電力行業(yè)網絡與信息安全檢查方案

為貫徹落實《國務院辦公廳關于開展重點領域網絡與信息安全檢查行動的通知》（國辦函〔2012〕102號）要求，結合電力行業(yè)信息安全工作實際，制定電力行業(yè)網絡與信息安全檢查方案。
一、檢查依據
1. 《國務院辦公廳關于開展重點領域網絡與信息安全檢查行動的通知》（國辦函〔2012〕102號）；
2. 《電力行業(yè)網絡與信息安全監(jiān)督管理暫行規(guī)定》（電監(jiān)信息〔2007〕50號）。
3. 《電力二次系統(tǒng)安全防護規(guī)定》（電監(jiān)會5號令）。
二、檢查目的
通過開展電力行業(yè)網絡與信息安全檢查，全面掌握重要電力網絡與信息系統(tǒng)基本情況，分析面臨的安全威脅和風險，評估安全防護水平，查找突出問題和薄弱環(huán)節(jié)，有針對性地采取防范對策和改進措施，加強網絡與信息系統(tǒng)安全管理、技術防護和人才隊伍建設，促進安全防護能力和水平提升，預防和減少重大信息安全事件的發(fā)生，切實保障電力網絡與信息系統(tǒng)安全，維護電力系統(tǒng)安全穩(wěn)定運行，保障黨的十八大順利召開。
三、檢查范圍
各電力企業(yè)運行使用的網絡和信息系統(tǒng)，重點檢查信息安全保護等級為3級及以上的重要網絡與信息系統(tǒng)。
四、檢查方式
本次檢查按照“誰主管誰負責、誰運行誰負責”的原則，采用電力企業(yè)自查、電監(jiān)會派出機構對轄區(qū)內電力企業(yè)自查情況、自查質量進行跟蹤檢查和電監(jiān)會組織專門隊伍同時進行抽查相結合的方式。
五、檢查內容
本次信息安全檢查主要分基本情況調查、安全防護情況檢查和問題及風險分析三個方面。
（一）網絡與信息系統(tǒng)基本情況調查。
主要調查系統(tǒng)特征，包括系統(tǒng)停止運行后對主要業(yè)務的影響程度，系統(tǒng)遭到攻擊破壞后對社會公眾的影響程度等；系統(tǒng)構成，包括主要軟硬件設備的類型、數量、生產商等；信息技術外包服務，包括服務類型、服務提供商、服務方式、安全保密協(xié)議等。各單位要在全面調查的基礎上，匯總填寫《電力行業(yè)信息安全檢查情況報告表》（見附件1）。
（二）安全防護情況檢查。
各單位主要從以下15個方面對本單位信息安全防護情況進行重點檢查，并在認真檢查的基礎上，如實填寫《電力企業(yè)信息安全檢查表（2012版）》（見附件2）。
1. 組織體系建設情況。信息安全組織機構建立情況；第一責任人確立情況；責任落實情況；專職機構及崗位設置情況；安全人員配置情況等。
2. 規(guī)章制度建立情況。整體策略及總體規(guī)劃（方案）制定情況；管理制度制定情況及制度體系完整性；操作規(guī)程制定情況；制度發(fā)布情況等。
3. 資金保障情況。經費預算情況；安全運維經費投入情況；安全建設經費投入情況等。
4. 人員安全管理情況。全員安全培訓及保密協(xié)議簽訂情況；專業(yè)技能培訓情況；崗位人員審查情況；崗位調整安全管控情況等。
5. 服務外包管控情況。外包服務協(xié)議簽訂情況；第三方人員訪問管理情況；遠程服務管控情況；現場開發(fā)管控情況等。
6. 關鍵信息資產管控情況。資產清單的建立情況；資產管理職責的落實情況；信息系統(tǒng)基礎資料歸檔情況等。
7. 信息系統(tǒng)建設安全管理情況。系統(tǒng)上線安全測評情況；等級保護建設情況；等級保護測評情況；信息安全風險評估開展情況；密碼產品采購情況；信息產品采購測試情況；安全產品國產化情況等。
8. 安全分區(qū)防御情況。安全分區(qū)情況；橫向隔離及縱向認證設備部署情況；跨區(qū)連接管控情況；內外網隔離情況等。
9. 網絡安全防護情況。生產控制大區(qū)安全防護情況；管理信息大區(qū)安全防護情況；互聯(lián)網出口統(tǒng)一管理情況；互聯(lián)網出口安全管控情況；無線網絡安全防護情況等。
10. 主機和設備安全防護情況。補丁更新管理情況；惡意代碼防護情況；系統(tǒng)加固情況；辦公終端管控情況；主機和設備帳號口令管理情況等。
11. 應用系統(tǒng)和數據安全防護情況。應用系統(tǒng)安全功能及配置情況；對外服務系統(tǒng)信息監(jiān)控和攻擊防御情況；對外服務系統(tǒng)周期測試情況；應用系統(tǒng)賬號口令管理情況；重要數據安全保護情況等。