客戶端管理策略配置是否合理5檢查相關(guān)（自動升級病毒代碼、定期掃描、

15、病毒爆發(fā)應急預案）配置無策略不得分，策略不符合要求扣 3 分3.6.2.7辦公系統(tǒng)安全管理301）辦公系統(tǒng)權(quán)限管理數(shù)據(jù)管理10檢查相關(guān)（用戶權(quán)限分配記錄、數(shù)據(jù)備份存儲記錄）文件權(quán)限分配記錄不完整的酌情扣 25 分，數(shù)據(jù)管理記錄不完整的酌情扣 25 分2）網(wǎng)站發(fā)布審核管理10檢查網(wǎng)站發(fā)布審核功能無審批流程不得分序 號評 價 項 目標準分查評方法評分標準及辦法3）郵件系統(tǒng)應具備垃圾郵件過濾功能10檢查郵件系統(tǒng)配置文檔不符合要求不得分3.6.2.8個人計算機安全管理301）個人計算機軟件正版化5按個人電腦總數(shù)的 15%進行現(xiàn)場抽查按抽查數(shù)中不合格數(shù)所占抽查總數(shù)比率進行扣分2）計算機使用規(guī)范檢查5現(xiàn)場

16、抽查（口令、機器名、補丁）按抽查數(shù)中不合格數(shù)所占抽查總數(shù)比率進行扣分3）個人計算機有無防病毒軟件、個人防火墻5按個人電腦總數(shù)的 15%進行現(xiàn)場抽查按抽查數(shù)中不合格數(shù)所占抽查總數(shù)比率進行扣分4）個人計算機有無與辦公無關(guān)的應用軟件5按個人電腦總數(shù)的 15%進行現(xiàn)場抽查按抽查數(shù)中不合格數(shù)所占抽查總數(shù)比率進行扣分5）涉密個人計算機與網(wǎng)絡(luò)隔離5現(xiàn)場抽查按抽查數(shù)中不合格數(shù)所占抽查總數(shù)比率進行扣分6）個人計算機關(guān)閉系統(tǒng)默認共享及共享文件夾5按個人電腦總數(shù)的 15%進行現(xiàn)場抽查按抽查數(shù)中不合格數(shù)所占抽查總數(shù)比率進行扣分3.6.2.9機房安全技術(shù)管理501）機房位置合理性檢查5現(xiàn)場檢查工作環(huán)境及相關(guān)設(shè)備不符合要

17、求不得分2）機房設(shè)備供電安全10現(xiàn)場檢查供電系統(tǒng)是否合理、電源是否采用不間斷電源供電系統(tǒng)不合理扣 5 分，電源未采用不間斷電源扣 5 分3）機房靜電防護10現(xiàn)場檢查是否安裝防靜電地板，全部設(shè)備均應接地，接地電阻符合規(guī)范標準未接地不得分，接地電阻大于標準扣 5 分4）防雷與接地防護10現(xiàn)場檢查相關(guān)設(shè)備不符合規(guī)定酌情扣分5）電磁屏蔽5現(xiàn)場檢查相關(guān)設(shè)備不符合規(guī)定酌情扣分6）機房環(huán)境監(jiān)控，定期清理核心設(shè)備空氣濾網(wǎng)10現(xiàn)場檢查門禁、消防、安防、視頻監(jiān)控、環(huán)境監(jiān)控系統(tǒng)和空調(diào)系統(tǒng)每有一項不符合項扣 2 分3.6.3運行維護2203.6.3.1網(wǎng)絡(luò)設(shè)備運行維護1001）網(wǎng)絡(luò)設(shè)備巡檢情況，設(shè)備檢修維護保密處理與

18、審批20檢查相關(guān)記錄缺一項記錄扣 5 分，記錄不全每項扣 25 分序 號評 價 項 目標準分查評方法評分標準及辦法2）網(wǎng)絡(luò)設(shè)備接入審批10檢查接入審批記錄無記錄扣 5 分，記錄不全扣 25 分3）網(wǎng)絡(luò)設(shè)備運行工作狀況監(jiān)控10檢查有關(guān)記錄無記錄扣 5 分，記錄不全扣 25 分4）網(wǎng)絡(luò)設(shè)備故障情況10檢查網(wǎng)絡(luò)設(shè)備故障記錄無記錄扣 5 分，記錄不全扣 25 分5）網(wǎng)絡(luò)設(shè)備變更情況10檢查網(wǎng)絡(luò)設(shè)備變更記錄無記錄扣 5 分，記錄不全扣 25 分6）網(wǎng)絡(luò)設(shè)備臺賬情況10檢查網(wǎng)絡(luò)設(shè)備臺賬記錄無記錄不得分，記錄不全扣 25 分7）IP 地址分配情況10檢查 IP 地址分配記錄無記錄不得分，記錄不全扣 25 分

19、8）上網(wǎng)行為情況10檢查上網(wǎng)行為記錄+無記錄不得分，記錄不全扣 20%50%標準分9）網(wǎng)絡(luò)設(shè)備配置備份情況10檢查網(wǎng)絡(luò)設(shè)備配置備份存檔無記錄不得分，記錄不全扣 25 分3.6.3.2應用系統(tǒng)運行維護451）各系統(tǒng)故障情況15檢查各系統(tǒng)故障記錄無記錄不得分，記錄不全每項扣 25 分2）應急演練情況15檢查應急演練記錄無記錄不得分，記錄不全每項扣 25 分3）應用系統(tǒng)備份情況15檢查應用系統(tǒng)備份記錄無記錄不得分，記錄不全每項扣 25 分3.6.3.3主機數(shù)據(jù)庫系統(tǒng)運行維護551）主機數(shù)據(jù)庫系統(tǒng)巡檢情況15檢查主機數(shù)據(jù)庫系統(tǒng)巡檢記錄無記錄不得分，記錄不全每項扣 25 分2）系統(tǒng)故障情況10檢查系統(tǒng)故障記錄無記錄不得分，記錄不全每項扣 25 分3）系統(tǒng)操作情況10檢查系統(tǒng)操作記錄無記錄不得分，記錄不全每項扣 25 分4）應急演練情況10檢查應急演練記錄無記錄不得分，記錄不全每項扣 25 分5）主機數(shù)據(jù)庫系統(tǒng)備份情況10檢查主機數(shù)據(jù)庫系統(tǒng)備份記錄無記錄不得分，記錄不全每項扣 25 分3.6.3.4機房運行維護201）機房環(huán)境監(jiān)控情況10檢查機房環(huán)境監(jiān)控記錄無記錄不得分，記錄不全每項扣 25 分2）機房巡檢記錄5檢查相關(guān)記錄無記錄不得分，記錄不全每項扣 13 分3）機房出入管理記錄5檢查相關(guān)記錄無記錄不得分，記錄不全每項扣 13 分