信息安全等級保護標準在電力行業(yè)的應用
統(tǒng)包括財務應用相關的各系統(tǒng)，主要功能包括預算管理、核算管理、資金管理、電子支付等。
3.1 等級保護測評工作中測評指標的選取
開展電力企業(yè)信息安全等級保護測評工作時，一般來說，測評指標包括基本指標和特殊指標兩部分?；局笜艘罁?jù)信息系統(tǒng)確定的業(yè)務信息安全保護等級和系統(tǒng)服務安全保護等級，選擇國家標準《信息系統(tǒng)安全等級保護基本要求》中對應級別的安全要求作為等級測評的基本指標?；局笜说闹笜祟悇e和數(shù)量見表3-1。
| 測評指標 | |||||
| 技術/管理 | 安全類 | 數(shù)量 | |||
| S類 | A類 | G類 | 小計 | ||
| (2級) | (3級) | (3級) | |||
| 安全技術 | 物理安全 | 1 | 4 | 25 | 30 |
| 網(wǎng)絡安全 | 1 | 0 | 31 | 32 | |
| 主機安全 | 9 | 5 | 12 | 26 | |
| 應用安全 | 11 | 9 | 6 | 26 | |
| 數(shù)據(jù)安全 | 2 | 4 | 0 | 6 | |
| 安全理 | 安全管理制度 | 0 | 0 | 11 | 11 |
| 安全管理機構 | 0 | 0 | 20 | 20 | |
| 人員安全管理 | 0 | 0 | 16 | 16 | |
| 系統(tǒng)建設管理 | 0 | 0 | 45 | 45 | |
| 系統(tǒng)運維管理 | 0 | 0 | 62 | 62 | |
| 合 計 | 274（控制點） |
表3-1 基本指標
同時，應結合行業(yè)和系統(tǒng)的實際，依據(jù)信息系統(tǒng)確定的業(yè)務信息安全保護等級和系統(tǒng)服務安全保護等級，選擇《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》中對應級別的安全要求作為本次等級測評的特殊指標。特殊指標的指標類別和數(shù)量見表3-2。
| 測評指標 | |||||
| 技術/管理 | 安全類 | 數(shù)量 | |||
| S類 | A類 | G類 | 小計 | ||
| (2級) | (3級) | (3級) | |||
| 安全技術 | 物理安全 | 1 | 4 | 25 | 30 |
| 網(wǎng)絡安全 | 1 | 0 | 37 | 38 | |
| 主機安全 | 9 | 5 | 12 | 26 | |
| 應用安全 | 11 | 9 | 6 | 26 | |
| 數(shù)據(jù)安全 | 2 | 3 | 0 | 5 | |
| 安全管理 | 安全管理制度 | 0 | 0 | 11 | 11 |
| 安全管理機構 | 0 | 0 | 20 | 20 | |
| 人員安全管理 | 0 | 0 | 16 | 16 | |
| 系統(tǒng)建設管理 | 0 | 0 | 45 | 45 | |
| 系統(tǒng)運維管理 | 0 | 0 | 62 | 62 | |
| 合 計 | 279（控制點） |
表3-2 特殊指標
此外，還有總體要求指標。《電力行業(yè)信息系統(tǒng)安全等級保護基本要求》(送審稿)中管理信息系統(tǒng)類和生產(chǎn)控制類系統(tǒng)總體要求均由整體技術要求和通用管理要求組成，如管理信息類系統(tǒng)整體技術要求規(guī)定：管理信息大區(qū)網(wǎng)絡與生產(chǎn)控制大區(qū)網(wǎng)絡應物理隔離;兩網(wǎng)之間有信息通信交換時應部署符合電力系統(tǒng)要求的單向隔離裝置;管理信息大區(qū)網(wǎng)絡可進一步劃分為內(nèi)部網(wǎng)絡和外部網(wǎng)絡，兩網(wǎng)之間有信息通信交換時防護強度應強于邏輯隔離;具有層次網(wǎng)絡結構的單位可統(tǒng)一提供互聯(lián)網(wǎng)出口;二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)單獨成域;三級系統(tǒng)域由獨立子網(wǎng)承載，每個域有唯一網(wǎng)絡出口，可在網(wǎng)絡出口處部署三級等級保護專用裝置為系統(tǒng)提供整體安全防護。通用管理要求規(guī)定：如果本單位管理信息大區(qū)僅有一級信息系統(tǒng)時，通用管理要求等同采用一級;如果本單位管理信息大區(qū)含有二級及以下等級信息系統(tǒng)時，通用管理要求等同采用二級;如果本單位管理信息大區(qū)含有三級及以下等級信息系統(tǒng)時，通用管理要求等同采用三級。
3.2等級保護測評工作中測評指標的應用
在信息安全等級保護試點測評工作中，由于被評估單位信息資產(chǎn)種類、數(shù)量多，在一段時間內(nèi)不可能逐一進行全面檢測，三級系統(tǒng)的檢測采用抽樣方法進行，其目的是確定技術脆弱性檢測的重點對象和目標。抽樣檢測的對象和目標必須要能代表信息系統(tǒng)的安全現(xiàn)狀，否則評估結果就會偏離實際情況。試點測評工作中，對電力企業(yè)的電力財務(資金)管理系統(tǒng)資產(chǎn)抽樣時遵循了典型性、全面性兩原則。典型性原則即對同一應用中軟件配置完全相同的資產(chǎn)抽樣部分資產(chǎn)，全面性原則即對財務(資金)管理系統(tǒng)中每一類資產(chǎn)都要抽樣。
根據(jù)選取的指標項以及系統(tǒng)測評對象選取結果，在前期系統(tǒng)調研的成果上，現(xiàn)場需要開發(fā)作業(yè)指導書以及編制實施方案。在測評工作中，通過測評以及核查的結果綜合分析可給出系統(tǒng)面臨的風險，并在安全技
