DLT 2203-2020标准规范下载简介：
内容预览由机器从pdf转换为word，准确率92%以上，供参考
DLT 2203-2020 发电厂监控系统信息安全管理导则.pdf5.2.1.1发电企业应将发电厂监控系统信息安全管理融入安全生产管理体系中，按照“谁主管、谁负 责；谁运营、谁负责；谁使用、谁负责”的原则，健全发电厂监控系统安全防护的组织保证体系和安 全责任体系。 5.2.1.2应设立发电厂监控系统安全管理工作的组织机构，由企业负责人作为主要责任人；开发制造单
图1ISMS体系结构
5.3.1发电企业应配备发电厂监控系统安全防护人员，设立相应岗位，明确各岗位职责。 5.3.2应开展对发电厂监控系统安全防护的管理、运行、维护、使用等全体人员的安全管理和培训教 育，以及对设备厂家维护和评估检测等第三方人员的安全管理，提高全体内部人员和相关外部人员的 安全意识。
5.4.1发电企业应对发电厂监控系统中全部业务系统软件模块和硬件设备，特别是安全防护设备，建 立设备台账，实行全方位安全管理。 5.4.2安全防护设备及发电厂监控系统设备选型与配置时，不应选用被国家相关部门检测通报存在漏 洞和风险的特定系统及设备。 5.4.3相关系统、设备接入发电厂监控系统网络时，应制定接入技术方案，采取相应安全防护措施， 并经发电企业安全管理部门的审核、批准。 5.4.4有关安全保证技术要求，应符合GB/T20984一2007中第5章的规定；有关发电厂监控系统安全 技术等级要求应符合GB/T20984一2007中第6章的规定；有关系统能力（技术）评估FZ/T 54067-2013 阳离子染料可染改性涤纶低弹丝，应符合GB/T 30976.1一2014中第6章的规定：针对发现的间题应及时进行改进、完善。
5.5全生命周期安全管理
发电企业在建设发电厂监控系统时，应严格落实以下“三同步”原则： a）同步规划：在业务规划阶段应同步纳入信息安全要求，引入安全措施； b）同步建设：在项目建设阶段应通过合同条款落实系统集成商、厂商的责任，保证相关安全技术 措施的顺利实施，项目上线时安全措施的验收和工程验收同步，确保只有符合信息安全要求的 系统才能上线； c）同步使用：在安全验收后的日常运营维护中，应持续保持系统信息安全防护水平
DL/T22032020
发电厂监控系统及设备在规划设计、研究开发、施工建设、安装调试、系统改造、运行管理、退 没报废等全生命周期阶段应采取下列安全管理措施： a）系统及设备应采用安全、可靠，符合本文件，以及国家和行业信息系统安全等级保护要求的 产品； b）重要监控系统及专用安全防护产品在开发使用过程中，供应商应保证所提供的设备及系统符 合本文件，以及国家和行业信息系统安全等级保护的要求，并在设备及系统全生命周期内对此 负责； c）发电厂监控系统及专用安全防护产品在开发、使用及供应过程中，应按国家有关要求做好保密 工作，防止安全防护关键技术和设备的扩散； d）发电企业应依据相关标准和规定对发电厂监控系统及设备进行安全防护专项验收； e）发电企业应结合日常运维和安全防护管理，定期开展运行分析和自评估，保障系统及设备的可 靠运行；
5.6联合防护和应急管理
6信息安全管理基本内容
6.1.1发电厂监控系统信息安全管理的资产范围，宜包括发电机组生产控制大区的主控制系统、辅助 控制系统、控制区电气二次系统、非控制区监控系统，以及厂区内与其相关联的信息系统或设备，见 图2
图2发电厂监控系统信息资产分区结构示意图
DL/T22032020
电厂监控系统主要设备宜包括分散型控制系统（DCS、DEH、TCS、计算机监控系统等）、独 制系统（ETS、BPC、TSI、火检系统、OCS、PLC等）、就地设备控制系统、智能仪表、调度 统（NCS、RTU、PMU等）、继电保护装置、厂级监控信息系统（SIS）等。
发电厂监控系统应遵循的信息安全管理基本框
a）顶层承诺：发电企业应获得管理层的承诺，确定发电厂监控系统信息安全管理的方针，明确发 电企业各相关成员在发电厂监控系统信息管理活动中的角色、责任和权限； b）规划评估：发电企业应确定规划总则，开展发电厂监控系统信息安全风险评估和处置，明确安 全目标和实现规划： C 资源支持：发电企业应保障发电厂监控系统信息安全所需的资源，提供能力和意识培训，确定 沟通机制并建立文档化制度； d）策略实施：发电企业应规划、实现和控制满足发电厂监控系统信息安全管理活动要求的具体过 程，定期开展发电厂监控系统信息安全风险评估和处置工作； e）绩效评价：发电企业应对发电厂监控系统开展监视、测量、分析和评价，定期开展内部审核和 管理评审： f）持续改进：发电企业应对发电厂监控系统的安全开展持续监控，在发电厂监控系统发生信息安 全异常情况时，采取纠正措施并持续改进。
DL/T22032020
6.5组织机构与职责界定
发电企业应以设备为中心开展发电厂监控系统信息安全专业管理，建立由企业主要负责人牵头 部门负责，仪控、电气、信息、集控运行及安监等专业相互协同的组织管理框架，以实现发电 部信息安全管理机制的控制和运行。
DL/T22032020
全建设的各项工作； 4）审定网络与信息安全的应急策略及应急预案； 5）定期召开工作会议，广泛征求信息安全建设的意见和建议，协调解决信息安全工作中遇到 的重大问题。 b）网络与信息安全工作组应具体负责本单位网络与信息安全的下列日常管理工作： 1）按照发电厂监控系统信息安全防护规定和信息系统安全等级保护制度的要求，针对本单位 的网络和发电厂监控系统开展安全防护工作； 2）负责制定网络和信息安全相关的管理制度，并及时修订，确保各项制度的有效性 3）按要求组织开展网络与信息安全专项检查、安全评估、等级保护测评、风险评估工作，完 善信息安全管理机制； 4）负责制定和实施网络与信息安全防护的具体方案、措施，提高网络与信息安全防护能力， 保障监控系统网络与信息安全。 c）应急管理工作组应具体负责本单位网络与信息安全的下列应急管理工作： 1）负责编写本单位网络与信息安全相关的应急预案； 2）定期组织开展应急预案演练和修订； 3）决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统。
7信息安全管理专项工作
7.1等级保护与测评评估
7.1.1等级保护管理要求
发电厂监控系统的信息安全等级保护管理要求应符合GB/T22239的规定。网络安全等级保护 求内容框架见图4，应包括安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全 理，工作流程与要求如下：
a）发电企业网络安全等级保护工作流程应包括以下五个步骤：
图4网络安全等级保护管理要求内容框架
DL/T22032020
1）定级：发电企业应确定发电厂监控系统的安全等级； 2）备案：发电企业应对发电厂监控系统进行备案信息管理； 3）系统建设和整改：发电企业应结合自身业务特点建立可信、可控、客观的安全防护体系， 使系统能够按照预期运行，免受信息安全攻击和破坏； 4）等级测评：测评机构依据国家网络安全等级保护制度规定，按照有关管理规范和技术标 准，对非涉及国家机密信息系统安全等级保护状况进行检测评估； 5）监督检查：发电企业应接受并配合信息安全监管部门的信息安全监督检查。 b）发电企业应明晰等级保护标准体系内容，包括定级指南、基本要求、测评要求，
7.1.2等级保护定级与备案
发电企业应按照国家和行业有 经相关信息安全管理部门审核、批准后，报公安机关备案，获取“信息系统安全等级保护备案证明”， 定级备案结果报送相应电力行业主管部门备案。
等级测评过程宜包括测评机构选择、测评准备、方案编制、现场测评、分析与报告编制，见图5 并符合下列规定： a）测评机构选择应符合GB/T37138—2018中6.2.1的规定； b) 测评准备应符合GB/T37138—2018中6.2.2的规定； c）方案编制应符合GB/T37138—2018中6.2.3的规定； d）现场测评应符合GB/T37138—2018中6.2.4的规定： e）分析与报告编制应符合GB/T37138—2018中6.2.5的规定。
图5发电厂监控系统测评流程
DL/T22032020
发电企业宜根据实际需要组织开展信息安全评估工作，发电厂监控系统的信息安全评估可选择自 评估或委托专业机构评估的方式开展，评估流程见图6，并满足下列要求： a）评估工作形式及评估机构选择：发电企业应根据国家及行业政策文件，管辖范围内发电厂监控 系统所在的生命周期、安全保护等级等要素选择下列评估周期和评估形式： 1）等级保护3级及以上的发电厂监控系统，发电企业应定期组织开展自评估活动，评估周期 原则上不超过1年。 2） 等级保护2级的发电厂监控系统，发电企业应定期组织开展自评估活动，评估周期原则上 不超过2年。 3）等级保护3级及以上的发电厂监控系统投入运行前或发生重大变更时，发电企业宜委托专 业评估机构进行上线安全评估；等级保护2级的发电厂监控系统可自行组织开展上线安全 评估。 4）等级保护3级及以上的发电厂监控系统设计、开发完成后，监控系统安全供应商宜委托专 业评估机构进行安全评估；等级保护2级的发电厂监控系统安全供应商可自行组织开展安 全评估。 b）评估准备工作应符合GB/T37138—2018中6.3.2的规定。 c）现场评估应符合GB/T37138—2018中6.3.3的规定。 d）分析与报告编制应符合GB/T37138一2018中6.3.4的规定
图6发电厂监控系统信息安全评估流程
发电厂监控系统，应针对等级测评、 安全评佰、 监督检查工作中发现的安全问题
DL/T22032020
有计划的建设整改，发电企业应确保发电厂监控系统安全保护能力满足相应等级保护的安全要求；针 对已发现的问题，应及时采取临时防范措施，安全整改阶段包括下列工作流程： a）整改方案制定，应符合GB/T37138—2018中7.2的规定； b）整改实施，应符合GB/T37138一2018中7.3的规定； c）整改验收，应符合GB/T37138一2018中7.4的规定。
有计划的建设整改，发电企业应确保发电厂监控系统安全保护能力满足相应等级保护的安全要求；针 对已发现的问题，应及时采取临时防范措施，安全整改阶段包括下列工作流程： a）整改方案制定，应符合GB/T37138—2018中7.2的规定； b）整改实施，应符合GB/T37138一2018中7.3的规定； c）整改验收，应符合GB/T37138—2018中7.4的规定。
发电厂监控系统退运处理应确保信息转移、设备迁移和介质的清除或销毁等方面的安全，并应满 足下列要求： a）信息转移应符合GB/T37138一2018中8.2的规定； b）设备迁移应符合GB/T37138一2018中8.3的规定； c）存储介质的清除或销毁应符合GB/T37138—2018中8.4的规定。
7.2.1风险评估管理
7.2.1.3应包括下列评估依据：
a）适用的法律、法规； b) 现有国际标准、国家标准、行业标准； c） 行业主管机关的业务系统的要求和制度； d）与信息系统安全保护等级相应的基本要求； e） 被评估发电企业的安全要求； f) 系统自身的实时性或性能要求。 .2.1.41 作为评估工作实施活动总体计划与主要验收依据，风险评估方案应得到评估组织的确认和认 可。风险评估方案应包括下列内容： a） 风险评估工作框架：包括评估目标、评估范围、评估依据。 b) 评估团队组织：包括评估小组成员、组织结构、角色、责任；如有必要，还应包括风险评估领 导小组和专家组组建介绍等。 c) 评估工作计划：包括各阶段工作内容、工作形式、工作成果等。 d）风险规避：包括保密协议、评估工作环境要求、评估方法、工具选择、应急预案等。 e) 时间进度安排：评估工作实施的时间进度安排。
DL/T22032020
f）项目验收方式：包括验收方式、验收依据、验收结论的定义等。 7.2.1.5信息安全风险评估的组织实施应满足以下要求： a）应制订发电厂监控系统及相关信息系统的安全风险评估计划，明确风险评估的对象、内容及评 估流程； b）应按安全风险评估计划在系统上线前或系统维修期间对指定系统实施风险评估，并形成风险评 估报告； c）应将风险评估结果向相关人员通报，并定期对风险评估的结果进行评审； d）当系统或其运行环境发生重大变更（包括发现新的威胁和漏洞），或出现其他可能影响系统安 全状态的条件时，应重新进行风险评估。 7.2.1.6 发电厂监控系统风险评估实施过程宜按照以下三个阶段进行： a）风险评估准备：评估方和被评估方都应做好风险评估实施前的各项准备工作，保障整个风险评 估过程的有效性； b）风险要素分析：应对评估活动中的各类关键要素资产、威胁、脆弱性、安全防护措施进行识别 和赋值； c） 综合分析评价：应根据风险要素评估阶段获得的各类信息进行关联分析，依据资产、威胁、脆 弱性和安全防护措施的风险相关函数，以及GB/T20984一2007中附录A的具体计算方法（定 性计算或定量计算），完成对风险情况的综合分析与评价。 7.2.1.7为实现对风险的控制和管理，发电企业可根据风险等级划分表（表1）对风险评估的结果进行 等级化处理，给出评估结论。被评估方应综合考虑风险控制成本与风险造成的影响，提出可接受的风 险范围。
7.2.2评估机构管理
7.2.2评估机构管理
.2.2.1发电企业应在经过上级主管部门认可或上级行政部门批准的选择范围内，选择有国家主管部门 认可的安全服务资质，且有良好信誉的评估机构，进行信息安全风险评估。 7.2.2.2评估机构的保密要求如下： a）签署保密协议：评估机构人员应按照第三方人员的管理要求签署保密协议； b）等级保护3级及以上的发电厂监控系统适用：应有专人在整个评估过程中监督检查评估机构对 保密协议的执行。 1.2.2.3评估机构信息的管理要求如下： a）规定交接手续：提交涉及评估需要的资料、数据等各种信息，应规定办理交接手续，防止丢失； b）替换敏感参数：提交设计评估需要的资料、数据等各种信息，必要时可以隐藏或替换核心或敏 感的参数：
DL/T 22032020
等级保护3级及以上的发电厂监控系统适用：所有提交涉及评估需要的资料数据等各种信息 只应存放在被评估方指定的计算机内，不应带出指定办公区域。
7.2.3安全技术测试
3.1安全技术测试应包括下列内容： a）在发电厂监控系统上线前、系统维修期间可对发电厂监控系统及其相关应用程序进行脆弱性扫 描分析，标识并报告可影响该系统或应用的新漏洞； b）宜在规定的响应时间内对漏洞进行修复，修复用的补丁应经过充分验证，修复后需重新对发电 厂监控系统进行风险评估； c）应在指定的人员及受限范围内共享脆弱性扫描及安全评估过程中发现的漏洞信息，以便消除其 他同类型发电厂监控系统中的类似漏洞； d）当发现和报告新的漏洞时，应调整已经测试的发电厂监控系统的测试计划； e）发电企业应明确需要保密的发电厂监控系统信息； f）为支持更全面的测试，可对发电厂监控系统的组件赋予特定的访问授权； g）发电企业应进行发电厂监控系统历史审计日志的评审，确定所发现的漏洞/脆弱性是否存在被 利用的可能性； h）等级保护3级及以上的发电厂监控系统适用：应进行发电厂监控系统的脆弱性分析，以确定其 危险性。 3.2技术测试过程管理应满足以下要求： a) 应事先提交测试技术方案，并得到授权方可进行； b) 应在被测试方专人监督下按技术方案进行： c）等级保护3级及以上的发电厂监控系统适用：可采用由被评估方技术人员按技术方案进行操 作，评估机构技术人员进行场外指导的方式进行。
7.2.3.1安全技术测试应包括下列内容！
7.3.1应急管理基本内容
发电企业应建立健全发电厂监控系统信息安全的联合防护和应急机制，制定应急预案；当遭受网络 攻击，生产控制大区的发电厂监控系统出现异常或者故障时，应立即向其上级电力调度机构及当地能源监 管机构报告，并联合采取紧急防护措施，防止事态扩大，同时应当注意保护现场，以便进行调查取证。
7.3.2应急组织体系
7.3.3应急预案管理
发电企业应建立发电厂监控系统安全联络员机制，指定信息安全应急工作联络员，并报上级主
DL/T22032020
联络员和联络方式改变应及时报告上级主管部门；发电企业应建立发电厂监控系统信息安 守机制，加强信息监测、收集与研判，做好信息跟踪报告
7.3.5队伍管理与培训演练
发电企业应组建应急处理图 用多种形式开展培训演练 常态机制；应组织制订演练计划， 演练后及时进行系统重建。
7.3.6物资保障与技术支撑
7.3.8恢复重建与评价
8.1.1信息安全总体设
b）信息安全方针文件应阐明安全工作的使命和意愿，定义信息安全的总体目标，规定信息安全责 任机构和职责，建立安全工作运行模式等。 发电企业应形成发电厂监控系统的安全策略文件，说明安全工作的主要策略，包括安全组织 结构划分策略、业务系统分级策略、数据信息分级分类策略、子系统互联策略、信息流控制策 略等。
B.1.2信息安全管理策略
8.1.3定级备案与测评评估
8.1.3.1发电厂监控系统网络安全等级保护定级应以书面形式说明发电厂监控系统的边界、安全保护等 级及确定等级的方法和理由；定级结果应经过相关部门的批准、备案，见7.1.2；定级备案的时间要求 如下： a) 已运营（运行）等级保护2级及以上的发电厂监控系统，应按照国家及行业有关要求（原则上 在安全保护等级确定后30日内），由其运行单位到公安机关办理备案手续； 6） 新建等级保护2级及以上的发电厂监控系统，应按照国家及行业有关要求（原则上在系统投入 运行后30日内），由其运行单位到公安机关办理备案手续。 8.1.3.2 发电厂监控系统网络安全等级测评与安全评估的过程和步骤见7.1.3、7.1.4，其他相关要求 如下：
DL/T22032020
a）发电企业应按照国家及行业有关要求对已经完成等级保护建设的发电厂监控系统进行等级测评 和安全评估，并定期组织开展监控系统网络与信息安全自查工作，对未达到安全保护等级要求 的，应制定方案进行整改； 6）发电厂监控系统信息安全等级测评宜与发电厂监控系统信息安全评估同步进行，一次测评分别 出具等级保护测评报告及发电厂监控系统信息安全评估报告； c）发电厂监控系统在发生重大变更或级别发生变化时应进行等级测评； d）应确保测评机构的选择符合国家的有关规定。
8.1.4 安全管理规章制虑
DL/T22032020
8.2.1岗位设置与人员配备
岗位设置与人员配备应满足以下要求： a）应设立信息安全职能机构或部门，配备安全管理人员，负责本发电企业信息系统安全的具体工 作，指导相关业务部门实施发电厂监控系统信息安全的集中控制管理； b）应设立信息安全集中管理机制，对安全管理员、系统管理员（含数据库管理员、网络管理 员）、重要业务开发人员、重要业务应用操作人员等信息系统关键岗位人员进行统一管理； c）等级保护3级及以上的发电厂监控系统适用：设立安全审计员岗位，审计与管理员不应 兼任。
授权和审批应满足以下要求： a）应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人； b）应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序； c）等级保护3级及以上的发电厂监控系统适用：按照审批程序执行审批过程，对重要过程建立逐 级审批制度； d）等级保护3级及以上的发电厂监控系统适用：应定期审查审批事项，及时更新需授权和审批的 项目、审批部门和审批人等信息。
审核和检查应满足以下要求： a）应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况： b） 等级保护3级及以上的发电厂监控系统适用：应定期进行全面安全检查，检查内容包括现有安 全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等； 等级保护3级及以上的发电厂监控系统适用：应制定安全检查表格实施安全检查，汇总安全检 查数据，形成安全检查报告，并对安全检查结果进行通报，
8.2.5人员出入与变动
3.2.5.1人员录用应满足以下要求： a）应指定或授权专门的部门或人员负责人员录用； b）对被录用人员身份、背景、专业资格和资质等进行审查； c）等级保护3级及以上的发电厂监控系统适用：对被录用人员所具有的技术技能进行考核： d）等级保护3级及以上的发电厂监控系统适用：应与被录用人员签署保密协议TCMSA 0001-2016 气象旅游资源分类与编码，与关键岗位人员
签署岗位责任协议。 8.2.5.2人员离岗应满足以下要求： a) 应及时终止离岗员工的所有访问权限，取回各种身份证件、徽章，以及机构提供的软、硬件 设备； b） 管理层和信息系统关键岗位人员离岗，应经单位人事部门严格办理调离手续，承诺其调离后的 保密要求； c） 等级保护3级及以上的发电厂监控系统适用：管理层和信息系统关键岗位人员离岗，应进行离 岗安全审查，在规定的脱密期限后，方可调离。 8.2.5.3应在人员调动至其他岗位时，评审该人员对发电厂监控系统的逻辑和物理访问权限，并根据评 审结果调整访问权限。 8.2.5.4人员考核与审查应满足以下要求： a) 应定期对各个岗位的人员进行不同侧重点的安全认知和安全技能的考核，作为人员是否适合当 前岗位的参考； b） 应定期对关键岗位人员的工作进行审查，如发现其违反安全规定，应控制其使用； c）等级保护3级及以上的发电厂监控系统适用：对关键岗位人员的工作，应通过例行考核进行审 查，保证安全管理的有效性，并保留审查结果。
8.2.5.4人员考核与审查应满足以下要求
8.2.6安全教育和培训
信息安全教育包括信息安全意识的培养教育和安全技术培训，应满足以下要求： a）应让信息系统相关员工明晰信息的敏感性和信息安全的重要性，认识其自身的责任和安全违例 的后果，以及应掌握的信息安全基本知识和技能等； b）应制订并实施安全教育和培训计划，培养信息系统各类人员安全意识，并提供对安全政策和操 作规程的认识教育和训练等； C 等级保护3级及以上的发电厂监控系统适用：针对不同岗位，制订不同的专业培养计划，包括 安全知识、安全技术、安全标准、安全要求、法律责任和业务控制措施等； d）等级保护3级及以上的发电厂监控系统适用：应定期对不同岗位的人员进行技能考核
DB13T 1406-2011 梨大树高接换优技术规程8.2.7第三方人员安全管理