电力行业信息系统等级保护定级现状分析及建议

叶林

2007年，公安部等四部委印发《信息安全等级保护管理办法》，信息系统安全等级保护定级及相关测评工作开始在国内各行业逐步落实开展。同年11月，原国家电力监管委员会下发了《电力行业信息系统等级保护定级工作指导意见》，以此文件为主要依据，电力行业信息系统安全等级保护定级和实施的相关文件、标准陆续颁布执行，电力行业企业、安全等级保护测评单位也按要求不断开展和改进相关工作，信息系统网络安全防护的意识和实施水平普遍得到了极大加强。

但经过十几年的实践，从等级保护评测现状来看，部分标准和专家越来越倾向于细分定级系统、将安全分区与等级保护定级混同，这种倾向偏离了种类越来越多、融合度越来越高、安全防护技术能力越来越强的信息系统等级保护定级的需求。因此，电力行业信息系统安全等级保护定级的原则和发展思路亟待进一步优化和明确，以防因“过度防护”加大企业负担，困扰企业正常生产经营。

現状分析

《电力行业信息系统等级保护定级工作指导意见》（电监信息——2007——44号）中提出：“一般来讲单位信息系统可以划分为几个定级对象，如何划分系统是定级之前的主要问题。信息系统的划分没有绝对的对与错，只有合理与不合理，合理地划分信息系统有利于信息系统的保护及安全规划，反之可能给将来的应用和安全保护带来不便，又可能需要重新进行信息系统的划分。”“应当结合信息系统的现状，从信息系统的管理机构、业务特点或物理位置等几个方面考虑对信息系统进行划分，当然也可以根据信息系统的实际情况，选择其他的划分依据，只要最终划分结果合理就可以。”同时明确“可将电力行业信息系统分为生产控制系统、生产管理系统、网站系统、管理信息系统、信息网络五大类”，并给出了等级保护定级建议表格。

上述前两个意见的总体原则显然是科学合理并长期有效的，但缺点是含混，不方便统一、标准化地执行；而规定的等级保护定级建议表格在近十几年的实践操作过程中，被越来越多的专家、后续标准制定者以及测评单位僵化地解读和执行成了强制性条款，已不适应信息系统安全保护工作的发展。例如，区域新能源集控系统包括了生产控制和生产管理的各种功能模块，如果按照建议表格，就必须按照功能模块去划分定级系统，造成管理和操作上的困扰。因此，五大系统和系统细化定级建议表格有待进一步突破和完善。

一、信息系统的融合度越来越高

高度融合的信息系统无法按照五大类进行划分。例如电厂监控系统管理大区的功能越来越丰富，已经替代了部分管理信息系统，同时也能实现手机APP数据查询，我们很难针对同一个Web服务器去区分一个功能属生产管理系统、管理信息系统还是网站系统。大量不同子系统的数据汇集到前置数据服务器的情况越来越多，对于虚拟化的硬件平台或者云计算平台而言，划分一个个系统的难度更大。过于细碎的信息系统划分并不能提高安全防护水平，反而造成了更多困扰。在当前实际生产中，等级保护的定级对象往往根据系统功能和业务特点进行划分，在电网调度系统中甚至出现了以功能模块划分定级对象的情况，如此只能人为地以交换机、数据采集服务器等为边界划分系统，有时可能把一个完整的系统割裂为很多分系统，使得定级对象清单越来越长，而争议也越来越多。

二、新增的信息系统越来越多

随着场站“无人值班，少人值守”模式的推行，上线的信息系统越来越多，包括视频监控系统、自动消防系统、无人机巡检系统、机器人巡检系统、在线振动监测系统、移动应用系统等，甚至由于加装了大量入侵检测、安全审计、态势感知等装置，网络安全防护系统也已自成体系，形成了一套单独的信息系统，场站的运维人员已无能力将系统进行过多细化后区别对待。面对这种形势，需要行业深入思考的问题包括：是不是安全等级保护的定级对象越多就越安全？随着国家电力行业整体防护能力、技术水平的提高，安全防护手段的不断加强，大部分场站信息系统已不会“对社会秩序和公共利益造成严重损害，或者对国家安全造成损害”，是否有必要确定为3级系统？如果场站都是2级系统，花费大量精力去罗列标准不清的细分清单并区分系统等级到底有没有意义？能否基于责任单位和物理位置进行统一管理？

以一个220kV升压站接入电网、装机容量200MW的风电场为例，参照近年部分等级保护测评单位和专家的思路与做法，结合近期颁布及正在编制的火电厂、新能源场站安全等级保护定级指南和实施指南，该风电场安全等级将被确定为3级，定级对象为220kV升压站自动化系统、风电机组监控系统、继电保护信息管理系统、故障录波信息管理系统、电能量计量系统、风功率预测系统、机组振动监测系统、机组视频监视系统等。其中前两个系统安全等级保护为3级，其余系统定级为2级。由于部分安防专家并不熟悉新能源现场情况，如果按上述测评划分定级对象的方法（按业务类型划分），那么还有机组控制系统、机组自动消防系统、升压站视频安防系统、升压站消防系统、SVG控制系统、AGC/AVC控制系统、对时系统、调度信息管理系统、生产信息管理系统、生产移动应用系统、区域集控系统子站系统和通信网络系统等一系列常规系统被遗漏。而如果该风电场开展自动化、信息化、智慧化的“无人值班”改造后，还将产生更多新业务类型的信息系统。

信息系统安全等级测评要求“每个备案信息系统单独出具测评报告”，按上述部分等级保护测评单位和专家的思维方式，一个风电场需要备案十几个信息系统，对这些信息系统一一进行边界划分、安全措施、安全管理等测评，不仅难以在安全责任单位落实和开展运维管理，绝大部分测评单位也需要投入巨大的人力、物力才能完成相关工作。这是与“重点保护、有效控制成本、优化资源配置”的原则相违背的。

三、“过度防护”趋向明显

随着信息化、智能化技术的高速发展，一个单位信息系统的建设、改造都是高频次的，如果在实践操作中强制要求一些开始试点“无人化”“少人化”的单位细分同为2级的信息系统，既浪费大量资源、精力，又无法达到重点保护的效果，也就偏离了开展安全等级保护管理的初衷，反而造成了“过度防护”。

近几年颁布的安全等级保护相关标准和一些专家，对信息系统的划分越来越趋向于细化，要求也越来越严苛。“电力监控系统包括电力数据采集与监控系统、能量管理系统、变电站自动化系统、微机继电保护和安全自动装置、广域相量测量系统、负荷控制系统……电力调度数据网络等”（《电力信息系统安全等级保护实施指南》GB/T 37138-2018），那么把负荷控制系统、继电保护系统、电能量计量系统与SCADA系统合起来看作一个场站电力监控系统是否合适？很多专家把信息系统安全分区和等级保护混同起来，提出了“应遵从安全分区原则，尽量避免将不同安全区的系统作为同一个定级对象”，“具有相同安全防护属性的同一安全区域业务子系统，可以整合为一个整体定级对象”（《电力信息系统安全等级保护实施指南》GB/T 37138-2018），有的专家还提出不同安全分区应该分别配置安全态势感知装置等要求。

建议措施

《信息安全技术信息系统安全等级保护定级指南》（GB/T 22240-2008）第5.2条、《电力行业信息系统等级保护定级工作指导意见》第6.2条建议“一个单位内运行的信息系统可能比较庞大，为了体现重要部分重点保护、有效控制信息安全建设成本、优化信息安全资源配置的等级保护原则，可将较大的信息系统划分为若干个较小的、可能具有不同安全保护等级的定级对象”。

由此可見，安全等级保护的原则非常清晰，就是重点保护、有效控制成本、优化资源配置，从而提升信息系统的安全防护水平，所以适度合理的划分定级对象和确定等级是非常重要的。

火电厂、水电站的安全等级保护定级和实施指南等相关标准即将陆续颁布执行，新能源场站的标准也已立项编制。针对以上存在的问题，建议在电力行业信息系统等级保护相关标准规范修订和实施工作中采取下列解决措施：

（1）对于220kV以下变电站、单机容量300MW以下火电机组、总装机1000MW以下水电站、总装机200MW及以下风电场和光伏电站（包括其220kV及以下升压变电站），以安全责任单位和地理位置作为划分依据，可以“场站电力监控系统”作为定级对象的名称，定级为2级，实行统一管理，满足发电厂、变电站智能化、“无人值班”的发展需求。

（2）定级为1级、2级的信息系统，安全责任单位可以根据安全需求分析和规划设计的要求，将相同等级的相关信息系统以大系统进行划分，确定定级对象，并统一实施安全运行维护管理，避免因业务种类划分过细而造成安全资源和建设成本的浪费、割裂了系统软硬件平台的完整性，大系统应根据“安全分区”原则将业务系统分置于安全区管理，同时按照各子系统的业务信息和系统服务安全要求采取相应的防护措施。

（3）简化电力行业信息系统五大类的划分，可以按生产系统、管理系统、网络通信三大类进行划分，界面更清晰，也更便于实施操作。

（4）优化2级及以下信息系统的等级保护定级、备案及测评流程，投入运行后以年度自查评为主，坚持安全责任单位自主负责的原则，强化监督检查机制。

根据这些建议措施，仍然以一个220kV升压站接入电网、装机容量200MW的风电场为例，可以将“风电场电力监控系统”整体作为定级对象，确定风电场安全等级保护为2级。在考虑安全防护具体措施时，可以按生产系统、管理系统、网络通信三个类别进行子系统划分，重点分析与外部网络进行数据传输的安全薄弱环节，在机组控制、升压站控制等容易造成严重损害的业务上开展重点防护，统筹建立全站的安全防护运维管理体系，整体部署包括入侵检测、安全态势感知、蜜罐诱捕等装置的网络安全防护系统。投入运行后风电场每年组织一次自查评，发生信息系统更新改造和新增系统时选择具备资质条件的等级保护测评单位进行测评。

结语

电力行业作为保障国计民生的重要基础性工业，其信息系统的安全性应引起高度重视，不断加强相关管理。同时也要与时俱进，跟上信息技术高速发展的步伐，在保障安全的前提下确保技术充分发挥作用，完善标准规范，提升管理水平，避免“过度防护”。

（作者单位：华能新能源股份有限公司云南分公司）