电力行业信息系统安全等级保护基本要求
1 第三级基本要求 ........................................................................................................................... 1
1.1 技术要求............................................................................................................................ 1
1.1.1 物理安全 ................................................................................................................. 1
1.1.1.1 物理位置的选择（G3） ............................................................................. 1 1.1.1.2 物理访问控制（G3） ................................................................................. 1 1.1.1.3 防盗窃和防破坏（G3） ............................................................................. 1 1.1.1.4 防雷击（G3） ............................................................................................. 2 1.1.1.5 防火（G3） ................................................................................................. 2 1.1.1.6 防水和防潮（G3） ..................................................................................... 2 1.1.1.7 防静电（G3） ............................................................................................. 2 1.1.1.8 温湿度控制（G3） ..................................................................................... 3 1.1.1.9 电力供应（A3） ......................................................................................... 3 1.1.1.10 电磁防护（S3） ........................................................................................ 3 1.1.2 网络安全 ................................................................................................................. 3
1.1.2.1 结构安全（G3） ......................................................................................... 3 1.1.2.2 访问控制（G3） ......................................................................................... 4 1.1.2.3 安全审计（G3） ......................................................................................... 5 1.1.2.4 边界完整性检查（S3） .............................................................................. 5 1.1.2.5 入侵防范（G3） ......................................................................................... 5 1.1.2.6 恶意代码防范（G3） ................................................................................. 5 1.1.2.7 网络设备防护（G3） ................................................................................. 6 1.1.3 主机安全 ................................................................................................................. 6
1.1.3.1 身份鉴别（S3） .......................................................................................... 6 1.1.3.2 访问控制（S3） .......................................................................................... 7 1.1.3.3 安全审计（G3） ......................................................................................... 7 1.1.3.4 剩余信息保护（S3） .................................................................................. 8
1.1.3.5 入侵防范（G3） ......................................................................................... 8 1.1.3.6 恶意代码防范（G3） ................................................................................. 8 1.1.3.7 资源控制（A3） ......................................................................................... 9 1.1.4 应用安全 ................................................................................................................. 9
1.1.4.1 身份鉴别（S3） .......................................................................................... 9 1.1.4.2 访问控制（S3） .......................................................................................... 9 1.1.4.3 安全审计（G3） ....................................................................................... 10 1.1.4.4 剩余信息保护（S3） ................................................................................ 10 1.1.4.5 通信完整性（S3） .................................................................................... 10 1.1.4.6 通信保密性（S3） .................................................................................... 11 1.1.4.7 抗抵赖（G3） ........................................................................................... 11 1.1.4.8 软件容错（A3） ....................................................................................... 11 1.1.4.9 资源控制（A3） ....................................................................................... 11 1.1.5 数据安全 ............................................................................................................... 12
1.1.5.1 数据完整性（S3） .................................................................................... 12 1.1.5.2 数据保密性（S3） .................................................................................... 12 1.1.5.3 备份和恢复（A3） ................................................................................... 12
1.2 管理要求.......................................................................................................................... 13
1.2.1 安全管理制度 ....................................................................................................... 13
1.2.1.1 管理制度（G3） ....................................................................................... 13 1.2.1.2 制定和发布（G3） ................................................................................... 13 1.2.1.3 评审和修订（G3） ................................................................................... 13 1.2.2 安全管理机构 ....................................................................................................... 14
1.2.2.1 岗位设置（G3） ....................................................................................... 14 1.2.2.2 人员配备（G3） ....................................................................................... 14 1.2.2.3 资金保障（G3） ....................................................................................... 14 1.2.2.4 授权和审批（G3） ................................................................................... 15 1.2.2.5 沟通和合作（G3） ................................................................................... 15 1.2.2.6 审核和检查（G3） ................................................................................... 15 1.2.3 人员安全管理 ....................................................................................................... 16
1.2.3.1 人员录用（G3） ....................................................................................... 16 1.2.3.2 人员离岗（G3） ....................................................................................... 16 1.2.3.3 人员考核（G3） ....................................................................................... 16 1.2.3.4 安全意识教育和培训（G3） ................................................................... 17 1.2.3.5 外部人员访问管理（G3） ....................................................................... 17 1.2.4 系统建设管理 ....................................................................................................... 17
1.2.4.1 系统定级（G3） ....................................................................................... 17 1.2.4.2 安全方案设计（G3） ............................................................................... 18 1.2.4.3 产品采购和使用（G3） ........................................................................... 18 1.2.4.4 自行软件开发（G3） ............................................................................... 18 1.2.4.5 外包软件开发（G3） ............................................................................... 19 1.2.4.6 工程实施（G3） ....................................................................................... 19 1.2.4.7 测试验收（G3） ....................................................................................... 19 1.2.4.8 系统交付（G3） ....................................................................................... 20 1.2.4.9 系统备案（G3） ....................................................................................... 20 1.2.4.10 等级测评（G3） ..................................................................................... 20 1.2.4.11 安全服务商选择（G3） ......................................................................... 21 1.2.5 系统运维管理 ....................................................................................................... 21
1.2.5.1 环境管理（G3） ....................................................................................... 21 1.2.5.2 资产管理（G3） ....................................................................................... 21 1.2.5.3 介质管理（G3） ....................................................................................... 22 1.2.5.4 设备管理（G3） ....................................................................................... 22 1.2.5.5 监控管理和安全管理中心（G3） ........................................................... 23 1.2.5.6 网络安全管理（G3） ............................................................................... 23 1.2.5.7 系统安全管理（G3） ............................................................................... 24 1.2.5.8 恶意代码防范管理（G3） ....................................................................... 24 1.2.5.9 密码管理（G3） ....................................................................................... 25 1.2.5.10 变更管理（G3） ..................................................................................... 25 1.2.5.11 备份与恢复管理（G3） ......................................................................... 25 1.2.5.12 安全事件处置（G3） ............................................................................. 26
1.2.5.13 应急预案管理（G3） ............................................................................. 26
1 第三级基本要求
1.1 技术要求 1.1.1 物理安全
1.1.1.1 物理位置的选择（G3） 本项要求包括：
a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；
b) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁,如果不可避免，应采取有效防水措施。（落实） 1.1.1.2 物理访问控制（G3） 本项要求包括：
a) 机房各出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员；（增强）
b) 进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围； c) 应对机房划分区域进行管理，区域和区域之间应用物理方式隔断，在重要区域前设置交付或安装等过渡区域；（增强）
d) 重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。 1.1.1.3 防盗窃和防破坏（G3） 本项要求包括：
a) 应将主要设备放置在机房内；
b) 应将设备或主要部件进行固定，并设置明显的不易除去的标记； c) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d) 应对介质分类标识，存储在介质库或档案室中；
1