併網新能源場站電力監控系統涉網安全防護補充方案 （國家電網2018年2月8日印發）
併網新能源場站電力監控系統涉網安全防護補充方案 （國家電網2018年2月8日印發）
1、總則
為滿足風電、光伏快速發展和大規模併網需要
有效治理併網新能源場站電力監控系統涉網安全防護問題
適用範圍
併網風電場
光伏電站
通過數據網路與其生產控制大區相連接的彙集站
通過數據網路與其生產控制大區相連接的集控中心。
2、安全分區及邊界防護
安全分區
生產控制大區
根據業務功能可能對一次設備造成的影響
控制區（安全I區）
非控制區（安全Ⅱ區）
業務系統使用
公用通信網路
無線通信網路
其它安全不可控網路
管理信息大區
安全Ⅲ區
安全IV區
對於裝機規模較小的場站，可在保持生產控制大區與管理信息大區之間物理隔離的前提下，簡化兩個大區內部的分區，但低安全區的系統和功能應按照高安全等級分區的要求進行管理。
不同安全區
網路設備
不同安全分區的交換機或相當功能的網路設備，必須單獨使用
嚴禁通過劃分VLAN的方式將不同安全分區的設備接入同一交換機
網段
不同分區的設備必須連接到不同的網段
嚴禁主機設備通過雙網卡等手段實現跨區聯接
櫃子
不同分區的設備不宜安裝在同一屏櫃內
確需組裝在同一屏櫃的，設備及網線必須要有明顯規範的分區標識
同一安全區
內部不同業務系統進行數據交互時，應採取VLAN劃分、訪問控制等安全措施，控制交互的規模和頻度，
禁用E-Mail、RLOGIN、FTP等公共服務，控制區內禁止通用的WEB服務。
橫向邊界防護
在生產控制大區與管理信息大區之間的邊界防護
物理隔離
必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置。
正向型隔離裝置
信息由生產控制大區傳輸到管理信息大區必須經過正向型隔離裝置
反向型隔離裝置
信息由管理信息大區傳輸到生產控制大區必須經過反向型隔離裝置
生產控制大區內部的安全區之間 （安全I區與安全Ⅱ區之間）
邏輯隔離
硬體防火牆
功能
性能
或者相當功能的設備
安全接入區與生產控制大區中的聯接處 （併網新能源場站電力監控系統涉網安全防護補充方案）
物理隔離
必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置。
管理信息大區內部的邊界防護 （安全Ⅲ區與安全IV區之間）
邏輯隔離
硬體防火牆
安全策略應採用白名單方式
禁止開啟與業務無關的地址和服務埠
或者相當功能的設備
與生產管理無關的辦公業務或生活網路應劃分到安全IV區
縱向邊界防護
生產控制大區在調度數據網入口的縱向邊界
必須配備電力專用縱向加密認證裝置
縱向加密認證裝置的隧道配置策略應細化至IP地址和服務埠
保證與主站的數據通信均為密通狀態
並全面關閉不必要的服務和埠
實現雙向身份認證、訪問控制和數據加密
場站側縱向加密認證裝置必須使用調控機構簽發的調度數字證書，並接入調控機構網路安全管理平臺。
匯聚站
概念
新能源發電企業對區域內多個場站進行集中監視
應通過專用網路組網
並在場站縱向連接處
部署電力專用縱向加密認證裝置
或加密認證網關。
新能源場站
要制定運行管理制度
加強縱向加密認證裝置的
操作員卡（包括主卡及備卡）的使用和管理
Ukey等身份認證工具的使用和管理
接入調度數據網的路由器、交換機
必須採取有效的安全加固措施
關閉通用網路服務和網路邊界的OSPF路由功能，避免使用默認路由
採用安全增強的SMPV2及以上版本的網管協議
密碼強度應滿足國家規定要求，開啟訪問控制列表等安全措施。
其它網路邊界的安全防護
集控中心
集控中心的數據傳輸通道
新能源發電企業遠程集控中心與站端監控系統的數據傳輸通道，必須在物理層面實現與其它數據網路的安全隔離
應採用基於SDH/PDH（推薦使用SDH）不同通道、不同光波長、不同纖芯等方式的專用獨立網路
當採用EPON、GPON或光乙太網絡等技術時應使用獨立纖芯或波長
場站與集控中心縱向聯接處應當設置經國家指定部門檢測認證的電力專用加密認證裝置或者加密認證網關，實現雙向身份認證、訪問控制和數據加密
集控中心監控系統
嚴格遵守《電力監控系統安全防護規定》及其配套文件的要求
並按照等保三級系統進行規劃、建設、運維和管理
新能源場站
新能源企業遠程監視中心 （具備場站數據的採集、監視和收集功能，但不具備控制功能）
原則上應遵循與遠程集控中心相同的網路和安全防護要求
如若通過運營商專用網路或VPN通道進行數據傳輸，必須在場站生產控制大區出口處部署電力專用橫向單向隔離裝置（正向型）
實現數據從生產控制大區向外部的安全單向傳輸，
禁止數據從外部向生產控制大區傳輸、開展遠程控制和運維業務。
新能源場站與
遠程集控中心
遠程監視中心
設備製造廠商
嚴格控制新能源場站生產控制大區與設備廠商之間的網路連接
禁止數據從外部向生產控制大區傳輸、開展遠程控制和運維業務
確需將設備運行數據發送給設備廠商的，需在明確數據使用範圍的前提下，設立專用伺服器，並經過電力專用正向型隔離裝置實現數據從生產控制大區向外部的安全單向傳輸。
網路邊界部署的安防設備
包含設備
防火牆
正向隔離裝置
縱向加密認證裝置等
配置策略原則
應按照最小化原則配置安全策略
與調控機構通信的採集伺服器
嚴格保證與調控機構通信的採集伺服器的獨立性
嚴禁將其用於給非調控機構的其他單位轉發數據
就地終端接入防護
新能源場站
須加強戶外就地採集終端（如風機控制終端、光伏發電單元測控終端等）的物理防護
強化就地採集終端的通信安全
站控系統與終端之間網路通信應部署加密認證裝置，實現身份認證、數據加密、訪問控制等安全措施
終端連接的網路設備需採取IP/MAC地址綁定等措施
禁止外部設備的接入，防止單一風機或光伏發電單元的安全風險擴散到站控系統。
生產控制大區嚴禁任何具有無線通信功能設備的直接接入
站控系統與就地終端的連接使用無線通信網或者基於外部公用數據網的虛擬專用網路（VPN）等的，應當設立安全接入區
安全接入區與生產控制大區連接處應部署電力專用單向隔離裝置，實現內外部的有效隔離。
3、綜合安全防護管理
新能源場站
應按照現場實際的網路拓撲和安全設備部署情況
編製新能源場站電力監控系統安全防護實施方案並提交審核
網路結構變更或業務系統增加時，應及時修訂安全防護實施方案並重新提交審核
應嚴格落實用戶身份認證、許可權合理劃分要求，實施用戶的實名制和身份的安全認證
嚴禁網路設備、伺服器、工作站、安全設備使用默認用戶和口令。
新能源場站應建立電力監控系統安全防護日常巡視制度
現場運維工作需嚴格履行工作票制度，並做好安全措施，
生產控制大區
嚴禁隨意接入移動介質和攜帶型電腦
嚴禁運維過程中出現
跨區直連
生產控制大區設備接入互聯網
停運安防設備
開啟空閑埠等行為
涉網部分的伺服器、工作站、路由器等設備
應使用安全操作系統並加強安全配置管理
對於已經運行且使用非安全操作系統的設備
要採取防病毒、加強配置管理、強化訪問控制等安全加固措施，並結合後續技術改造升級更換為安全操作系統
業務系統
應選用符合國家安全要求、無安全漏洞的產品
相關設備應通過相關部門指定的入網檢測
電力監控系統定級備案
新能源場站應按照《電力行業信息安全等級保護管理辦法》要求
及時到公安機構開展電力監控系統定級備案
新能源場站選擇具有國家認可資質的測評機構
開展電力監控系統
等級保護測評
安全防護評估
4、監測與應急
新能源場站
網路安全監視
在站內部署網路安全監視手段
實現涉網主機設備
伺服器
工作站
網路設備
安全防護設施等
提高網路安全應急事件的處置能力
制定切實可行的安全防護應急預案
定期開展應急演練
健全廠網聯動的網路安全應急處置機制
當站內遭受網路攻擊、發生網路安全事件時
應立即向相關調控機構報告
並按應急預案採取應急處置措施，防止事態擴大
典型網路拓撲圖
集控中心
光伏電站
風電場
新能源匯聚站
推薦閱讀：
