关于开展电力工控信息安全专项行动的通知

电力18讯：    
各有关电力企业：

　　为进一步加强电力工控信息安全监管工作，维护电力系统安全稳定运行和电力可靠供应，根据国家电监会《电力工控信息安全专项监管工作方案》要求，江苏电监办决定开展江苏电力行业工控信息安全专项行动，现将相关要求通知如下：

　　一、工作目标

　　落实《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》和工业和信息化部《关于加强工业控制系统信息安全管理的通知》(工信部协〔2011〕451号)要求，建立电力工控信息安全监督管理工作机制，以工控系统安全评估和等级测评为抓手，进一步督促落实电力企业信息安全主体责任，重点做好工控设备信息安全风险排查处置和核电、风电、光伏及配电侧二次系统的安全防护工作，维护电力系统安全稳定运行。

　　二、工作任务

　　针对工控系统及设备信息安全方面的薄弱环节，建立电力工控信息安全风险管控工作机制，开展工控设备信息安全风险排查处置，规范和加强核电、风电、光伏及配电侧二次系统安全防护，组织开展二次安全评估和等级测评及整改工作。

　　(一)建立电力企业工控信息安全管理工作机制

　　1.完善各项电力工控信息安全管理制度。贯彻落实《电力二次系统安全防护规定》、《电力二次系统安全防护评估管理办法》、《电力行业工控信息安全监督管理暂行规定》以及配套文件等电力工控信息安全各项规定和要求，修订完善企业各项电力工控信息安全管理制度。

　　2.加强企业工控信息安全技术队伍建设。根据电力工控信息安全工作需要，进一步扩展力量，不断加强在工控设备和系统信息安全检测、电力二次安全评估、等级测评和整改实施等方面的能力建设，持续提高电力工控信息安全技术能力。

　　3.建立工控信息安全风险闭环管理机制。依托电力行业信息安全等级保护测评中心和国家有关技术力量，进一步强化工控信息安全风险监测预警，畅通监管、企业和设备厂商之间的信息通报渠道，提高应急处置效率。进一步落实电力企业和工控设备供应厂商的主体责任，建立工控信息安全风险管理和整改制度，逐步形成工控信息安全风险闭环管理机制。

　　(二)开展核电、风电、光伏和配电侧二次系统安全防护工作

　　按照核电、风电、光伏和配电侧二次系统安全防护有关规定，做好安全防护相关工作，进一步扩展和完善电力二次系统安全防护体系，其中核电站要重点做好安全区划分工作，风电、光伏电站要重点强化对远程维护系统的安全防护，配电侧负荷管理系统(包括具有相应功能的其他系统)、配电自动化系统等要重点强化对下发控制指令的安全防护。各有关电力企业的上级管理单位要加强对核电、风电、光伏和配电侧二次系统安全防护工作的监督检查，对存在的问题要及时督促整改。

　　(三)开展工控设备信息安全风险排查整改工作

　　一是继续完成施耐德PLC、罗杰康工业交换机的信息安全风险排查整改工作。要结合电厂检修周期，安排整改计划，形成整改方案，全面组织开展整改。二是开展其它工控设备信息安全漏洞的检测排查工作，对发现的安全漏洞要及时报送上级管理单位和江苏电监办。

　　(四)开展电力二次系统安全防护评估和等级测评及整改工作

　　各有关电力企业要结合二次安全防护评估报告和国家电监会《2012年度电力行业重要生产控制系统信息安全监管通报》，做好电力二次系统安全防护评估和安全等级保护测评工作，对于发现的问题，要及时安排整改到位，切实提高信息安全防护能力。

　　三、时间安排

　　(一)部署启动阶段(3月)

　　各电力企业要结合本单位工控信息安全实际情况，制定切实可行的实施方案，建立健全工控信息安全风险闭环管理机制，针对行业所通报的工控信息安全风险，部署本单位工控信息安全风险排查整改行动。

　　(二)组织实施阶段(4-10月)

　　1.9月底前，组织完成施耐德PLC和罗杰康设备的安全整改工作。

　　2.4-10月，组织开展其它主流厂商电力工控设备信息安全漏洞的检测验证工作，同步开展整改方案制定和整改部署工作;组织开展电力二次系统安全防护评估和等级测评及整改工作;组织开展核电、风电、光伏和配电侧二次系统安全防护工作。

　　3.8-9月，国家电监会组成核查组，对江苏电网企业和发电企业开展电力工控设备和系统信息安全风险排查整改工作情况以及电力二次系统安全防护评估和安全保护等级测评及整改工作进行重点督查。

　　4.10月，各电力企业对督查中发现的问题进行整改落实，形成工作闭环。

　　(三)总结提高阶段(11月)

　　各电力企业要将本单位工控信息安全风险排查整改情况形成总结报告，在11月底前报送江苏电监办，省电力公司和各发电集团江苏分公司负责汇总所属企业报告后集中报送，其它电力企业单独报送。

　　四、工作要求

　　(一)加强领导，落实责任。各电力企业要高度重视工控信息安全专项行动工作，将加强工控信息安全风险排查整改、开展二次安全防护作为提高电力工控信息安全的有效手段，切实加强组织领导，结合本单位工作实际，制定切实可行的实施方案，分解落实各项工作任务，精心组织安排，确保专项行动取得实效。

　　(二)突出重点，注重实效。电力企业对经检测验证确定为具有较高风险的信息安全漏洞，要及时制定整改方案，及时落实整改措施。要建立工控信息安全风险闭环管理机制，重点规范工控信息安全风险监测检测、通报预警、排查整改和监督检查程序，明确职责，促使电力信息安全防护水平持续提高。

　　(三)统筹兼顾，协同推进。各电力企业要合理规划全年工作，在统筹安排做好工控信息安全风险排查整改的同时，注重做好核电、风电、光伏和配电侧二次安全防护工作，要结合二次安全评估和等级测评，及时落实各项措施，逐步消除工控信息安全风险，提高电力系统安全防护水平。要建立有关制度，在系统设计、建设阶段，加强对存在信息安全风险的工控设备和系统管理，协同推进工控信息安全工作。

　　(四)及时总结，推广经验。各电力企业要及时总结工控信息安全专项行动工作，总结经验，提炼好的做法，及时制度化，逐步完善本单位工控信息安全风险闭环管理机制。江苏电监办将对各单位在专项行动中取得的好经验、好做法予以通报推广。

　　2013年3月22日
来自：江苏省电监办