行業(yè)資質(zhì)專業(yè)資質(zhì)行業(yè)資質(zhì)專業(yè)資質(zhì))⑶建筑建筑(二級))⑷結(jié)構(gòu)結(jié)構(gòu)(二級)公用設(shè)備(暖通空調(diào))⑸暖通空調(diào)⑿工程施工結(jié)構(gòu)⒁水工建筑物監(jiān)測⒃水文氣象⒅輸煤除灰⒆電力系統(tǒng)電力行業(yè)工程設(shè)計主要專業(yè)技術(shù)人員配備表(含核電設(shè)計)(含抽水汐)⑴動力用設(shè)備〔動力〕5353⑵電氣氣〔發(fā)輸電〕(2)62221建筑一2121結(jié)構(gòu)一4242111111公用設(shè)備給水排水)1111⑺規(guī)劃水利水電))4221⑻地質(zhì)水利水電))4221水利水電(81)(41)1184⑽水土保持水利水電))2111⑾征地移民水利水電))31))42⒀環(huán)境保護21211121⒂水力力機械及金屬422121⒄工程經(jīng)濟及概預(yù)算))22322121212121熱工控制2121通信保護2121化學水處理2121總圖2121總計40(38)24(20)402438209新新能源發(fā)電送電工程變電工程11221121122乙級級級乙級丙級852064636322專業(yè)資質(zhì)34.行業(yè)資質(zhì)專業(yè)人員的配備，括號內(nèi)的數(shù)字為水力水電設(shè)計企業(yè)申請行業(yè)資質(zhì)對主要專業(yè)技術(shù)人員配備的要求。5.火力發(fā)電專業(yè)資質(zhì)核電站常規(guī)島設(shè)計只核定甲級，除注冊公用設(shè)備(動力)專業(yè)只需配備2名主要專業(yè)技術(shù)人員外，其他專業(yè)人員配備按照火力發(fā)電專業(yè)資質(zhì)甲級標準核定。7.風力發(fā)電工程設(shè)計專業(yè)資質(zhì)，地質(zhì)專業(yè)也可配備注冊巖土工程師。檢檢查結(jié)果備注1.安全生產(chǎn)目標檢查表檢查內(nèi)容檢查方法安全生產(chǎn)目標要每年以文件化的形式設(shè)立安全生產(chǎn)目標應(yīng)傳達全體員工及相關(guān)方應(yīng)熟悉并理解安全生產(chǎn)安全生產(chǎn)目標要進行2、查企業(yè)公布方式。是否在顯著位置張貼并作為員工崗前培訓及再教育的內(nèi)容印刷2、每個部門、每個基層單位，是否簽訂安3、查各部門和各基層單位的安全目標責任書是否符合各部門和各基層單位實際情況4、查各部門和各基層單位有無安全考核內(nèi)各級組織制定安全工安全生產(chǎn)方針和目標對目標的完成情況進行考核。檢查各部門/單位是否制定年度安全工作計檢檢查結(jié)果備注2安全生產(chǎn)管理機構(gòu)與職責檢查表全生產(chǎn)管理機構(gòu)與全生產(chǎn)職責檢查內(nèi)容員要負責人員檢查方法產(chǎn)委2、各級生產(chǎn)系統(tǒng)(車間、班組)均有主管安全的1、是否符合《河南省安全生產(chǎn)條例》規(guī)定設(shè)置安全生產(chǎn)管理機構(gòu)或?qū)Ｂ毎踩a(chǎn)管理人員。，證書不在有效期內(nèi)的或任命文件中專職安全生產(chǎn)管理人員與所持任職資格證書或注冊安全生的安全生產(chǎn)資格證書。發(fā)證機關(guān)不符注：主要負責人是指被檢查企業(yè)(單位)的董事長(總經(jīng)理)、廠長(經(jīng)理)和主管安全生產(chǎn)的副廠長等。員崗位和特種作業(yè)人員類別、持證情況。況2、檢查特種作業(yè)人員的檔案。主要負責人：1、查有無主要責任人的安全生產(chǎn)責任制。生產(chǎn)安全生產(chǎn)管理機構(gòu)或安全生產(chǎn)管理人員：1、查有無安全生產(chǎn)管理機構(gòu)或安全生產(chǎn)管理人員的檢檢查結(jié)果備注檢查檢查內(nèi)容項目行責任考核2、安全生產(chǎn)管理機構(gòu)或安全生產(chǎn)管理人員的職責是否符合《河南省安全生產(chǎn)條例》列述的內(nèi)容。3、各安全生產(chǎn)管理人員職責、分工不明確的，每人各職能管理部門、生產(chǎn)基層單位(車間、班組)：。2、是否缺少生產(chǎn)基層單位(車間、班組)安全生產(chǎn)3、安全生產(chǎn)職責是否具體、合理，并與其主要職能2、抽查培訓及教育材料。是否作為員工崗前培訓及再教育的內(nèi)容印刷在培訓教材中。各從業(yè)人員的安全職責考核。方法、標準、獎懲辦法等。4、查有無安全生產(chǎn)獎懲管理臺帳。檢檢查結(jié)果備注3安全生產(chǎn)投入與安全生產(chǎn)設(shè)施“三同時”檢查表全生產(chǎn)投入全設(shè)施“三同時”檢查內(nèi)容檢查方法用、工傷保險費用、安全設(shè)施(設(shè)備、器材)購置治理費用是否能滿足要求。3、是否依法參加工傷社會保險。4、是否按制度規(guī)定使用安全費用或?qū)踩M用挪作是否建立安全技術(shù)措施費用使用情況臺賬。安全設(shè)施竣工驗收資料，是否按規(guī)定進行安備案。1.4法律法規(guī)與安全管理制度檢查表檢查內(nèi)容檢查方法備備注律法準規(guī)范全生產(chǎn)規(guī)章制度全操作規(guī)程件和法生注：發(fā)電企業(yè)應(yīng)建立健全以下檔案：1)法律法規(guī)與安全管理制度檔案；2)安全培訓記錄檔案；3)特種設(shè)備及強制檢測設(shè)施檔案；4)安全會議記錄檔案；5)設(shè)備缺陷處理檔案(記錄)；6)危險源案；8)違章記錄及安全獎懲檔案；9)主要設(shè)備、5教育培訓考評檢查表檢查方法檢查方法查安全教育培訓檔案，有無辨識安全生內(nèi)容檢查內(nèi)容明確安全生產(chǎn)教育培訓按規(guī)定及崗位需要，系統(tǒng)辨識安全生產(chǎn)教育培企業(yè)應(yīng)根據(jù)識別需求進職能管理部門主要責任人訓教育教育育培訓管理全生產(chǎn)管理人員教育培訓位作業(yè)人員教育培訓檢查結(jié)果備注產(chǎn)品質(zhì)量合格證明、使用維護說明等文件以及安調(diào)控裝置及有關(guān)附屬儀器儀表的日常維護保養(yǎng)記檢驗報告2、依據(jù)規(guī)定的強制檢測設(shè)備檢驗/校驗周期，由建立、健全各特種設(shè)備、安制檢測設(shè)備定特種強制檢測設(shè)備設(shè)施檢查結(jié)果備注檢檢查結(jié)果備注患排查查范圍與患治理檔案施律法規(guī)、標準規(guī)范檢檢查結(jié)果備注識與記建檔與控與每年一次組織實施重大危險源辨識認和有效企業(yè)應(yīng)將重大危險源上報有關(guān)單位查資料，有無識別和評價方1、對所有危險源已通過各種2、所有危險源均制定了管理3、對于重大危險源應(yīng)制定應(yīng)檢查檢查結(jié)果備注檢查結(jié)果備注業(yè)安全管理表對動火作業(yè)、受限空間內(nèi)作業(yè)、臨時用電作業(yè)、高處作業(yè)等危險性較高的作業(yè)實施作業(yè)許可管理，并履行審批作業(yè)許可證應(yīng)包含危害因素交接班時，要對作業(yè)場所的安全狀況進行交代，并有交特種作業(yè)操作人員要有特種作業(yè)操作證，其它作業(yè)人員一年)及現(xiàn)場作業(yè)許可證抽查(動火應(yīng)急管理檢查表應(yīng)急機構(gòu)與人員應(yīng)急1、企業(yè)應(yīng)建立安全生產(chǎn)應(yīng)急管理機構(gòu)或與企業(yè)特點相適應(yīng)的應(yīng)急救援隊伍2、企業(yè)各安全生產(chǎn)應(yīng)急管理機構(gòu)、應(yīng)急救援隊伍及其人價，根據(jù)可能發(fā)生的事故類型和評價結(jié)果，根據(jù)《生產(chǎn)經(jīng)營單位安全生產(chǎn)事故應(yīng)急預(yù)案編制導則》要求編制相應(yīng)的應(yīng)急預(yù)案。應(yīng)急預(yù)案由企業(yè)最高領(lǐng)導簽發(fā)，有數(shù)量足夠的應(yīng)急專職人員和兼職人員及時調(diào)用，分以在緊急情況發(fā)生后能夠被及時調(diào)運到指定現(xiàn)場。1、有年度應(yīng)急演練計劃。合應(yīng)急預(yù)案演練或者專項應(yīng)急預(yù)案演練，每半年至少檢檢查結(jié)果備注故報告故調(diào)查和企業(yè)應(yīng)編制完善的事故處理運行規(guī)企業(yè)各項制度中有事故報告的相應(yīng)規(guī)定，應(yīng)明確報告人、報告內(nèi)容和報告事故發(fā)生后，事故現(xiàn)場有關(guān)人員應(yīng)當單位負責人接到報告后，應(yīng)當于1小時內(nèi)向事故發(fā)生地縣級以上人民政府安全生產(chǎn)監(jiān)督管理部門和負有安全生產(chǎn)監(jiān)督管理職責的有關(guān)部門報告，并應(yīng)當迅速采取有效措施，組織搶救，人數(shù)(包括下落不明的人數(shù))和初步。企業(yè)各項制度中有事故調(diào)查和處理的相應(yīng)規(guī)定等，應(yīng)明確事故類型、調(diào)查調(diào)查方法、現(xiàn)場調(diào)查要求、證據(jù)資料查規(guī)程。檢檢查結(jié)果備注企業(yè)對事故應(yīng)登記建檔，事故檔案內(nèi)應(yīng)有：現(xiàn)場圖、調(diào)查記錄、分析會記錄、報告書、處理決定、防范措施和者檢檢查結(jié)果備注爐本體爐安全附品質(zhì)量合格證明、安裝及使用維修說明、監(jiān)督檢驗證了檢測，并出具有檢測報告。并在質(zhì)量技術(shù)監(jiān)督部門5、給水系統(tǒng)中各備用設(shè)備及系統(tǒng)應(yīng)處于正常備用狀態(tài)，按規(guī)程定期切換。當失去備用時，應(yīng)制定安全運行措施，限期恢復(fù)投入備用。其他輔機設(shè)備應(yīng)符合機試驗。給水設(shè)備應(yīng)能可靠供水，爐墻無嚴重漏風、漏8、電氣系統(tǒng)裝置齊全、線路完整，接地(0)線符合檢檢查結(jié)果備注和爐保護及、檢檢查結(jié)果備注一、一自流；化水車安全意識，嚴格執(zhí)質(zhì)。檢檢查結(jié)果備注速保護裝置油現(xiàn)象，在熱體附近置事故油箱或油坑。。檢檢查結(jié)果備注1、計算機集中控制系統(tǒng)應(yīng)有不間斷電源(UPS)，并7、余熱發(fā)電分布式控制系統(tǒng)(DCS系統(tǒng))設(shè)計應(yīng)能實現(xiàn)內(nèi)部和與主生產(chǎn)線分布式控制系統(tǒng)(DCS系統(tǒng))表及其電源檢檢查結(jié)果備注防給水管道防水池與消防水泵房條，當其中一條發(fā)生故障時，其余的進水管應(yīng)能滿足消防用水總量的供給要3、環(huán)狀管道應(yīng)采用閥門分成若干獨立2、室外消火栓的保護半徑不應(yīng)大于操作的部位，栓口離地面或操作基面高栓、水槍和水帶。每條水帶的長度不應(yīng)的永久性固定標識。檢檢查結(jié)果備注7、消防水泵應(yīng)保證在火警后30s內(nèi)啟10、消防泵房能啟、停水泵，主控制室它消防設(shè)施確有困難時，應(yīng)沿建筑物的兩個長邊設(shè)點，且不得影響安全疏散。檢查現(xiàn)場，查閱圖紙、資檢檢查結(jié)果備注配電1、應(yīng)有生產(chǎn)許可證、出廠合格證、技術(shù)檢驗2、發(fā)電機應(yīng)按照規(guī)定的順序編號，明顯地標值班人員應(yīng)經(jīng)嚴格培訓并經(jīng)考試合格方可上4、發(fā)電機各種監(jiān)視、測試儀表保護裝置、溫5、發(fā)電機所有的水、氣、油管路均應(yīng)按規(guī)定2、配電室門應(yīng)向外開，高壓室(間)門應(yīng)向應(yīng)雙向開。雨、雪和蛇、鼠類小動進入室內(nèi)的設(shè)施。通道應(yīng)保證暢通無阻，不得8、電纜穿墻或樓板的孔洞用防火材料封堵完檢檢查結(jié)果備注明)配風裝置的電氣操作按鈕應(yīng)位于便于操作的位1、油標油位指示清晰，油色透明無雜質(zhì)，變3、變壓器、運行過程中內(nèi)部無異常響聲或放5、變壓器事故放油閥設(shè)置符合要求，事故放油閥的堵板應(yīng)為“可以手工打碎的玻璃或有機6、油浸式變壓器下應(yīng)設(shè)置貯油池，貯油池內(nèi)池的容量不應(yīng)小于每個油浸變壓器最大的貯7、變壓器本體及所有附件應(yīng)無缺損，且不漏現(xiàn)象，電纜頭應(yīng)無5、鐵芯風道應(yīng)無灰塵及雜物堵塞鐵芯無生銹1、箱(柜、板)符合作業(yè)環(huán)境要求。2、箱(柜、板)內(nèi)外整潔、完好、無雜物、檢檢查結(jié)果備注(柜、網(wǎng)接地系統(tǒng)雷接地系統(tǒng)3、箱(柜、板)體PE可靠。5、箱(柜、板)內(nèi)裝配有插座接線正確，并9、正常照明的電源，應(yīng)由動力和照明網(wǎng)絡(luò)共1、電源系統(tǒng)接地方式的運行應(yīng)滿足其結(jié)構(gòu)的4、接地裝置的連接必須保證電氣接觸可靠。5、接地裝置編號、標識明晰，定期檢測報告；避雷器無損壞，引下線焊3、獨立避雷針系統(tǒng)與其它系統(tǒng)隔離，間距合道路或建筑物的出入口應(yīng)有防止跨步電壓防雷裝置能定期進行預(yù)防性6、獨立避雷針不應(yīng)設(shè)在人經(jīng)常通行的地方，地電阻檢測必須與檢檢查結(jié)果備注避雷針及其接地裝置與道路或出入口等的距1、發(fā)電廠內(nèi)所有帶電設(shè)備的安全凈距不應(yīng)小2、當屋外(屋內(nèi))電氣設(shè)備外絕緣最低部位3、爆炸危險場所內(nèi)，有過負荷可能的電氣設(shè)4、充油電氣設(shè)備間的門若開向不屬于配電裝氣設(shè)備5、易燃、易爆場所通風用的通風機和電動機6、屋外配電裝置的周圍宜設(shè)置高度不低于7、電氣設(shè)備的絕緣水平，應(yīng)符合國家規(guī)定的條件特別惡劣場所的供電網(wǎng)現(xiàn)場檢查和查閱資料。檢檢查結(jié)果備注重機械力容器1、鋼絲繩的斷絲數(shù)、腐蝕(磨損)量、變形2、吊鉤等取物裝置無裂紋、明顯變形或磨損3、制動器工作可靠，連接件無超標使用，安4、各類行程限位、限量開關(guān)與聯(lián)鎖保護裝置5、緊急開關(guān)、緩沖器和終端止擋器等停車保6、露天作業(yè)起重機的防雨罩、夾軌器或錨定檔案中應(yīng)當有：1)壓力容器的設(shè)計文件、制力容器運行故障和事故記錄。2、辦理了壓力容器使用登記證。4、壓力容器的安全附件進行了定期檢驗。建立有特種設(shè)備安全管理制度和崗位安全6、有壓力容器的設(shè)計、制造、安裝單位相應(yīng)現(xiàn)場檢查和查閱資料?，F(xiàn)場檢查和查閱資檢檢查結(jié)果備注7、壓力容器本體、法蘭連接處以及焊縫無裂9、支承(座)應(yīng)完好，基礎(chǔ)可靠無位移，沉12、玻璃板(管)液面計有無裂紋、破碎，只在壓力表與壓力容器之間應(yīng)裝設(shè)能隔離介質(zhì)2、動力系統(tǒng)運轉(zhuǎn)平穩(wěn)，線路、管路無漏電、平穩(wěn)。檢檢查結(jié)果備注業(yè)氣瓶標)等安全裝置(附件)應(yīng)完整、靈敏可靠，設(shè)緊急停機按鈕保護裝置(開關(guān))。之間留有足夠的空間距離。及腐蝕。。合理?，F(xiàn)場檢查和查閱資現(xiàn)場檢查和查閱資檢檢查結(jié)果備注險化業(yè)管道1、消防車通道、安全疏散通道、安全出口布2、酸、堿貯存設(shè)備地上布置時，周圍應(yīng)設(shè)有3、酸、堿貯存間、計量間及卸酸、堿泵房必4、室內(nèi)經(jīng)常有人通行的場所，其酸、堿管道量箱的排氣，應(yīng)設(shè)置酸霧吸6、酸庫及酸計量間，應(yīng)設(shè)置機械排風裝置；宜采用自然通風。設(shè)置氨氣1、管道漆色標記應(yīng)明顯；表示管道內(nèi)物質(zhì)名標識明顯、清晰。2、應(yīng)有全廠管網(wǎng)平面布置圖，標記完整，位置準確。3、管道外觀檢查完好，外保溫完整無破損，連接處及管道兩個固定支檢檢查結(jié)果備注氣焊 0℃、處于大氣腐蝕環(huán)境或輸送腐蝕介質(zhì)、不1、電源線、焊接電纜與焊機連接處有可靠屏3、焊機一、二次繞組，繞組與外殼間絕緣電7、焊機使用場所清潔，無嚴重粉塵，周圍無10、電焊機外漏的帶電部分應(yīng)有完好的防護 (隔離)裝置，電焊機裸露接線柱必須設(shè)有防檢檢查結(jié)果備注 驗設(shè)施他設(shè)動設(shè)量設(shè)手持電動14、焊接電纜線(把子線)外皮必須完整、絕1、試(化)驗室應(yīng)通風良好。3、散發(fā)有毒有害氣體的藥劑使用時，應(yīng)設(shè)置4、試化驗人員應(yīng)配備相應(yīng)的勞動保護用品和，應(yīng)設(shè)置露的轉(zhuǎn)動部分，應(yīng)設(shè)置防線或保護線未正確中中華人民共和國電力行業(yè)標準 (征求意見稿)1文件14信息系統(tǒng)安全等級保護概述14.1信息系統(tǒng)安全保護等級14.2不同等級的安全保護能力14.3總體要求、基本技術(shù)要求和基本管理要求24.4基本技術(shù)要求的三種類型2分：管理信息系統(tǒng)類要求4第三部分：生產(chǎn)控制信息系統(tǒng)類要求38前言本標準由國家電力監(jiān)管委員會提出。依據(jù)國家信息安全等級保護管理規(guī)定和電力行業(yè)有關(guān)要求制定本標準。本標準是電力行業(yè)信息安全等級保護相關(guān)系列規(guī)范性文件之一?！峨娏π袠I(yè)信息系統(tǒng)安全等級保護定級工作指導意見》(電監(jiān)信息[2007]44號)。本標準與GB17859-1999、GB/T22239—2021等標準共同構(gòu)成了電力行業(yè)信息系統(tǒng)安全等級保護的GB/T22239—2021基礎(chǔ)上，根據(jù)電力行業(yè)信息系統(tǒng)和信息安全防護特點及要求，對GB/T22239—2021步細化和擴展。本標準在GB17859-1999、GB/T22239—2021等技術(shù)類標準的基礎(chǔ)上，根據(jù)電力行業(yè)現(xiàn)有技術(shù)的發(fā)要求，本標準適用于指導不同安全保護等級信息系統(tǒng)的安全建設(shè)和監(jiān)督管理。在本標準文本中，黑體字表示較低等級中沒有出現(xiàn)或增強的要求。為便于和GB/T22239—2021比照，分別用“(新增)”、“(細化)”、“(增強)”和“(落實)”來標識本標準的該條目和GB/T22239—2021中相關(guān)條目的差異，未標識則是等同采用。第一部分通用要求1適用范圍本規(guī)范規(guī)定了電力行業(yè)管理類信息系統(tǒng)和生產(chǎn)控制類信息系統(tǒng)不同安全等級的信息系統(tǒng)等級保護的安全等級保護建設(shè)工作。2規(guī)范性參考文件《信息安全等級保護管理辦法》(公通字[2007]43號)GB則》GBT安全等級保護基本要求》《電力行業(yè)網(wǎng)絡(luò)與信息安全監(jiān)督管理暫行規(guī)定》(電監(jiān)信息[2007]50號)《電力行業(yè)信息系統(tǒng)安全等級保護定級工作指導意見》(電監(jiān)信息[2007]44號)3術(shù)語和定義安全保護能力securityprotectionability系統(tǒng)能夠抵御威脅、發(fā)現(xiàn)安全事件以及在系統(tǒng)遭到損害后能夠恢復(fù)先前狀態(tài)等的程度。4信息系統(tǒng)安全等級保護概述4.1信息系統(tǒng)安全保護等級序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等，由低到高劃分為五級。4.2不同等級的安全保護能力不同等級的信息系統(tǒng)應(yīng)具備的基本安全保護能力如下：第一級安全保護能力：應(yīng)能夠防護系統(tǒng)免受來自個人的、擁有很少資源的威脅源發(fā)起的惡意攻擊、第二級安全保護能力：應(yīng)能夠防護系統(tǒng)免受來自外部小型組織的、擁有少量資源的威脅源發(fā)起的惡漏洞和安全事件，在系統(tǒng)遭到損害后，能夠在一段時間內(nèi)恢復(fù)部分功能。源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功能。能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠迅速恢復(fù)所有功能。第五級安全保護能力：(略)。4.3總體要求、基本技術(shù)要求和基本管理要求信息系統(tǒng)安全等級保護應(yīng)依據(jù)信息系統(tǒng)的安全保護等級情況保證它們具有相應(yīng)等級的基本安全保護能力，不同安全保護等級的信息系統(tǒng)要求具有不同的安全保護能力。根全防護要求來體現(xiàn)；技術(shù)類安全要求與信息系統(tǒng)提供的技術(shù)安全機制有關(guān)，主要通過在信息系統(tǒng)中部署軟硬件并正確的配置其安全功能來實現(xiàn)；管理類安全要求與信息系統(tǒng)中各種角色參與的活動有關(guān)，主要機安全、應(yīng)用安全和數(shù)據(jù)安全幾個層面提出；基本管理要求從安全管理制度、安全管理機構(gòu)、人員安全息系統(tǒng)安全不可分割的三個部分。體保護能力通過不同組件實現(xiàn)基本安全要求來保證。除了保證系統(tǒng)的每個組件滿足基本安全要求外，的說明見附錄A。碼的使用和管理，應(yīng)按照國家密碼管理的相關(guān)規(guī)定和標準實施。4.4基本技術(shù)要求的三種類型泄漏、破壞和免受未授權(quán)的修改的信息安全類要求(簡記為S)；保護系統(tǒng)連續(xù)正常的運行，免受對系統(tǒng)的未授權(quán)修改、破壞而導致系統(tǒng)不可用的服務(wù)保證類要求(簡記為A)；通用安全保護類要求(簡記等級。關(guān)于各類安全要求的選擇和使用見附錄B。第二部分：管理信息系統(tǒng)類要求5總體要求5.1總體技術(shù)要求a電力系統(tǒng)要求的單向隔離裝置；(新增)應(yīng)強于邏輯隔離；(新增)c)具有層次網(wǎng)絡(luò)結(jié)構(gòu)的單位可統(tǒng)一提供互聯(lián)網(wǎng)出口；(新增)d)二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)單獨成域；(新增)裝置為系統(tǒng)提供整體安全防護。(新增)5.2總體管理要求a)如果本單位管理信息大區(qū)僅有一級信息系統(tǒng)時，通用管理要求等同采用一級；(新增)6第一級基本要求6.1技術(shù)要求6.1.1物理安全物理訪問控制(G1)機房出入應(yīng)安排專人負責，控制、鑒別和記錄進入的人員。防盜竊和防破壞(G1)a應(yīng)將主要設(shè)備放置在機房內(nèi)；b)應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標記。防雷擊(G1)機房建筑應(yīng)設(shè)置避雷裝置。防火(G1)機房應(yīng)設(shè)置滅火設(shè)備。防水和防潮(G1)a)應(yīng)對穿過機房墻壁和樓板的水管增加必要的保護措施；b)應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透。溫濕度控制(G1)機房應(yīng)設(shè)置必要的溫、濕度控制設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。電力供應(yīng)(A1)應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備。6.1.2網(wǎng)絡(luò)安全結(jié)構(gòu)安全(G1)a)應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足基本業(yè)務(wù)需要；b)應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足基本業(yè)務(wù)需要；c)應(yīng)繪制與當前運行情況相符的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖。訪問控制(G1)a)應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；b)應(yīng)根據(jù)訪問控制列表對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許/拒c)應(yīng)通過訪問控制列表對系統(tǒng)資源實現(xiàn)允許或拒絕用戶訪問，控制粒度至少為用戶組。網(wǎng)絡(luò)設(shè)備防護(G1)a)應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；c)當對網(wǎng)絡(luò)設(shè)備進行遠程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。6.1.3主機安全身份鑒別(S1)應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別。訪問控制(S1)b)應(yīng)限制默認帳戶的訪問權(quán)限，重命名系統(tǒng)默認帳戶，修改這些帳戶的默認口令；c入侵防范(G1)惡意代碼防范(G1)應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫。6.1.4應(yīng)用安全身份鑒別(S1)a)應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；b)應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；c)應(yīng)啟用身份鑒別和登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。訪問控制(S1)a)應(yīng)提供訪問控制功能控制用戶組/用戶對系統(tǒng)功能和用戶數(shù)據(jù)的訪問；b)應(yīng)由授權(quán)主體配置訪問控制策略，并嚴格限制默認用戶的訪問權(quán)限。通信完整性(S1)應(yīng)采用約定通信會話方式的方法保證通信過程中數(shù)據(jù)的完整性。軟件容錯(A1)應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系6.1.5數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性(S1)應(yīng)能夠檢測到重要用戶數(shù)據(jù)在傳輸過程中完整性受到破壞。備份和恢復(fù)(A1)應(yīng)能夠?qū)χ匾畔⑦M行備份和恢復(fù)。6.2管理要求6.2.1安全管理制度管理制度(G1)應(yīng)建立日常管理活動中常用的安全管理制度。制定和發(fā)布(G1)a)應(yīng)指定或授權(quán)專門的人員負責安全管理制度的制定；b)應(yīng)將安全管理制度以某種方式發(fā)布到相關(guān)人員手中。6.2.2安全管理機構(gòu)資金保障a)應(yīng)保障落實信息系統(tǒng)安全建設(shè)、運維及等級保護測評資金等；(新增)b)系統(tǒng)建設(shè)資金籌措方案和年度系統(tǒng)維護經(jīng)費應(yīng)包括信息安全保障資金項目。(新增)崗位設(shè)置(G1)應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個工作崗位的職責。人員配備(G1)應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。授權(quán)和審批(G1)資源的訪問等關(guān)鍵活動進行審批。溝通和合作(G1)應(yīng)加強與行業(yè)信息安全監(jiān)管部門、公安機關(guān)、通信運營商、銀行及相關(guān)單位和部門的合作與溝通。(增強)6.2.3人員安全管理人員錄用(G1)a)應(yīng)指定或授權(quán)專門的部門或人員負責人員錄用；人員離崗(G1)a)應(yīng)立即終止由于各種原因離崗員工的所有訪問權(quán)限；b)應(yīng)收回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備。(落實)安全意識教育和培訓(G1)進行的培訓應(yīng)至少每年舉辦一次。(新增)b)應(yīng)對各類人員進行安全意識教育和崗位技能培訓；c)應(yīng)告知人員相關(guān)的安全責任和懲戒措施。外部人員訪問管理(G1)應(yīng)確保在外部人員訪問受控區(qū)域前得到授權(quán)或?qū)徟?.2.4系統(tǒng)建設(shè)管理系統(tǒng)定級(G1)a)應(yīng)明確信息系統(tǒng)的邊界和安全保護等級；b)應(yīng)以書面的形式說明信息系統(tǒng)確定為某個安全保護等級的方法和理由；c)應(yīng)確保信息系統(tǒng)的定級結(jié)果經(jīng)過行業(yè)信息安全主管部門等相關(guān)部門的批準。(細化)安全方案設(shè)計(G1)a)應(yīng)根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，依據(jù)風險分析的結(jié)果補充和調(diào)整安全措施；b)應(yīng)以書面的形式描述對系統(tǒng)的安全保護要求和策略、安全措施等內(nèi)容，形成系統(tǒng)的安全方案；c)應(yīng)對安全方案進行細化，形成能指導安全系統(tǒng)建設(shè)、安全產(chǎn)品采購和使用的詳細設(shè)計方案。產(chǎn)品采購和使用(G1)a)應(yīng)確保安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定。b)電力系統(tǒng)專用信息安全產(chǎn)品應(yīng)經(jīng)行業(yè)主管部門指定的安全機構(gòu)測評方可采購使用。(新增)自行軟件開發(fā)(G1)a)應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開；b)應(yīng)確保軟件設(shè)計相關(guān)文檔由專人負責保管。外包軟件開發(fā)(G1)a應(yīng)根據(jù)開發(fā)要求檢測軟件質(zhì)量；b)應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼；c)應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南。工程實施(G1)應(yīng)指定或授權(quán)專門的部門或人員負責工程實施過程的管理。測試驗收(G1)a)應(yīng)對系統(tǒng)進行安全性測試驗收；b)在測試驗收前應(yīng)根據(jù)設(shè)計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應(yīng)詳細記錄系統(tǒng)交付(G1)a)應(yīng)制定系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進行清點；b)應(yīng)對負責系統(tǒng)運行維護的技術(shù)人員進行相應(yīng)的技能培訓；c)應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導用戶進行系統(tǒng)運行維護的文檔。安全服務(wù)商選擇(G1)a)應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定；b)應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責任。6.2.5系統(tǒng)運維管理環(huán)境管理(G1)a)應(yīng)指定專門的部門或人員定期對機房供配電、空調(diào)、溫濕度控制等設(shè)施進行維護管理；b)應(yīng)對機房的出入、服務(wù)器的開機或關(guān)機等工作進行管理；資產(chǎn)管理(G1)應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責任部門、重要程度和所處位置等內(nèi)容。介質(zhì)管理(G1)a)應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護；b)應(yīng)對介質(zhì)歸檔和查詢等過程進行記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點。設(shè)備管理(G1)a)應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備、線路等指定專門的部門或人員定期進行維護管理；采購、發(fā)放和領(lǐng)用等過程進行規(guī)范化管理。網(wǎng)絡(luò)安全管理(G1)a理b)應(yīng)定期進行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補。系統(tǒng)安全管理(G1)a)應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略；b)應(yīng)定期進行漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞進行及時的修補；)惡意代碼防范管理(G1)絡(luò)上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進行病毒檢備份與恢復(fù)管理(G1)a)應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；b)應(yīng)規(guī)定備份信息的備份方式、備份頻度、存儲介質(zhì)、保存期等。安全事件處置(G1)a)應(yīng)報告所發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗證弱點；7第二級基本要求7.1技術(shù)要求7.1.1物理安全物理位置的選擇(G2)機房和辦公場地應(yīng)選擇在具有防震、防風和防雨等能力的建筑內(nèi)。物理訪問控制(G2)本項要求包括:a)機房各出入口應(yīng)安排專人值守或配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；(增強)b)進入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍。防盜竊和防破壞(G2)本項要求包括:a應(yīng)將主要設(shè)備放置在機房內(nèi)；b)應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標記；c)應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d)應(yīng)對介質(zhì)分類標識，存儲在介質(zhì)庫或檔案室中；e)主機房應(yīng)安裝必要的防盜報警設(shè)施。防雷擊(G2)本項要求包括:a)機房建筑應(yīng)設(shè)置避雷裝置；b)機房應(yīng)設(shè)置交流電源地線。防火(G2)機房應(yīng)設(shè)置滅火設(shè)備和火災(zāi)自動報警系統(tǒng)。防水和防潮(G2)本項要求包括:a)主機房盡量避開水源，與主機房無關(guān)的給排水管道不得穿過主機房,與主機房相關(guān)的給排水管c)應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。防靜電(G2)關(guān)鍵設(shè)備應(yīng)采用必要的接地防靜電措施。溫濕度控制(G2)機房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。電力供應(yīng)(A2)本項要求包括:a)應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；b)應(yīng)提供短期的備用電力供應(yīng)，至少滿足關(guān)鍵設(shè)備在斷電情況下的正常運行要求。0電磁防護(S2)電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾。7.1.2網(wǎng)絡(luò)安全結(jié)構(gòu)安全(G2)本項要求包括:a電力系統(tǒng)要求的單向隔離裝置；(新增)應(yīng)強于邏輯隔離；(新增)c)具有層次網(wǎng)絡(luò)結(jié)構(gòu)的單位可統(tǒng)一提供互聯(lián)網(wǎng)出口；(新增)d)應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；e)應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要；P行情況相符；(增強)f)應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段。訪問控制(G2)本項要求包括:b)應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；(增c)應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶。以撥號或VPN等方式接入網(wǎng)絡(luò)的，應(yīng)采用強認證方式，并對用戶訪問權(quán)限進行嚴格限制。(增強)d)應(yīng)限制具有撥號、VPN等訪問權(quán)限的用戶數(shù)量。(增強)安全審計(G2)本項要求包括:a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；邊界完整性檢查(S2)應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查。入侵防范(G2)應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)網(wǎng)絡(luò)設(shè)備防護(G2)本項要求包括:a)應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；b)應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制；d)身份鑒別信息應(yīng)不易被冒用，口令復(fù)雜度應(yīng)滿足要求并定期更換。應(yīng)修改默認用戶和口令，e)應(yīng)具有登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和當網(wǎng)絡(luò)登錄連接超時自動退f)當對網(wǎng)絡(luò)設(shè)備進行遠程管理時，采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；7.1.3主機安全身份鑒別(S2)本項要求包括:a)應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別；b)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應(yīng)不易被冒用，口令復(fù)雜度應(yīng)滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令禁止相c)啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施。限制同一用d)當對服務(wù)器進行遠程管理時，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；e)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。訪問控制(S2)本項要求包括:a)應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；b)應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；c)應(yīng)限制默認帳戶的訪問權(quán)限，重命名系統(tǒng)默認帳戶，修改這些帳戶的默認口令；d)應(yīng)及時刪除多余的、過期的帳戶，避免共享帳戶的存在。安全審計(G2)本項要求包括:統(tǒng)運行安全和效率為前提，采用第三方安全審計產(chǎn)品實現(xiàn)審計要求；(落實)b)審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件。審計內(nèi)容至少包括：用戶的添加和刪除、審計功能的啟動和關(guān)閉、審計策略的調(diào)整、權(quán)限變更、系統(tǒng)資源的異常使用、重要的系統(tǒng)操作(如用戶登錄、退出)等；(細化)c)審計記錄應(yīng)包括事件的日期、時間、類型、主體標識、客體標識和結(jié)果等；d)應(yīng)保護審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。入侵防范(G2)操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝必要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補丁及時得到更新，補丁安裝前應(yīng)進行安全性和兼容性測試。(增強)惡意代碼防范(G2)本項要求包括:a)應(yīng)在本機安裝防惡意代碼軟件或獨立部署惡意代碼防護設(shè)備，并及時更新防惡意代碼軟件版本和惡意代碼庫；(細化)b)應(yīng)支持防惡意代碼的統(tǒng)一管理。資源控制(A2)本項要求包括:a)應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b)應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定；c)應(yīng)根據(jù)需要限制單個用戶對系統(tǒng)資源的最大或最小使用限度。(細化)7.1.4應(yīng)用安全身份鑒別(S2)本項要求包括:a)應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；b)應(yīng)用系統(tǒng)用戶身份鑒別信息應(yīng)不易被冒用，口令復(fù)雜度應(yīng)滿足要求并定期更換。應(yīng)提供用戶第一次登錄系統(tǒng)時修改分發(fā)的初始口令，口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令禁止相同；應(yīng)用軟件不得明文存儲口令數(shù)據(jù)；(增強)c)應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；功能，并根據(jù)安全策略配置相關(guān)參數(shù)。訪問控制(S2)本項要求包括:a)應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；b)訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；c)應(yīng)由授權(quán)主體配置訪問控制策略，并嚴格限制默認帳戶的訪問權(quán)限；d)應(yīng)授予不同帳戶為完成各自承擔任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。安全審計(G2)本項要求包括:a)應(yīng)提供覆蓋到每個用戶的安全審計功能，對應(yīng)用系統(tǒng)的用戶登錄、用戶退出、增加用戶、修通信完整性(S2)應(yīng)采用校驗碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。通信保密性(S2)本項要求包括:a)在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進行會話初始化驗證；b)應(yīng)對通信過程中用戶口令、會話密鑰等敏感信息字段進行加密。(細化)軟件容錯(A2)本項要求包括:a)應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符資源控制(A2)本項要求包括:a)當應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；b)應(yīng)能夠?qū)?yīng)用系統(tǒng)的最大并發(fā)會話連接數(shù)進行限制；c)應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進行限制。7.1.5數(shù)據(jù)安全數(shù)據(jù)完整性(S2)應(yīng)能夠檢測到鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞。數(shù)據(jù)保密性(S2)應(yīng)采用加密或其他保護措施實現(xiàn)鑒別信息的存儲保密性。備份和恢復(fù)(A2)本項要求包括:a)應(yīng)對重要信息進行備份，并對備份介質(zhì)定期進行可用性測試；(增強)b)應(yīng)提供關(guān)鍵網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的可用性。7.2管理要求7.2.1安全管理制度管理制度(G2)本項要求包括:a)應(yīng)制定信息安全工作的總體方針和安全策略，說明機構(gòu)安全工作的總體目標、范圍、原則和b)應(yīng)對安全管理活動中重要的管理內(nèi)容建立安全管理制度；c)應(yīng)對安全管理人員或操作人員執(zhí)行的重要管理操作建立操作規(guī)程。制定和發(fā)布(G2)本項要求包括:a)應(yīng)指定或授權(quán)專門的部門或人員負責安全管理制度的制定；b)應(yīng)組織相關(guān)人員對制定的安全管理制度進行論證和審定；c)應(yīng)將安全管理制度以某種方式發(fā)布到相關(guān)人員手中。評審和修訂(G2)修訂。(增強)7.2.2安全管理機構(gòu)崗位設(shè)置(G2)本項要求包括:a)應(yīng)設(shè)立安全主管、安全管理各個方面的負責人崗位，并定義各負責人的職責；b)應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個工作崗位的職責。人員配備(G2)本項要求包括:a)應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等；b)安全管理員不能兼任網(wǎng)絡(luò)管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員等。資金保障(G2)a)應(yīng)保障落實信息系統(tǒng)安全建設(shè)、運維及等級保護測評資金等；(新增)b)系統(tǒng)建設(shè)資金籌措方案和年度系統(tǒng)維護經(jīng)費應(yīng)包括信息安全保障資金項目。(新增)授權(quán)和審批(G2)本項要求包括:重要資源的訪問等關(guān)鍵活動進行審批；b)應(yīng)針對關(guān)鍵活動建立審批流程，并由批準人簽字確認，并存檔備查。(增強)溝通和合作(G2)本項要求包括:a)應(yīng)加強各類管理人員之間、組織內(nèi)部機構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通；通。(細化)審核和檢查(G2)安全管理員應(yīng)負責定期進行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況。7.2.3人員安全管理人員錄用(G2)本項要求包括:a)應(yīng)指定或授權(quán)專門的部門或人員負責人員錄用；技能進行考核；c)應(yīng)與安全管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員等關(guān)鍵崗位的人員簽署保密協(xié)議。(細化)人員離崗(G2)本項要求包括:a)應(yīng)規(guī)范人員離崗過程，及時收回離崗員工的所有訪問權(quán)限；(增強)b)應(yīng)收回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備；c)只有在收回訪問權(quán)限和各種證件、設(shè)備之后方可辦理調(diào)離手續(xù)。(細化)人員考核(G2)應(yīng)定期對各個崗位的人員進行安全技能及安全認知的培訓級考核。安全意識教育和培訓(G2)本項要求包括:a)應(yīng)對各類人員進行安全意識教育、崗位技能培訓和相關(guān)安全技術(shù)培訓；b)應(yīng)告知人員相關(guān)的安全責任和懲戒措施，并對違反違背安全策略和規(guī)定的人員進行懲戒；c)應(yīng)按照行業(yè)信息安全要求，制定安全教育和培訓計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進行的培訓應(yīng)至少每年舉辦一次。(增強)外部人員訪問管理(G2)應(yīng)確保在外部人員訪問受控區(qū)域前得到授權(quán)或?qū)徟?，批準后由專人全程陪同或監(jiān)督，并登記備案。7.2.4系統(tǒng)建設(shè)管理系統(tǒng)定級(G2)本項要求包括:a)應(yīng)明確信息系統(tǒng)的邊界和安全保護等級；b)應(yīng)以書面的形式說明信息系統(tǒng)確定為某個安全保護等級的方法和理由；c)對于跨電力公司聯(lián)網(wǎng)運行的信息系統(tǒng)，由電力行業(yè)網(wǎng)絡(luò)與信息安全領(lǐng)導小組辦公室統(tǒng)一確定安全保護等級。對于屬同一電力公司，但跨省聯(lián)網(wǎng)運行的信息系統(tǒng)，由公司責任部門統(tǒng)一確定安全保護等級。對于通用信息系統(tǒng)，由領(lǐng)導小組辦公室提出安全保護等級建議，運營使用單位自主確定安全保護等級。對于運營使用單位所特有的信息系統(tǒng)，各運營使用單位自行確定安全保護等級。對擬確定為第四級以上信息系統(tǒng)的，由領(lǐng)導小組辦公室邀請國家信息安全保護等級專家評審委員會評審。(細化)d)應(yīng)確保信息系統(tǒng)的定級結(jié)果經(jīng)過行業(yè)信息安全主管部門批準，方可到公安機關(guān)備案。(細化)安全方案設(shè)計(G2)本項要求包括:a)應(yīng)根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，依據(jù)風險分析的結(jié)果補充和調(diào)整安全措施；b)應(yīng)以書面形式描述對系統(tǒng)的安全保護要求、策略和措施等內(nèi)容，形成系統(tǒng)的安全方案；c方案進行細化，形成能指導安全系統(tǒng)建設(shè)、安全產(chǎn)品采購和使用的詳細設(shè)計方案；d)應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對安全設(shè)計方案的合理性和正確性進行論證和審定，重大項目應(yīng)報行業(yè)信息安全主管部門進行信息安全專項審查批準。(落實)產(chǎn)品采購和使用(G2)本項要求包括:a)應(yīng)確保安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定；b)應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求；c)應(yīng)指定或授權(quán)專門的部門負責產(chǎn)品的采購。d)電力系統(tǒng)專用信息安全產(chǎn)品應(yīng)經(jīng)行業(yè)主管部門指定的安全機構(gòu)測評方可采購使用。(新增)自行軟件開發(fā)(G2)本項要求包括:a)應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開；b)應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準則；c)應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負責保管。外包軟件開發(fā)(G2)本項要求包括:a)應(yīng)根據(jù)開發(fā)要求檢測軟件質(zhì)量；b)應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南；c)應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼；d)外包開發(fā)的軟件應(yīng)在本單位存有源代碼備份，并已通過軟件后門等安全性檢測。(增強)工程實施(G2)本項要求包括:a)應(yīng)指定或授權(quán)專門的部門或人員負責工程實施過程的管理；b)應(yīng)制定詳細的工程實施方案，控制工程實施過程。測試驗收(G2)本項要求包括:測試驗收結(jié)果，并形成測試驗收報告；c)應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗收報告進行審定，并簽字確認。系統(tǒng)交付(G2)本項要求包括:a)應(yīng)制定系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進行清點；b)應(yīng)應(yīng)對負責系統(tǒng)運行維護的技術(shù)人員每年進行相應(yīng)的技能培訓,對安全教育和培訓的情況和結(jié)果進行記錄并歸檔保存；(細化)c)應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導用戶進行系統(tǒng)運行維護的文檔。系統(tǒng)備案(G2)0等級測評(G2)應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)，經(jīng)電力行業(yè)網(wǎng)絡(luò)與信息安全領(lǐng)導小組辦公室批準的測評單位1安全服務(wù)商選擇(G2)本項要求包括:a)應(yīng)選擇符合國家及行業(yè)有關(guān)規(guī)定的服務(wù)商開展安全服務(wù)；(細化)b)應(yīng)與選定的安全服務(wù)商簽訂安全協(xié)議，明確安全責任；(細化)c)應(yīng)與服務(wù)商簽訂安全服務(wù)合同，明確技術(shù)支持和服務(wù)承諾。(增強)7.2.5系統(tǒng)運維管理環(huán)境管理(G2)本項要求包括:a等設(shè)施進行維護管理；b)應(yīng)配備機房安全管理人員，對機房的出入、服務(wù)器的開機或關(guān)機等工作進行管理；d)應(yīng)加強對辦公環(huán)境的保密性管理，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。資產(chǎn)管理(G2)本項要求包括:a)應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責任部門、重要程度和所處位置等內(nèi)容；b)應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責任人員或責任部門，并規(guī)范資產(chǎn)管理使用的行為。介質(zhì)管理(G2)本項要求包括:a)應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護，并實行存儲環(huán)境專人管理；b)應(yīng)建立移動存儲介質(zhì)安全管理制度，對移動存儲介質(zhì)的使用進行管控；(新增)c)應(yīng)對介質(zhì)歸檔和查詢等過程進行記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點；d)應(yīng)對需要送出維修或銷毀的介質(zhì)，首先清除其中的敏感數(shù)據(jù)，防止信息的非法泄漏；e)應(yīng)根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進行分類和標識管理。設(shè)備管理(G2)本項要求包括:a)應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備(包括備份和冗余設(shè)備)、線路等指定專門的部門或人員定期進采購、發(fā)放和領(lǐng)用等過程進行規(guī)范化管理；c)應(yīng)對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進行規(guī)范化管理，按操作規(guī)程實現(xiàn)關(guān)鍵設(shè)備(包括備份和冗余設(shè)備)的啟動/停止、加電/斷電等操作；d)應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機房或辦公地點。網(wǎng)絡(luò)安全管理(G2)本項要求包括:a理b)應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規(guī)定；c)應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進行更新，并在更新前對現(xiàn)有的重要文件進行備d)應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補；e)應(yīng)對網(wǎng)絡(luò)設(shè)備的配置文件進行定期備份；f)應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準。系統(tǒng)安全管理(G2)本項要求包括:a)應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略；b)應(yīng)定期進行漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞及時進行修補；c)應(yīng)安裝系統(tǒng)的最新補丁程序，在安裝系統(tǒng)補丁前，應(yīng)首先在測試環(huán)境中測試通過，并對重要文件進行備份后，方可實施系統(tǒng)補丁程序的安裝；d)應(yīng)建立系統(tǒng)安全管理制度，對系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面作e)應(yīng)依據(jù)操作手冊對系統(tǒng)進行維護，詳細記錄操作日志，包括重要的日常操作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容，嚴禁進行未經(jīng)授權(quán)的操作；f)應(yīng)定期對運行日志和審計數(shù)據(jù)進行分析，以便及時發(fā)現(xiàn)異常行為。惡意代碼防范管理(G2)本項要求包括:應(yīng)進行病毒檢查；b)應(yīng)指定專人對網(wǎng)絡(luò)和主機進行惡意代碼檢測并保存檢測記錄；c)應(yīng)對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確規(guī)定。密碼管理(G2)應(yīng)使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。變更管理(G2)本項要求包括:a)應(yīng)確認系統(tǒng)中要發(fā)生的重要變更，并制定相應(yīng)的變更方案；b)系統(tǒng)發(fā)生重要變更前，應(yīng)向主管領(lǐng)導申請，審批后方可實施變更，并在實施后向相關(guān)人員通0備份與恢復(fù)管理(G2)本項要求包括:a)應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；b等；c)應(yīng)根據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和數(shù)據(jù)離站運輸方法。1安全事件處置(G2)本項要求包括:a)應(yīng)報告所發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗證弱點；告和后期恢復(fù)的管理職責；c)應(yīng)根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響，對本系統(tǒng)計算機安全事件進行等級劃分；d)應(yīng)記錄并保存所有報告的安全弱點和可疑事件，分析事件原因，監(jiān)督事態(tài)發(fā)展，采取措施避免安全事件發(fā)生。2應(yīng)急預(yù)案管理(G2)本項要求包括:a)應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培訓等內(nèi)容；b)應(yīng)對安全管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員等相關(guān)的人員進行應(yīng)急預(yù)案培訓，應(yīng)急預(yù)案的培訓應(yīng)至少每年舉辦一次。(細化)8第三級基本要求8.1技術(shù)要求8.1.1物理安全物理位置的選擇(G3)本項要求包括:a)機房和辦公場地應(yīng)選擇在具有防震、防風和防雨等能力的建筑內(nèi)；b)機房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁,如果不可避免，應(yīng)采取有效防水措施。(落實)物理訪問控制(G3)本項要求包括:a)機房各出入口應(yīng)安排專人值守或配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；(增強)b)進入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；c)應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間應(yīng)用物理方式隔斷，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；(增強)防盜竊和防破壞(G3)本項要求包括:a)應(yīng)將主要設(shè)備放置在機房內(nèi)；b)應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標記；c)應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d)應(yīng)對介質(zhì)分類標識，存儲在介質(zhì)庫或檔案室中；e)應(yīng)利用光、電等技術(shù)設(shè)置機房防盜報警系統(tǒng)；f)應(yīng)對機房設(shè)置監(jiān)控報警系統(tǒng)。防雷擊(G3)本項要求包括:a)機房建筑應(yīng)設(shè)置避雷裝置；b)應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；c)機房應(yīng)設(shè)置交流電源地線。防火(G3)本項要求包括:a)機房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警、自動滅火；b)機房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料；c)機房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。防水和防潮(G3)本項要求包括:a)主機房盡量避開水源，與主機房無關(guān)的給排水管道不得穿過主機房,與主機房相關(guān)的給排水管道必須有可靠的防滲漏措施；(落實)b)應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；c)應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；d)應(yīng)安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。防靜電(G3)本項要求包括:a)主要設(shè)備采用必要的接地防靜電措施；b)機房應(yīng)采用防靜電地板。溫濕度控制(G3)機房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。電力供應(yīng)(A3)本項要求包括:a)應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；b滿足主要設(shè)備在斷電情況下的正常運行要求；c電，輸入電源應(yīng)采用雙路自動切換供電方式；(增強)d)應(yīng)建立備用供電系統(tǒng)。0電磁防護(S3)本項要求包括:a)電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾；b)應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；c)應(yīng)對關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽。8.1.2網(wǎng)絡(luò)安全結(jié)構(gòu)安全(G3)本項要求包括:a電力系統(tǒng)要求的單向隔離裝置；(新增)c)具有層次網(wǎng)絡(luò)結(jié)構(gòu)的單位可統(tǒng)一提供互聯(lián)網(wǎng)出口；(新增)d)單個系統(tǒng)應(yīng)單獨劃分安全域，系統(tǒng)由獨立子網(wǎng)承載，每個域的網(wǎng)絡(luò)出口應(yīng)唯一；(新增)e)應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；f)應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；g)應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；行情況相符；(增強)i)應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；先級，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保障重要業(yè)務(wù)服務(wù)的帶寬；(落實)k)采用冗余技術(shù)設(shè)計網(wǎng)絡(luò)拓撲結(jié)構(gòu)，提供主要網(wǎng)絡(luò)設(shè)備、通信線路的硬件冗余,避免關(guān)鍵節(jié)點存訪問控制(G3)本項要求包括:b)應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；度為單個用戶。以撥號或VPN等方式接入網(wǎng)絡(luò)的，應(yīng)采用強認證方式，并對用戶訪問權(quán)限進行嚴格限制；(增強)d)應(yīng)限制具有撥號、VPN等訪問權(quán)限的用戶數(shù)量；(增強)e)應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命f)應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；g)在互聯(lián)網(wǎng)出口和核心網(wǎng)絡(luò)接口處應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；(細化)h)重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙。安全審計(G3)本項要求包括:a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；計報表；(落實)d)應(yīng)對審計記錄進行保護，避免受到未預(yù)期的刪除、修改或覆蓋等。邊界完整性檢查(S3)本項要求包括:入侵防范(G3)本項要求包括:b)當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應(yīng)提供報警。惡意代碼防范(G3)本項要求包括:a)應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和清除；b)應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新。網(wǎng)絡(luò)設(shè)備防護(G3)本項要求包括:a)應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；b)應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制；c)網(wǎng)絡(luò)設(shè)備標識應(yīng)唯一；同一網(wǎng)絡(luò)設(shè)備的用戶標識應(yīng)唯一；禁止多個人員共用一個賬號；(增強)d)身份鑒別信息應(yīng)不易被冒用，口令復(fù)雜度應(yīng)滿足要求并定期更換。應(yīng)修改默認用戶和口令，不得使用缺省口令，口令長度不得小于8位，要求是字母和數(shù)字或特殊字符的混合并不得與用戶名相同，口令應(yīng)定期更換，并加密存儲；(增強)e)主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進行身份鑒別；g)當對網(wǎng)絡(luò)設(shè)備進行遠程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；h)應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離，系統(tǒng)不支持的應(yīng)部署日志服務(wù)器保證管理員的操作能夠被審計，并且網(wǎng)絡(luò)特權(quán)用戶管理員無權(quán)對審計記錄進行操作；(細化)本；并應(yīng)設(shè)定復(fù)雜的Community控制字段，不使用Public、Private等默認字段。(新增)8.1.3主機安全身份鑒別(S3)本項要求包括:a)對登錄操作系統(tǒng)的用戶進行身份標識和鑒別；b)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應(yīng)不易被冒用，口令復(fù)雜度應(yīng)滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令禁止相同；(細化)戶連續(xù)失敗登錄次數(shù)；(增強)d)當對服務(wù)器進行遠程管理時，采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；e戶名，確保用戶名具有唯一性；f)應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進行身份鑒別。訪問控制(S3)本項要求包括:a略控制用戶對資源的訪問；c)應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；f)應(yīng)對重要信息資源設(shè)置敏感標記，系統(tǒng)不支持設(shè)置敏感標記的，應(yīng)采用專用安全設(shè)備生成敏感標記，用以支持強制訪問控制機制；(落實)g)應(yīng)依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作。安全審計(G3)本項要求包括:a要求的，應(yīng)以系統(tǒng)運行安全和效率為前提，采用第三方安全審計產(chǎn)品實現(xiàn)審計要求；(落實)b)審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安整、權(quán)限變更、系統(tǒng)資源的異常使用、重要的系統(tǒng)操作(如用戶登錄、退出)等；(細化)e)應(yīng)能夠通過操作系統(tǒng)自身功能或第三方工具根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；(細化)f)應(yīng)保護審計進程，避免受到未預(yù)期的中斷。剩余信息保護(S3)本項要求包括:a前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；入侵防范(G3)本項要求包括:式保持系統(tǒng)補丁及時得到更新，補丁安裝前應(yīng)進行安全性和兼容性測試；(增強)b)應(yīng)能夠檢測到對重要服務(wù)器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警；c)應(yīng)能夠?qū)χ匾绦虻耐暾赃M行檢測，并具有完整性恢復(fù)的能力。(增強)惡意代碼防范(G3)本項要求包括:a)應(yīng)在本機安裝防惡意代碼軟件或獨立部署惡意代碼防護設(shè)備，并及時更新防惡意代碼軟件版本和惡意代碼庫；(細化)b)應(yīng)支持防惡意代碼的統(tǒng)一管理；c)主機防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫。資源控制(A3)本項要求包括:b)應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定；c)應(yīng)根據(jù)需要限制單個用戶對系統(tǒng)資源的最大或最小使用限度；(細化)d)應(yīng)對重要服務(wù)器進行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；e)應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進行檢測和報警。8.1.4應(yīng)用安全身份鑒別(S3)本項要求包括:a)應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別；b)應(yīng)用系統(tǒng)用戶身份鑒別信息應(yīng)不易被冒用，口令復(fù)雜度應(yīng)滿足要求并定期更換。應(yīng)提供用戶身份標識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標識；用戶在第一次登錄系統(tǒng)時修改分發(fā)的初始口令，口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令禁止相同；應(yīng)用軟件不得明文存儲口令數(shù)據(jù)；(增強)c)應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別；d)應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；功能，并根據(jù)安全策略配置相關(guān)參數(shù)。訪問控制(S3)本項要求包括:a)應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；b)訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；c)應(yīng)由授權(quán)主體配置訪問控制策略，并嚴格限制默認帳戶的訪問權(quán)限；d)應(yīng)授予不同帳戶為完成各自承擔任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；e)應(yīng)對重要信息資源設(shè)置敏感標記，系統(tǒng)不支持設(shè)置敏感標記的，應(yīng)采用專用安全設(shè)備生成敏感f)應(yīng)依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作。安全審計(G3)本項要求包括:cd)應(yīng)提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。剩余信息保護(S3)本項要求包括:a)應(yīng)保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；前得到完全清除。通信完整性(S3)應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；通信保密性(S3)本項要求包括:a)在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進行會話初始化驗證；b)應(yīng)對通信過程中的整個報文或會話過程進行加密?？沟仲?G3)本項要求包括:a)應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b)應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能；8.2管理要求軟件容錯(A3)本項要求包括:a符b)應(yīng)提供自動保護功能，當故障發(fā)生時自動保護當前所有狀態(tài)，保證系統(tǒng)能夠進行恢復(fù)。資源控制(A3)本項要求包括:a)當應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；b)應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進行限制；c)應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進行限制；d)應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制；e)應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；f)應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進行檢測和報警；據(jù)優(yōu)先級分配系統(tǒng)資源。8.1.5數(shù)據(jù)安全數(shù)據(jù)完整性(S3)本項要求包括:a)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施；b)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施。數(shù)據(jù)保密性(S3)本項要求包括:a)應(yīng)采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；b)應(yīng)采用加密或其他保護措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲保密性。備份和恢復(fù)(A3)本項要求包括:(增b)應(yīng)提供異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時批量傳送至備用場地；c絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。8.2.1安全管理制度管理制度(G3)本項要求包括:b)應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度；c)應(yīng)對要求管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程；d)應(yīng)形成由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。制定和發(fā)布(G3)本項要求包括:a)應(yīng)指定或授權(quán)專門的部門或人員負責安全管理制度的制定；b)安全管理制度應(yīng)具有統(tǒng)一的格式，并進行版本控制；c)應(yīng)組織相關(guān)人員對制定的安全管理制度進行論證和審定；d)安全管理制度應(yīng)通過正式、有效的方式發(fā)布；e)安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進行登記。評審和修訂(G3)本項要求包括:a)信息安全領(lǐng)導小組應(yīng)負責定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用b)定期或在發(fā)生重大變更時對安全管理制度進行檢查和審定，對存在不足或需要改進的安全管8.2.2安全管理機構(gòu)崗位設(shè)置(G3)本項要求包括:a)應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管、安全管理各個方面的負責人崗位，并b)應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個工作崗位的職責；c)應(yīng)成立指導和管理信息安全工作的委員會或領(lǐng)導小組，電力企業(yè)主要負責人是本單位信息安責任人，對本單位的網(wǎng)絡(luò)與信息安全負全面責任；(增強)d應(yīng)制定文件明確安全管理機構(gòu)各個部門和崗位的職責、分工和技能要求。人員配備(G3)本項要求包括:b應(yīng)配備專職安全管理員，不可兼任；(落實)c)關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。資金保障(G3)c)應(yīng)保障落實信息系統(tǒng)安全建設(shè)、運維及等級保護測評資金等；(新增)d)系統(tǒng)建設(shè)資金籌措方案和年度系統(tǒng)維護經(jīng)費應(yīng)包括信息安全保障資金項目。(新增)授權(quán)和審批(G3)本項要求包括:a)應(yīng)根據(jù)各個部門和崗位的職責明確授權(quán)審批事項、審批部門和批準人等；b)應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項建立審批程序，按照審批程序執(zhí)行審批過程，對重要活動建立逐級審批制度；c)應(yīng)定期審查審批事項，及時更新需授權(quán)和審批的項目、審批部門和審批人等信息；d)應(yīng)針對關(guān)鍵活動建立審批流程，并由批準人簽字確認，并存檔備查。(落實)溝通和合作(G3)本項要求包括:a期或不定期召開協(xié)調(diào)會議，共同協(xié)作處理信息安全問題；通；(細化)c)應(yīng)加強與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通；d)應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息；審核和檢查(G3)本項要求包括:a情b)應(yīng)由內(nèi)部人員或上級單位定期進行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；c)應(yīng)制定安全檢查表格實施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結(jié)果進行通報；d)應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作，定期按照程序進行安全審核和安全檢查活動。8.2.3人員安全管理人員錄用(G3)本項要求包括:a)應(yīng)指定或授權(quán)專門的部門或人員負責人員錄用；b所具有的技術(shù)技能進行考核；c)應(yīng)與安全管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員等關(guān)鍵崗位的人員簽署保密協(xié)議；(細化)d)應(yīng)與安全管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員等關(guān)鍵崗位的人員簽署崗位安全協(xié)議。(細化)人員離崗(G3)本項要求包括:a)應(yīng)嚴格規(guī)范人員離崗過程，及時收回離崗員工的所有訪問權(quán)限；(細化)b)應(yīng)收回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備；c)只有在收回訪問權(quán)限和各種證件、設(shè)備之后方可辦理調(diào)離手續(xù)，關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開。(細化)人員考核(G3)本項要求包括:a)應(yīng)定期對各個崗位的人員進行安全技能及安全認知的考核；嚴格的安全審查和技能考核；(細化)c)應(yīng)對考核結(jié)果進行記錄并保存。安全意識教育和培訓(G3)本項要求包括:a)應(yīng)對各類人員進行安全意識教育、崗位技能培訓和相關(guān)安全技術(shù)培訓；b)應(yīng)對安全責任和懲戒措施進行書面規(guī)定并告知相關(guān)人員，對違反違背安全策略和規(guī)定的人員進行懲戒；c)應(yīng)按照行業(yè)信息安全要求，對定期安全教育和培訓進行書面規(guī)定，針對不同崗位制定不同的培訓計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進行的培訓應(yīng)至少每年舉辦一次；(增強)d)應(yīng)對安全教育