【其它国内标准】 国家电网公司管理信息系统安全基线要求

ICS29.240 O/GDW 国家电网公司企业标准 Q/GDW11445—2015 国家电网公司管理信息系统安全基线要求 Security baseline requirement of management information system State Grid Corporation of China 2016-11-09 发布 国家电网公司 发布 2016-11-09 实施 前言 为规范国家电网公司信息系统与相关设备的基础防护，消除网络与信息安全防护工作中存在的薄弱环节，提高信息系统安全防护能力，结合电力行业及国家电网公司防护要求，制定本标准。本标准由国家电网公司信息通信部提出并解释，由国家电网公司科技部归口。起草单位包括南瑞集团公司信息通信技术分公司、国网山东省电力公司、国网江苏省电力公司、国网浙江省电力公司、国网四川省电力公司、国网黑龙江省电力有限公司、国网陕西省电力公司。主要起草人：陈刚、刘莹、金倩倩、杨维永、朱世顺、刘行、刘寅、丁晓玉、栾国强、韩勇、屠正伟、曲延盛、王烨、杜猛俊、卢黎明、刘萧、江勇、梁晖辉、权长荣、张永平、苏哈江、代长生、雷大洋、俞庚申、郭靓、黄伟、李补岐、张盈、刘强、徐亮、张志伟、张宪康、欧阳利剑、范永。本标准首次发布，在执行过程中意见或建议反馈至国家电网公司科技部。 1 范围 本标准规定了国家电网公司总部和各单位管理类信息系统与相关设备的安全基线要求，适用于国家电网公司总部和各单位管理类信息系统及相关设备的基础防护工作。按照等级保护标准定级为二级的系统应按本标准进行防护，三级及以上信息系统应在本标准基础上结合国家及行业主管部门相关要求进行防护。 2 规范性引用文件 下列文件对本文件的应用不可或缺。注日期的引用文件，仅所注日期的版本适用于本文件。未注日期的引用文件，其最新版本（包括所有修改单）适用于本文件。GB/T25069 信息安全技术术语。 3 术语和定义 GB/T25069 界定的以及下列术语和定义适用于本文件。 3.1 安全基线 security baseline 信息系统或设备的最低安全配置要求，即该信息系统或设备的最小安全保证。3.2 外部设备 peripheral 指连接在计算机主机以外的设备，如网络打印机、传真机等具备打印、复印、传输功能的硬件设备。 4 安全基线要求 4.1 物理安全基线要求 4.1.1 物理防护 物理环境应按照物理防护安全基线要求进行防护，预防物理环境破坏，提高系统所涉及的物理环境安全防护能力。 表1 物理防护安全基线要求 要求点: 机房位置 环境监控 防雷击 防静电 电磁防护 安全基线要求: 应位于建筑中间楼层，远离建筑物水源；应部署涵盖视频、烟感、温湿度、漏水监测等功能的监控系统并能实现自动报警；应部署防雷击保护装置；应采用防静电地板，并配备静电消除设备；应采用接地方式防止外界电磁干扰和设备寄生耦合干扰。 说明: 如不可避免顶层、地下室或用水设备下层，应部署漏水监测、漏水保护、自动化排水系统等防水措施。监控系统监测范围应覆盖机房内所有资产设备并配置自动报警功能。设置防雷装置，信息系统所有设备和部件应安装在有防雷保护的范围内。关键设备必须满足接地、防静电等要求。机房强弱电线缆应隔离铺设，采用屏蔽性能良好的屏蔽电缆作为机房的电源引入线。 4.1.2 物理管理 物理环境管理应按照物理管理安全基线要求进行防护，强化物理环境管理，提高系统所涉及的物理环境安全防护能力。 表2 物理管理安全基线要求 要求点: 机房出入口管理 机房区域划分 设备标签管理 电力供应管理 通信冗余 安全基线要求: 应安排专人值守或配置电子门禁系统；应按照功能进行区域划分；应落实公司针对机房设备标签的相关要求；机房市电电源供应应实现双路且能自动切换，并建立备用供电系统；网络通信设备和通道进行冗余配置。 4.2 网络设备安全基线要求 4.2.1 设备管理 内部人员需按管理要求进行设备操作、配置和维护，确保网络设备的安全防护和可用性。