国家能源局关于加强电力行业网络安全工作的指导意见

2018-11-14 17:44:00 电力设备管理　点击量：评论 (0)

健全电力行业网络安全责任体系，完善网络安全监督管理体制机制，加强关键信息基础设施安全保护，提升电力监控系统安全防护水平，强化网络安全防护体系，提高自主创新及安全可控能力，防范和遏制重大网络安全事件，保障电力系统安全稳定运行和电力可靠供应，提出以下意见。

国家能源局关于加强电力行业网络安全工作的指导意见

国能发安全[2018]7号

省、自治区、直辖市、新疆生产建设兵团发展改革委(能源局)、经信委(工信委)，国家能源局各派出监管机构，全国电力安全生产委员会各企业成员单位：

为深入贯彻党的十九大精神，全面落实习近平总书记关于网络强国战略的重要论述，按照《中华人民共和国网络安全法》《电力监管条例》及相关法律法规要求，健全电力行业网络安全责任体系，完善网络安全监督管理体制机制，加强关键信息基础设施安全保护，提升电力监控系统安全防护水平，强化网络安全防护体系，提高自主创新及安全可控能力，防范和遏制重大网络安全事件，保障电力系统安全稳定运行和电力可靠供应，提出以下意见。

一、落实企业网络安全主体责任

(一)建立健全网络安全责任制。电力企业是网络安全责任主体，企业各级党委(党组)对本单位、本部门网络安全工作负主体责任，企业主要负责人是网络安全第一责任人。将网络安全纳入企业安全生产管理体系，按照谁主管谁负责、谁运营谁负责、谁使用谁负责的原则，落实网络安全主体责任，厘清界面，强化考核，严格责任追究，确保网络安全责任全覆盖。

(二)健全企业网络安全组织体系。落寞网络安全保护责任，设立专门网络安全管理及监督机构，设置相应岗位，加快各级网络安全专业人员配置;重点企业、机构建立首席网络安全官制摩。

二、完善网络安全监督管理体制机制

(三)健全网络安全监督管理体系。按照谁主管谁负责的原则，国家能源局依法依规履行电力行业网络安全监督管理职责，地方各级人民政府有关部门按照法律、行政法规和国务院的规定，切实履行网络安全属地监督管理职责。国家能源局各派出监管机构根据授权开展网络安全监督管理工作。

(四)依法履行网络安全监督管理职能。制定、修订电力行业网络安全监督管理规定，强化电力行业网络安全标准化能力建设，建立电力行业网络安全联席会议制度，协调推进电力行业网络安全监督管理工作。

(五)强化网络安全协同监督管理。国家能源局及其派出监管机构加强与国家网络安全主管部门、地方各级人民政府有关部门的沟通，形成工作合力，协同开展网络安全检查等工作，加大违法违规行为的处置力度。

(六)加强网络安全技术监督。发挥电力行业网络安全技术服务机构作用，开展电力行业网络安全技术监督工作。加强电力调度机构对并网电厂涉网部分电力监控系统安全防护技术监督，强化电网和发电企业内部网络安全技术监督。

三、加强全方位网络安全管理

(七)履行网络安全等级保护义务。按照国家等级保护制度要求，修订行业等级保护制度，加强等级保护专业力量建设，深化网络安全等级保护定级备案、安全建设、等级测评、安全整改、监督检查全过程管理工作。

(八)规范网络安全风险评估。加快完善自评估为主、第三方检查评估为辅的网络安全风险评估工作机制，及时开展检测评估，其中关键信息基础设施每年至少开展一次评估。规范评估流程、控制评估风除，整改安全隐患，完善安全措施。

(九)加强全业务、全过程网络安全管理。加强发、输、变、配、用、调度等电力全业务网络安全管理，严格落实“三同步”原则，加强漏洞和隐患源头及动态治理，，加强日常运维及安全防护管理，落实全生命周期安全管理措施，保障电力系统网络安全。加强供应链安全管理，强化供应商资质审查、能力评估。保障网络安全资金投入。

(十)加强全员网络安全管理。建立健全全员网络安全管理制度，开展网络安全负责人、关键岗位人员安全背景审查，企业应建立网络安全关键岗位专业技术人员持证上岗制度，有关从业人员应先培训后上岗。加强对产品和服务供应商现场人员的网络安全管理。

四、强化关键信息基础设施安全保护

(十一)落实关键信息基础设施重点保护要求。研究制定电力行业关键信息基础设施认定规则、保护规划及标准规范，开展关键信息基础设施认定工作，实行重点保护。加强关键信息基础设施网络安全监测预警体系建设，提升关键信息基础设施应急响应和恢复能力。

(十二)推进行业网络安全审查。逐步完善电力行业网络产品和服务安全审查制度，明确审查规范，确立审查要点，规范审查流程。有序开展电力行业网络产品和服务安全审查工作。

(十三)进一步完善电力监控系统安全防护体系。按照“安全分区、网络专用、横向隔离、纵向认证”的原则，进一步完善结构安全、本体安全和基础设施安全，逐步推广安全免疫。结合电力生产安全新形势和安全保障需求，及时修订电力监控系统安全防护相关配套方案。强化新能源和中小电力企业等电网末梢的网络安全防护能力，推进配电、用电涉控部分的网络安全防护建设。

五、加强行业网络安全基础设施建设

(十四)加快密码基础设施建设。在重要业务、重要领域实施密码保护，完善电力行业密码支撑体系，实现电力行业密码基础设旋一体化管理。健全电力行业密码检测手段，开展密码应用安全性评估。深化商用密码在电力行业中的应用，促进密码技术与电力应用融合发展。

(十五)建设网络安全仿真验证环境。适应电力行业网络安全研究、测试、演练等应用需求，整合现有资源，建立覆盖发、输、变、配、用、调度全环节的网络安全仿真验证环境，开展重大网络安全事件模拟验证、漏洞挖掘、攻防演练、业务培训等工作。建设行业网络安全重点实验室。

(十六)建立行业网络安全信息资源共享机制。整合行业漏洞挖掘与研究资源，开展漏洞分析、安全加固研究，建立行业漏洞库，完善与国家信息安全漏洞共享平台的沟通、协调和通报机制，加强漏洞预警能力建设，引导企业及时开展漏洞消缺工作，提升企业处置安全漏洞能力。

(十七)强化网络安全检测与服务。强化安全检测机构能力建设，严格执行国家及行业网络安全检测标准，鼓励自主研发检测工具，丰富安全检测技术手段。完善行业网络安全服务体系+开展网络安全认证、检测、风险评估等安全服务。

六、加强电力企业数据安金保护

(十八)加强企业数据安全保障。键全数据安全保护机制，明确数据安全责任主体，强化重要数据的识别、分类和保护，加强关键系统、核心数据容灾备份设施建设。加强重要数据出境管理。加强大数据安全保障能力建设。

(十九)加强个人信息、用户信息保护。强化业务系统个人信息、用户信息保护能力，防止个人信息、用户信息泄露，建立完善个人信息安全事件投诉、举报和责任追究机制。

七、提高网络安全态势感知、预警及应急处置蘸力

(二十)推进网络安全态势感知、预警能力建设。建立行业、企业网络安全态势感知预警平台，加强电力监控系统、重要管理信息系统、互联网出口的全面监测，加强网络安全信息的汇集、研判，建立健全网络安全信息其享和通报机制，健全完善政企联动、上下协同的通报预警机制。

(二十一)加强网络安全应急处置能力建设。建立电力行业网络安全应急指挥平台，完善网络安全应急预案。加强网络安全应急队伍、应急资源库建设，组织开展实战型网络安全应急演练，提升网络安全事件应急快速响应能力。

(二十二)健全重大活动网络安全保障机制。建立分级网络安全保障机制，统筹行业资源，强化协调指挥。针对国家重大活动，制定保障工作方案，落实保障措施。