流程。各级单位网站统一使用公司域名，并规范网站功能设置及网站风格设计。加强内外网邮件统一管理，禁止各级单位建立独立内外网邮件系统，如确实需要建立，需提前报公司批准。
第二十二条 加强信息安全备案准入工作。各级单位要巩固信息安全备案准入成果，加强对采集类业务终端的安全备案，严格各类信息资产安全备案作为入网的必要条件。加强安全备案数据质量的治理工作，确保填报信息完整、准确及更新及时，对于未备案的业务系统、网络专线，一经发现立即关停，按照公司有关要求进行追责及处置。
第二十三条 微博微信等新业务安全管理要求如下：
（一）强化对企业官方微博微信、Wi-Fi网络、其他新业务的安全备案准入与管理，加强微博微信开设、使用的安全管理，加强信息外网无线Wi-Fi网络的审批、备案与使用管理。
（二）各级单位要加强官方微博微信的开设与管理，加强对本单位官方微博微信所发布的内容审查与核实。微博微信的发布终端要按照公司办公计算机防护要求部署安全措施。公司两级技术督查队伍在日常的安全督查中要加强对微博微信发布终端的检查深度和频度。
（三）各级单位信息外网使用Wi-Fi要严格落实审核批准与备案工作，要加强Wi-Fi组网的网络准入、安全审计、用户身份认证方面的安全防护技术手段。
（四）各级单位要控制内网第三方专线接入公司信息网络的专线数量，对于确需第三方接入的新业务，要选择安全的接入方式并强化落实边界安全防护措施。 第二十四条 接入安全管理要求如下：
（一）加强互联网接入以及互联网出口归集统一管理，充分利用公司电力通信链路，以省级单位和三地灾备中心为主体对下属单位互联网出口进行严格管控、合并、统一设置和集中监控。
（二）加强非集中办公区域内网接入安全管理，严格履行审批程序，按照公司集中办公区域相关要求落实信息安全管理与技术措施。非集中办公区域应采用电力通信网络通道接入公司内部网络，如确实需要租用第三方专线，应在公司进行备案，并严格按照总体防护要求采取相应防护措施。 第二十五条 规划计划安全管理要求如下：
（一）网络与信息系统在可研设计阶段应全面分析其可能面临的主要信息安全风险以及对现有网络与系统、流程的影响，并进行安全需求分析。
（二）可研阶段信息系统应组织进行信息安全防护设计，做好安全架构规划，形成专项信息安全防护方案并进行评审。专项信息安全防护方案通过评审后方可进行后续开发工作。涉及认证、密钥以及数据保护等方面需考虑与公司统一密钥系统集成接口设计。
（三）网络与信息系统应提前组织开展等级保护定级工作，同时重要系统应提前在公司信息安全归口管理部门进行备案。
第二十六条 建设安全管理要求如下：
（一）严格遵循信息系统开发管理要求，加强对项目开发环境及测试环境的安全管理，确保与实际运行环境及办公环境安全隔离，确保开发全过程信息安全管控。
（二）加强信息系统开发过程中代码编写的规范性，应采用公司统一开发平台进行开发，并严格按照公司统一安全编程规范进行代码编写，定期进行代码审核，并组织代码安全自测。
（三）加强代码安全管理，确保开发过程中代码安全保密。落实源代码补丁漏洞工作，及时对代码漏洞进行反馈及整改。
（四）规范外部软件及插件的使用，应使用主流的、成熟的外部软件及插件，避免采用非商用且无安全保证的外部软件及插件。集成外部软件及插件包括开源组件时，应重视接口交互的安全，充分考虑异常的处理。
（五）加强电力通信网建设的安全管理，通过识别、评估和分析等手段降低安全风险，保证通信网络建设过程中安全可控，确保人身、设备及现有网络的安全。 第二十七条 运维安全管理要求如下：
（一）网络与信息系统上线前、重要升级前、与生产系统联合调试前对安全防护设计遵从度、应用软件安全功能、代码安全、运行环境安全等进行全面测试以及整改加固，通过测试后方可正式上线试运行。 （二）建立网络与信息系统资产安全管理制度，加强资产的新增、验收、盘点、维护、报废等各环节管理。编制资产清单，根据资产重要程度对资产进行标识。加强对资产、风险分析及漏洞关联管理。
（三）加强机房出入管理，对机房建筑采取门禁、专人值守等措施，防止非法进入，出入机房需进行登记。 （四）加强信息通信设备安全管理，建立健全设备安全管理制度。加强设备基线策略管理以及优化部署，制定安全基线策略配置管理要求和技术标准，规范上线、运行软硬件设备信息安全策略以及安全配置。 （五）建立通信设备软件升级预评估制度，对其必要性和紧急性进行评估论证，并采取相应防范措施后，再进行相关升级工作。
（六）规范账号权限管理，系统上线稳定运行后，应回收建设开发单位所掌握的账号。各类超级用户账号禁止多人共用，禁止由非主业不可控人员掌握。临时账号应设定使用时限，员工离职、离岗时，信息系统的访问权限应同步收回。应定期（半年）对信息系统用户权限进行审核、清理，删除废旧账号、无用账号，及时调整可能导致安全问题的权限分配数据。
（七）规范账号口令管理，口令必须具有一定强度、长度和复杂度，长度不得小于 8 位字符串，要求是字母和数字或特殊字符的混合，用户名和口令禁止相同。定期更换口令，更换周期不超过6个月，重要系统口令更换周期不超过3个月，最近使用的4个口令不可重复。
（八）强化公司统一漏洞及补丁工作，加强对公司各级单位漏洞的采集、分析、发布、描述的集中统一管理，实现全网漏洞扫描策略的统一制定、扫描任务的统一执行，实现对各级单位漏洞情况以及内外网补丁下载、安装情况的监管。加强各种典型漏洞、补丁的测试验证及整改工作。
（九）加强恶意代码及病毒防范管理，加强对特种木马的监测，确保客户端防病毒软件全面安装，严格要求内网病毒库的升级频率，加强病毒监测、预警、分析及通报力度。对使用的移动设备必须进行病毒木马查杀。
（十）加强远程运维管理，不得通过互联网或信息外网远程运维方式进行设备和系统的维护及技术支持工作。内网远程运维要履行审批程序，并对各项操作进行监控、记录和审计。有国外单位参与的运维操作需安排在测试仿真环境，禁止在生产环境进行。
（十一）规范变更计划、变更操作审批流程、变更测试、变更恢复预案等工作。严格系统变更、系统重要操作、物理访问和系统接入申报和审批程序，严格执行工作票和操作票制度。加强网络与信息系统检修过程安全管理，预防网络与信息系统损坏和事故发生。
（十二）加强安全审计工作，实现对主机、数据库、业务应用等多个层次集中、全面、细粒度安全审计，提高审计记录的统计汇总、综合分析能力，做到事前、事中、事后的问题追溯。
（十三）明确备份及恢复策略，严格控制数据备份和恢复过程。重要系统和数据备份需纳入公司统一的灾备系统。
（十四）涉及敏感信息的系统数据库应部署于信息内网，同时加强对重要地理信息、客户信息等的安全存储和安全传输等措施的落实。
（十五）电力通信网的光缆使用年限一般不应超过设计要求，超过设计年限要求的光缆应加强监测。
第四章 技术措施
第二十八条 物理安全技术工作要求如下：
（一）严格执行信息通信机房管理有关规范，确保机房运行环境符合要求。室内机房物理环境安全需满足对应信息系统等级的等级保护物理安全要求，室外设备物理安全需满足国家对于防盗、电气、环境、噪音、电磁、机械结构、铭牌、防腐蚀、防火、防雷、电源等要求，四级及以上系统应对关键区域实施电磁屏蔽措施。
（二）加强办公区域安全管理，员工离开办公区域要及时锁定桌面终端计算机屏幕，防止外来人员接触办公区域电子信息。
（三）重要通信设备应满足硬件冗余需求，如主控板卡、时钟板卡、电源板卡、交叉板卡、支路板卡等，至少满足1+1冗余需求，一些重要板卡需满足1+N冗余需求。
（四）通信电源应满足电力系统重要业务“双电源”冗余要求。电力系统重要业务应配置两套独立的通信设备，具备两条独立的路由,并分别由两套独立的电源供电，两套通信设备和两套电源在物理上应完全隔离。 第二十九条 网络安全技术工作要求如下：
（一）电力通信网的数据网划分为电力调度数据网、综合数据通信网，分别承载不同类型的业务系统，电力调度数据网与综合数据网之间应在物理层面上实现安全隔离。
（二）加强信息内外网架构管控，做好分区分域安全防护，进一步提升用户服务体验。公司管理信息大区划分为信息外网和信息内网，信息内外网采用逻辑强隔离设备进行安全隔离。信息内外网内部根据业务分类划分不同业务区。各业务区按照信息系统防护等级以及业务系统类型进一步划分安全域，加强区域间用户访问控制，按最小化原则设置用户访问暴露面，防止非授权的跨域访问，实现业务分区分域管理。 （三）按照公司总体安全防护要求，结合电力通信网各类网络边界特点，严格按照公司要求落实访问控制、流量控制、入侵检测/防护、内容审计与过滤、防隐性边界、恶意代码过滤等安全技术措施，防范跨域跨边界非法访问及攻击，防范恶意代码传播。不得从任何公共网络直接接入公司内部网络，禁止内、外网接入通道混用。
（四）加强互联网边界及对外业务系统安全防护，进一步提升针对互联网出口DDoS等典型网络攻击以及特种病毒木马的防范能力，提高信息外网可靠性及安全性。
（五）深化信息内外网边界安全防护，加强内外网数据交互安全过滤，保障关键应用快速穿透和信息安全交互，满足客户服务及时响应需求。
（六）加强对信息内外网专线的安全防护，对于与银行等外部单位互联的专线要部署逻辑强隔离措施，设置访问控制策略，进行内容监测与审计，只容许指定的、可信的网络及用户才能进行数据交换。 （七）加强信息内网远程接入边界安全防护。对于采用无线专网接入公司内部网络的采集等业务应用，应在网络边界部署公司统一安全接入防护措施，建立专用加密传输通道，并结合公司统一数字证书体系进行防护。
（八）信息内网禁止使用无线网络组网。
（九）信息外网用无线组网的单位，应强化无线网络安全防护措施，无线网络要启用网络接入控制和身份认证，进行IP/MAC地址绑定，应用高强度加密算法，防止无线网络被外部攻击者非法进入，确保无线网络安全。
第三十条 终端安全技术工作要求如下：
（一）办公计算机严格执行“涉密不上网、上网不涉密”纪律，严禁将涉及国家秘密的计算机、存储设备与信息内外网和其他公共信息网络连接，严禁在信息内网计算机存储、处理国家秘密信息，严禁在连接互联网的计算机上处理、存储涉及国家秘密和企业秘密信息；严禁信息内网和信息外网计算机交叉使用；严禁普通移动存储介质和扫描仪、打印机等计算机外设在信息内网和信息外网上交叉使用。涉密计算机按照公司办公计算机保密管理规定进行管理。
（二）信息内外网办公计算机应分别部署于信息内外网桌面终端安全域，桌面终端安全域应采取IP/MAC绑定、安全准入管理、访问控制、入侵检测、病毒防护、恶意代码过滤、补丁管理、事件审计、桌面资产管理等措施进行安全防护。
（三）信息内外网办公计算机终端须安装桌面终端管理系统、保密检测系统、防病毒等客户端软件，严格按照公司要求设置基线策略，并及时进行病毒库升级以及补丁更新。严禁未通过本单位信息通信管理部门
审核以及中国电科院的信息安全测评认定工作，相关部门和个人在信息内外网擅自安装具有拒绝服务、网络扫描、远程控制和信息搜集等功能的软件（恶意软件），防范引发的安全风险；如确需安装，应履行相关程序。
（四）对于不具备信息内网专线接入条件，通过公司统一安全防护措施接入信息内网的信息采集类、移动作业类终端，需严格执行公司办公终端“严禁内外网机混用”的原则。同时接入信息内网终端在遵循公司现有终端安全防护要求的基础上，要安装终端安全专控软件进行安全加固，并通过安全加密卡进行认证，确保其不能连接信息外网和互联网。 第三十一条 主机安全技术工作要求如下：
（一）对操作系统和数据库系统用户进行身份标识和鉴别，具有登录失败处理，限制非法登录次数，设置连接超时功能。
（二）操作系统和数据库系统特权用户应进行访问权限分离，对访问权限一致的用户进行分组，访问控制粒度应达到主体为用户级，客体为文件、数据库表级。禁止匿名用户访问。
（三）加强补丁的兼容性和安全性测试，确保操作系统、中间件、数据库等基础平台软件补丁升级安全。 （四）加强主机服务器病毒防护，安装防病毒软件，及时更新病毒库。 第三十二条 应用安全技术工作要求如下：
（一）强化用户登陆身份认证功能，采用用户名及口令进行认证时，应当对口令长度、复杂度、生存周期进行强制要求，系统应提供用户身份标识唯一和鉴别信息复杂度检查功能，禁止口令在系统中以明文形式存储；系统应当提供制定用户登录错误锁定、会话超时退出等安全策略的功能。
（二）规范应用系统权限的设计与使用，实现用户、组织、角色、权限信息统一集中管理，权限分配应按照最小权限原则，审核角色、系统管理角色、业务操作角色、账号创建角色与权限分配角色等应按照互斥原则设置权限。
（三）根据信息系统安全级别强化应用自身安全设计，应包括身份认证，授权，输入输出验证，配置管理，会话管理，加密技术，参数操作，异常管理，日志及审计等方面内容。
（四）控制单个用户的多重并发会话和最大并发连接数，限制单个用户对系统资源、磁盘空间的最大或最小使用限度，当系统服务水平降低到预先规定的最小值时，应能检测并报警。
（五）加强邮件敏感内容检查、邮件病毒查杀、外网邮件行为监测，社会邮箱收发件统计等安全措施，防范邮件系统攻击及邮件泄密。
（六）具有控制功能的系统或模块，控制类信息必须通过生产控制大区网络或专线传输，严格遵守电力二次系统安全防护方案，实现系统主站与终端间基于国家认可密码算法的加密通信，基于数字证书体系的身份认证，对主站的控制命令和参数设置指令须采取强身份认证及数据完整性验证等安全防护措施。 （七）对与互联网有广泛交互的应用系统或模块，以及部署在信息外网的系统与网站，要加强权限管理，做好主机、应用的安全加固，加强账号、密码、重要数据等加密存储，对需要穿透访问信息内网的数据或