Q/HN-2-7202.15.069-2013 5
流程与风险分析
5.1 管理流程图
网络管理流程见附录A(规范性附录)。 5.2 控制点
5.2.1 建设与变更：确保网络建设与变更有设计方案并认真履行审批手续。
5.2.2 物理安全：内部网络与外部网络的连接按照国家、行业及上级有关部门的要求实施隔离。 5.2.3 网络安全：制定防止病毒传播、非法入侵的策略和具体措施。
5.2.4 运行维护： 对网络设备的各类口令进行严格管理，及时分析网络运行状态及其故障原因，并采取针对性措施。
5.2.5 远程访问：对允许远程访问的系统采取有效安全控制措施。 5.2.6 安全审计：进行定期检查、分析、审计。 5.3 风险分析
5.3.1 建设与变更：由于网络建设或变更未履行审批手续的原因，可能导致网络联接混乱的风险，造成无法保证网络安全稳定运行的后果。
5.3.2 物理安全：由于内网、外网物理隔离不严格的原因，可能导致内网中运行的信息系统安全性降低的风险，造成信息系统混乱崩溃的后果。
5.3.3 网络安全：由于未制定或者没有认真执行防病毒、防非法入侵的策略、措施的原因，可能导致网络、信息系统的安全性降低的风险，造成信息系统混乱崩溃的后果。
5.3.4 运行维护：由于网络运行维护不及时的原因，可能导致网络设备不能正常工作、网络无法运行的风险，造成网络停止运行的结果。
5.3.5 远程访问：由于对远程访问未采取有效安全控制措施的原因，可能导致信息网络安全性降低的风险，造成信息网络运行不畅的后果。
5.3.6 安全审计：由于对网络设备未进行定期检查、分析、审计的原因，可能导致无法及时发现网络安全隐患的风险，造成网络安全性降低的后果。 6
管理内容与方法
6.1 建设与变更
6.1.1 网络建设与变更需求由各单位提出，信息中心根据需求编制项目方案，提交信息化管理领导小组审批后，由信息中心组织实施，网络改造等重大的网络建设与变更需经伊敏煤电公司审批。 6.1.2 项目的申请有两种方式：年度计划中申请和临时申请。重大项目必须在年度计划中进行申请；非重大项目的临时申请流程与年度计划申请流程一致，属于年度计划内容和预算的调整，临时申请经过批准后，项目方可按照计划实施。
6.1.3 项目方案中应包括需求书、可行性报告、资金预算、对成本效益定性定量的分析和项目时间计划,具体内容参见《信息化工作管理标准》附录B（规范性附录）信息化项目申报表。
6.1.4 伊敏电厂网络拓扑图、IP地址规划、网络设备型号及配置参数由信息中心记录、备案，并上报
2
Q/HN-2-7202.15.069-2013
伊敏煤电公司。网络设备参数变更时，应由网络管理员首先备份相关设备的配置，填写好《网络维护变更记录表》（见附录B）经信息中心负责人签字确认后，网络管理员按照计划实施变更，将最终结果记录在《网络维护变更记录表》中，并及时将变化情况上报伊敏煤电公司，保证其备案与实际情况相符。 6.2 物理安全
6.2.1 信息中心制定伊敏电厂网络结构和防御手段时执行《中国华能集团公司信息网络运行维护管理办法》，内、外网分别进行安全域的划分，确保各安全域之间的独立性、安全性和完整性；内网划分为网络核心区、业务服务区、用户接入区、广域网接入区；外网划分为网络核心区、用户接入区、互联网接入区；内网与外网实行物理隔离，严禁任何单位、任何个人将内网和外网互联，保证一台计算机只有一种联网方式（含办公用笔记本电脑），外网与互联网的联接要统一出口。
6.2.2 各种控制网络（如电力调度数据网）、信息服务网络(如电力企业数据网)应按照国家电监会5号令《电力二次系统安全防护规定》中的相关规定与伊敏电厂生产控制区网络、信息管理大区相联。 6.2.3 信息管理大区和生产控制大区联接要严格执行国家电监会5号令《电力二次系统安全防护规定》中的标准。
6.2.4 信息中心部署网络时应保证接入网络和核心网络设备的带宽满足业务高峰需要，关键网络设备的业务处理能力具备冗余空间并满足业务高峰时的要求；根据各单位工作职能、重要性划分子网或网段，按照方便管理和控制的原则为各子网和网段分配IP地址；IP 地址有统一明确的规划,并按照《中国华能集团公司信息化网络地址编码标准》执行，信息中心负责对已用的IP地址进行登记备案。 6.2.5 信息中心绘制与当前运行情况相符的伊敏电厂网络拓扑结构图，主要包括设备名称、型号等信息。
6.3 网络安全
6.3.1 访问控制：信息中心依据《中国华能集团公司信息网络运行维护管理办法》的要求在网络边界布署防火墙、防毒墙等访问控制设备，启用访问控制功能；根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制精度为端口级；按用户和系统之间的允许访问规则，决定允许或拒绝用户对授权系统进行资源访问，控制粒度为单个用户。
6.3.2 边界完整性检查：信息中心利用华能集团公司统一布署的北信源桌面管理系统对内网用户的网络准入、非法外联等行为进行管理，维护网络边界的完整性。
6.3.3 入侵防范：信息中心在网络边界及核心业务区布署入侵检测设备，监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。 6.3.4 网络设备防护：信息中心部署网络设备要实现登录用户身份鉴别的功能，身份鉴别信息不易被冒用，口令复杂度应满足长度不得小于8位，且为字母、数字或特殊字符的混合组合，并定期更换；修改默认用户和口令，不得使用缺省口令，用户名和口令不得相同，禁止明文存储口令；网络设备标识应唯一，同一网络设备的用户标识应唯一，禁止多个人员共用一个账号；限制网络设备的管理员登录地址，应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；关闭不需要的网络端口和网络服务，如需要使用SNMP服务，应采用安全性增强版本，并设定复杂的
3
Q/HN-2-7202.15.069-2013
Community控制字段，禁止使用public、private等默认字段。
6.3.5 防病毒、恶意代码：信息中心为所有采用 windows 操作系统的计算机（包括服务器、台式机和笔记本）安装统一的瑞星企业版防病毒软件，严禁私自删除、卸载、关闭信息中心在计算机及服务器中布署的杀毒软件，由于杀毒软件被删除、卸载、关闭所造成的病毒传播、信息丢失、泄密各单位要承担相应责任；防病毒软件的安装、升级、更新和策略设置由信息中心统一管理,防病毒软件恶意代码库与华能集团公司防病毒软件恶意代码库保持一致；安全管理员每天对网络和主机进行恶意代码检测；计算机使用人员在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，外来计算机或存储设备接入网络系统之前也应进行病毒检查。
6.3.6 安全应急处理：信息系统受到恶意攻击或发生重大事故时，信息中心负责应急和恢复工作。信息中心应对主要事故和攻击的情况做出方案，以确保能迅速恢复系统的正常运行。信息中心应将事故和攻击情况以及应对措施及时汇报给伊敏煤电公司信息主管部门；信息系统受到非法攻击或发生重大事故后，信息中心应对系统的安全性重新进行全面的评估，制订相应的整改措施并尽快落实执行。 6.4 运行与维护
6.4.1 网络管理员每天检查网络设备，如路由器、交换机、服务器、网闸等，如发现网络设备运行异常或网络运行出现故障时，信息中心应及时分析故障原因、采取针对性措施解决故障，并在《网络故障记录表》（见附录C）中记录。
6.4.2 网络管理员每周对网络设备运行日志、网络监控记录、报警信息进行分析和处理；对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时修补。
6.4.3 网络管理员应根据厂家提供的软件升级版本对网络设备进行更新，在更新前对现有的重要文件进行备份，并对网络设备配置文件每月进行备份。
6.4.4 网络管理员按照本标准规定的设备口令管理要求，每季度更换网络设备登录口令。
6.4.5 所有单位的台式机、笔记本电脑（含打印机）配置均由信息中心统一管理，并由信息中心统一建档，落实责任人；各单位人员应正确使用计算机并爱护办公场所内的网络设施（网线、集线器等），做好计算机的保管工作，如果计算机或相关设施有故障，应及时联系信息中心处理，严禁自行进行维修，不得私自更换计算机内部硬件配置，不得私自调换计算机；各部门计算机仅限于内部办公，不可做其他目的和用途，不允许用户安装和存放与其本职工作无关的软件，更不允许安装和存放游戏、黑客工具等。 6.4.6 上网行为管理
6.4.6.1 伊敏电厂任何登录互联网员工，都应遵守公安部令第33号《计算机信息网络国际互联网安全保护管理办法》，不得利用国际互联网络制作、查阅、复制和传播下列信息：
a) 违反《中华人民共和国宪法》的文字和言论。
b) 散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的信息。 c) 散布谣言，扰乱社会秩序，破坏社会稳定的信息。 d) 煽动民族仇恨、民族歧视，破坏民族团结的信息。 e) 破坏国家宗教政策，宣扬邪教和封建迷信的信息。
4
Q/HN-2-7202.15.069-2013
f) 损害国家荣誉和利益的信息。
g) 危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的信息。
6.4.6.2 各单位在内网上使用的计算机要安装统一布署的计算机桌面管理系统，进行实名注册，填写准确的注册信息，注册成功后才能访问局域网。信息中心按各单位的需求布署相关策略，实现对计算机终端的管理。
6.4.6.3 在外网上使用的计算机严禁安装BT类下载软件，以及网络游戏软件，信息中心布署的上网行为管理中只开放 Web 浏览、Email 收发等常用端口。
6.4.6.4 内部局域网用户不允许随意访问与自身无关的计算机用户，严禁利用局域网微机查看、破解他人的用户信息，登录他人应用系统帐户。 6.5 远程访问
有远程访问内网的需求时，信息中心要遵守《关于加强华能系统计算机移动办公平台管理的通知》的有关规定，在网络中建立远程登录用户的访问控制系统，实现对内部网络远程访问的控制。此系统应能够对远程访问的用户进行身份验证，仅允许拥有授权的用户访问，并记录其访问时间和目的，形成访问日志记录。网络管理员每月对访问日志进行检查。 6.6 安全审计
6.6.1 信息中心安全管理员每天对伊敏电厂内网和外网的安全性进行检查。
6.6.2 信息中心安全管理员对防火墙等网络安全设备进行管理，按照《中国华能集团公司信息网络运行维护管理办法》的要求和本单位的实际情况配置相应的安全策略。网络安全设备必须保留有关运行状况、网络流量、用户行为等日志记录，安全管理员对其每月进行检查、分析和审计，并在《安全审计记录表》（见附录D）中记录。 7 7.1 7.2 7.3 7.4 7.5 8
检查与考核
本标准执行情况由伊敏电厂信息化管理领导小组进行监督、检查和考核。
网络建设、变更审批不严，或由其它原因造成内、外网混网，考核相关责任人200元。 网络故障原因没有严格细致分析，致使故障重复性发生，考核相关责任人200元。 没有对网络设备进行定期检查、分析、审计，考核相关责任人100元。 如有违反上网行为管理规定的员工，视情节轻重考核相关责任人100－200元。 相关/支持性文件
Q/HN-2-7202.15.068-2013 《信息化工作管理标准》 Q/HN-2-7202.15.070-2013 《应用系统管理标准》 Q/HN-2-7202.15.072-2013 《机房管理标准》 9
报告和记录 序号 1 2 3 编 号 2-069-JL-001-X 2-069-JL-002-X 2-069-JL-003-X 名 称 网络维护变更记录表 网络故障记录表 安全审计记录表 保存地点 信息中心 信息中心 信息中心 保存期 2年 2年 2年 5
Q/HN-2-7202.15.069-2013 10 附录
附录A（规范性附录）伊敏电厂网络管理流程图 附录B（规范性附录）网络维护变更记录表 附录C（规范性附录）网络故障记录表 附录D（规范性附录）安全审计记录表
6