1. 项目概述
根据国家电网公司《关于信息安全等级保护建设的实施指导意见（信息运安〔2009〕27号）》和山东省电力集团公司对等级保护相关工作提出的要求，落实等级保护各项任务，提高山东省电力集团公司信息系统安全防护能力，特制定本方案。 1.1 目标与范围
公司为了落实和贯彻公安部、国家保密局、国家密码管理局、电监会等国家有关部门信息安全等级保护工作要求，全面完善公司信息安全防护体系，落实公司“双网双机、分区分域、等级防护、多层防御”的安全防护策略，确保等级保护工作在各单位的顺利实施，提高公司整体信息安全防护水平，开展等级保护建设工作。
前期在省公司及地市公司开展等级保护符合性测评工作，对地市公司进行测评调研工作，范围涵盖内网门户、外网门户、财务管理系统、营销管理系统、电力市场交易系统、生产管理信息系统、协同办公系统、人力资源管理系统、物资管理系统、项目管理系统、邮件系统、公司广域网SGInet、管理制度这13个业务系统分类，分析测评结果与等级保护要求之间的差距，提出本的安全建设方案。
本方案主要遵循GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《信息安全等级保护管理办法》（公通字[2007]43号）、《信息安全技术 信息安全风险评估规范》（GB/T 20984-2007）、《国家电网公司信息化“SG186”工程安全防护总体方案》、ISO/IEC 27001信息安全管理体系标准和ISO/IEC 13335信息安全管理标准等。
实施的范围包括：省公司本部、各地市公司。
通过本方案的建设实施，进一步提高信息系统等级保护符合性要求，将整个信息系统的安全状况提升到一个较高的水平，并尽可能地消除或降低信息系统的安全风险。
1
1.2 方案设计
根据等级保护前期测评结果，省公司本部及各地市公司信息系统存在的漏洞、弱点提出相关的整改意见，并最终形成安全解决方案。 1.3 参照标准
GB/T22239-2008《信息安全技术信息安全等级保护基本要求》 《信息安全等级保护管理办法》（公通字[2007]43号） 《信息安全技术 信息安全风险评估规范》（GB/T 20984-2007） 《国家电网公司信息化“SG186”工程安全防护总体方案》 ISO/IEC 27001信息安全管理体系标准 ISO/IEC 13335信息安全管理标准
《国家电网公司“SG186”工程信息系统安全等级保护验收测评要求（征求意见稿）》
《国家电网公司信息机房设计及建设规范》 《国家电网公司信息系统口令管理规定》 GB50057-94《建筑防雷设计规范》 《国家电网公司应用软件通用安全要求》
2. 建设总目标
2.1 等级保护建设总体目标
综合考虑省公司现有的安全防护措施，针对与《信息安全技术信息系统安全等级保护基本要求》间存在的差异，整改信息系统中存在的问题，使省公司及地市公司信息系统满足《信息安全技术信息系统安全等级保护基本要求》中不同等级的防护要求，顺利通过国家电网公司或公安部等级保护建设测评。
2
3. 安全域及网络边界防护
根据GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《国家电网公司信息化“SG186”工程安全防护总体方案》及《国家电网公司“SG186”工程信息系统安全等级保护验收测评要求（征求意见稿）》的要求，省公司及地市公司信息系统按照业务系统定级，根据不同级别保护需求，按要求划分安全区域进行分级保护。因此，安全域划分是进行信息安全等级保护建设的首要步骤。 3.1 信息网络现状
山东省电力集团公司各地市信息内网拓扑典型结构：
省局信息广域网多产以及第三方网络SiIPS 县局广域网县局广域网链路聚合链路聚合二级系统域桌面终端域营销系统域 SiSiSi应用服务器
图：典型信息网络现状
主要问题：
? 各安全域之间缺乏有效的控制措施不能够保障业务系统安全、独立运
行，不受其他业务系统的影响。
3
根据GB/T22239-2008《信息安全技术信息安全等级保护基本要求》和《国家电网公司信息化“SG186”工程安全防护总体方案》的建设要求，省公司和各地市信息网络安全域需根据业务系统等级进行重新划分。 3.2 安全域划分方法
依据国家电网公司安全分区、分级、分域及分层防护的原则，管理信息大区按照双网隔离方案又分为信息内网与信息外网。本方案主要针对公司信息系统进行等级保护建设。在进行安全防护建设之前，首先实现对信息系统的安全域划分。
依据SG186总体方案中 “二级系统统一成域，三级系统独立分域”的要求，结合省公司MPLS VPN现状，采用纵向MPLS VPN结合VLAN划分的方法，将全省信息系统分为：
信息内网区域可分为：
? 电力市场交易系统MPLS VPN（或相应纵向通道）：包含省公司电力市
场交易应用服务器VLAN、省公司电力市场交易办公终端；
? 财务管理系统MPLS VPN（或相应纵向通道）：包含省公司财务管理系
统VLAN、省公司财务办公终端VLAN、各地市财务办公终端VLAN（13个）；
? 营销管理系统MPLS VPN（或相应纵向通道）：省公司营销系统VLAN、
省公司营销办公终端VLAN、各地市营销系统VLAN（13个）、各地市营销办公终端VLAN（13个）
? 二级系统MPLS VPN（或相应纵向通道）（二级系统包括：内部门户（网
站）、生产管理信息系统、协同办公系统、人力资源管理系统、物资管理系统、项目管理系统和邮件系统）：
? 公共服务MPLS VPN（或相应纵向通道）：包含DNS、FTP等全省需要
访问的公共服务 ? 信息内网桌面终端域 信息外网区的系统可分为：
4
? 电力市场交易系统域 ? 营销管理系统域（95598） ? 外网二级系统域（外网门户等） ? 信息外网桌面终端域
安全域的具体实现采用物理防火墙隔离、虚拟防火墙隔离或Vlan隔离等形式进行安全域划分。 3.3 安全域边界 3.3.1
二级系统边界
? 二级系统域存在的边界如下表：
边界类型 第三方网络边界 纵向网络边界 Internet边界 省公司与华北电网公司间、省公司与其地市公司之间 在信息内外网区与桌面终端域的边界 在信息内外网区与基础系统域的边界 横向域间边界 与财务系统域之间的边界 与电力市场交易系统域的边界 与营销管理系统域间的边界 ? 二级系统域的网络边界拓扑示意图如下：
边界描述
5