2025电力行业非控制系统等保三级测评现场检查清单

电力行业非控制系统等保三级测评现场检查清单2026版目录TOC\o"1-3"\h\u21957一、技术要求测评 5972（一）物理安全 58244（二）安全通信网络 621041（三）网络安全 930352（四）主机安全 1010912（五）应用安全 1231319（六）数据安全 136441二、管理要求测评 1424001（一）安全管理机构 143071（二）安全管理制度 1512197（三）人员安全管理 164678（四）系统建设管理 1714229（五）系统运维管理 1832324三、测评判定说明 19电力行业非控制系统（涵盖管理信息系统、电力交易平台、办公自动化系统、客户服务系统、财务管控系统等）作为电力行业业务运营、管理决策的重要支撑，其网络安全直接关系电力行业平稳运行与能源安全。此类系统等保三级测评，核心是严格依据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）、《电力行业网络安全等级保护测评技术规范第1部分：非控制类系统》（DL/T2613-2023）、《电力行业网络安全等级保护测评实施指南第1部分：非控制类系统》（DL/T2614-2023）等国家标准及电力行业专项标准开展。测评工作遵循“纵深防御”核心原则，从技术防护与管理体系两大维度开展全面、系统的安全评估，覆盖物理安全、安全通信网络、网络安全、主机安全、应用安全、数据安全六大技术领域，及安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理五大管理领域，全面排查系统安全隐患，验证安全防护措施有效性，推动系统安全能力达标，切实保障电力行业非控制系统稳定运行、核心业务连续及敏感数据安全。本清单基于上述标准编制，专为电力行业非控制系统等保三级现场测评设计，提供标准化、可落地的检查依据，助力测评人员规范开展现场核查工作。清单各项检查项均明确判定标准与证据收集方式，兼顾通用性与电力行业特殊性，聚焦系统安全核心风险点。测评人员需结合被测评系统实际业务场景、架构特点，逐项核查、如实记录，严格遵循“客观公正、有据可依、全程留痕”原则开展测评工作，精准识别安全短板，提出针对性整改建议，最终形成符合等级保护要求的专业测评报告，为系统安全优化与合规验收提供支撑。本清单依据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）、《电力行业网络安全等级保护测评技术规范第1部分：非控制类系统》（DL/T2613-2023）、《电力行业网络安全等级保护测评实施指南第1部分：非控制类系统》（DL/T2614-2023）等国家标准及电力行业专项标准编制，适用于电力行业非控制系统（含管理信息系统、电力交易平台、办公自动化系统、客户服务系统等）的等保三级现场测评工作。清单围绕“技术防护+管理体系”双维度构建，覆盖物理安全、安全通信网络、网络安全、主机安全、应用安全、数据安全六大技术领域，及安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理五大管理领域，旨在为现场测评提供标准化、可落地的检查依据，确保测评工作全面、规范、高效，精准识别安全隐患，保障电力行业非控制系统稳定运行及核心数据安全。本清单各项检查项均明确判定标准与证据收集方式，测评人员需结合现场实际情况，逐项核查、如实记录，严格遵循“客观公正、有据可依”原则开展测评工作，最终形成符合等级保护要求的测评报告。一、技术要求测评（一）物理安全检查项判定标准证据收集方式物理位置与环境1.机房选址避开地震、洪水、火灾高发等危险区域；2.主机房与辅助区（如办公区、存储区）物理隔离；3.机房具备防震、防火（配备烟感/温感探测器）、防水（地面无渗水风险，管道不穿主机房）、防潮（湿度30%-80%）、防静电（地面铺设防静电地板）、温湿度控制（温度18-27℃）能力1.查看机房选址文件、建筑平面图；2.现场核查主机房与辅助区隔离情况；3.检查机房环境监测记录、防静电地板检测报告、温湿度计实时数据物理访问控制1.机房出入口配备电子门禁系统（支持权限分级管理）；2.机房内关键区域（如服务器机柜区）部署视频监控，监控覆盖无死角，记录至少留存90天；3.关键区域实行双人出入制度（需两人同时在场方可进入）1.查看电子门禁权限配置表、出入记录；2.调取视频监控录像，核查存储时长；3.检查双人出入登记台账，现场模拟验证设备与介质安全1.服务器、网络设备等关键设备固定放置（有机柜锁定装置），并张贴设备标识（含设备名称、编号、责任人）；2.存储介质（硬盘、U盘等）分类管理（分涉密、非涉密），建立介质台账（含领用、归还、销毁记录）；3.废弃介质销毁符合保密要求（如物理粉碎、专业消磁）1.现场检查设备固定情况、标识张贴；2.查看存储介质台账、领用/归还记录；3.检查介质销毁记录、销毁机构资质文件供电与消防1.机房采用双路供电（来自不同变电站），配备UPS（续航时间满足业务中断后数据备份需求，至少30分钟）、备用发电机（可自动切换，启动时间≤15分钟）；2.机房配备气体灭火系统（如七氟丙烷），每年至少开展1次消防演练，有演练记录1.查看供电合同、UPS检测报告、发电机试运行记录；2.检查气体灭火系统验收报告、消防演练方案及记录（二）安全通信网络检查项判定标准证据收集方式边界防护1.网络边界（互联网出口、跨单位互联、内网分区边界）部署下一代防火墙（NGFW），启用应用识别、威胁防护功能，策略默认拒绝所有访问，按需开放；2.边界部署入侵防御系统（IPS），覆盖常见攻击特征库（如电力行业专用攻击特征），告警响应时间≤30分钟；3.跨单位互联（如与调度机构、合作单位）采用专线或VPN方式，签订安全互联协议，明确访问范围与责任；4.禁止非授权无线网络接入边界区域，边界无线设备启用WPA3加密，绑定接入终端MAC地址1.查看NGFW、IPS部署位置及策略配置文件，测试边界防护有效性；2.检查IPS攻击特征库更新记录、告警日志及处置记录；3.查看专线合同、VPN配置文件、安全互联协议；4.现场排查边界区域无线设备，核查加密配置与MAC绑定清单通信传输安全1.敏感数据（电力交易数据、用户隐私、运维指令）传输采用国密算法（SM2/SM3/SM4）或TLS1.3加密，禁止明文传输；2.建立通信传输完整性校验机制（如哈希校验、消息认证码），定期（每月）测试校验有效性；3.关键业务链路（如核心业务系统与数据库、跨区域数据传输链路）采用双链路冗余，链路故障自动切换时间≤5秒；4.对通信链路带宽进行实时监控，设置带宽阈值告警，避免因带宽耗尽影响业务传输1.查看通信加密配置文件、国密算法认证证书，抓包测试数据传输加密情况；2.查看完整性校验方案及测试记录；3.查看链路冗余配置文件、故障切换测试报告；4.检查链路带宽监控系统配置、告警记录网络隔离与区域划分1.按业务类型（如交易业务、管理业务、办公业务）、安全等级划分独立网络区域，各区域间实现逻辑隔离（VLAN+ACL），禁止跨区域违规访问；2.核心业务区与互联网区、办公区之间部署隔离设备（如网闸），仅开放必要业务端口，无多余通信链路；3.管理区域与业务区域物理或逻辑分离，运维管理采用专用管理通道，禁止通过互联网直接访问管理区域；4.网络区域划分符合电力行业“分区、分级、分域”防护要求，与DL/T2613-2023标准一致1.查看网络分区规划文件、VLAN与ACL配置表，测试跨区域访问控制有效性；2.现场核查网闸部署位置及端口开放清单；3.查看管理通道配置文件，测试互联网访问管理区域权限；4.比对分区方案与DL/T2613-2023标准符合性网络设备安全1.核心网络设备（路由器、交换机、负载均衡器）启用自身防护功能（如防DOS攻击、防ARP欺骗），配置CPU、内存利用率阈值告警；2.网络设备管理员账号采用最小权限分配，启用命令级别控制，敏感操作（如策略修改、重启设备）需双人授权；3.网络设备配置定期备份（每周1次），备份文件加密存储，异地留存，每季度开展配置恢复测试；4.网络设备固件、系统定期更新（每半年至少1次），更新前进行兼容性与安全性测试，有更新记录与测试报告1.查看网络设备防护配置、性能告警日志；2.核查设备管理员权限分配表、敏感操作授权记录；3.查看设备配置备份记录、加密存储证明、恢复测试报告；4.查看固件更新包、更新记录、兼容性测试报告通信安全审计1.部署网络流量审计设备，对边界通信、跨区域通信、关键业务通信进行全流量审计，记录内容包括源IP、目的IP、端口、协议、数据量、操作行为，日志留存至少6个月；2.审计系统支持异常通信行为检测（如大额数据传输、异常协议访问），触发告警后30分钟内响应处置；3.定期（每月）对通信审计日志进行分析，形成审计分析报告，针对异常情况制定整改措施；4.审计日志与网络设备、主机日志联动分析，支持安全事件溯源定位1.查看流量审计设备部署方案、审计日志存储时长与内容完整性；2.检查异常通信告警日志、处置记录；3.查看审计分析报告及整改记录；4.测试日志联动分析功能，验证事件溯源能力（三）网络安全检查项判定标准证据收集方式网络架构1.绘制与实际一致的网络拓扑图（含设备型号、IP地址、链路带宽）；2.合理划分VLAN（如业务区、管理区、互联网区），实现逻辑隔离；3.核心设备（路由器、交换机）与关键链路（核心层-汇聚层）具备冗余（双设备、双链路）；4.网络边界（如互联网出口、与其他单位连接点）部署防火墙、入侵检测/防御系统（IDS/IPS）1.核查网络拓扑图与现场设备配置一致性；2.查看交换机VLAN配置表，测试不同VLAN间通信隔离情况；3.检查核心设备冗余配置文件、链路冗余测试记录；4.查看防火墙/IDS/IPS部署位置、策略配置文件访问控制1.基于会话状态实现端口级访问控制（如禁止无关端口访问）；2.按用户/角色配置访问策略（如仅允许运维人员访问管理端口）；3.重要设备（核心交换机、服务器）配置IP/MAC绑定，禁止未授权设备接入；4.关闭设备非必要端口（如Telnet、FTP）与服务（如SNMPv1）1.查看防火墙、交换机访问控制列表（ACL）配置；2.核查用户/角色权限分配表，现场测试权限有效性；3.查看设备IP/MAC绑定配置，扫描网络内未授权设备；4.检查设备端口与服务启用状态安全审计与恶意代码防范1.部署网络审计设备，记录网络访问与操作行为，日志留存至少6个月；2.边界与终端统一部署防病毒系统并及时更新病毒库，病毒库更新频率≤1天，定期（每月）进行病毒查杀1.查看网络审计日志存储时长、日志内容完整性；2.检查防病毒系统部署清单、病毒库更新记录、查杀报告（四）主机安全检查项判定标准证据收集方式身份鉴别1.启用强密码策略（密码长度≥8位，含大小写字母、数字、特殊字符，每90天更换1次）；2.配置登录失败处理机制（连续5次失败锁定账户，锁定时长≥30分钟，触发告警）；3.关键主机（如数据库服务器）采用双因子认证（如UKey+密码）1.查看主机密码策略配置文件；2.测试登录失败锁定功能，查看告警记录；3.检查双因子认证部署情况，现场验证登录流程访问控制1.按最小权限原则分配用户权限（如普通用户无管理员权限）；2.设置操作超时锁定（闲置时间≤15分钟自动锁定）；3.每季度清理僵尸账户（超过90天未登录账户），有清理记录1.查看用户权限分配表，测试权限范围；2.检查主机超时锁定配置；3.查看僵尸账户清理记录，核查账户列表安全审计1.开启主机审计功能，记录用户登录（登录时间、IP）、操作（文件修改、进程启动）、系统事件（如蓝屏、重启）；2.审计日志留存至少6个月，定期（每月）备份至专用日志服务器；3.支持日志查询、分析功能1.查看主机审计配置，导出日志核查内容完整性；2.检查日志备份记录、日志服务器存储情况；3.测试日志查询与分析功能漏洞与恶意代码防护1.每季度进行1次漏洞扫描（采用专业工具如Nessus），中高危漏洞修复率≥95%；2.主机安装防病毒软件，病毒库更新频率≤1天，定期（每月）查杀；3.禁用不必要的服务（如Telnet）与进程（如无关后台进程）1.查看漏洞扫描报告、漏洞修复记录；2.检查防病毒软件部署情况、更新记录、查杀报告；3.查看主机服务与进程启用列表备份与恢复1.关键主机数据（如系统配置、业务数据）采用本地+异地双备份（异地距离≥50公里）；2.每月开展1次恢复测试，恢复成功率≥95%；3.备份数据存储介质加密，有备份台账1.查看备份方案、备份记录（时间、内容）；2.检查恢复测试报告；3.查看备份介质加密配置、备份台账（五）应用安全检查项判定标准证据收集方式身份鉴别与访问控制1.应用系统采用统一身份认证（如集成LDAP、单点登录）；2.基于角色的访问控制（RBAC），角色权限与岗位职责匹配；3.敏感操作（如转账、数据删除）需二次认证（如短信验证码、动态口令）1.查看统一身份认证部署方案，测试登录流程；2.核查角色权限分配表，测试权限有效性；3.测试敏感操作二次认证功能安全审计1.记录用户操作（如登录、业务办理）、业务交易（如订单提交、数据查询）日志，包含操作人、时间、内容、结果；2.日志留存至少6个月，支持日志分析与追溯；3.重要操作（如权限变更）触发告警1.导出应用日志核查内容完整性、存储时长；2.测试日志查询、分析功能；3.查看告警配置与告警记录数据完整性与保密性1.应用数据传输采用加密技术（如TLS1.3），防止传输过程篡改；2.敏感数据（如用户身份证号、交易密码）存储加密（采用AES-256算法）；3.定期（每季度）检测数据完整性（如哈希校验）1.测试数据传输加密有效性；2.查看存储加密配置文件；3.检查数据完整性检测报告抗攻击能力1.上线前开展代码审计（覆盖Java、Python等主流语言）、渗透测试（含SQL注入、XSS、CSRF漏洞检测），高危漏洞修复率100%；2.应用系统具备防SQL注入（如参数化查询）、XSS（如输入过滤）、CSRF（如Token验证）能力；3.每半年开展1次渗透测试复查1.查看代码审计报告、渗透测试报告、漏洞修复记录；2.现场测试抗攻击功能（如模拟SQL注入）；3.查看复查报告备份与恢复1.应用程序（安装包、源代码）、配置文件（如数据库连接配置）每月备份1次；2.制定恢复预案（含恢复步骤、责任人、时间要求），每季度开展1次恢复演练；3.恢复后验证应用功能完整性（如业务流程测试）1.查看备份记录（时间、内容）；2.检查恢复预案、演练记录；3.查看恢复后功能验证报告（六）数据安全检查项判定标准证据收集方式数据存储1.敏感数据（如电力交易数据、用户隐私数据）按分类分级结果加密存储（采用国密算法如SM4）；2.建立数据分类分级台账（含数据类别、级别、存储位置、责任人）；3.按数据级别设置访问权限（如一级数据仅管理员可访问）1.查看数据分类分级文件、加密存储配置；2.核查数据台账与实际存储情况一致性；3.测试数据访问权限控制有效性数据备份与恢复1.核心数据（如交易数据、业务报表）实时备份（RPO≤5分钟）+每周全量备份；2.备份数据异地存储（异地距离≥50公里），存储介质加密；3.恢复时间目标（RTO）≤4小时，恢复点目标（RPO）符合业务要求，每月开展恢复测试1.查看备份方案、实时备份配置、全量备份记录；2.检查异地备份存储证明、加密配置；3.查看恢复测试报告，验证RTO、RPO达标情况数据销毁1.不再使用的数据（如过期业务数据、废弃用户数据）按规定彻底销毁（如硬盘物理粉碎、电子数据消磁）；2.数据销毁前进行审批，有销毁记录（含销毁时间、方式、责任人、数据清单）；3.销毁过程有监督（双人监督）1.查看数据销毁审批单、销毁记录；2.检查销毁介质处理证明（如粉碎机构回执）；3.核查监督人员签字记录数据共享与传输1.数据共享需经业务部门、安全部门审批，签订数据共享协议（明确用途、期限、责任）；2.数据传输采用加密技术（如TLS1.3、SM4），禁止明文传输敏感数据；3.建立数据流向台账（含共享对象、传输时间、数据内容），定期核查数据使用合规性1.查看数据共享审批单、共享协议；2.测试数据传输加密有效性；3.核查数据流向台账，抽查共享数据使用记录二、管理要求测评（一）安全管理机构检查项判定标准证据收集方式机构与岗位设置1.设立专门安全管理部门（如网络安全科），明确部门职责与负责人；2.配备专职安全人员（按员工总数3‰配备，不少于2人），关键岗位（如安全审计岗、应急响应岗）实行双人负责制；3.明确各岗位安全职责（如运维岗负责设备巡检，审计岗负责日志核查），形成岗位职责说明书1.查看部门设立文件、组织架构图；2.核查安全人员名单、岗位配置表；3.查看岗位职责说明书外部协作机制1.与公安（网安支队）、网信、能源局等部门建立协作机制（如定期会议、信息通报）；2.每年至少开展1次安全信息共享（如漏洞情报、攻击态势）与交流活动；3.与专业安全服务机构（如渗透测试机构）签订合作协议1.查看协作机制文件、会议记录；2.检查信息共享记录、交流活动材料；3.查看安全服务合作协议（二）安全管理制度检查项判定标准证据收集方式制度制定1.制定覆盖全流程的安全管理制度，包含物理安全、网络安全、主机安全、应用安全、数据安全、应急响应、人员管理等类别；2.制度内容符合GB/T22239-2019、DL/T2613-2023等标准要求，明确责任主体、执行流程、考核机制1.核查制度文件清单，检查制度完整性；2.比对制度内容与标准要求一致性制度评审与培训1.制度每年至少评审1次，根据法规（如《网络安全法》）、标准更新及业务变化修订，有评审与修订记录；2.制度向全体员工公示（如内网发布），每年至少开展2次制度培训（含新员工入职培训、全员年度培训），有培训记录（签到表、课件、考核成绩）1.查看制度评审报告、修订记录；2.检查制度公示截图、培训记录、考核成绩（三）人员安全管理检查项判定标准证据收集方式人员录用1.关键岗位（如安全管理岗、运维岗）录用前开展背景审查（含学历、工作经历、无犯罪记录）；2.员工入职时签订保密协议（明确保密范围、期限、违约责任），关键岗位额外签订竞业限制协议1.查看关键岗位背景审查记录；2.检查保密协议、竞业限制协议签订台账人员培训1.每年制定安全培训计划（含意识培训、技能培训），培训内容覆盖网络安全法规、制度、应急处置、防钓鱼等；2.关键岗位人员（如运维、安全）需持证上岗（如CISAW-ICS、等保测评师），证书在有效期内；3.培训后进行考核，考核不合格者补考，有考核记录1.查看培训计划、培训课件、签到表；2.核查关键岗位人员证书；3.检查考核成绩记录人员离岗1.人员离岗（辞职、调岗）时办理资产交接（如电脑、U盘、钥匙），有交接记录；2.24小时内注销离岗人员系统账号、门禁权限，有权限注销记录；3.离岗时重申保密义务，关键岗位人员签订离岗保密承诺书1.查看资产交接记录；2.检查账号/权限注销记录；3.查看离岗保密承诺书（四）系统建设管理检查项判定标准证据收集方式规划与设计1.系统规划阶段确定等保三级等级，形成等级确定报告；2.同步规划安全方案（含技术防护、管理措施），引入第三方安全咨询机构参与方案评审，有评审报告1.查看等级确定报告；2.检查安全方案、第三方评审报告采购与开发1.采购的设备（服务器、防火墙）、软件（操作系统、数据库）符合安全要求（如具备国家信息安全等级保护认证），有采购验收记录（含安全功能测试）；2.自主开发系统遵循安全编码规范（如OWASPTop10防护），开发过程开展代码审计（每阶段至少1次），有审计报告1.查看设备/软件采购合同、认证证书、验收记录；2.查看安全编码规范文件、代码审计报告测试与验收1.系统上线前开展安全测试（含漏洞扫描、渗透测试、压力测试），高危漏洞修复率100%，有测试报告；2.组织验收（含业务部门、安全部门、第三方机构），验收合格后方可上线，有验收报告（含验收标准、结果）1.查看安全测试报告、漏洞修复记录；2.检查验收报告、验收签字记录变更管理1.系统变更（版本升级、配置修改、功能新增）需提交变更申请，经业务部门、安全部门审批，有审批记录；2.变更前制定回退方案（含回退步骤、责任人），变更后进行测试（功能、安全测试），有回退方案、测试记录；3.记录变更过程（变更时间、内容、执行人、结果），形成变更台账1.查看变更申请单、审批记录；2.检查回退方案、变更后测试报告；3.核查变更台账（五）系统运维管理检查项判定标准证据收集方式日常运维1.制定运维操