GB/T 31960.8-2015 电力能效监测系统技术规范 第8部分：安全防护规范

　　ICS 27. 010 F 20

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 31960. 8—2015

　　电力能效监测系统技术规范

　　第 8 部分 :安全防护规范

　　Technicalspecification ofpowerenergy efficiency monitoringsystem—

　　Part8:Specification ofsecurityprotection

　　2015-09-11发布 2016-04-01实施

　　中华人民共和国国家质量监督检验检疫总局中 国 国 家 标 准 化 管 理 委 员 会

　　发

　　布

　　GB/T 31960. 8—2015

　　GB/T 31960. 8—2015

　　前 言

　　GB/T 31960《电力能效监测系统技术规范》分为 13个部分 :

　　— 第 1部分 :总则 ;

　　— 第 2部分 :主站功能规范 ;

　　— 第 3部分 :通信协议 ;

　　— 第 4部分 :子站功能设计规范 ;

　　— 第 5部分 :主站设计导则 ;

　　— 第 6部分 : 电力能效信息集中与交互终端技术条件 ;

　　— 第 7部分 : 电力能效监测终端技术条件 ;

　　— 第 8部分 :安全防护规范 ;

　　— 第 9部分 :系统检验规范 ;

　　— 第 10部分 : 电力能效监测终端检验规范 ;

　　— 第 11部分 : 电力能效信息集中与交互终端检验规范 ;

　　— 第 12部分 :建设规范 ;

　　— 第 13部分 :现场手持设备技术规范 。

　　本部分为 GB/T 31960的第 8部分 。

　　本部分按照 GB/T 1. 1—2009给出的规则起草 。

　　请注意本文件的某些内容可能涉及专利 。本文件的发布机构不承担识别这些专利的责任 。

　　本部分由中国电力企业联合会提出并归 口 。

　　本部分主要起草单位 : 中国电力科学研究院 、国网智能电网研究院 、国家电网公司 、中国南方电网有限责任公司 、上海协同科技股份有限公司 、广东中钰科技有限公司 、南京林洋电力科技有限公司 、南京新联能源技术有限责任公司 、光一科技股份有限公司 、威胜集团有限公司 、深圳市科陆电子科技股份有限公司 、四川启明星蜀达电气有限公司 、苏州太谷电力股份有限公司 。

　　本部分主要起草人 :钟鸣 、高昆仑 、邱意民 、李杰 、张兴华 、曹重 、李力 、文辉 、张兵 、董立军 、汪梦余 、马亮 、刘大名 、林柏 、赵保华 、杨博龙 、秦建荣 、李德智 、许高杰 、詹雄 、郑晓崑 、周亮 、张 。

　　引 言

　　本 部 分 主 要 根 据 GB/T 22239—2008《信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 基 本 要 求 》、 GB/T 22240—2008《信息安全技术 信息系统安全等级保护定级指南》,结合电力行业信息系统安全等级保护相关要求制定 。

　　按照《信息安全等级保护管理办法》(公通字[2007]43号)等国家信息安全等级保护政策要求 , 国家级主站 、省(市)级主站由国家级主站管理部门根据 GB/T 22240确定其安全保护等级 , 由各主站运营单位进行安全防护建设 ;各类电力用户 、电能服务机构部署的电力能效监测系统子站由电力用户 、电能服务机构根据 GB/T 22240或国家行业监管部门的要求自主进行定级 ,并按照 GB/T 22239或行业监管部门要求进行安全防护 ;采集子系统不需单独定级 。依据 GB/T 22240, 国家级主站安全保护等级至少为三级 ,省(市)级主站安全保护等级至少为二级 , 电力用户和电能服务机构子站安全保护等级建议至少为二级 。

　　本部分提出了对电力能效监测系统的基本防护要求和防护重点 ,其中基本防护要求为 GB/T22239相应安全保护等级信息系统的防护要求 , 防护重点为基本防护要求的增强或细化要求 。

　　电力能效监测系统技术规范

　　第 8 部分 :安全防护规范

　　1 范围

　　GB/T 31960的本部分规定了电力能效监测系统的安全防护范围及对国家级主站 、省(市)级主站 、子站和采集子系统的防护要求 。

　　本部分适用于电力能效监测系统的安全防护建设 ,也可作为安全测评的依据 。

　　2 规范性引用文件

　　下列文件对于本文件的应用是必不可少的 。凡是注 日期的引用文件 ,仅注 日期的版本适用于本文件 。凡是不注日期的引用文件 ,其最新版本(包括所有的修改单)适用于本文件 。

　　GB/T 22239—2008 信息安全技术 信息系统安全等级保护基本要求

　　GB/T 25069 信息安全技术 术语

　　GB/T 50719 电磁屏蔽室工程技术规范

　　GB/T 31960. 1 电力能效监测系统技术规范 第 1部分 :总则

　　3 术语和定义

　　GB/T 25069和 GB/T 31960. 1 界定的术语和定义适用于本文件 。

　　4 安全防护范围

　　按照 GB/T 31960. 1 给出的技术架构 , 电力能效监测系统包括国家级主站 、省(市) 级主站 、子站和采集子系统(包括信息集中与交互终端 、监测终端) 。各部分及各部分间网络通信的安全防护标准如下(见图 1) :

　　a) 国家级主站应按本部分第 5 章要求 ,从物理 、网络 、主机 、应用和数据等层面进行安全防护 ;

　　b) 省(市)级主站应按本部分第 6章要求 ,从物理 、网络 、主机 、应用和数据等层面进行安全防护 ;

　　c) 电力用户/电能服务机构部署的子站 、采集子系统由各电力用户/电能服务机构参照本部分第7章 、第 8章要求 ,从物理 、网络 、主机 、应用和数据等层面自主进行安全防护 ;

　　d) 省(市)级主站到国家级主站的网络通信应按照国家级主站安全防护要求进行防护 ;

　　e) 子站 、采集子系统到省(市)级主站的网络通信应按照省(市)级主站安全防护要求进行防护 ;

　　f) 采集子系统到子站的网络通信应按照子站安全防护要求进行防护 ;

　　g) 各部分安全防护所使用的密码算法 、设备应满足国家商用密码管理要求 。

　　图 1 安全防护范围

　　5 国家级主站安全防护要求

　　5. 1 基本防护要求

　　国家级主站安全防护应符合下列规定 :

　　a) 机房物理位置选择 、物理访问控制 、防盗窃和防破坏 、防雷击 、防火 、防水和防潮 、防静电 、温湿度控制 、电力供应 、电磁防护应符合 GB/T 22239—2008中 7. 1. 1 的要求 ;

　　b) 网络结构 、网络访问控制 、安全审计 、边界完整性检查 、入侵防范 、恶意代码防范 、网络设备防护应符合 GB/T 22239—2008中 7. 1. 2 的要求 ;

　　c) 主机身份鉴别 、访问控制 、安全审计 、剩余信息保护 、入侵防范 、恶意代码防范 、资源控制应符合GB/T 22239—2008中 7. 1. 3 的要求 ;

　　d) 应用身份鉴别 、访问控制 、安全审计 、剩余信息保护 、通信完整性 、通信保密性 、抗抵赖 、软件容错 、资源控制应符合 GB/T 22239—2008中 7. 1. 4 的要求 ;

　　e) 数据完整性 、保密性 、备份和恢复应符合 GB/T 22239—2008中 7. 1. 5 的要求 。

　　5.2 防护重点

　　5.2. 1 物理安全

　　国家级主站物理安全防护重点应包括下列内容 :

　　a) 应将主站服务器主机 、网络设备和安全防护设备部署在机房的三级系统区域 ;

　　b) 应将主站数据库服务器 、应用服务器安装在具有电磁屏蔽功能的机柜或符合 GB/T 50719要求的电磁屏蔽机房内 。

　　5.2.2 网络安全

　　国家级主站网络安全防护重点应包括下列内容 :

　　a) 应将主站部署在独立网段内 ,与局域网内其他信息系统之间部署访问控制设备 ,配置访问控制策略并启用访问控制功能 ;

　　b) 应将主站应用服务器 、数据库服务器分别部署在不同子网 ,部署访问控制设备进行隔离 ,禁止从互联网访问数据库 ;

　　c) 应在主站接入互联网的边界处部署网络访问控制设备和网络入侵检测/防御设备(IDS/IPS) ,配置安全策略并启用安全功能 ;

　　d) 应为主站网站服务器部署具有网页防篡改和 WEB应用攻击检测功能的安全防护设备 , 配置安全策略并启用安全功能 ;

　　e) 应采用能效监测 系 统 专 用 可 信 通 信 设 备 作 为 省(市) 级 主 站 接 入 设 备 , 实 现 国 家 级 主 站 与 省(市)级主站之间的双向认证和可信数据交互功能 ;

　　f) 主站与第三方信息系统通过无安全保护的公共网络互联时 ,应采用双方认可且满足能效监测系统安全要求的可信通信设备进行互联 ,实现系统间的双向认证和可信数据交互功能 ;

　　g) 应将主站各服务器 IP地址 、MAC地址与网络交换机端口绑定 ,并禁用未使用的交换机端 口 ;

　　h) 应绘制与主站运行情况相符的网络拓扑结构图 ,并在图上标注清楚设备型号 、IP地址 、网段 、路由与访问控制策略等信息 。

　　5.2.3 主机安全

　　国家级主站主机安全防护重点应包括下列内容 :

　　a) 应采用适用于能效监测系统的可信计算技术实现主机对恶意代码的安全免疫 ;

　　b) 服务器操作系统 、数据库系统和应用服务器应遵循最小安装的原则 ,仅安装必要的组件和应用程序 ,仅开启必需的 服 务 和 端 口 , 及 时 更 新 系 统 补 丁 , 补 丁 安 装 前 应 进 行 安 全 性 和 兼 容 性测试 ;

　　c) 应对服务器操作系统 、数据库系统和应用服务器的用户账户 、口令策略 、操作权限 、日志记录 、资源管理策略进行配置加固 ;

　　d) 应部署安全审计设备对数据库系统运行状况和用户访问进行 日志记录与审计分析 。 审计设备应与数据库系统旁路运行 , 由独立于数据库管理员的审计人员维护 。

　　5.2.4 应用安全

　　国家级主站应用安全防护重点应包括下列内容 :

　　a) 具有系统管理或信息审核 、发布权限的系统用户 , 身份鉴别应采用两种及以上组合的鉴别技术 。普通权限用户在执行重要业务操作前 ,应采用两种及以上组合的鉴别技术 ;

　　b) 应至少设置系统管理 、信息审核 、信息发布与安全审计角色 ,按照 “最小授权 ”原则授予不同的账户 ,形成互相制约关系 ;

　　c) 应按照 “最小授权 ”原则授予用户必需的应用和数据访问权限 ;

　　d) 应通过独立的应用安全审计模块实现对用户账户维护 、登录与退出 、用户权限维护 、违背授权的访问等重要安全事件的 日志记录和审计 ;

　　e) 国家级主站与省(市)级主站之间建立连接之前 ,应利用密码技术进行会话初始化验证 ,并对整个会话过程进行加密 ;

　　f) 国家级主站与第三方信息系统之间通过无安全防护的公共网络建立连接之前 ,应利用密码技术进行会话初始化验证 ,并对整个会话过程进行加密 ;

　　g) 应根据网络出口带宽和服务器性能设置最大并发会话连接数 、单个账户的多重并发会话数 、一个时间段内的并发会话连接数 、一个访问账户或一个请求进程占用的资源分配最大限额和最小限额 。

　　5.2.5 数据安全

　　国家级主站数据安全防护重点应包括下列内容 :

　　a) 对用户身份鉴别信息 、重要业务数据应采用密码算法进行加密处理后传输或存储 ;

　　b) 应通过安全审计设备对访问重要数据库表的行为进行记录和审计 。

　　6 省(市)级主站安全防护要求

　　6. 1 基本防护要求

　　省(市)级主站安全防护应符合下列规定 :

　　a) 机房物理位置选择 、物理访问控制 、防盗窃和防破坏 、防雷击 、防火 、防水和防潮 、防静电 、温湿度控制 、电力供应 、电磁防护应符合 GB/T 22239—2008中 6. 1. 1 的要求 ;

　　b) 网 络 结 构 、网 络 访 问 控 制 、安 全 审 计 、边 界 完 整 性 检 查 、入 侵 防 范 、网 络 设 备 防 护 应 符 合GB/T 22239—2008中 6. 1. 2 的要求 ;

　　c) 主机身份鉴别 、访问控制 、安全审计 、入侵防范 、恶意代码防范 、资源控制应符合 GB/T 22239— 2008中 6. 1. 3 的要求 ;

　　d) 应用身份鉴别 、访 问 控 制 、安 全 审 计 、通 信 完 整 性 、通 信 保 密 性 、软 件 容 错 、资 源 控 制 应 符 合GB/T 22239—2008中 6. 1. 4 的要求 ;

　　e) 数据完整性 、保密性 、备份和恢复应符合 GB/T 22239—2008中 6. 1. 5 的要求 。

　　6.2 防护重点

　　6.2. 1 网络安全

　　省(市)级主站网络安全防护重点应包括下列内容 :

　　a) 应将省(市)级主站部署在独立网段内 ,与局域网内其他信息系统之间部署网络访问控制设备 ,配置访问控制策略并启用访问控制功能 ;

　　b) 应将省(市)级主站应用服务器 、数据库服务器分别部署在不同子网 ,部署访问控制设备进行隔离 ,禁止从互联网访问数据库 ;

　　c) 应在省(市)级 主 站 接 入 互 联 网 的 边 界 处 部 署 网 络 访 问 控 制 设 备 和 网 络 入 侵 检 测/防 御 设 备(IDS/IPS) ,配置安全策略并启用安全功能 ;

　　d) 应为省(市)级主站网站服务器部署具有网页防篡改和 WEB应用攻击检测功能的安全防护设备 ,配置安全策略并启用安全功能 ;

　　e) 应采用能效监测系统专用可信通信设备接入国家级主站 ,实现与国家级主站之间的双向认证和可信数据交互功能 ;

　　f) 应采用能效监测系统专用可信通信设备作为下级子站 、信息集中与交互终端接入设备 ,实现与下级子站及信息集中与交互终端之间的双向认证和可信数据交互功能 ;

　　g) 省(市)级主站与第三方信息系统通过无安全保护的公共网络互联时 ,应采用双方认可且满足能效监测系统安全要 求 的 可 信 通 信 设 备 进 行 互 联 , 实 现 系 统 间 的 双 向 认 证 和 可 信 数 据 交 互功能 ;

　　h) 应绘制与省(市)级主站运行情况相符的网络拓扑结构图 ,并在图上标注清楚设备型号 、IP地址 、网段 、路由与安全策略等信息 。

　　6.2.2 主机安全

　　省(市)级主站主机安全防护重点应包括下列内容 :

　　a) 应采用适用于能效监测系统的可信计算技术实现主机对恶意代码的安全免疫 ;

　　b) 服务器操作系统 、数据库系统和应用服务器应遵循最小安装的原则 ,仅安装必要的组件和应用程序 ,仅开启必需的 服 务 和 端 口 , 及 时 更 新 系 统 补 丁 , 补 丁 安 装 前 应 进 行 安 全 性 和 兼 容 性测试 ;

　　c) 应对服务器操作系统 、数据库系统和应用服务器的用户账户 、口令策略 、操作权限 、日志记录 、资源管理策略进行配置加固 ;

　　d) 应部署安全审计设备对数据库系统运行状况和用户访问进行 日志记录与审计分析 。 审计设备应与数据库系统旁路运行 , 由独立于数据库管理员的审计人员维护 。

　　6.2.3 应用安全

　　省(市)级主站应用安全防护重点应包括下列内容 :

　　a) 应至少设置系统管理 、信息审核 、信息发布与安全审计角色 ,按照 “最小授权 ”原则授予不同的账户 ,形成互相制约关系 ;

　　b) 应按照 “最小授权 ”原则授予用户必需的应用和数据访问权限 ;

　　c) 应通过独立的应用安全审计模块实现对用户账户维护 、登录与退出 、用户权限维护 、违背授权的访问等重要安全事件的 日志记录和审计 ;

　　d) 省(市)级主站与国家级主站 、电力用户/电能服务机构子站 、信息集中与交互终端之间建立连接之前 ,应利用密码技术进行会话初始化验证 ,并对整个会话过程进行加密 ;

　　e) 省(市)级主站与第三方信息系统之间通过无安全防护的公共网络建立连接之前 ,应利用密码技术进行会话初始化验证 ,并对整个会话过程进行加密 ;

　　f) 应根据网络出口带宽和服务器性能设置最大并发会话连接数和单个账户的多重并发会话数 。

　　6.2.4 数据安全

　　省(市)级主站数据安全防护重点应包括下列内容 :

　　a) 对用户身份鉴别信息 、重要业务数据应采用密码算法进行加密处理后传输或存储 ;

　　b) 应通过安全审计设备对访问重要数据库表的行为进行记录和审计 。

　　7 子站安全防护要求

　　子站安全防护要求包括 :

　　a) 应根据子站安全保护等级采取满足 GB/T 22239—2008对相应等级要求的安全防护措施 ;

　　b) 子站接入上级主站或子站 ,应按照上级主站或子站安全防护要求采取相应的认证和通信保护措施 ;

　　c) 子站接收上级主站或子站下发的控制指令前 ,应对上级主站或子站的身份进行确认 ;

　　d) 关键主机应采用适用于能效监测系统的可信计算技术实现对恶意代码的安全免疫 ;

　　e) 子站与信息集中与交互终端通过无安全防护的公共网络建立连接之前 ,宜采用能效监测系统专用可信通信设备作为信息集中与交互终端接入设备 , 实现子站与信息集中与交互终端之间的双向认证和可信通信功能 ;

　　f) 如果子站接入互联网 ,宜在互联网出口部署网络访问控制设备 、入侵检测/防御设备 。如果有对外的 WEB服务 ,宜部署具有网页防篡改 、WEB应用攻击检测功能的网站安全防护设备并启用安全功能 。

　　8 采集子系统安全防护要求

　　8. 1 信息集中与交互终端安全防护要求

　　信息集中与交互终端安全防护要求包括 :

　　a) 信息集中与交互终端应部署在安全可控的物理区域内并进行标识 ;

　　b) 信息集中与交互终端应采用基于硬件的可信计算技术实现运算环境可信 ;

　　c) 信息集中与交互终端接入上级主站或子站 ,应按照上级主站或子站安全防护要求采取相应的接入认证和可信通信保护措施 ;

　　d) 信息集中与交互终端与监测终端建立连接之前 ,应通过设备通信地址对监测终端进行验证 ,对下发给监测终端的控制指令宜采用密码算法加密后传输 ;

　　e) 信息集中与交互终端与监测终端之间宜采用能效监测系统专用可信通信硬件作为接入设备 ,实现可信认证和可信通信功能 ;

　　f) 信息集中与交互终端如采用 Linux等通用操作系统 ,应遵循最小安装的原则 ,仅安装必需的操作系统组件和应用软件 ,关闭不需要的服务 ,及时更新补丁 ,并对操作系统进行安全配置加固 ,防止非授权用户登录 。

　　8.2 监测终端安全防护要求

　　监测终端安全防护要求包括 :

　　a) 监测终端应部署在安全可控的物理区域内并进行标识 ;

　　b) 监测终端应采用基于硬件的可信计算技术实现运算环境可信 ;

　　c) 监测终端应遵循最小安装的原则 ,仅安装必需的软件程序 ;

　　d) 如监测终端通过公网与上级系统互联 ,应按照 8. 1 的要求防护 。

　　参 考 文 献

　　[1] GB/T 22240—2008 信息安全技术 信息系统安全等级保护定级指南

　　[2] 电监信息[2007]44号 电力行业信息系统等级保护定级工作指导意见

　　[3] 电监信息[2012]62号 电力行业信息系统安全等级保护基本要求

　　[4] 公通字[2007]43号 信息安全等级保护管理办法

　　[5] 发改委令[2014]第 14号 电力监控系统安全防护规定