ICS 29.240.01 GB F 21 中华人民共和国国家标准 GB/T36572—2018 电力监控系统网络安全防护导则 Guidelines of cyber security protection for electric power system supervision and control 2018-09-17发布 2019-04-01实施 国家市场监督管理总局 发布 中国国家标准化管理委员会 GB/T36572—2018 目 次 前言 引言 范围 1 规范性引用文件 2 术语和定义 3 缩略语 4 5电力监控系统特性及安全防护原则 5.1电力监控系统特性 5.2电力监控系统面临的网络安全威胁 5.3电力监控系统网络安全防护原则 5.4 电力监控系统网络安全防护体系 6安全防护技术 基础设施安全 6.1 6.2体系结构安全 6.3监控系统本体安全 6.4 可信安全免疫 7应急备用措施· 10 穴余备用· 7.1 10 7.2应急响应 10 7.3 多道防线·.· 10 8 全面安全管理· 8.1 融人电力安全生产管理体系.· 11 8.2全体人员安全管理·· 12 8.3全部设备及系统的安全管理.. 12 8.4全生命周期安全管理 12 附录A（规范性附录） 发电厂监控系统安全防护 13 附录B（规范性附录）变电站监控系统安全防护 14 附录C（规范性附录）电网调度控制系统安全防护 GB/T 36572—2018 前言 本标准按照GB/T1.1一2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由中国电力企业联合会提出。 本标准由全国电力监管标准化技术委员会（SAC/TC296）、全国电力系统管理及其信息交换标准 化技术委员会（SAC/TC82）、全国电网运行与控制标准化技术委员会（SAC/TC446）、全国工业过程测 量控制和自动化标准化技术委员会（SAC/TC124）、全国工业机械电气系统标准化技术委员会（SAC TC231)联合归口。 本标准起草单位：国家能源局、国家电网有限公司、南瑞集团有限公司、全球能源互联网研究院有限 公司、中国电力科学研究院有限公司、中国南方电网公司、中国华能集团公司、国家信息技术安全研究中 心、中国信息安全测评中心、公安部、机械工业仪器仪表综合技术经济研究所、中国科学院沈阳自动化研 究所、中国科学院沈阳计算技术研究所、国网江西省电力公司电力科学研究院、许继集团有限公司、北京 四方继保自动化股份有限公司、东方电子股份有限公司、北京和利时系统工程有限公司、浙江大学、北京 启明星辰信息安全技术有限公司、北京国电智深控制技术有限公司。 陶洪铸、孙炜、高昆仑、崔书昆、梁寿愚、郭森、李京春、李冰、李斌、张斌、郭启全、祝国邦、范春玲、李明、 马跃、杨维永、邓兆云、杨浩、王志皓、马骁、李凌、梁智强、陈雪鸿、王玉敏、尚文利、尹震宇、吕忠、汪强、 任雁铭、慈国兴、冯冬芹、孟雅辉、朱镜灵、刘森、张亮、王斐。 GB/T36572—2018 引言 随着计算机和网络通信技术在电力监控系统中的广泛应用，电力监控系统网络安全问题日益凸显。 为了加强电力监控系统的安全管理，防范黑客及恶意代码等对电力监控系统的攻击侵害，保障电力系统 息系统等级保护等相关规定制定本标准。 Ⅱ GB/T 36572—2018 电力监控系统网络安全防护导则 1范围 本标准规定了电力监控系统网络安全防护的基本原则、体系架构、防护技术、应急备用措施和安全 管理要求。 本标准适用于发电、输配电、用电、电网调度等电力生产各环节的电力监控系统安全防护，覆盖其规 划设计、研究开发、施工建设、安装调试、系统改造、运行管理、退役报废等各阶段。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件 GB/T9361计算机场地安全要求 GB17859一1999计算机信息系统安全保护等级划分准则 GB/T18336.2一2015信息技术安全技术信息技术安全性评估准则第2部分：安全功能 组件 GB/T20272一2006信息安全技术操作系统安全技术要求 GB/T20984—2007 信息安全技术信息安全风险评估规范 GB/T21028—2007 信息安全技术服务器安全技术要求 GB/T21050—2007 信息安全技术 网络交换机安全技术要求（评估保证级3） GB/T22186—2016 具有中央处理器的IC卡芯片安全技术要求 信息安全技术 GB/T22239—2008 信息安全技术信息系统安全等级保护基本要求 GB/T22240—2008 信息安全技术信息系统安全等级保护定级指南 GB/T25058—2010 信息安全技术信息系统安全等级保护实施指南 GB/T25068.3一2010信息技术安全技术IT网络安全第3部分：使用安全网关的网间通信 安全保护 GB/Z25320（所有部分）电力系统管理及其信息交换数据和通信安全 IEC62443（所有部分）工业自动化和控制系统安全（SecurityforIndustrialAutomationandCon trol Systems) 3术语和定义 下列术语和定义适用于本文件。 3.1 电力监控系统 electric power system supervision and control 用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及作为 基础支撑的通信及数据网络等，包括电力数据采集与监控系统（SCADA）、能量管理系统、变电站自动化 系统、换流站计算机监控系统、发电厂计算机监控系统、配电自动化系统、微机继电保护和安全自动装 1 GB/T36572—2018 置、广域相量测量系统、负荷控制系统、水调自动化系统和水电梯级调度自动化系统、电能量计量系统、 实时电力市场的辅助控制系统、电力调度数据网络等。 3.2 网络安全防护体系cybersecurityprotectionarchitecture 为保障核心业务系统的网络信息安全而建立一整套综合安全防护措施所形成的体系，安全防护体 系由安全防护技术、应急备用措施、全面安全管理所形成的三维立体结构组成。 3.3 生产控制大区productioncontrolzone 由具有数据采集与控制功能、纵向联接使用专用网络或专用通道的电力监控系统构成的安全区域。 3.4 控制区control sub zone 由具有实时监控功能、纵向联接使用电力调度数据网的实时子网或者专用通道的各业务系统构成 的安全区域。 3.5 非控制区non-control sub zone 在生产控制范围内由在线运行但不直接参与控制、是电力生产过程的必要环节、纵向联接使用电力 调度数据网的非实时子网的各业务系统构成的安全区域。 3.6 管理信息大区management information zone 3.7 横向隔离lateralisolation 在不同安全区间禁止通用网络通信服务，仅允许单向数据传输，采用访问控制、签名验证、内容过 滤、有效性检查等技术，实现接近或达到物理隔离强度的安全措施。 3.8 纵向认证 vertical authentication 3.9 本体安全self security 电力监控系统软件及设备自身的安全、可控，包括业务系统软件的安全、操作系统和基础软件的安 全、计算机和网络设备及电力测控设备的安全、核心处理器芯片的安全。 3.10 可信安全免疫trustsecurityimmunology 基于可信计算技术实现电力监控系统的安全免疫，保障操作系统和电力监控软件安全可信，防范已 知和未知的病毒、木马及恶意代码的侵害。 3.11 对称密码 symmetric cipher 在加密和解密算法中都是用相同秘密密钥的密码技术 3.12 非对称密码 asymmetric ciphel 基于非对称密码技术的体制，公开变换用于加密，私有变换用于解密，反之亦然。 2 GB/T36572—2018 3.13 身份认证 authentication 专用于确定传输、消息或发信方的有效性的安全措施，或者对接受特定的信息类别的个人授权进行 验证的手段。 4缩略语 下列缩略语适用于本文件。 BIOS：基本输人输出系统（BasicInputOutputSystem） DTU：配电终端装置（DistributionTerminalUnit） FTP：文件传输协议（FileTransferProtocol) FTU：馈线终端装置（FeederTerminalUnit) HTTP：超文本传输协议（Hyper-TextTransferProtocol) IED：智能电子设备（IntelligentElectronicDevice） LAN：局域网络（LocalAreaNetwork） MPLS：多协议标记交换（Multi-ProtocolLabelSwitching） PLC：可编程序控制器（ProgrammableLogicalController） PVC：永久虚拟电路（PermanentVirtualCircuit) RAS：远程访问服务器（RemoteAccessServer） SCADA：监视控制与数据采集系统（SupervisoryControlAndDataAcquisition） SDH：同步数字传输体系（SynchronousDigitalHierarchy） SNMP：简单网络管理协议（Si