18、2024风险评估检查表及审核说明0731

Categories:

Wiki

4 分钟阅读

序号	评估类别	评估项目	评估要点	重要程度	附件	审核说明
1	物理安全	电磁防护	电源线和通信线缆应隔离铺设，避免互相干扰。	低	是
2	物理安全	物理位置选择	机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。	中	否	检查是否在封闭建筑内
3	物理安全	物理位置选择	机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁，如不可避免，应采取有效防水等措施。	中	否	在报告里面体现机房建筑位置，在xx层建筑的x层。
4	物理安全	物理访问控制	进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。应记录人员到场时间、个人信息及开展的工作内容等。	中	是	上传机房进出登记表、机房管理制度。至少有机房进出登记表。
5	物理安全	物理访问控制	机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员（三级及以上）。	中	是	二级：机房进出登记表三级：电子门禁照片及系统记录/机房进出登记表+门禁照片
6	物理安全	防盗窃和破坏	机房交流电源应设置接地保护，各机柜等接地。	中	是	至少三个业务系统机柜接地照片。
7	物理安全	防盗窃和破坏	应在机房门口安装挡板，防止小动物进入。	中	是	上传机房挡板照片
8	物理安全	防盗窃和破坏	应将设备或主要部件进行固定，并在设备、线缆、机柜等上设置详细的标识。	中	是	至少三个机柜的设备、线缆标签照片，限期整改
9	物理安全	防水和防火	a）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；b）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透（二级及以上）；c）应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警（三级及以上）。应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。	低	是
10	物理安全	防水和防火	与主机房无关的给排水管道不得穿过主机房，与主机房相关的给排水管道应有可靠的防渗漏措施。	低	否	依据现场实际情况检查。
11	物理安全	防水和防火	机房应设置火灾自动消防系统或者配备消防灭火相关工器具，确保工器具在质保期且可以正常使用。	中	是	灭火器或自动消防系统照片+合格证明+巡检卡必须有合格证和质保期佐证
12	物理安全	电力供应安全	UPS电源需定期进行巡检并建立巡检记录，巡检应包含负载、输出电压、输出电流等，蓄电池需定期进行充放电试验。	中	是	01、UPS电源巡检记录，巡检内容需包含负载、输出电压、输出电流等； 02、上传蓄电池充放电试验报告。
13	物理安全	电力供应安全	调度数据网设备与远动设备应具有双电源供电模块，两路交流输入电源应分别取自不同 UPS，且双电源切换正常；冗余配置的两台单电源供电设备，其交流输入电源应分别取自不同 UPS且设备切换正常。	高	是	01、数据网设备及远动双电源照片 02、UPS到设备电源输出示意图 03、UPS输出侧切换测试报告必须进行电源切换实验，电源切换之前给电厂做好沟通工作，报备调度。
14	物理安全	电力供应安全	应配备两套UPS电源，要两套UPS采用1 1分列运行方式；两台UPS电源的交流输入电源应取自不同段的站用交流母线，两台 UPS 电源的直流输入电源应分别取自变电站直流系统不同段直流母线。	高	是	01、双UPS电源照片 02、双UPS运行方式示意图
15	体系结构安全	安全分区	电力监控系统网络拓扑结构图与现场实际设备部署须符合安全分区原则，与当前运行情况相符；生产控制大区除安全接入区外，禁止使用带有无线通信功能的设备；生产控制大区主机设备禁止通过双网卡等手段实现跨区联接。	很高	否	检查拓扑图，光辐照仪、测风塔等设备是否正确接入分区。
16	体系结构安全	安全分区	新能源场站与远程集控中心、远程监视中心、设备制造厂商的纵向边界安全防护实施方案必须经调控机构审核，安全设备配置策略必须经过现场验证确认安全。	很高	是	01、确认场站是否存在与远程集控中心、远程监视中心存在网络连接 02、如无集控，上传网络拓扑图，默认满足 03、如有，上传调度机构审核过的实施方案
17	体系结构安全	专网专用	调度数据网仅允许直接涉网业务主机（装置）与专网交换机互联；禁止网络设备或者无关设备与专网设备直接互联。	很高	否	验证系统自动审核结果，检查拓扑图。
18	体系结构安全	专网专用	调度数据专网应使用电力专用通道与调度主站进行通信，禁止使用租用运营商网络资源的方式与调度主站进行通信。	很高	否
19	体系结构安全	横向边界安全	防火墙配置须根据实际业务传输需求配置安全策略，且满足白名单与精细化（安全策略源/目的IP地址与服务端口需精确至单个IP及具体服务端口号）要求。	高	是	如无需，未部署，上传网络拓扑图 01、查看策略：是否符合要求，是否有拒绝所有策略 02、查看地址：是否跟策略对应，地址是否精确到32位 03、查看服务：源地址或目的地址是否精确
20	体系结构安全	横向边界安全	生产控制大区或者管理信息大区内部有数据交互需求的应采用硬件防火墙等设备进行网络隔离。	很高	否	如无需，未部署，上传网络拓扑图，默认满足
21	体系结构安全	横向边界安全	如果管理信息大区和外网之间有数据交互需求，应采用硬件防火墙进行逻辑隔离。	很高	否	如无需，未部署，上传网络拓扑图，默认满足
22	体系结构安全	横向边界安全	隔离装置仅允许非TCP直接方式的数据通信，策略配置满足精细化要求，且绑定通信服务器的IP、MAC地址。	高	是	上传隔离装置策略（总体+每个策略明细），需要绑定MAC地址；如无需，未部署，上传网络拓扑图。
23	体系结构安全	横向边界安全	如果管理信息大区与生产控制大区之间有数据交互需求，应采用经国家指定部门检测认证的电力专用横向安全隔离装置进行安全隔离。	很高	否	如无需，未部署，上传网络拓扑图
24	体系结构安全	纵向边界安全	调度数据专网加密装置仅允许专用的通信服务、不存在业务明通隧道，严格设置访问控制策略，开启日志记录，并备份配置策略，及时消除告警。	很高	否
25	体系结构安全	纵向边界安全	纵向加密装置本地登陆需要使用ukey证书登陆，禁止加密机非调试期间插入ukey，ukey有专人管理无遗失。	很高	否	检查Ukey是否丢失，非调试时间是否插着Ukey
26	体系结构安全	纵向边界安全	调度数据网纵向边界须部署电力专用纵向加密认证装置或者加密认证网关；且加密装置工作正常。	很高	否
27	体系结构安全	纵向边界安全	纵向加密装置应使用SM2国产加密算法。	高	是	纵向加密SM2算法截图（远程管理证书+隧道证书截图）；兴唐纵密SM2算法类型：ecc_主站地址查看是否上传隧道策略证书和远程管理证书，须提供隧道策略SM2证书截图
28	体系结构安全	纵向边界安全	新能源场站须加强户外就地采集终端（如风机控制终端、光伏发电单元测控终端等）的物理防护，强化就地采集终端的通信安全。站控系统与终端之间网络通信应部署加密认证装置，实现身份认证、数据加密、访问控制等安全措施终端连接的网络设备需采取IP/MAC地址绑定等措施，禁止外部设备的接入，防止单一风机或光伏发电单元的安全风险扩散到站控系统。	中	否	检查是否配备微型纵向加密认证装置
29	系统本体安全	网络及安防设备	电力监控系统所采用隔离装置型号及版本需满足国网安全加固要求，反向隔离装置应采用E文件传输。	高	是	串口登录隔离版本号截图，满足要求：南瑞信通（正向）V1.8.0及以上，（反向）V2.1.6及以上；科东（正向）V5及以上，（反向）V5.0.7及以上或者V6.06E及以上；其它加固升级程序V1.0
30	系统本体安全	网络及安防设备	生产控制大区网络设备需对接入设备进行mac地址绑定。	高	是	查看MAC地址绑定情况，状态是否为static，特殊情况需备注说明
31	系统本体安全	网络及安防设备	SNMP服务应采用安全性增强版本（V2及以上），不能使用默认通信字符串，读写字符串不能相同，字符串长度不能小于8位，要求是数字、字母或特殊字符的混合。	高	是	交换机SNMP团体字截图，字符串至少八位，数字、字母或特殊字符的混合；部分交换机snmp团体字只能设置为纯字母，需备注说明；如部分交换机团体字加密存储，可附网监资产团体字设置情况，网监无此功能除外。
32	系统本体安全	网络及安防设备	网络及安防设备应关闭不需要的网络端口，并加装网口、usb物理锁。	很高	是	网络及安防设备关闭网络端口截图及物理封堵照片；端口关闭情况要与物理封堵情况一致
33	系统本体安全	网络及安防设备	网络及安防设备禁止使用默认口令，实现系统管理、网络管理、安全审计等设备特权用户的权限分离，口令长度不低于8位，为数字、字母组合，口令密文存储。	高	是
34	系统本体安全	主机设备	生产控制大区应关闭或拆除主机不必要的光驱、USB、串口、蓝牙等接口，并进行物理封堵。	很高	是	01、禁用USB、蓝牙、光驱功能截图； 02、物理封堵照片； 03、评估机构注意备份驱动。
35	系统本体安全	主机设备	不存在默认路由，且明细路由子网掩码至少为28位。	高	是	01、不存在默认路由 02、明细路由子网掩码至少为28位（255.255.255.240），无网关的路由24位子网掩码 ip route show
36	系统本体安全	主机设备	开启主机操作系统的安全内核。	高	是	01、麒麟 cat /etc/selinux/config 02、凝思 lsmod	grep linx
37	系统本体安全	主机设备	操作系统应按照安全管理员、系统管理员、审计管理员角色分配权限，操作系统中多余的、过期的账户应及时删除，仅保留确需使用账户，删除默认共享目录。	很高	是	cat /etc/passwd	grep -v “false”	grep -v “nologin”
38	系统本体安全	主机设备	主机类设备应开启操作系统的防火墙功能，采用白名单通信方式，出入方向策略ip地址段精确至24位子网掩码，并禁用TCP（135、139、445、3389、5938）、UDP（137、138）等高危端口。	高	是	01、主机防火墙策略和默认动作必须设置为DROP 02、禁用高危端口，端口不再明细化要求 03、地址精确至24位子网掩码查下规则：sudo iptables -L
39	系统本体安全	主机设备	生产控制大区和管理信息大区主机类设备须停止或禁用与承载业务无关的服务或端口（包含但不止E-mail，Web，FTP，telnet，SMB，rlogin等）。	很高	是	01、凝思禁用无关服务 systemctl list-unit-files	grep enable 02、麒麟禁用无关服务 chkconfig –list	grep 2:on 03、禁用危险端口 netstat -antoplu 无bluetooth、openbsd-inetd（telnet）、ftpd、nfs、postfix服务；无21、23、25、53、67、137、138、139、631（故障录波主机可存在）、3389、5938等端口个别厂家需要使用高危端口，需出具说明文件
40	系统本体安全	主机设备	生产控制大区主机类设备不应存在高危漏洞。	高	是	各主机单独上传佐证材料，体现高、中、低各等级漏洞数量，上传加固后的漏洞扫描报告截图。
41	系统本体安全	主机设备	限制ssh远程登录源地址，禁止root用户远程登录，并对用户资源进行限制。	很高	是	01、限制SSH远程登录源地址（vi /etc/hosts.allow/deny 例如sshd：192.168.0.1:allow）不要求32位源地址，至少24位子网掩码，建议尽可能细化。 02、禁止root用户远程登录（vi /etc/ssh/sshd_config） 03、对用户资源进行限制（vi /etc/security/limits.conf vi /etc/pam.d/login #编辑login文件，加入以下内容session required pam_limits.so
42	系统本体安全	主机设备	操作系统应启用登录失败处理功能，实现普通用户和超级用户连续登陆失败5次锁定600秒，登陆超时自动退出时间为600秒。	很高	是	01、启用登录失败处理功能（nano /etc/pam.d/system-auth-ac 找到auth required pam_tally.so字段，并字段找到“deny=”、“unlock_time=”两项参数，做出以下配置: deny=5 unlock_time=600 even_deny_root root_unlock_time=600（此项非必须）保存并退出文件编辑。 02、登陆超时（vi /etc/profile 在文件末尾添加如下参数： TMOUT=600 保存并退出文件编辑。退出当前远程会话重新登录生效。）
43	系统本体安全	主机设备	操作系统口令复杂度应满足要求并定期（不超过90天）更换。应当制定账号和口令安全策略，限定用户口令的长度、复杂度、生存周期等，口令长度不小于8位，且为字母和数字或特殊字符组合，并确保对所有用户生效。	高	是	01、口令复杂度：grep password /etc/pam.d/common-password 02、密码有效期佐证 grep PASS /etc/login.defs 立即生效命令：chage -M 90 root 设置root用户的过期时间为90天后（所有用户都需要）
44	系统本体安全	主机设备	生产控制大区主机设备需设置屏幕保护功能。	高	是	屏幕保护程序配置截图，配置合理
45	系统本体安全	装置设备	对生产控制大区装置类设备空闲usb、网口进行物理封堵。	很高	是	上传装置类设备物理封堵照片
46	系统本体安全	装置设备	统调电厂和220kV及以上变电站远动装置满足冗余配置，且为双主运行模式。	高	否	远动装置满足冗余配置，且为双主运行模式
47	系统本体安全	装置设备	直连调度数据网的装置类设备不存在默认路由，且明细路由子网掩码至少为28位。	高	是	01、不存在默认路由 02、明细路由子网掩码至少为28位（255.255.255.240）如某些设备无法采集到路由信息，需说明
48	系统本体安全	应用软件	应用系统具备非法登录次数限制、登录连接超时自动退出、登录失败锁定功能，并进行合理配置。	中	否
49	系统本体安全	应用软件	应用系统用户口令复杂度应满足要求并定期更换。用户在第一次登录系统时修改分发的初始口令，口令长度不得小于8位字符，且为字母、数字或特殊字符的混合组合；用户名和口令不得相同；口令不应明文存储。	高	否
50	系统本体安全	应用软件	应用系统采用实名制，不应内置匿名账户，也不允许匿名用户的登录。	高	否
51	系统本体安全	关系数据库	数据库系统用户口令复杂度应满足要求。应当制定账号和口令安全策略，限定用户口令的长度、复杂度等，口令长度不小于8位，且为字母和数字或特殊字符组合。	中	是	检查数据库口令及口令复杂度策略，是否符合要求。
52	系统本体安全	安全监测	生产控制大区涉网装置设备、主机设备须接入网安装置，满足应接尽接要求。	高	是	应接尽接，需上传设备接入佐证图片（网安客户端资产列表拍照）
53	系统本体安全	安全监测	生产控制大区涉网装置设备、主机设备逐台进行告警测试，告警测试项为U盘接入/拔出、主机非法网络访问、关键目录/文件变更、危险操作指令，检查是否能产生安全告警，并上传至上级平台。	高	是	各设备依次进行告警测试，告警测试项为U盘接入/拔出、主机非法网络访问、关键目录/文件变更、危险操作指令,需上传详细的告警信息截图,如果有个别告警未触发，需备注说明
54	系统本体安全	安全监测	主机agent网络连接白名单、服务端口白名单、关键目录、关键命令应合理配置。	高	是	探针网络连接白名单、服务端口白名单、关键目录、关键命令截图。如若符合，白名单必须合规，佐证材料无缺失
55	系统本体安全	安全监测	生产控制大区涉网网络设备、安全设备须接入网安装置，满足应接尽接要求。	高	是	应接尽接，需上传设备接入佐证图片（网安客户端资产列表拍照，需显示在线状态）
56	系统本体安全	安全监测	生产控制大区涉网网络设备、安全设备逐台进行告警测试，告警测试项为网络设备的网口up/down、登录成功、退出登录、配置变更，安全设备的登录成功、退出登录、不符合策略访问，检查是否能产生安全告警，并上传至上级平台。	高	是	各设备依次进行告警测试，告警测试项为网络设备的网口up/down、登录成功、退出登录、配置变更，安全设备的登录成功、退出登录、不符合策略访问，如果有个别告警未触发，需备注说明
57	系统本体安全	安全监测	并网电厂应具备对网络安全事件的本地监视和管理功能。	高	是	对网络安全事件的本地监视和管理功能（一般上传网安工作站监视照片）
58	安全自主可控	硬件	安全I、II区主机设备应选用国产自主品牌，不得选用国家相关管理部门检测认定并经国家能源局通报的存在安全风险漏洞的主机设备。	高	否	主机应为国产自主品牌
59	安全自主可控	硬件	站控层交换机和调度数据网路由器、交换机应选用国产自主品牌，不得选用国家相关管理部门检测认定并经国家能源局通报的存在安全风险漏洞的网络设备。	高	否	网络设备为国产自主品牌
60	安全自主可控	硬件	安全防护设备应选用国产自主品牌，不得选用国家相关管理部门检测认定并经国家能源局通报的存在安全风险漏洞的专用安防设备，同时纵向加密装置、横向隔离装置等电力系统专用安防设备应选用第三方权威机构检测合格产品。	很高	否	安全设备为国产自主品牌
61	安全自主可控	操作系统	安全I、II区主机应采用安全可控的操作系统，满足《信息安全技术操作系统安全技术要求GB/T20272-2019》第四级安全操作系统。	高	是	安全I、II区主机应采用国产安全可控操作系统需以查询命令结果为主，只拍桌面退回
62	安全自主可控	应用软件	业务系统软件应选用国产自主研发软件，且需具有相应软件著作权或第三方权威机构颁发的安全性检测报告。	高	否	业务系统软件应选用国产自主研发软件
63	安全自主可控	数据库	I、II区数据库应选用满足《信息安全技术?据库管理系统安全技术要求GB/T20273-2019》要求的国产数据库，且具备相关软件著作权、信息技术产品自主原创性测评证书或第三方权威机构颁发的测试报告。	中	是	检查数据库是否为国产数据库
64	全方位安全管理	安全管理制度	应有适用于信息系统日常管理的操作规程，包含门禁、人员管理、访问控制、设备、恶意代码防范、审计、数据及系统的备份、账号、培训等管理细则。	很高	是	上传信息系统日常管理的操作规程，包含门禁、人员管理、访问控制、设备、恶意代码防范、审计、数据及系统的备份、账号、培训等管理细则。
65	全方位安全管理	安全管理机构	安全管理机构的责任落实情况应满足： a)明确信息系统安全管理的责任领导的安全职责； b)明确信息系统安全管理岗位及其职责，并具有佐证材料；c)指定专人负责信息系统核心部分（骨干网络设备、重要数据库系统和重要业务应用系统）的配置管理和操作。	很高	是	上传信息系统安全管理岗位及其职责佐证材料（岗位职责）
66	全方位安全管理	安全管理机构	安全管理机构的人员配备情况应满足： a)指定安全管理岗位第一、第二责任人； b)配备信息系统安全管理人员，安全管理员。	中	否
67	全方位安全管理	人员管理	应建立系统运维关键岗位的持证上岗制度，相关人员均持证上岗。	中	否
68	全方位安全管理	人员管理	应及时收回离岗离职员工使用的公司信息设备、软件、门禁卡、文件资料等物品或资产，并对离岗、离职人员的账号及访问权限等进行调整或清理。	低	是	上传离岗离职人员管理办法，得包含权限、资产交接等说明。
69	全方位安全管理	人员管理	以下人员需每年签订保密协议和安全承诺书，明确信息安全保密的内容和职责：a)关键岗位员工的保密协议；b)第三方服务提供商的保密协议； c）在工作中可能会接触到公司商业秘密信息的第三方人员的保密协议；d）关键岗位人员的离职保密承诺书，所在部门应明确告知其在离职后的信息安全保密责任。	中	是	本单位及关键岗位保密协议和第三方保密协议或保密承诺书，保密协议需盖章/保密承诺书签字
70	全方位安全管理	人员管理	以下人员需进行培训和考核，并宣贯信息安全管理的要求，至少包含防止违规外联，USB插拔等宣贯记录：a)入职员工培训和考核记录；b)承担公司核心信息系统规划、硏发、运维管理等关键岗位人员培训和考核记录；c)员工定期培训和考核记录；d）信息系统开发、运维等关键岗位人员定期信息安全技能考核记录（调度机构通过省调统一考试，并网电厂自行组织，有相应上岗记录）。	中	是	上传培训及考核的佐证材料，需包含防止违规外联，USB插拔等宣贯记录
71	全方位安全管理	信息系统管理	进入机房人员需操作机柜内设备，应在相关手续中明确所需操作的设备和具体操作。	中	否
72	全方位安全管理	信息系统管理	站内应配备专用调试设备和介质，如专用调试笔记本和专用U盘，专用调试设备和介质应加固后使用。	很高	是	01、上传加固笔记本及专用安全U盘照片 02、上传加固笔记本加固佐证报告 03、该项必须满足，新建站未配备，需出具说明文件。
73	全方位安全管理	信息系统管理	生产控制大区须配备便携式安全运维网关，对相应区域内主机、网络设备、安防设备、数据库进行运维管控和行为记录。	高	是	检查便携式安全运维网关配备情况
74	全方位安全管理	信息系统管理	设立网络安全管理人员，负责全站二次设备用户名及密码的统一管理。规范密码保存方式，各厂站应建立二次设备专用密码本，统一记录站内设备登录方式及口令，放置于保险箱内由专人保管。	高	否	场站是否配备专用密码本，并由专人管理。
75	全方位安全管理	安全工作机制	应按照国家及行业相关标准规范要求，开展电力监控系统等保定级、备案和测评。	高	是	检查是否进行等保测评，上传备案证明(有效期内,三级一年做一次，二级两年做一次），如备案证明无更新的话，上传回执单或盖章版测评报告
76	全方位安全管理	安全工作机制	应制定电力监控系统安全防护方案，落实安全防护措施。方案中安全防护措施部分内容应合理、完整，拓扑图、资产清单、网络连接状态需与实际情况一致。	高	是	上传电力监控系统安全防护方案，与32项搭配查看，出入过大退回，查看资产信息是否对应，查看端口图与实际连线图是否对应
77	安全应急管理	应急预案	电力企业应当按照电力行业网络安全事件应急预案，制修订本单位网络安全事件应急预案，每年至少开展一次应急演练。制修订电力监控系统专项网络安全事件应急预案并定期组织演练。定期组织开展网络攻防演习，检验安全防护和应急处置能力。	高	是	上传应急预案方案及演练记录，应急预案和演练记录必须是与网络安全相关的
78	安全应急管理	体系建设	建立应急指挥体系，应急组织应包含应急领导小组及办事机构。	中	否
79	安全应急管理	应急响应	应建立“上下联动、区域协作”的快速应急响应机制，建立公司内部各单位之间的应急救援协调联动和资源共享机制。	中	否