序号

问题类型

基本要求

改进方法

整改范围

1

系统资产梳理

业务功能应按安全分区原则部署，生产控制大区物理隔离，安全III区（OMS系统）与外网隔离，值班电脑禁止使用无线网络；
系统资产以及网络拓扑资料真实全面，机房线缆标识清晰。

梳理生产控制大区网络结构，确保系统资产清晰，网络边界可控

中梁一级、二级、三级电站、220Kv中梁变电站。

2

电厂应掌握运行设备及终端工控设备资产情况

梳理生产控制大区运行设备及工控产品资产

中梁一级、二级、三级电站、220kv中梁变电站。

3

网络 安全

核心服务器、网络设备及安全设备等供电应满足冗余要求

由修试所编制方案并由具备相关资质要求的厂家提供设备并安装调试。

220Kv中梁变电站

4

安全区内部应部署入侵检测系统，及时发现网络中的攻击行为

需要在生产控制大区部署入侵检测系统，检测网络入侵行为

220Kv中梁变电站

5

生产控制大区应部署防止恶意代码功能的软件、防病毒系统；
及时更新防病毒系统，消除系统安全风险

在安全区I、安全区II内的windows主机上部署国产网络防病毒系统

220Kv中梁变电站

6

通过第三方日志审计系统对日志进行统一分析处理

需要在安全区II的网络上部署1套安全审计系统，收集I、II区各类网络设备、网络安全设备的日志，提供审计报告

220Kv中梁变电站

7

安全加固

网络设备应进行安全配置，包括关闭或限定网络服务、避免使用默认路由、关闭网络边界OSPF路由功能、采用安全增强的SNMPv2及以上版本的网管协议、设置受信任的网络地址范围、记录设备日志、设置高强度的密码、开启访问控制列表、封闭空闲的网络端口等

由具备相关资质的厂家开展网络设备加固工作

中梁一级、二级、三级电站、220Kv中梁变电站。

8

主机应进行安全加固（1、开启安全策略；2关闭远程桌面、TELNET等高危服务；3、禁用超级账户、缺省账户、公用账户；4、合理设置用户权限；5、账户配置强口令；6、关闭光驱、USB口、未用网口等端口；7、细化路由配置）

由具备相关资质的厂家开展主机设备加固工作；

中梁一级、二级、三级电站、220Kv中梁变电站。

9

岗位职责明确

制定相关安全管理制度明确岗位职责

制定安全防护相关安全管理制度

中梁一级、二级、三级电站、220Kv中梁变电站。

10

规章制度落实

制定消防预案、消防责任书等文件，机房关键位置张贴防火标识

制定消防预案，签订消防责任书，在自动化机房、通讯机房、UPS室等地点张贴防火标识。

中梁一级、二级、三级电站、220Kv中梁变电站。

11

定期开展开展消防管理制度培训，无消防培训的记录文档

每半年开展消防管理制度培训

中梁一级、二级、三级电站、220Kv中梁变电站。

12

帐号权限的申请、变更等操作具备相关纸质记录

统计业务系统账号清单，规范帐号申请、权限变更流程

中梁一级、二级、三级电站、220Kv中梁变电站。

13

规范安全防护管理流程，如设备巡视、权限修改、外部计算机及移动介质使用、安全策略调整、调试终端接入等

规范安全防护管理流程，如设备巡视、权限修改、外部计算机及移动介质使用、安全策略调整、调试终端接入等

中梁一级、二级、三级电站、220Kv中梁变电站。

14

将时钟等辅助设备是否纳入安全管理范畴

制定安全防护相关安全管理制度

中梁一级、二级、三级电站、220Kv中梁变电站。

15

应用系统工程应具备系统设计方案、建设方案、实施方案、验收文档、运维制度等资料

各应用系统上线应提供：从计划下达到验收归档的全套资料。

中梁一级、二级、三级电站、220Kv中梁变电站。

16

规范数据存档，定期对关键业务的参数进行备份，采用专用存储介质对系统数据定期异地备份

采用专用存储介质对系统数据定期异地备份

中梁一级、二级、三级电站、220Kv中梁变电站。

17

制定信息安全防护相关应急预案

制定信息安全防护相关应急预案

中梁一级、二级、三级电站、220Kv中梁变电站。

18

制定安全防护应急预案，每年开展应急演练，并根据演练结果修正应急预案

制定安全防护应急预案，每年开展应急演练，并根据演练结果修正应急预案

中梁一级、二级、三级电站、220Kv中梁变电站。