T-HEESA 002-2025 电力信息系统网络安全等级保护测评报告评审指南

T/HEESA002—2025电力信息系统网络安全等级保护测评报告评审指南ICS35.040CCSL80团体标准海南省电力工程协会发布T/HEESA002—2025电力信息系统网络安全等级保护测评报告评审指南ReviewGuideforNetworkSecurityLevelProtectionEvaluationReportofPowerInformationSystem2025-XX-XX发布2025-XX-XX实施前言本标准由海南省电力工程协会归口。本标准牵头起草单位：XXX（如：海南电网有限责任公司电力科学研究院、海南省电力工程协会技术部）。本标准参与起草单位：XXX（如：中国南方电网有限责任公司、海南电力设计研究院有限公司、海南大学信息科学技术学院、相关电力运维企业、网络安全测评机构等）。本标准主要起草人：XXX、XXX、XXX、XXX、XXX、XXX、XXX、XXX、XXX、XXX。本标准为首次发布。本标准在执行过程中的意见或建议反馈至海南省电力工程协会（地址：XXX，联系电话：XXX）。本标准遵循开放、公平、透明、协商一致和促进贸易和交流的原则，按照《团体标准制定程序规范》制定，规定的内容符合国家有关法律法规、网络安全等级保护相关标准及电力行业相关规范要求，没有侵犯他人合法权益。本标准针对电力信息系统网络安全等级保护测评报告评审工作的痛点、难点，明确评审流程、评审内容、评审方法及判定要求，为电力行业相关单位开展测评报告评审提供统一、规范的技术依据，助力提升电力信息系统网络安全防护水平，保障电力系统安全稳定运行。1范围本标准规定了电力信息系统网络安全等级保护（以下简称“等保”）测评报告评审的术语和定义、评审总则、评审组织与职责、评审流程、评审内容与方法、评审结果判定、评审资料管理及评审质量控制等技术要求。本标准适用于海南省电力行业内，电力信息系统（包括发电、输电、变电、配电、用电、调度等环节的信息系统）等保测评报告的评审工作，涵盖等保二级、三级及以上电力信息系统测评报告的评审，包括新建、改建、扩建电力信息系统及存量电力信息系统等保测评报告的评审。本标准适用于电力企业（发电企业、电网企业、电力建设企业、电力运维企业等）、网络安全测评机构、等保评审机构、行业监管部门及相关单位开展等保测评报告评审、监督、管理等工作。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239—2019信息安全技术网络安全等级保护基本要求GB/T22240—2020信息安全技术网络安全等级保护定级指南GB/T28448—2019信息安全技术网络安全等级保护测评指南GB/T25070—2019信息安全技术网络安全等级保护安全设计技术要求GB/T31495—2015信息安全技术信息系统安全等级保护测评过程指南DL/T544—2012电力系统通信管理规程DL/T1867—2018电力信息系统安全等级保护测评规范《网络安全等级保护测评机构管理办法》（公安部网络安全保卫局）T/HEESAXXXX—XXXX海南省电力行业网络安全管理规范（若有）3术语和定义下列术语和定义适用于本文件。3.1电力信息系统用于电力生产、传输、变电、配电、用电、调度及管理等环节，由计算机硬件、软件、数据、通信设备及人员等组成的能够实现特定电力业务功能的信息系统，包括核心业务系统、重要业务系统及一般业务系统。3.2网络安全等级保护测评报告由具备相应资质的网络安全等级保护测评机构，按照等保相关标准及技术规范，对电力信息系统进行等级保护测评后，出具的包含测评概况、测评内容、测评结果、问题分析及整改建议等内容的正式书面报告（以下简称“测评报告”）。3.3测评报告评审由评审组织单位组织评审人员，按照本标准及相关规范要求，对测评报告的真实性、完整性、规范性、准确性及有效性进行审查、评估，并出具评审意见的活动。4评审总则4.1评审目标a)验证测评报告是否符合等保相关标准、电力行业规范及本标准要求，确保测评报告真实、完整、规范、准确。b)核查测评过程的合规性、测评方法的科学性、测评数据的真实性，识别测评报告中存在的问题及不足，提出合理的评审意见及整改建议。c)确保电力信息系统等保测评工作质量，为电力信息系统网络安全等级保护备案、监督检查及安全整改提供可靠的评审依据，保障电力信息系统网络安全。d)规范电力行业等保测评报告评审流程，统一评审标准，提升评审工作的专业性和一致性。4.2评审原则a)合规性原则：评审工作应严格遵循国家法律法规、网络安全等级保护相关标准及电力行业相关规范，确保评审过程及结果合法、合规。b)真实性原则：重点核查测评报告中测评数据、测评结果的真实性，确保测评报告反映电力信息系统的实际安全状况，不得篡改、伪造测评数据及结果。c)完整性原则：评审应覆盖测评报告的全部内容，确保测评报告内容完整、要素齐全，无遗漏、缺失等情况。d)准确性原则：核查测评报告中专业术语、技术参数、问题描述、整改建议等内容的准确性，确保无错误、歧义及误导性表述。e)公正性原则：评审人员应秉持客观、公正的态度开展评审工作，不受任何单位或个人的干预，确保评审结果公平、公正。f)专业性原则：评审人员应具备相应的专业资质和能力，熟悉等保相关标准、电力信息系统特性及网络安全技术，确保评审工作的专业性和权威性。4.3评审范围评审范围涵盖测评报告的全部内容，包括但不限于：测评概况、测评依据、测评对象、测评方法、测评内容、测评结果、问题清单、整改建议、结论意见等。同时，可结合实际情况，核查测评机构的资质、测评人员的资质、测评过程的相关记录（如测评原始数据、现场勘查记录、访谈记录等），作为评审的辅助依据。5评审组织与职责5.1评审组织单位5.1.1评审组织单位由电力企业、行业监管部门或其委托的具备相应能力的机构担任，负责统筹协调测评报告评审工作。5.1.2主要职责：a)制定评审方案，明确评审目标、评审范围、评审流程、评审人员及评审时间安排。b)组建评审小组，选拔具备相应专业资质和能力的评审人员，明确评审人员的职责分工。c)组织评审小组开展评审工作，协调解决评审过程中出现的问题。d)收集、整理评审资料，汇总评审意见，形成评审报告。e)督促测评机构及相关单位落实评审意见及整改要求，跟踪整改情况。f)负责评审资料的归档、管理及保密工作。5.2评审小组5.2.1评审小组由评审组织单位组建，成员人数不少于3人，其中至少1人具备电力信息系统相关专业背景，至少1人具备网络安全等级保护测评相关资质。5.2.2评审小组设组长1名，负责统筹评审工作，主持评审会议，协调评审意见，签署评审报告。5.2.3评审人员应具备以下条件：a)熟悉国家网络安全法律法规、网络安全等级保护相关标准及电力行业相关规范。b)具备3年以上电力信息系统网络安全或等保测评相关工作经验，掌握网络安全技术、电力业务知识及测评方法。c)具备良好的职业道德，秉持客观、公正、严谨的态度开展评审工作，严格遵守保密规定。d)经评审组织单位培训合格，具备相应的评审能力。5.2.4评审小组主要职责：a)熟悉评审方案及相关标准规范，明确评审重点及要求。b)对测评报告进行逐章、逐节审查，核查测评报告的真实性、完整性、规范性、准确性。c)记录评审过程中发现的问题，提出初步评审意见。d)参加评审会议，交流评审意见，形成统一的评审结论。e)协助评审组织单位整理评审资料，撰写评审报告。5.3相关方职责5.3.1测评机构：配合评审工作，提供测评报告及相关支撑资料（如测评原始数据、现场勘查记录、访谈记录、测评工具校准证书等），对评审过程中提出的疑问进行解释说明，落实评审意见及整改要求。5.3.2被测电力企业：配合评审工作，提供电力信息系统相关技术资料（如系统拓扑图、配置文件、安全管理制度等），协助评审小组核查测评报告的真实性，落实相关整改工作。5.3.3行业监管部门：对评审工作进行监督、指导，核查评审过程的合规性及评审结果的公正性，督促相关单位落实评审意见及整改要求。6评审流程测评报告评审工作应遵循“准备、审查、会议审议、整改复核、归档”的流程，具体如下：6.1评审准备6.1.1评审组织单位收到测评报告及相关资料后，对资料的完整性进行初步核查，确认资料齐全（包括测评报告正本、副本、测评支撑资料等）。6.1.2评审组织单位制定评审方案，明确评审目标、评审范围、评审流程、评审人员、评审时间及分工。6.1.3组建评审小组，对评审人员进行培训，明确评审标准、评审重点及注意事项。6.1.4评审组织单位将测评报告及相关资料分发给评审小组成员，评审人员提前熟悉资料，做好评审准备。6.2初步审查6.2.1评审小组成员按照评审方案及本标准要求，对测评报告进行逐章、逐节初步审查，重点核查测评报告的完整性、规范性及初步准确性。6.2.2评审人员记录审查过程中发现的问题，填写《测评报告评审问题记录表》，明确问题描述、涉及章节、不符合项及初步整改建议。6.2.3评审小组组长汇总各成员的初步审查意见，形成初步评审意见，明确需要重点核查的内容及争议问题。6.3详细审查6.3.1评审小组针对初步审查中发现的问题及重点核查内容，对测评报告进行详细审查，结合测评支撑资料（如原始数据、现场记录等），核查测评数据的真实性、测评方法的科学性及测评结果的准确性。6.3.2对于审查过程中存在的疑问，评审小组可与测评机构、被测电力企业进行沟通，要求其提供补充资料或进行解释说明。6.3.3评审小组成员根据详细审查情况，完善《测评报告评审问题记录表》，提出明确的评审意见及整改要求。6.4评审会议6.4.1评审小组召开评审会议，由组长主持，各成员汇报审查情况及评审意见，对存在的争议问题进行讨论，形成统一的评审结论。6.4.2测评机构、被测电力企业可参加评审会议，对评审过程中提出的问题进行解释说明，陈述相关意见。6.4.3评审会议应形成会议纪要，记录会议时间、地点、参会人员、评审意见、争议问题及最终评审结论。6.5整改复核6.5.1对于评审结论为“需要整改”的测评报告，测评机构应按照评审意见及整改要求，对测评报告进行修改完善，补充相关资料，并提交整改后的测评报告及整改说明。6.5.2评审小组对整改后的测评报告进行复核，核查整改内容是否符合评审要求，整改是否到位。6.5.3若整改后仍不符合要求，评审小组应再次提出整改意见，要求测评机构继续整改，直至符合要求；若整改后符合要求，评审小组确认整改到位，形成整改复核意见。6.6评审归档6.6.1评审工作完成后，评审组织单位整理评审资料，包括评审方案、评审问题记录表、评审会议纪要、评审报告、整改说明、整改复核意见等。6.6.2评审资料按照相关规定进行归档、管理，建立评审档案，确保评审资料的完整性、可追溯性。6.6.3评审组织单位将评审报告提交给相关委托单位、行业监管部门及被测电力企业，督促相关单位落实评审意见。7评审内容与方法7.1测评报告基本信息评审7.1.1评审内容：核查测评报告的标题、编号、测评日期、测评地点、被测系统名称、系统定级情况、测评机构名称、测评人员信息等基本信息是否完整、准确、规范。7.1.2评审方法：对照被测电力企业提供的系统定级报告、测评机构资质证明等资料，核查基本信息的一致性及准确性；检查报告编号是否符合测评机构的编号规范，测评人员是否具备相应资质。7.2测评依据评审7.2.1评审内容：核查测评报告中引用的法律法规、等保标准、电力行业规范及相关技术文件是否完整、准确、有效，是否符合被测电力信息系统的定级及实际情况。7.2.2评审方法：对照本标准第2章规范性引用文件及相关资料，核查引用文件的名称、编号、版本是否准确，是否存在引用过期、失效文件的情况；核查引用文件是否覆盖被测系统的测评需求，是否与系统定级相匹配。7.3测评对象与范围评审7.3.1评审内容：核查测评报告中明确的测评对象（如电力信息系统的硬件、软件、数据、通信设备、人员等）及测评范围是否完整、准确，是否与被测电力信息系统的实际情况一致，是否覆盖系统定级范围内的全部内容。7.3.2评审方法：对照被测电力企业提供的系统拓扑图、系统说明书、定级报告等资料，核查测评对象及范围的完整性；结合现场勘查记录（若有），确认测评范围无遗漏、无超出定级范围的情况。7.4测评方法与过程评审7.4.1评审内容：核查测评报告中描述的测评方法是否科学、合理，是否符合等保相关标准及本标准要求；测评过程是否规范，是否包含现场勘查、技术检测、访谈、文档审查等环节，各环节的记录是否完整、规范。7.4.2评审方法：核查测评报告中描述的测评方法是否与被测系统的特性相匹配，是否具备可操作性；对照测评支撑资料（如现场勘查记录、访谈记录、技术检测数据等），核查测评过程的完整性及规范性，确认测评过程可追溯。7.5测评内容与结果评审7.5.1评审内容：核查测评报告中涵盖的测评内容是否完整，是否覆盖等保相关标准及电力行业规范要求的全部测评项；测评结果的描述是否准确、清晰，是否有充分的测评数据支撑，问题描述是否具体、明确，是否明确问题的严重程度。7.5.2评审方法：对照GB/T22239—2019、DL/T1867—2018等相关标准，核查测评内容的完整性；核对测评报告中的测评数据与原始测评数据的一致性，确认测评结果的准确性；检查问题描述是否包含问题现象、产生原因、涉及范围等内容，严重程度的判定是否合理。7.6整改建议评审7.6.1评审内容：核查测评报告中提出的整改建议是否具有针对性、可行性、合理性，是否与发现的问题相匹配，是否符合等保相关标准及电力行业规范要求，是否考虑电力信息系统的业务特性及实际运行情况。7.6.2评审方法：对照测评报告中发现的问题，核查整改建议是否能够有效解决问题；结合电力信息系统的业务需求、技术架构及运行现状，判断整改建议的可行性及合理性；检查整改建议是否明确整改措施、整改责任人及整改时限（若有）。7.7结论意见评审7.7.1评审内容：核查测评报告的结论意见是否客观、公正、准确，是否基于测评结果及问题分析得出，是否明确被测电力信息系统是否符合等保相关标准要求，是否明确系统的安全等级保护水平及整改要求（若有）。7.7.2评审方法：对照测评报告的测评结果、问题分析及整改建议，核查结论意见的逻辑性及准确性；确认结论意见是否明确、无歧义，是否符合等保备案及监督检查的要求。7.8附件资料评审7.8.1评审内容：核查测评报告的附件资料是否完整、规范，包括测评机构资质证明、测评人员资质证明、测评原始数据、现场勘查记录、访谈记录、系统拓扑图、配置文件、安全管理制度等。7.8.2评审方法：检查附件资料的完整性，确认无缺失、遗漏；核查附件资料的真实性、规范性，确认附件资料与测评报告内容一致，具备可追溯性。8评审结果判定8.1判定依据评审结果判定依据本标准、国家网络安全法律法规、网络安全等级保护相关标准、电力行业相关规范及被测电力信息系统的定级要求、测评报告及相关支撑资料。8.2判定等级评审结果分为“合格”“基本合格”“不合格”三个等级，具体判定标准如下：a)合格：测评报告真实、完整、规范、准确，测评过程合规，测评方法科学，测评结果准确，整改建议合理可行，无重大不符合项，符合本标准及相关规范要求。b)基本合格：测评报告基本符合本标准及相关规范要求，存在少量轻微不符合项（不影响测评报告的真实性、准确性及整体有效性），经测评机构整改后可达到合格要求。c)不合格：存在下列情况之一的，判定为不合格：1)测评报告存在虚假、篡改、伪造等情况，测评数据不真实；2)测评报告内容严重缺失、不完整，关键要素缺失（如测评依据、测评结果、结论意见等）；3)测评方法不符合相关标准要求，测评过程不规范，无法追溯；4)测评结果存在重大错误，与被测电力信息系统实际安全状况严重不符；5)存在重大不符合项，且无法通过整改达到合格要求；6)测评机构不具备相应资质，或测评人员无相关资质；7)附件资料严重缺失、虚假，无法支撑测评报告的真实性及准确性。8.3判定结果处理a)评审结果为“合格”的，评审组织单位出具合格评审报告，明确评审结论，测评报告可用于等保备案、监督检查等相关工作。b)评审结果为“基本合格”的，评审组织单位出具评审报告，明确存在的轻微不符合项及整改要求，测评机构按照整改要求完成整改后，提交整改报告及整改后的测评报告，经评审小组复核合格后，方可用于等保备案、监督检查等相关工作。c)评审结果为“不合格”的，评审组织单位出具不合格评审报告，明确不合格项及原因，测评机构应重新开展测评工作，重新出具测评报告，再提交评审。d)评审组织单位将评审结果及评审报告提交给相关委托单位、行业监管部门，督促相关单位落实整改要求。9评审资料管理9.1资料收集评审组织单位应收集完整的评审资料，包括但不限于：a)测评报告（正本、副本）；b)测评支撑资料（测评原始数据、现场勘查记录、访谈记录、测评工具校准证书等）；c)被测电力信息系统相关资料（系统定级报告、系统拓扑图、配置文件、安全管理制度等）；d)测评机构资质证明、测评人员资质证明；e)评审方案、评审问题记录表、评审会议纪要、评审报告、整改说明、整改复核意见等。9.2资料归档9.2.1评审工作完成后，评审组织单位应将所有评审资料进行整理、分类，按照档案管理相关规定进行归档，建立评审档案。9.2.2评审档案应包括纸质档案和电子档案，纸质档案应装订整齐、标注清晰，电子档案应备份留存，确保档案的完整性、可追溯性。9.3资料保密9.3.1评审组织单位、评审小组及相关参与方应严格遵守保密规定，对评审过程中接触到的电力信息系统相关数据、测评报告、评审资料等敏感信息进行保密，不得泄露、篡改、传播。9.3.2评审资料的查阅、借阅应履行审批手续，明确查阅、借阅人员及用途，确保资料的安全。9.3.3评审资料的保存期限不少于5年，涉及国家秘密、商业秘密的评审资料，应按照相关保密规定延长保存期限。10评审质量控制10.1人员控制a)评审组织单位应严格选拔评审人员，确保评审人员具备相应的专业资质和能力，定期对评审人员进行培训、考核，提升评审人员的专业水平和评审能力。b)评审人员应严格遵守评审原则及相关规定，秉持客观、公正、严谨的态度开展评审工作，不得徇私舞弊、弄虚作假。10.2过程控制a)评审组织单位应严格按照本标准规定的评审流程开展评审工作，明确各环节的工作要求及时间节点，确保评审过程规范、有序。b)评审小组应严格按照评审标准及评审方案开展审查工作，做好评审记录，确保评审过程可追溯。c)评审会议应充分讨论，确保评审意见及评审结论的公正性、准确性，会议纪要应完整记录会议内容。10.3结果控制a)评审组织单位应对评审报告进行审核，确保评审报告内容完整、规范、准确，评审结论客观、公正。b)对于评审过程中发现的问题及整改情况，评审组织单位应跟踪核实，确保整改到位，整改复核意见准确、有效。c)评审组织单位应建立评审质量异议处理机制，对相关方提出的评审质量异议，及时核查、处理，给出明确答复。10.4监督检查行业监管部门应定期对评审工作进行监督、检查，核查评审过程的合规性、评审结果的公正性及评审资料的完整性，对违反本标准及相关规定的行为，责令相关单位整改，情节严重的，依法依规追究相关责任。附录A（资料性附录）测评报告评审问题记录表A.1表格格式序号问题所在章节/条款问题描述不符合项类型（轻微/重大）初步整改建议评审人员评审日期整改情况复核意见12A.2填写说明a)序号：按照问题发现的先后顺序依次填写。b)问题所在章节/条款：明确问题出现在测评报告的具体章节及条款。c)问题描述：详细描述发现的问题，明确问题的具体表现及影响。d)不符合项类型：根据问题的严重程度，标注“轻微”或“重大”。e)初步整改建议：针对发现的问题，提出具体、可行的初步整改建议。f)评审人员：填写发现该问题的