和瑞电厂二次系统安全防护即处置措施一、总则（一）为了加强我厂二次系统安全防护，确保电力监控系统及电力调度数据网络的安全，依据国家电力监管委员会第5号令《电力二次系统安全防护规定》和原国家经贸委第30号令《电网和电厂计算机监控系统及调度数据网络安全防护规定》，电监会印发的《电力二次系统安全防护总体方案》、《发电厂二次系统安全防护方案》（电监安全〔2006〕34号）文件精神制定本方案。（二）发电厂二次系统的防护目标是抵御黑客、病毒、恶意码等通过各种形式对发电厂二次系统发起的恶意破坏和攻击，以及其它非法操作，防止发电厂电力二次系统瘫痪和失控，并由此导致的发电厂一次系统事故。（三）发电厂安全防护的重要措施是强化发电厂二次系统的边界防护。二、安全分区（一）本发电厂的控制区主要包括以下业务系统和功能模块：CBZ-8000电气综合系统；热控DCS；燃气发动机组ET系统；继电保护系统。（二）本发电厂的非控制区主要包括以下业务系统和功能模块：调度管理网络；OMS；JSP;OPS;双细则考核系统；电能量采集装置；故障录波系统；故障子站。（四）依照电力二次系统安全防护的总体原则，对现有应用系统的安全分区划分如下表所示：安全区域业务系统与其他业务系统的联系I区控制区电厂DCS控制系统向监控系统发送实时数据继电保护向调度系统发送实时数据ET系统Ⅱ区非控制区继电保护故障信息、录波系统向调度系统发送数据电能量采集器向调度系统发送数据故障子站向调度系统发送数据三、安全防护的总体部署根据《电力二次系统安全防护规定》的要求，我厂二次系统原则上为生产控制大区，生产控制大区可分为控制区（安全区I）和非控制区（安全区II）。安全防护的重点是保证电厂监控系统的安全可靠。我厂二次系统安全防护总体方案如图：安全区I安全区IICBZ8000电能量采集装置故障录波器装置故障子站装置实时VPN非实时VPN电能量采集系统OMS、JSP、OPS、双细则故障录波系统故障子站系统电厂二次系统安全防护总体方案框图（一）生产控制大区内部安全防护要求1、禁止生产控制大区内部的Email服务，禁止控制区内通用的WEB服务。2、允许非控制区内部业务系统采用B/S结构，但仅限于业务系统内部使用。运行提供纵向安全的WEB服务，可以采用经安全加固且支持HTTPS的安全WEB服务器和WEB浏览工作站。3、生产控制大区重要业务的远程通信采用加密认证机制，对已有系统应逐步改造。4、生产控制大区内的业务系统间采取VLAN和访问控制等安全措施，限制系统间的直接互通。5、生产控制大区的拨号访问服务，服务器和客户端均应使用经国家指定部门认证的安全加固的操作系统，并采取加密、认证和访问控制等安全措施。6、生产控制大区边界上部署入侵监测系统IDS。7、生产控制大区应部署安全审计措施，把安全审计与安全区网络管理系统、综合告警系统、IDS管理系统、敏感业务服务器登陆认证和授权、应用访问权限相结合。8、生产控制大区统一部署恶意代码防护系统，采取防范恶意代码纵向认证机密装置纵向认证机密装置纵向认证机密装置纵向认证机密装置横向隔离横向隔离措施。病毒库、木马库以及IDS规则库的更新应离线进行。（二）安全防护实施基本原则系统性原则（木桶原理）简单性和可靠性原则实时、连续、安全相统一的原则需求、风险、代价相平衡的原则实用与先进相结合的原则方便与安全相统一的原则全面防护、突出重点的原则分层分区、强化边界的原则整体规划、分步实施的原则责任到人、分组管理、联合防护的原则（四）安全防护实施总体策略安全分区：根据系统中业务的重要性和对一次系统的影响程度进行分区，所有的系统都必须置于相应的安全区内；对实时控制系统等关键业务采用认证、加密等技术实施重点保护。网络专用：建立调度专用数据网络，实现与其它数据网络物理隔离。并以技术手段在专网上形成多个相互逻辑隔离的子网，以保障上下级各安全区的纵向互联在相同的安全区进行，避免安全区纵向交叉。横向隔离：采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护，关键是将实时监控系统与管理信息系统等实行有效安全隔离，隔离强度应接近或达到物...
