中国大唐集团公司电力监控系统安全防护专项检查表
检查类别
检查要点
检查点
检查方法
检查细则
检查记录
基础设施
物理安全
机房
1.机房等基础设施是否具有防窃、防火、防水、防破坏等物理安全防护措施；
1）抽查重要设备安装环境，检查是否满足防窃、防火、 防破坏等物理安全防护要求；
2）抽查该重要区域门禁系统的出入记录（如检查电子门禁记录）；
2、检查网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等；
3、检查网络入侵防范设备，查看其生产厂商是否为正规厂商，规则库是否为最新；
4、了解网络入侵防范设备，验证其监控策略是否有效。
边界完整性
管理
14.是否采取技术或相关措施防止生产控制大区的非法外联
3）抽查纵向加密装置，查看安全策略是否按照实际业务细化到相关业务系统具体的IP地址（段）、业务端口号和连接方向；
4）登录到纵向加密装置，查看是否仅仅开放了业务端口及ICMP，对其它端口均关闭；
5）查看安全‖区否已采用纵向加密认证装置替代防火墙。
1、检查发电厂至电力调度数据网之间应安装纵向加密认证装置，装置应经过国家权威机构的测试和安全认证；
1、检查边界完整性检查设备，查看是否有未安装非法外联客户端的计算机接入网络，若有是否采取进行定位、阻断；
2、检查边界完整性检查工具运行日志，查看运行是否正常（查看是否持续对网络全网段进行监控）；
3、 检查边界完整性检查设备/工具的配置，查看是否正确配置对网络的内部用户未通过准许私自联到外部网络的行为进行有效监控；
1、通信光缆或电缆应采用不同路由的电缆沟(竖井)进入通信机房和主控室；避免与一次动力电缆同沟(架)布放，并完善防火阻燃、阻火分隔、防小动物封堵等各项安全措施，绑扎醒目的识别标志；如不具备条件，应采取电缆沟(竖井)内部分隔离等措施进行有效隔离；
2、应访谈机房维护人员，询问是否对设备外壳做了良好的接地；是否做到电源线和通信线缆隔离；
5、可访谈网络管理员，询问是否按照《电网和电厂计算机监控系统及调度数据网络安全防护的规定》的要求，将电力监控系统及调度数据网与互联网相隔离；
6、 应检查调度数据网络边界设备（包括防火墙、路由器、交换机等），查看是否有非法外联的计算机接入，若有是否采取定位、阻断等手段；
7、应检查所有接入生产控制大区的计算机设备，是否配置多余网卡与互联网相连混用；
3、门禁系统允许进入人员有针对性，无关人员不允许进入相关区域，进入相关区域的人员应经过厂内批准。
4、通讯机房物理安全检查要求：
a)访谈物理安全负责人，采取了哪些防止设备、介质等丢失的保护措施；
b)访谈机房维护人员，询问主要设备放置位置是否做到安全可控,设备或主要部件是否进行了固定和标记，通信线缆是否铺设在隐蔽处；是否对机房安装的防盗报警设施进行定期维护检查；
8、 应检查所有业务功能是否按照《电力监控系统安全防护规定》的原则，分为四个安全工作区：实时控制区、非控制生产区、生产管理区、管理信息区。
网络专用
8.调度数据网络是否基于专用通信通道（时分复用或波分复用），是否采用了统计复用的PTN或租用的虚拟的专网（VPN）等；
9.抽查调度数据网网络设备，查看其安全配置是否符合要求；
b) 应访谈机房维护人员，询问是否经常检查机房湿度，并控制在GB2887中的规定的范围内；询问机房是否存在静电问题或因静电引起的故障事件；
c) 应检查机房是否有防静电设计/验收文档；
d) 应检查机房是否有安全接地，查看机房的相对湿度是否符合GB2887中的规定，查看机房是否明显存在静电现象。
7、通讯机房电磁防护要求
2、禁止选用经国家相关管理部门检测存在信息安全漏洞的设备，安全四级主要设备应满足电磁屏蔽的要求，全面形成具有纵深防御的安பைடு நூலகம்防护体系。
f) 检查机房防盗报警设施是否正常运行，并查看运行和报警记录；
g) 检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或档案室中；
h) 检查是否有设备管理制度文档，通信线路布线文档，介质管理制度文档，介质清单和使用记录，机房防盗报警设施的安装测评/验收报告。
电源
2.供电可靠性是否满足系统运行要求；
3、检查安全区Ⅰ、Ⅱ与安全区Ⅳ是否直接联系；安全区Ⅰ、Ⅱ与安全区Ⅲ之间是否采用经有关部门认定核准的专用安全隔离装置（或：经国家指定部门检测认证的电力专用横向单向安全隔离装置）；
4、检查安全隔离装置（正向）是否用于安全区I/II到安全区III的单向数据传递；安全隔离装置（反向）是否用于安全区III到安全区I/II的单向数据传递。
3、 应检查通信机房布线，查看是否做到电源线和通信线缆隔离；
4、 应检查通信线缆铺设是否在隐蔽处（如铺设在地下或管道中等）；
5、 应检查是否有通信线路布线文档/验收文档，和实际布线是否一致。
体系结构
安全
安全分区
5.电力监控系统是否存在网络非法外联情况；
6.运维、技术支持人员是否将接入生产控制大区的计算机设备与互联网相连混用；
2、检查发电厂至电力调度数据网之间应安装纵向加密认证装置是否满足调度要求。
系统本体
安全
防火墙和
入侵监测
13.防火墙是否仅开通应用所需的数据通道，IDS入侵监测策略是否合理；
1）应检查访问控制策略是否使用白名单方式，是否存在源地址、目的地址或端口为空或any的情况；
2）应访谈安全策略开放端口和协议的目的；
1、生产控制大区内部的系统配置应符合规定要求，硬件应满足要求；生产控制大区一和二区之间应实现逻辑隔离，防火墙规则配置应严格；连接生产控制大区和管理信息大区间应安装正反向横向隔离装置，装置应经过国家权威机构的测试和安全认证。
2、访谈网络管理员，询问I、II区之间是否采用经有关部门认定核准的硬件防火墙或相当设备进行逻辑隔离，禁止E-mail、Web、Telnet、Rlogin等服务穿越安全区之间的隔离设备；
3.电源电缆布设是否满足安全要求；
1)抽查供电设施及场所，检查是否满足防窃、防火、 防破坏等物理安全防护要求；
2)抽查机房供电线路上是否配置稳压器和过电压防护设备、设置冗余或并行的电力电缆线路为计算机系统供电；
3)抽查机房建立备用供电系统，提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。
纵向认证
11.调度数据网纵向边界是否部署电力专用纵向加密认证装置或者加密认证网关及相应设施；
12.安全‖区是否采用纵向加密认证装置替代防火墙；
1）查看电力监控系统的网络拓扑结构，是否在生产控制大区与广域网边界设置国家指定部门检测认证的电力专用纵向加密认证装置；
2）抽查纵向加密装置，检查隧道是否处于密通；
3）检查该重要区域门禁系统是否对出入人员有明确的鉴别功能（如检查电子门禁系统的定期巡检和维护记录）。
1、检查电子间、工程师站、继保间等门窗锁具、消防系统是否完善，是否配置门禁系统（无门禁系统须有钥匙管理制度并执行）；
2、检查门禁系统能够记录出入人员身份并按要求保存一定时间并能在后台查阅（无门禁系统须在钥匙保管处有借用记录）；
4、检查边界完整性检查工具，是否能有效的发现“非法外联”的行为。
主机硬件
15.计算机、存储设备、路由器、交换机等关键设备是否存在经过国家有关部门的安全检测，是否存在安全隐患或而恶意芯片；
1）查看相关安全检测证明；现场记录设备型号及固件版本号，比较国家披露信息确认是否存在安全隐患。
1、检查远动装置、相量测量装置、电能量终端、时间同步装置、五防装置、计算机监控系统及其测控单元、变送器及安全防护设备等自动化设备(子站)必须是通过具有国家级检测资质的质检机构检验合格的产品；
1）访谈管理员是否已采取技术手段防止非授权设备私自内联到内部网络（如网络准入系统等），并现场测试该技术手段是否有效；
2)访谈管理员是否已采取技术手段防止内部网络用户私联到外部网络的行为（如内网安全管理系统等），并现场检查该技术手段是否有效，是否有阻断记录；
3)访谈管理员并现场检查是否在管理上制定了禁止私自内联、外联的行为规定。
1.查验远动装置、计算机监控系统及其测控单元等自动化设备应采用冗余配置的不间断电源或站内直流电源供电；
2.检查防雷和过电压防护能力应满足电力系统通信站防雷和过电压防护要求；
3.检查监控网络设备应采用独立的自动空气开关供电，禁止多台设备共用一个分路开关。各级开关保护范围应逐级配合，避免出现分路开关与总开关同时跳开，导致故障范围扩大的情况发生；
c)访谈资产管理员，在介质管理中，是否进行了分类标识，是否存放在介质库或档案室中；
d)检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围内；检查主要设备或设备的主要部件的固定情况，是否不易被移动或被搬走，是否设置明显的无法除去的标记；
e)检查通信线缆铺设是否在隐蔽处（如铺设在地下或管道中等）；
7.所有业务功能是否按安全分区的原则部署；
1）现场检查互联网信息接入功能是否按安全分区的原则实施部署；
2）现场检查电力监控系统是否存在网络非法外联情况；
3）现场检查运维、技术支持人员是否接入生产控制大区的计算机设备与互联网相连混用。
1、现场检查与调度专网连接的设备如RTU、电量计费系统、AVC装置、PMU（功角测量装置）、故障录波系统等设备是否非法连接外网；
1）访谈管理员并查看网络，确定是否存在PTN租用VPN网络；
2）现场检查调度数据网网络设备的安全配置，包括关闭或限定网络服务、避免使用默认路由、关闭网络边界OSPF路由功能、采用安全增强的
SNMPv2及以上版本的网管协议、设置受信任的网络地址范围、记录设备日志、设置高强度的密码、开启访问控制列表、封闭空闲的网络端口等。
4、柴发小室、UPS间、直流电源设备间、厂用配电室门窗锁具、消防系统是否完善；