电力系统风险评估实施方案

电力系统风险评估实施方案**公司年 月1概述风险评估工作依据《信息安全等级保护基本要求》，对信息系统进行等保测评。测评工作按照测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动四个阶段开展各项工作，详细分析现场收集的测评记录，从安全控制点间、层面间、区域间、系统结构等进行整体测评。针对被测评系统“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他测评项能否和它发生关联关系，关联关系的作用是抵消、削弱、没有影响、增强或补充等。最后，根据整体测评结果编写、提交信息系统风险评估报告，并针对各信息系统安全提供相应的整改工作建议。1.1工作原则等保测评与风险评估工作中严格遵循以下原则：（1）管理与技术兼顾原则。在组织机构、规章制度等管理运维保障的基础上，采用多种技术保障措施提高信息系统安全水平。（2）内、外网渗透相结合的原则。采取外网白客渗透和内网渗透方式评估网络与信息系统防御外网一般性黑客攻击和内部用户恶意攻击的能力，同时评估信息内网、信息外网隔离的强度和效果，以及隔离前后安全效果对比。（3）规范性原则。遵循《GB/T25058-2010信息安全技术信息系统安全等级保护实施指南》、《信息系统安全风险评估过程指南》、《信息系统安全风险评估准则》等有关安全 标准 excel标准偏差excel标准偏差函数exl标准差函数国标检验抽样标准表免费下载红头文件格式标准下载 ，规范工作过程和文档。（4）可控性原则。所使用的工具、方法和过程要在双方认可的范围之内。（5）保密性原则。在工作过程中对涉及的各类数据严格保密，在保障工作结束后不可将工作中的数据用于任何有损被评估单位利益的用途，双方签署保密协议。（6）客观性和公正性原则。测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。1.2参考标准《电力监控系统安全防护规定》（发改委[2014]14号令）《国家能源局关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的 通知 关于发布提成方案的通知关于xx通知关于成立公司筹建组的通知关于红头文件的使用公开通知关于计发全勤奖的通知 》（国能安全[2015]36号令）《电力行业信息系统安全等级保护基本要求》《信息安全等级保护管理办法》(公通字[2007]43号)《信息安全技术信息系统安全等级保护基本要求》GB/T22239-2008《信息安全技术信息系统安全等级保护定级指南》GB/T22240-2008《信息安全技术信息系统安全等级保护实施指南》GB/T25058-2010《信息安全技术信息安全风险评估规范》GB/T20984-2007《信息安全技术信息系统安全风险评估要求》GB/T28448-2012《信息安全技术信息系统安全风险评估过程指南》GB/T28449-20121.3工作流程等保测评过程共分为测评准备、方案编制、现场测评、分析及报告编制四个阶段，测评流程如下图所示：（1）实施准备项目组通过电话、发放调研表等形式进行了详细调研，双方明确了此次工作的任务与 计划 项目进度计划表范例计划下载计划下载计划下载课程教学计划下载 ，签署了项目的《保密协议》，项目组掌握了被测系统的基本情况，填写了基本情况调查表。（2）方案编制项目组对测评对象与测评指标进行了确定与识别，项目组成员结合调研测评对象情况开发编制了符合本次项目的《测评指导书》和《测评方案》。方案编制工作的主要任务包括：测评对象确定、测评指标确定、测试工具接入点确定、测评内容确定、测评指导书开发及测评方案编制。（3）现场实施项目组与被测单位召开了现场测评首次会，双方就测评方案达成一致，明确现场测评计划和配合人员，确认被测系统备份情况、查看应急预案并进行风险告知。项目组正式入场开始测评工作，完成了现场测评工作。针对不同测评内容，测评项目组分物理组、网络组、主机组、应用组和管理组，分组并行实施现场测评，并对每个测评对象的结果记录与被测单位进行了结果确认，获取足够的测评证据。项目组与被测单位召开了现场测评结束会，归还借阅的文档资料。现场测评活动的主要任务包括：现场测评准备、现场测评和结果记录、等级保护现场测评问题分析及解决方案、结果确认和资料归还。（4）报告编制测评人员对现场测评获得的测评证据和资料进行了分析，判定了单项测评结果及单元测评结果，进行了整体测评分析和风险分析，最终形成了《等级测评报告》。分析与报告编制工作的主要任务包括：单项测评结果判断、单元测评结果判定、整体测评、风险分析、等级测评结论形成及测评报告编制。1.4安全管理为做好全过程的安全保密工作，在测评工作前、中、后三个阶段都要做好安全保密工作。测评前：（1）对评估人员要进行安全保密教育，制定安全保密措施；（2）办理各电厂和梯调入场检测手续，（乙方提交测评人员身份证、本单位保密协议，测评师证书）（3）测评前测评交底和技术交流。（4）提交预准备资料。测评中：（1）对被评估单位的性质、网络与系统、应用与服务、资料与数据、人员与管理等方面的信息进行严格的安全保密管理；（2）评估工具应经过严格测试和检验，确保不对被评估系统造成损失，工作结束后不驻留任何程序；（3）对被评估单位的信息资产、发现的脆弱性和发生过的安全事件等威胁情况要控制知情范围；（4）对评估设备、介质进行严格的保密管理；（5）工作过程中对人员要实施封闭式集中管理；（6）对进场人员遵守被评估单位的相关管理规定。测评后：（1）认真清退各种文档、资料和数据并予以销毁，确保工作过程中敏感数据不被泄漏；（2）现场工作结束后，按被评估方要求及时还原生产系统，确保系统中不遗留任何代码或可执行程序；（3）在其他风险评估任务或宣传材料中不涉及被评估单位的秘密、敏感情况。1.5风险规避（1）测评时间选择执行漏洞扫描、各种自动化工具扫描需要避开业务的高峰时段，从而减少对业务的影响。（2）扫描预测试在可能的情况下，对扫描对象进行预评估，或在主备环境中先测试备机。评估方式上采用分类扫描和单台扫描。对不同的评估对象执行不同的扫描策略。（3）减缓扫描速度通过减少并发线程来降低被扫描设备所承受的压力，在几次测试后得出适中的并发线程及扫描方式。（4）优化扫描策略分类扫描:对不同的主机和设备类型执行不同的扫描会话，从而减少不必要的脆弱项目测试。针对扫描对象细化扫描策略：对不同类型的主机或设备，需要根据其上不同的应用和服务情况，有针对性地定制扫描策略选项。（5）数据备份与恢复对业务系统和数据库主机，应对其上数据进行备份，防止评估过程中对设备与主机的损伤影响业务系统的正常运行。（6）厂商协作厂商需要提供各应用系统的名称、版本、协议、开发语言、进程名和相应的端口号等信息，在评估之前，由三方共同分析评估对业务可能造成的风险，分析可能存在的问题。在评估过程中尽量规避这些风险。1.6实施内容序号信息系统名称简要说明所属单位信息安全等级1监控系统监控系统采用开放式分层分布系统，全分布数据库。全厂数据库和历史数据库分布在各计算机中，各单元数据库分布在各个LCU中，系统各功能分布在系统的各个节点上，每个节点严格执行指定的任务和通过系统网络与其它节点进行通信。31.7配合需求资料：●网络拓扑图、资产清单（网络设备、安全设备、服务器、数据库等）、设备台账，网络设备资产清单应包括设备型号、IP地址，主机资产清单应包括主机名称、用途、系统版本类型、IP地址等信息，拓扑图应是反映系统当前实际状态的最新拓扑；●现有安全措施以及安全设备的配置文档、网络配置文档、系统配置文档；●被测评业务系统设计手册（系统包括安全设计）、使用手册、业务流程；●信息安全总体策略、方针和战略规划，各种信息安全 管理制度 档案管理制度下载食品安全管理制度下载三类维修管理制度下载财务管理制度免费下载安全设施管理制度下载 、规定、记录表单等（包括但不限于总体安全防护方针、方案，机房管理制度、系统建设运维管理制度、网络安全管理制度、计算机管理办法、人员管理制度、介质管理、保密管理、操作行为或流程管理制度、应急预案、演练记录、培训管理办法或培训记录等）。人员配合●信息安全管理人员，信息安全主管部门领导和员工；●网络、系统、数据库管理员；●相关业务系统开发人员和用户等，业务相关部门人员。环境●办公场地；●网络测试接入点。2工作内容2.1项目进度计划时间根据 合同 劳动合同范本免费下载装修合同范本免费下载租赁合同免费下载房屋买卖合同下载劳务合同范本下载 签订时间进行微调。序号所属单位信息系统名称计划测评时间12.2测评方法测评方法包括访谈、检查和测试三种方法，可细化为文档审查、配置检查、工具测试和实地察看等多种方法。各详细测评指标和项目见EIIS附件。2.2.1技术符合性评估      技术符合性评估主要针对物理安全、网络安全、主机安全、应用安全、数据安全等根据等保要求进行符合性评估。主要方式有：访谈、查看（检查）、测试（人工审计、人工操作测试、工具测试、渗透测试）2.2.2管理符合性评估管理制度符合性评估以访谈和查看为主，主要查阅相关的安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等安全相关制度。2.3测评内容2.3.1物理安全物理安全测评将通过访谈和检查的方式测评信息系统的物理安全保障情况。主要涉及对象为系统的机房。在内容上，物理安全层面测评实施过程涉及10个工作单元，具体如下表：序号工作单元名称工作单元描述1物理位置的选择通过访谈物理安全负责人，测评主机房和辅机房等信息系统物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。2物理访问控制通过访谈物理安全负责人，检查主机房出入口、机房分区域情况等过程，测评信息系统在物理访问控制方面的安全防范能力。3防盗窃和防破坏通过访谈物理安全负责人，检查主机房主要设备、介质和防盗报警系统等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。4防雷击通过访谈物理安全负责人，检查机房设计/验收文档，测评信息系统是否采取相应的措施预防雷击。5防火通过访谈物理安全负责人，检查机房设计/验收文档，检查机房防火设备等过程，测评信息系统是否采取必要的措施防止火灾的发生。6防水和防潮通过访谈物理安全负责人，检查主机房和除潮设备等过程，测评信息系统是否采取必要措施来防止水灾和机房潮湿。7防静电通过访谈物理安全负责人，检查主机房等过程，测评信息系统是否采取必要措施防止静电的产生。8温湿度控制通过访谈物理安全负责人，检查主机房恒温恒湿系统，测评信息系统是否采取必要措施对机房内的温湿度进行控制。9电力供应通过访谈物理安全负责人，检查主机房供电线路、设备等过程，测评信息系统是否具备提供一定的电力供应的能力。10电磁防护通过访谈物理安全负责人，检查主要设备等过程，测评信息系统是否具备一定的电磁防护能力。2.3.2网络安全网络安全测评将通过访谈、检查和测试的方式测评信息系统的网络安全保障情况。主要涉及对象为网络互联设备、网络安全设备以及网络拓扑结构等三大类对象。在内容上，网络安全层面测评实施过程涉及8个工作单元，具体如下表：序号工作单元名称工作单元描述1网络结构安全与网段划分通过访谈网络管理员，检查网络拓扑情况、抽查核心交换机等网络互联设备，测试系统访问路径和网络带宽分配情况等过程，测评分析网络架构与网段划分、隔离等情况的合理性和有效性。2网络访问控制通过访谈安全员，检查防火墙等网络访问控制设备，测试系统对外暴露安全漏洞情况等过程，测评分析信息系统对网络区域边界相关的网络隔离与访问控制能力。3拨号访问控制不适用4网络安全审计通过访谈审计员，检查核心交换机等网络互联设备的安全审计情况等，测评分析信息系统审计配置和审计记录保护情况。5边界完整性检查通过访谈安全员，检查边界完整性检查设备,接入边界完整性检查设备进行测试等过程，测评分析信息系统私自联到外部网络的行为。6网络入侵防范通过访谈安全员，检查网络边界处的入侵检查设备等，测评分析信息系统对攻击行为的识别和处理情况。7恶意代码防范通过访谈安全员，检查网络防恶意代码产品等，测评分析信息系统网络边界和交易网段对病毒等恶意代码的防护情况。8网络设备防护通过访谈网络管理员，检查核心交换机等网络设备，防火墙等网络安全设备，查看它们的安全配置情况，包括身份鉴别、权限分离、登录失败处理、限制非法登录和登录连接超时等，考察网络设备自身的安全防范情况。2.3.3主机系统安全主机系统安全测评将通过访谈、检查和测试的方式测评信息系统的主机系统安全保障情况。在内容上，主机系统安全层面测评实施过程涉及9个工作单元，具体如下表：序号工作单元名称工作单元描述1身份鉴别检查信息系统各主机的身份标识与鉴别和用户登录的配置情况。2自主访问控制检查信息系统各主机的自主访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。3强制访问控制检查信息系统各主机是否具有强制访问控制相关安全测试报告；访谈信息系统各主机中的用户管理情况。4安全审计检查信息系统各主机的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。5系统保护检查信息系统各主机在运行中的系统保护能力；检查是否提供手动或者自动恢复运行的功能。6剩余信息保护检查信息系统各主机的剩余信息保护情况，如将用户鉴别信息以及文件、目录和数据库记录等资源所在的存储空间再分配时的处理情况。7入侵防范检查信息系统各主机的自我监控能力；检查操作系统对入侵的防范情况。8恶意代码防范检查信息系统各主机的恶意代码防范情况。9系统资源控制检查信息系统各主机的系统资源控制情况，如会话限定、用户登录限制、最大并发连接以及服务优先级设置等。2.3.4应用安全应用安全测评将通过访谈、检查和测试的方式测评信息系统的应用安全保障情况。在内容上，应用安全层面测评实施过程涉及10个工作单元，具体如下表：序号工作单元名称工作单元描述1身份鉴别检查应用系统的身份标识与鉴别功能设置和使用配置情况；检查应用系统对用户登录各种情况的处理，如登录失败处理、登录连接超时等。2访问控制检查应用系统的访问控制功能设置情况，如访问控制的策略、访问控制粒度、权限设置情况等。3安全审计检查应用系统的安全审计配置情况，如覆盖范围、记录的项目和内容等；检查应用系统安全审计进程和记录的保护情况。4剩余信息保护检查应用系统的剩余信息保护情况，如将用户鉴别信息以及文件、目录和数据库记录等资源所在的存储空间再分配时的处理情况。5通信完整性检查应用系统客户端和服务器端之间的通信完整性保护情况。6通信保密性测试分析应用系统客户端和服务器端之间的通信保密性保护情况。7抗抵赖检查应用系统对原发方和接收方的抗抵赖实现情况。8软件容错检查应用系统的软件容错能力，如输入输出格式检查、自我状态监控、自我保护、回退等能力。9资源控制检查应用系统的资源控制情况，如会话限定、用户登录限制、最大并发连接以及服务优先级设置等。10代码安全检查应用系统的代码安全情况，包括编写规范性、是否隐藏恶意代码和存在脆弱性等情况。2.3.5数据安全数据安全测评将通过访谈和检查的方式测评信息系统的数据安全保障情况。主要涉及对象为各种系统数据和业务数据等。本次测评重点检查系统的数据在采集、传输、处理和存储过程中的安全。在内容上，数据安全层面测评实施过程涉及3个工作单元，具体如下表：序号工作单元名称工作单元描述1数据完整性检查系统的操作系统、数据库管理系统和网络设备的管理数据、鉴别信息和用户数据在传输和保存过程中的完整性保护情况。2数据保密性检查系统的操作系统和数据库管理系统的管理数据、鉴别信息和用户数据在传输和保存过程中的保密性保护情况。3安全备份检查系统的安全备份情况，如重要信息的备份（包括本地备份和异地备份）、硬件冗余以及应用系统的热备等。2.3.6安全管理机构安全管理机构测评将通过访谈和检查的形式测评安全管理机构的组成情况和机构工作组织情况。主要涉及安全主管人员、安全管理人员、相关的文件资料和工作记录等对象。在内容上，安全管理机构测评实施过程涉及5个工作单元，具体如下表：序号工作单元名称工作单元描述1岗位设置通过访谈安全主管，检查部门/岗位职责文件，测评委托单位的安全主管部门设置情况以及各岗位设置情况。2人员配备通过访谈安全主管，检查人员名单等文档，测评委托单位各个岗位人员配备情况以及关键岗位的轮岗情况。3授权和审批通过访谈安全主管，检查相关文档，测评委托单位对重要活动的授权和审批情况。4沟通与合作通过访谈安全主管，检查相关文档，测评委托单位对内部部门、外部单位间的沟通与合作情况。5审核与检查通过访谈安全主管，检查相关制度文档和管理要求文档等过程，测评委托单位对安全工作的审核和检查情况。2.3.7安全管理制度安全管理制度测评将通过访谈和检查的形式测评安全管理制度的制定、发布、完备和适用等情况。主要涉及安全主管人员、安全管理人员、各类其它人员、各类管理制度、各类操作规程文件等对象。在内容上，安全管理制度测评实施过程涉及3个工作单元，具体如下表：序号工作单元名称工作单元描述1管理制度通过访谈安全主管，检查有关管理制度体系文档等过程，测评管理制度体系在内容覆盖上是否全面、完善。2制定与发布通过访谈安全主管，检查有关制度制定要求文档等过程，测评管理制度的制定和发布过程是否遵循一定的流程。3评审和修订通过访谈安全主管，检查管理制度评审记录等过程，测评管理制度定期评审和修订情况。2.3.8人员安全管理人员安全管理测评将通过访谈和检查的形式测评机构人员安全控制方面的情况。主要涉及安全主管人员、人事管理人员、相关管理制度、相关工作记录等对象。在内容上，人员安全管理测评实施过程涉及5个工作单元，具体如下表：序号工作单元名称工作单元描述1人员录用通过访谈人事负责人，检查人员录用文档等过程，测评委托单位在录用人员时是否对人员提出要求以及是否对其进行各种审查和考核。2人员离岗通过访谈人事负责人，检查人员离岗要求文档等过程，测评委托单位在人员离岗时是否按照一定的手续办理。3人员考核通过访谈安全主管，检查有关考核记录等过程，测评委托单位是否对人员进行日常的业务考核和工作审查。4安全意识教育和培训通过访谈安全主管，检查培训计划和执行记录等文档，测评委托单位是否对人员进行安全方面的教育和培训。5第三方人员访问管理通过访谈安全主管，检查有关文档等过程，测评委托单位对第三方人员访问（物理、逻辑）系统是否采取必要控制措施。2.3.9系统建设管理系统建设管理测评将通过访谈和检查的形式测评系统建设管理过程中的安全控制情况。主要涉及安全主管人员、系统建设负责人、各类管理制度、操作规程文件、执行过程记录等对象。在内容上，系统建设管理测评实施过程涉及9个工作单元，具体如下表：序号工作单元名称工作单元描述1系统定级通过访谈安全主管，检查系统定级相关文档等过程，测评系统是否按照一定要求确定其等级。2安全方案设计通过访谈系统建设负责人，检查系统安全建设计划等文档，测评委托单位对系统整体的安全规划设计是否按照一定流程进行。3产品采购通过访谈安全主管、系统建设负责人，检查相关采购制度等过程，测评委托单位是否按照一定的要求进行系统的产品采购。4自行软件开发通过访谈系统建设负责人，检查相关软件开发文档和管理制度文档，测评委托单位对自行开发的软件是否采取必要的措施保证开发过程的安全性。5外包软件开发通过访谈系统建设负责人，检查相关文档，测评委托单位对外包开发的软件是否采取必要的措施保证开发过程和日后的维护工作能够正常开展。6工程实施通过访谈系统建设负责人，检查相关制度文档和实施文档，测评委托单位对系统建设的实施过程是否采取必要的措施使其在机构可控的范围内进行。7测试验收通过访谈系统建设负责人，检查相关制度文档和测试验收文档，测评委托单位在系统运行前是否对其进行测试验收工作。8系统交付通过访谈系统运维负责人，检查系统交付清单和系统交付管理制度等过程，测评委托单位是否采取必要的措施对系统交付过程进行有效控制。9安全服务商选择通过访谈系统运维负责人，测评委托单位是否选择符合国家有关规定的安全服务单位进行相关的安全服务工作。2.3.10系统运维管理系统运维管理测评将通过访谈和检查的形式测评系统运维管理过程中的安全控制情况。主要涉及安全主管人员、安全管理人员、各类运维人员、各类管理制度、操作规程文件、执行过程记录等对象。在内容上，系统运维管理测评实施过程涉及13个工作单元，具体如下表：序号工作单元名称工作单元描述1环境管理通过访谈物理安全负责人，检查主机房安全管理制度和办公环境管理文档等过程，测评委托单位是否采取必要的措施对主机房的出入控制和办公环境的人员行为等方面进行安全管理。2资产管理通过访谈资产管理员，检查资产清单和系统、网络设备等过程，测评委托单位是否采取必要的措施对信息系统资产进行分类标识管理。3介质管理通过访谈资产管理员，检查介质管理记录、介质安全管理制度以及各类介质等过程，测评委托单位是否采取必要的措施对介质存放环境、使用、维护和销毁等方面进行管理。4设备管理通过访谈资产管理员、系统管理员，检查设备使用管理文档和设备操作规程等过程，测评委托单位是否采取必要的措施确保设备在使用、维护和销毁等过程安全。5监控管理通过访谈系统运维负责人，检查监控记录文档等过程，测评委托单位是否采取必要的措施对重要主机的运行和访问权限进行监控管理。6系统安全管理通过访谈安全主管、系统管理员，检查系统安全管理制度、系统审计日志和系统漏洞扫描报告等过程，测评委托单位是否采取必要的措施对系统的安全配置、系统账户、漏洞扫描和审计日志等方面进行有效的管理。7网络安全管理通过访谈安全主管、网络管理员，检查网络安全管理制度、网络审计日志和网络漏洞扫描报告等过程，测评委托单位是否采取必要的措施对网络的安全配置、网络用户权限和审计日志等方面进行有效的管理，确保网络安全运行。8恶意代码防护管理通过访谈系统运维负责人，检查恶意代码防范管理制度和恶意代码检测、分析记录等过程，测评委托单位是否采取必要的措施对恶意代码进行集中管理，确保系统具有恶意代码防范能力。9密码管理通过访谈安全员，检查密码管理制度等过程，测评委托单位是否能够确保信息系统中密码算法和密钥的使用符合国家密码管理规定。10变更管理通过访谈系统运维负责人，检查变更方案和变更管理制度等过程，测评委托单位是否采取必要的措施对系统发生的变更进行有效管理。11备份和恢复管理通过访谈系统管理员、网络管理员，检查系统备份管理文档和记录等过程，测评委托单位是否采取必要的措施对数据、设备和系统进行备份，并确保必要时能够对系统进行有效地恢复。12安全事件处置通过访谈系统运维负责人，检查安全事件记录分析文档、安全事件报告和处置管理制度等过程，测评委托单位是否采取必要的措施对安全事件进行等级划分和对安全事件的报告、处理过程进行有效的管理。13应急预案管理通过访谈系统运维负责人，检查应急响应预案文档，应急预案培训记录等过程，测评委托单位是否针对不同安全事件制定相应的应急预案，是否对应急预案展开培训、演练和审查等。