2026年电力二次系统安全防护管理规定

2026年电力二次系统安全防护管理规定一、适用范围与核心原则电力二次系统是电网安全稳定运行的核心神经中枢，其安全防护水平直接决定大电网故障下的防扩大、防崩溃能力，本规定所有条款严格对齐《电力监控系统安全防护规定》（国家发展改革委令第14号）、《网络安全等级保护条例》、《电力监控系统网络安全防护导则》（GB/T36572-2018）及国家能源局2025年修订的电力二次安防最新技术要求，适用于省级及以下电力调度机构、地市级供电企业、10MW及以上并网风/光/水火电厂、5MW/10MWh及以上独立储能电站、省级虚拟电厂调控平台、增量配电网运营主体所辖全部涉网电力二次系统。1.1核心防护原则坚持“安全分区、网络专用、横向隔离、纵向认证”十六字基础方针，同步落实零信任动态访问、供应链全链路管控、数据分类分级保护三项2026年新增要求，构建“横向到边、纵向到底、多层防护、动态闭环”的防护体系。1.2防护目标实现三个100%：生产控制大区边界安全装置部署率100%、涉网二次设备等保测评完成率100%、已知高危漏洞修复率100%，杜绝因二次系统被攻击引发的大面积停电、电厂/储能站全厂停运、电网稳定破坏事件。二、组织架构与责任划分二次安防责任落实不到位是80%以上涉网安全事件的核心诱因，本章节明确从决策层到一线运维岗的全链条责任边界，杜绝“人人有责、人人不负责”的管理真空。2.1常设管理机构各单位必须成立电力二次系统安全防护领导小组，组长由单位主要负责人（总经理/厂长）担任，副组长由分管生产、分管网信工作的副总经理担任，成员包含调度、运维、信通、安监、物资、人力资源部门负责人。领导小组职责：每季度第一个月10日前召开季度安防工作例会，审批年度安防项目预算（不低于上年度信息化投入的15%），决策重大安全事件处置方案，每半年向国家能源局派出机构报送安防工作情况。各单位必须配置至少2名持《电力监控系统安全防护培训合格证书》的专职安防管理员，实行AB岗互补，不得出现空岗。2.2岗位责任清单责任部门核心职责考核关联指标调度部门负责所辖调度数据网、SCADA/EMS系统、安稳控制装置、AGC/AVC系统的安防策略落地，审核并网厂站的二次安防接入方案调度指令传输加密率100%、涉网厂站安防资质合格率100%信通部门负责横向隔离、纵向加密、防火墙、入侵检测、态势感知等安全装置的日常运维，负责漏洞排查、补丁验证、流量监测工作安全装置在线率100%、高危漏洞修复及时率100%、告警响应及时率100%生产运维部门（变电/发电侧）负责变电站、电厂内二次装置的物理防护、现场账号管理、移动介质管控、现场装置巡检现场设备弱口令率0、违规外联事件0、巡检完成率100%安监部门负责每半年开展一次安防专项督查，牵头开展事件调查、违规行为问责隐患整改闭环率100%、问责追责到位率100%物资部门负责二次设备采购环节的供应链安全核查，落实信创设备采购比例要求入网设备安防检测合格率100%、信创设备占比达标率100%人力资源部门负责组织安防培训、技能考核，落实安防岗位人员配置要求安防岗位人员持证率100%、年度培训完成率100%2.3协同机制建立调度机构与并网厂站的安防联动机制，省调设立24小时安防值班岗，值班电话对所有并网单位公开，接到厂站安防事件报告后10分钟内给出处置指导意见。三、安全分区与边界防护管理安全分区是二次安防的基础架构，边界防护是阻断网络攻击横向扩散的核心关口，所有违反分区规则、私搭乱连边界的行为均属于重大安全隐患。3.1安全分区规则所有二次系统严格划分为生产控制大区、管理信息大区，生产控制大区进一步划分为控制区（安全区I）、非控制区（安全区II），分区边界必须设置明确的物理标识，严禁跨区混放设备。各分区设备范围及安全等级要求：1.安全区I（控制区）：包含SCADA/EMS系统、继电保护装置、安稳控制装置、AGC/AVC系统、调速器、励磁系统、虚拟电厂调控平台、储能电站PCS控制系统，等保三级，为防护核心区域；2.安全区II（非控制区）：包含电能量采集系统、故障录波系统、保护信息管理系统、无功电压优化系统、水调自动化系统，等保三级；3.管理信息大区：包含生产管理系统、OA系统、营销系统、物资管理系统，与生产控制大区无直接控制逻辑关联，等保二级。3.2边界防护硬性要求1.横向边界防护：生产控制大区与管理信息大区之间，必须部署经国家指定机构检测认证的电力专用横向单向安全隔离装置；安全区I与安全区II之间，必须部署国产千兆级硬件防火墙，配置默认拒绝的访问控制策略，仅开放业务必需的IP、端口、协议。◦机理说明：横向正向隔离装置采用物理单向光传输模块，仅允许数据从生产控制大区单向流向管理信息大区，从硬件层面阻断管理区恶意代码反向入侵生产区的通路；若使用双向隔离装置、普通防火墙替代，存在逻辑层面的反向传输通道，攻击者突破管理区边界后可直接渗透进入控制区，演化路径为：管理区终端感染勒索病毒→通过双向通道进入生产区→感染SCADA服务器→加密控制数据导致调度失控→触发大面积停电。◦性能要求：隔离装置吞吐率≥1000Mbps，转发延迟≤1ms，年可用率≥99.99%；严禁使用双向隔离装置、普通防火墙代替横向单向隔离装置，违者按重大安全隐患考核。2.纵向边界防护：上下级调度之间、调度与厂站之间的调度数据网边界，必须部署电力专用纵向加密认证装置，采用SM2/SM3/SM4国密算法对传输数据进行加密认证，密钥每90天自动轮换一次，严禁明码传输控制指令。纵向加密装置在线率必须达到100%，离线超过5分钟必须触发调度端声光告警。◦机理说明：纵向加密装置可对调度数据网传输的控制指令进行身份校验与加密，防止攻击者通过篡改调度指令、伪造控制报文触发断路器误动；若未部署加密装置，攻击者接入调度数据网即可任意下发分闸指令，直接触发电网事故。3.端口管控要求：所有网络设备、安全设备、二次装置的闲置端口必须全部执行物理shutdown操作，严禁私自启用。确需临时开放端口的，必须经单位安防领导小组副组长审批，明确开放IP范围、用途、期限，最长开放期限不超过7天，到期由安防管理员自动关闭并记录。每季度由安防管理员对全网端口开放情况进行一次全量扫描，形成端口开放清单，由信通部门负责人签字存档。3.3严禁行为与替代方案1.严禁将生产控制大区设备以任何形式直接接入互联网；替代方案：生产区数据如需外发，必须通过正向隔离装置摆渡至管理信息大区指定前置服务器，经数据脱敏、审批流程后对外提供。2.严禁在生产控制大区内搭建无线WiFi热点、接入无线公网设备；替代方案：现场运维如需无线通信，必须使用经国家保密部门认证的电力专用无线通信装置，接入独立的无线安全接入区，经身份认证、加密传输后方可访问生产区业务。3.严禁跨边界直连网线、私搭旁路设备绕过安全装置；替代方案：所有跨区数据传输必须经过对应边界安全装置，确需新增跨区传输链路的，必须经省调安防管理部门审批，配套部署对应安全防护措施后方可投运。四、设备全生命周期安全管理二次设备从采购到退役的全流程漏洞管控，是从源头阻断供应链攻击的核心环节，任何环节的漏检都可能导致带漏洞设备入网引发系统性风险。4.1采购准入阶段所有进入生产控制大区的二次设备（含安全装置、服务器、交换机、保护测控装置、储能控制装置），必须取得国家能源局指定机构颁发的电力监控系统安全检测合格证，优先选用纳入《电力二次系统安全防护产品信创目录》的国产设备，2026年底前生产控制大区信创设备占比不低于60%。采购合同中必须明确供应商网络安全责任：设备交付后3年内发现高危漏洞（CVSS评分≥7.0）的，供应商必须在72小时内提供免费修复补丁，因设备后门、漏洞造成安全事件的，供应商承担相应赔偿责任。严禁采购未通过安全检测、存在已知高危漏洞且无法修复的设备。4.2入网测试阶段所有新设备入网前，必须在信通部门的仿真测试环境中开展为期7天的安全测试，测试内容包含漏洞扫描、后门检测、协议合规性测试、恶意代码检测，测试发现高危漏洞的一律不得入网，测试报告必须由测试人员、专职安防管理员、信通部门负责人三方签字存档后方可上线。仿真测试环境必须与生产环境配置完全一致，严禁直接在运行设备上开展未经验证的测试操作。4.3运行维护阶段1.漏洞管理：建立设备漏洞管理台账，每月同步国家能源局网络安全漏洞库、CNVD国家信息安全漏洞共享平台的最新漏洞信息，对所辖设备开展匹配排查：高危漏洞必须在15天内完成修复，中危漏洞必须在30天内完成修复，低危漏洞必须在90天内完成修复。◦机理说明：生产区设备为实时运行系统，直接下发控制指令，未经验证的补丁可能导致设备死机、业务中断（如SCADA服务器补丁不兼容会导致实时数据刷新中断，调度无法掌握电网运行状态引发误判），因此所有补丁安装前必须在仿真环境中开展72小时兼容性测试，确认不影响业务运行后方可在生产环境部署。2.账号权限管理：严格落实最小权限原则，每个运维人员分配独立账号，严禁多人共用账号；账号口令长度不低于12位，必须包含大小写字母、数字、特殊字符，每60天强制更换，连续5次输错口令锁定账号30分钟；离岗人员账号必须在24小时内注销。3.移动介质管理：生产控制大区必须使用经国家保密部门认证的专用安全U盘（带硬件加密、写保护、内置杀毒引擎），每个U盘实行唯一编号管理，绑定固定使用人、固定使用设备范围，严禁交叉使用；每半个月对所有专用U盘开展一次全量病毒查杀，建立领用登记台账。严禁将私人U盘、手机、移动硬盘等非授权存储设备接入生产区设备——非授权介质可能携带摆渡攻击病毒，插入生产区设备后会自动收集控制数据、接收远程攻击指令，直接引发控制区失陷。4.4退役报废阶段二次设备退役前，必须对内置硬盘、Flash存储介质按照DoD5220.22-M标准执行7次以上数据覆写擦除；涉及核心控制参数、电网敏感数据的存储介质必须物理粉碎销毁，严禁将退役生产区设备直接转至管理信息大区使用或流入二手市场，防止敏感数据泄露、设备被恶意改造后重新接入电网。五、日常运维与监测管控日常运维的规范化程度决定了安全防护体系的实际有效性，90%的成功网络攻击都是利用了运维环节的疏漏（如弱口令、未及时更新补丁、违规外联）。5.1运维操作管控所有生产控制大区的运维操作必须通过专用运维堡垒机开展，堡垒机对所有操作全程录屏，录屏数据保存期限不低于180天，严禁绕过堡垒机直接登录生产区设备。远程运维必须满足以下要求：1.仅允许通过调度专线+纵向加密认证的方式接入，严禁通过互联网开展生产区设备远程运维；2.远程运维必须经上级调度机构安防管理部门审批，明确运维人员、运维时间、操作范围，运维会话单次最长不超过4小时，会话结束立即断开连接；3.远程运维过程必须由本单位运维人员全程旁站监督，严禁运维人员单独开展远程操作。2026年底前，所有地市级及以上调度机构、220kV及以上变电站必须完成零信任访问改造，对生产区设备的访问执行“永不信任、始终验证”原则，每次访问必须经过身份认证、权限校验、终端环境检测，异常访问立即阻断。5.2安全监测与告警响应各单位必须部署网络安全态势感知平台，对生产控制大区的全量流量、设备日志、操作行为进行采集分析，日志保存期限不低于6个月。告警实行三级分级响应机制，所有告警必须闭环处置：告警级别判定标准响应时限处置要求启动权限一级（高危）横向隔离装置被绕过、纵向加密装置离线超过5分钟、生产区设备外联互联网、检测到非法控制指令下发、勒索病毒感染告警15分钟内响应，30分钟内完成初步处置第一时间断开受攻击区域网络连接，同步上报省调安防值班岗，优先保障一次设备安全单位主要负责人二级（中危）发现弱口令、漏洞利用尝试、非法账号登录、非授权设备接入调度数据网1小时内响应，4小时内完成处置定位异常来源，封禁非法IP，清除异常账号，核查策略疏漏信通部门负责人三级（低危）设备CPU/内存利用率超过90%、非授权端口扫描、安全装置策略变更未报备4小时内响应，24小时内完成处置排查设备运行异常原因，补全审批流程，优化监测规则专职安防管理员5.3定期巡检与测评1.周巡检：专职安防管理员每周对所有安全装置（隔离、加密、防火墙、IDS、态势感知）的运行状态、策略配置、告警记录开展一次巡检，形成巡检记录存档；2.月核查：每月对生产区所有设备的账号、口令、端口开放、移动介质使用情况开展一次全量核查，发现问题立即整改；3.季度测评：每季度邀请具备电力安防测评资质的第三方机构开展一次渗透测试，模拟真实攻击路径验证防护体系有效性，发现的隐患建立整改台账，闭环销号；4.年度等保测评：每年对生产控制大区系统开展一次等保三级测评，测评发现的问题必须在30天内完成整改，测评报告报国家能源局派出机构、上级调度机构备案。六、应急处置与事件报告电力二次系统遭受网络攻击后的处置速度直接决定事件影响范围，提前明确分级响应流程可将事件损失降低80%以上。6.1事件分级与响应流程按照事件影响范围、严重程度分为三级，每级响应严格遵循“先隔离、再排查、后恢复”的原则，严禁在未彻底清除风险的情况下盲目恢复网络连接：1.一级事件（特别重大）：判定标准为攻击者成功入侵安全区I，可直接下发控制指令，造成或可能造成220kV及以上电网大面积停电、电厂/储能电站全厂停运、电网频率/电压超出稳定限额。启动权限为单位主要负责人，必须在事件发生后10分钟内上报国家能源局派出机构、上级调度机构，处置流程：①立即断开受攻击区域与调度数据网的连接，必要时将受控一次设备切换为就地手动控制模式，退出相关安稳装置，防止攻击者下发恶意指令；②组织技术团队定位攻击源，排查恶意程序感染范围，对受感染设备进行离线消杀；③经省调组织专家验证确认风险完全清除后，按照调度指令逐步恢复设备并网与网络连接。2.二级事件（重大）：判定标准为攻击者成功入侵安全区II，获取非实时生产数据，但尚未渗透进入安全区I，未造成一次设备运行异常。启动权限为分管生产副总经理，必须在事件发生后30分钟内上报上级调度机构、国家能源局派出机构，处置流程：①立即断开安全区I与II区之间的防火墙连接，阻断攻击横向扩散路径；②定位攻击入口，清除II区设备中的恶意程序，修复被利用的漏洞；③经测试确认无残留风险后，恢复两区之间的正常通信。3.三级事件（一般）：判定标准为发生端口扫描、暴力破解尝试，被边界安全装置成功拦截，未进入生产区内部网络。启动权限为信通部门负责人，必须在事件发生后2小时内上报上级调度机构安防管理部门，处置流程：①立即封禁攻击IP地址，优化边界防护策略；②核查边界装置规则是否存在疏漏，补充拦截规则；③记录事件详情，纳入月度安防分析报告。6.2应急演练与事件追溯1.演练要求：每半年组织一次本单位二次安防实战应急演练，演练场景必须覆盖勒索病毒攻击、纵向加密装置失效、非法控制指令下发、人员违规外联等高频风险场景；每年至少参加一次上级调度组织的跨单位（调度+变电站+电厂+储能站）联合演练；演练结束后7天内形成演练评估报告，针对暴露的问题修订应急预案。2.追溯要求：所有安全事件处置完成后15天内形成正式事件调查报告，明确事件起因、影响范围、处置过程、责任认定、整改措施，报告存档期限不低于3年。严禁瞒报、谎报、迟报安全事件，迟报超过1小时的按瞒报处理，对相关责任人严肃问责。七、人员培训与考核问责人员安全意识不足、技能不达标是二次安防的最大短板，常态化培训与刚性考核是确保制度落地的核心保障。7.1分层培训要求1.新入职人员：涉及二次系统运维、调度、信通岗位的新员工，必须参加不少于40学时的二次安防专项培训，内容涵盖防护政策法规、技术标准、应急处置流程、典型事故案例，考试合格后方可上岗；2.在岗运维人员：每季度参加不少于8学时的安防技能更新培训，内容包括最新漏洞通报、新型攻击手段识别、防护装置操作技能，每年组织一次全员安防技能考试，考试不合格的暂停上岗资格，经补考合格后方可返岗；3.专职安防管理员：每年必须参加国家能源局认可的专项技能培训，取得合格证书后方可续聘，培训记录纳入个人职业档案。7.2考核问责标准1.重大违规问责：出现以下行为的，对责任部门扣减年度绩效10%，对直接责任人给予记过及以上处分，造成严重后果的解除劳动合同，涉嫌违法犯罪的移送司法机关：①私自在生产控制大区搭建互联网连接；②故意绕过横向隔离、纵向加密装置传输数据；③私自将非授权存储介质接入生产区核心控制设备；④瞒报、谎报重大安全事件；⑤未经审批私自开放边界端口导致攻击入侵。2.一般违规考核：出现以下行为的，对责任部门扣减年度绩效2%，对直接责任人扣减当月绩效20%：①未按要求定期更换账号口令，存在弱口令；②未按规定周期开展巡检、核查工作；③临时开放端口未按流程审批；④安全告警未按时限要求处置；⑤运维操作未通过堡垒机开展。3.正向激励：对全年未发生任何安防违规事件、成功拦截重大网络攻击、在安防技术创新中做出突出贡献的部门和个人，给予年度安防专项奖励，奖励标准不低于2个月个人岗位绩效工资。八、监督检查与持续改进常态化监督检查是及时发现隐患、避免制度空转的必要手段，所有检查必须形成闭环，杜绝“查而不改、改而不彻底”的形式主义。8.1分级检查机制1.单位自查：各单位安监部门每半年组织一次二次安防专项全覆盖检查，对照本规定条款逐一核查，发现的隐患按照“五定原则”（定责任人、定整改措施、定整改资金、定整改时限、定应急预案）落实整改，整改完成后逐一复核销号；2.调度抽查：上级调度机构每年对所辖并网厂站、下级调度机构的二次安防工作开展抽查，抽查比例不低于30%，对检查发现的重大隐患下达书面整改通知书，整改期限最长不超过30天，逾期未整改的按照《电力监管条例》相关要求暂停其并网调度权限，直至整改合格；3.监管督查：配合国家能源局派出机构开展的年度安防专项督查，对督查发现的问题建立专项整改台账，按时报送整改进展。8.2年度复盘改进每年12月20日前，各单位对本年度二次安防工作开展全面复盘，统计全年告警处置、隐患整改、事件处置、培训演练情况，分析防护体系存在的短板，制定下一年度安防提升计划，报上级调度机构、国家能源局派出机构备案。每3年开展一次防护体系全面升级评估，结合最新攻击手段、技术发展更新防护措施，确保持续满足电网安全运行要求。附件1：电力二次系统安全防护日常巡检表序号检查项检查频次检查标准责任人检查结果签字1横向隔离装置运行状态每周电源正常、指示灯无告警、策略配置无变更、日志无异常信通运维岗2纵向加密装置运行状态每周在线率100%、密钥在有效期内、隧道连通正常信通运维岗3防火墙/IDS策略配置每周策略为默认拒绝、无多余开放