電力行業(yè)網(wǎng)絡(luò)與信息安全檢查方案

1、knowledge is obtained from hard work, and any achievement is the result of hard work.簡單易用輕享辦公（頁眉可刪）電力行業(yè)網(wǎng)絡(luò)與信息安全檢查方案 為貫徹落實國務(wù)院辦公廳關(guān)于開展重點領(lǐng)域網(wǎng)絡(luò)與信息安全檢查行動的通知（國辦函2012102號）要求，結(jié)合電力行業(yè)信息安全工作實際，制定電力行業(yè)網(wǎng)絡(luò)與信息安全檢查方案。一、檢查依據(jù)1. 國務(wù)院辦公廳關(guān)于開展重點領(lǐng)域網(wǎng)絡(luò)與信息安全檢查行動的通知（國辦函2012102號）；2. 電力行業(yè)網(wǎng)絡(luò)與信息安全監(jiān)督管理暫行規(guī)定（電監(jiān)信息200750號）。3. 電力二次系統(tǒng)安全防護規(guī)定（

2、電監(jiān)會5號令）。二、檢查目的通過開展電力行業(yè)網(wǎng)絡(luò)與信息安全檢查，全面掌握重要電力網(wǎng)絡(luò)與信息系統(tǒng)基本情況，分析面臨的安全威脅和風(fēng)險，評估安全防護水平，查找突出問題和薄弱環(huán)節(jié)，有針對性地采取防范對策和改進措施，加強網(wǎng)絡(luò)與信息系統(tǒng)安全管理、技術(shù)防護和人才隊伍建設(shè)，促進安全防護能力和水平提升，預(yù)防和減少重大信息安全事件的發(fā)生，切實保障電力網(wǎng)絡(luò)與信息系統(tǒng)安全，維護電力系統(tǒng)安全穩(wěn)定運行，保障黨的十八大順利召開。三、檢查范圍各電力企業(yè)運行使用的網(wǎng)絡(luò)和信息系統(tǒng)，重點檢查信息安全保護等級為3級及以上的重要網(wǎng)絡(luò)與信息系統(tǒng)。四、檢查方式本次檢查按照“誰主管誰負責(zé)、誰運行誰負責(zé)”的原則，采用電力企業(yè)自查、電監(jiān)會派出機

3、構(gòu)對轄區(qū)內(nèi)電力企業(yè)自查情況、自查質(zhì)量進行跟蹤檢查和電監(jiān)會組織專門隊伍同時進行抽查相結(jié)合的方式。五、檢查內(nèi)容本次信息安全檢查主要分基本情況調(diào)查、安全防護情況檢查和問題及風(fēng)險分析三個方面。（一）網(wǎng)絡(luò)與信息系統(tǒng)基本情況調(diào)查。主要調(diào)查系統(tǒng)特征，包括系統(tǒng)停止運行后對主要業(yè)務(wù)的影響程度，系統(tǒng)遭到攻擊破壞后對社會公眾的影響程度等；系統(tǒng)構(gòu)成，包括主要軟硬件設(shè)備的類型、數(shù)量、生產(chǎn)商等；信息技術(shù)外包服務(wù)，包括服務(wù)類型、服務(wù)提供商、服務(wù)方式、安全保密協(xié)議等。各單位要在全面調(diào)查的基礎(chǔ)上，匯總填寫電力行業(yè)信息安全檢查情況報告表（見附件1）。（二）安全防護情況檢查。各單位主要從以下15個方面對本單位信息安全防護情況進行重

4、點檢查，并在認真檢查的基礎(chǔ)上，如實填寫電力企業(yè)信息安全檢查表（2012版）（見附件2）。1. 組織體系建設(shè)情況。信息安全組織機構(gòu)建立情況；第一責(zé)任人確立情況；責(zé)任落實情況；專職機構(gòu)及崗位設(shè)置情況；安全人員配置情況等。2. 規(guī)章制度建立情況。整體策略及總體規(guī)劃（方案）制定情況；管理制度制定情況及制度體系完整性；操作規(guī)程制定情況；制度發(fā)布情況等。3. 資金保障情況。經(jīng)費預(yù)算情況；安全運維經(jīng)費投入情況；安全建設(shè)經(jīng)費投入情況等。4. 人員安全管理情況。全員安全培訓(xùn)及保密協(xié)議簽訂情況；專業(yè)技能培訓(xùn)情況；崗位人員審查情況；崗位調(diào)整安全管控情況等。5. 服務(wù)外包管控情況。外包服務(wù)協(xié)議簽訂情況；第三方人員訪問

5、管理情況；遠程服務(wù)管控情況；現(xiàn)場開發(fā)管控情況等。6. 關(guān)鍵信息資產(chǎn)管控情況。資產(chǎn)清單的建立情況；資產(chǎn)管理職責(zé)的落實情況；信息系統(tǒng)基礎(chǔ)資料歸檔情況等。7. 信息系統(tǒng)建設(shè)安全管理情況。系統(tǒng)上線安全測評情況；等級保護建設(shè)情況；等級保護測評情況；信息安全風(fēng)險評估開展情況；密碼產(chǎn)品采購情況；信息產(chǎn)品采購測試情況；安全產(chǎn)品國產(chǎn)化情況等。8. 安全分區(qū)防御情況。安全分區(qū)情況；橫向隔離及縱向認證設(shè)備部署情況；跨區(qū)連接管控情況；內(nèi)外網(wǎng)隔離情況等。9. 網(wǎng)絡(luò)安全防護情況。生產(chǎn)控制大區(qū)安全防護情況；管理信息大區(qū)安全防護情況；互聯(lián)網(wǎng)出口統(tǒng)一管理情況；互聯(lián)網(wǎng)出口安全管控情況；無線網(wǎng)絡(luò)安全防護情況等。10. 主機和設(shè)備安

6、全防護情況。補丁更新管理情況；惡意代碼防護情況；系統(tǒng)加固情況；辦公終端管控情況；主機和設(shè)備帳號口令管理情況等。11. 應(yīng)用系統(tǒng)和數(shù)據(jù)安全防護情況。應(yīng)用系統(tǒng)安全功能及配置情況；對外服務(wù)系統(tǒng)信息監(jiān)控和攻擊防御情況；對外服務(wù)系統(tǒng)周期測試情況；應(yīng)用系統(tǒng)賬號口令管理情況；重要數(shù)據(jù)安全保護情況等。12. 物理環(huán)境安全防護情況。機房安全建設(shè)情況等。13. 信息系統(tǒng)運行安全管理情況。日常維護情況；安全審計情況；補丁管理情況；介質(zhì)管理情況；安全監(jiān)測情況等。14. 災(zāi)難恢復(fù)情況。硬件冗余情況；定期備份情況；異地容災(zāi)中心建設(shè)情況；備份介質(zhì)恢復(fù)測試情況等。15. 應(yīng)急管理情況。網(wǎng)絡(luò)與信息安全信息通報情況；總體應(yīng)急預(yù)案

7、制定情況；重要信息系統(tǒng)應(yīng)急預(yù)案制定情況；應(yīng)急演練開展情況；應(yīng)急資源配備情況；事故調(diào)查工作情況等。（三）存在的問題和面臨的風(fēng)險分析。在完成基本情況調(diào)查和安全防護情況檢查的基礎(chǔ)上，各單位要圍繞著以下三個方面對存在的問題和面臨的主要風(fēng)險進行分析。1.當前安全管理和技術(shù)防護中的主要問題及薄弱環(huán)節(jié)，制定安全防護能力提高的主要因素（包括法律法規(guī)、政策制度、技術(shù)手段等方面）。2. 統(tǒng)計國外產(chǎn)品和服務(wù)在主要軟硬件設(shè)備和信息技術(shù)外包服務(wù)中所占的比例，分析網(wǎng)絡(luò)與信息系統(tǒng)對國外產(chǎn)品和服務(wù)的依賴程度。3. 根據(jù)安全檢測發(fā)現(xiàn)的漏洞和隱患，分析網(wǎng)絡(luò)與信息系統(tǒng)存在的安全風(fēng)險，判斷面臨的安全威脅程度以及具備的安全防護能力，評

8、估網(wǎng)絡(luò)與信息系統(tǒng)總體安全狀況。六、檢查組織1. 電監(jiān)會統(tǒng)一組織本次信息安全檢查工作，電力行業(yè)網(wǎng)絡(luò)與信息安全領(lǐng)導(dǎo)小組辦公室負責(zé)信息安全檢查的日常工作。電監(jiān)會各派出機構(gòu)根據(jù)電監(jiān)會的統(tǒng)一部署，負責(zé)轄區(qū)內(nèi)電力企業(yè)信息安全自查督導(dǎo)和監(jiān)督檢查工作。2. 各電力（集團）公司負責(zé)組織開展本單位及其下屬單位的信息安全檢查工作。七、進度安排1. 7月16日7月20日，動員部署階段印發(fā)關(guān)于開展電力行業(yè)網(wǎng)絡(luò)與信息安全檢查行動的通知和電力行業(yè)網(wǎng)絡(luò)與信息安全檢查方案，召開會議進行動員部署。2. 7月21日8月31日，實施階段8月22日前，各單位完成本單位的信息安全自查工作，編寫自查報告，制定整改方案。8月31日前，完成整

9、改工作。電力（集團）公司應(yīng)匯總填寫本系統(tǒng)電力行業(yè)信息安全檢查情況報告表和電力企業(yè)信息安全檢查項目表（2012版），并和自查整改情況報告一起報送電監(jiān)會。對于無法及時完成整改的隱患項目，有關(guān)電力企業(yè)要說明原因，制定臨時應(yīng)急措施，并將情況說明按時報電監(jiān)會。檢查期間，電監(jiān)會將組織若干專業(yè)小組對各單位進行抽查。抽查有關(guān)事項，電監(jiān)會將于行前通知。3. 9月1日9月15日，總結(jié)階段電監(jiān)會對檢查工作情況進行匯總和全面總結(jié)，形成電力企業(yè)信息安全檢查報告并報國家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組辦公室。八、工作要求1. 各單位要高度重視，加強組織領(lǐng)導(dǎo)，制定檢查方案，明確檢查任務(wù)，落實檢查責(zé)任，及時整改檢查中發(fā)現(xiàn)的問題，并將檢查整改情況按時報電監(jiān)會。2. 各單位要精心部署，周密安排，認真組織。對于發(fā)現(xiàn)的問題，要找出原因，并舉一反三，持續(xù)改進。各單位要建立檢查整改跟蹤督辦機制，力求使安全隱患都得到整改和妥善處置。3. 安全檢查工作對象是各單位的重要系統(tǒng)、重要數(shù)據(jù)和敏感信息等資產(chǎn)，需要高度重視檢查工作存在的風(fēng)險，制定周密的應(yīng)急防范措施，