X
9月1日起，《电力监控系统安全防护规定》正式实施。此《规定》对于加强电力监控系统信息安全管理，防范黑客及恶意代码等对电力监控系统的攻击及侵害，保障电力系统安全稳定运行意义重大。
为促进电力行业更好地把握规定内涵，总结交流电力监控系统安全防护监督管理的成效及经验，媒体组织撰写了 “《电力监控系统安全防护规定》解读系列报道”，共6篇，敬请关注。
问：请您简要介绍一下电力监控系统安全防护工作的开展背景以及已取得的成效？
史玉波：首先，我有必要对“电力监控系统”这个术语进行一下简要介绍，按照国家发展改革委2014年第14号令 《电力监控系统安全防护规定》（以下简称《规定》）里的定义，“电力监控系统”是指“用于监视和控制电力生产及供应过程的、基于计算机及网络技术的业务系统及智能设备，以及做为基础支撑的通信及数据网络等”。从这个定义中可以看出，电力监控系统相当于整个电力系统的神经网络和控制中枢，对于保障电力系统的安全稳定运行和电力可靠供应具有重要意义。在电力行业内部，电力监控系统也称作“电力二次系统”，这次由于《规定》是以发改委令正式公布，它不仅要面向电力行业，同时也需要面向社会公众，为了便于大家更直观地理解，这次在正式公布时采用了“电力监控系统”的提法。
其次需要说明的是，电力监控系统的安全防护是电力行业网络安全工作的一个重要组成部分。当今世界，信息技术革命日新月异，对国际政治、经济、文化、社会、军事等领域发展产生了深刻影响；加强网络安全工作，能更好地保证各种信息技术的安全和合理应用，对于促进国民经济的快速、健康和安全发展具有重要意义。习总书记在今年2月27日召开的中央网络安全和信息化领导小组第一次会议的讲话中就指出：没有网络安全就没有国家安全，没有信息化就没有现代化；网络安全和信息化是一体之两翼、驱动之双轮，必须统一谋划、统一部署、统一推进、统一实施。
电力行业作为关系国计民生的重要基础行业，同时也是技术、资金密集型行业，在注重信息化建设的同时，对于网络安全工作也历来高度重视。2000年～2003年，我国电力监控系统相继发生了 “二滩电厂停机事件”、“时间逻辑炸弹事件”、“换流站感染病毒事件”等多起信息安全事件，造成事故或形成安全隐患，这些事例说明电力监控系统所面临的安全风险日益增大，直接威胁到电力系统安全稳定运行和电力可靠供应。
对于上述情况，电力行业高度重视，组织国内大批专家对电力监控系统安全防护进行了深入系统地研究论证，安全防护的理念逐步形成，并由原电监会于2004年发布了第5号令 《电力二次系统安全防护规定》（以下简称“5号令”），并随后陆续下发了相关配套文件。5号令的核心是“安全分区、网络专用、横向隔离、纵向认证”的电力监控系统安全防护总体策略，其主要内容为：合理划分安全分区，扩充完善电力调度专用数据网，采取必要的安全防护技术和防护设备，剥离非生产性业务，实现电力调度数据网络与其他网络的物理隔离，有效提高电力监控系统抵御黑客、病毒、恶意代码等各种形式的恶意破坏和攻击的能力。
电力企业按照5号令确定的安全防护总体策略，从管理、技术两方面持续开展工作，建立了较为完善的电力监控系统安全防护体系，取得了明显的效果，主要体现在：一是5号令正式实施以来，全国电力监控系统未再发生因受到恶意信息攻击而导致的电力安全事件；二是在北京奥运会、上海世博会、广州亚运会等重要保电时期，电力监控系统安全防护体系经受住了来自境内外各种敌对势力的高密度、高强度的恶意网络渗透和攻击的严峻考验，确保了各项重要活动期间的电力可靠供应。
问：在原有电监会5号令的基础上，这次发布的发改委第14号令是针对近年来哪些突出记者题，在哪些方面进行了重要的补充和修订？
史玉波：随着电力生产技术和管理水平的发展，对于电力监控系统安全防护工作也提出了更高的要求，需要对相关管理规定和技术措施进行相应的完善和加强，这主要体现在以下两方面：一是在技术层面，随着分布式能源、配网自动化、智能电网等新技术的快速发展和应用，电力监控系统使用无线公网进行数据通信的情况日益普遍，需要制定相应的安全防护措施；伊朗布什尔核电站遭受 “震网”蠕虫病毒攻击事件，反映出对于生产控制大区内部电力工控系统和设备的安全管理工作需要进一步加强；工作实践中反映出的关于设备远程维护的防护措施、智能变电站的安全防护措施、非控制区的纵向边界防护强度等方面的实际记者题也需要进一步明确和规范。
二是在管理层面，2007年以来公安部、工信部等国家部委相继印发了《信息安全等级保护管理办法》、《关于加强工业控制 系统信息安全管理的通知》等相关文件，电力监控系统作为电力行业信息系统和工业控制系统的一个重要组成部分，有必要根据上述文件的相关要求，结合电力生产的实际，对《规定》进行相应的修订和完善；需要根据国务院机构改革情况，以及关于简政放权工作的有关要求，对《规定》进行相应的调整和完善。
针对上述突出记者题，《规定》中提出了相关的规定和要求，其中在技术方面，一是针对配电网、分布式电源广泛使用无线公网进行数据通信的实际情况，提出了在生产控制大区内设置“安全接入区”的理念，并明确了相关的技术规定和要求，进一步拓宽了电力二次系统安全防护体系的覆盖范围（第七条、第八条）；二是针对近期发现的生产控制大区内部分二次设备 （如部分品牌的PLC设备、工业交换机等）存在漏洞和风险的记者题，从设备选型及配置、漏洞及风险整改等方面提出了相关的要求，使电力监控系统安全防护体系从重点强化 “边界防护”向“纵深防御”发展（第十二条）。在管理方面，一是将公安部、工信部关于信息系统、工业控制系统安全防护的有关规定和要求在《规定》中予以体现（第二条、第十二条）；二是根据机构改革情况、职责调整以及相关工作开展情况，对原《规定》中部分表述进行了更新和修订，比如：“电监会”、“电力监管机构”根据机构改革情况分别更新为“国家能源局”、“国家能源局及其派出机构”，“上级信息安全主管部门”根据国家能源局“三定”方案中关于简政放权的要求修订为“本企业上级专业管理部门、信息安全管理部门”（第十四条）。
问：下一步电力行业的电力监控系统安全防护工作将主要围绕哪些关键环节展开？
史玉波：电力监控系统安全防护工作的总体思路是从边界防护逐步向纵深防御发展，下一步的工作思路主要包括（但不限于）：一是进一步扩展安全防护体系的覆盖范围，包括：加强对110千伏及以下低压配电网的安全防护；加强对电力负荷管理系统、用电管理系统等相关系统的安全防护；进一步规范和加强核电站电力监控系统的安全防护；进一步规范和加强对风电、光伏等可再生/分布式能源电力监控系统的安全防护；进一步规范和加强对智能变电站等 新技术、新应用的安全防护工作。
二是强化纵深防御，包括：积极推进电力监控系统的国产化工作；继续推进电力工控设备信息安全漏洞的检测和整改工作；不断推进电力企业内网监视平台的建设工作；扎实推进电力监控系统安全防护评估工作和电力行业信息安全等级保护测评工作（两项工作同步完成，不增加企业重复工作量），形成电力监控系统安全防护体系的不断改进和持续完善机制；积极研发并逐步推广应用基于可信计算技术的系统安全免疫。
问：电力监控系统安全防护工作与国家信息安全等级保护工作有什么联系和区别？
史玉波：信息系统安全等级保护是在国家范围内推行的对于网络与信息安全的一项基本制度，它主要针对通用的计算机信息系统，从技术与管理等方面提出了普遍适用的措施、规定和要求。
电力监控系统安全防护主要针对与电力生产、供应密切相关的电力监控系统，并根据其具体功能及实际特点，有针对性提出了相关的安全防护措施。
总体来看，电力监控系统安全防护的防护强度基本满足或超过相应等级信息系统安全等级保护的要求，并且对于电力监控系统，其相关安全防护措施更加具有系统性、整体性、针对性和可操作性。
举一个最简单的例子，对于一个部署在省级调度机构的电能量计量系统，按照信息系统安全等级保护的规定和要求，可以定级为三级系统，只需按照等级保护三级系统的要求采取相关的各项管理和技术措施即可，比如物理防护、网络隔离等。但是，在电力监控系统安全防护体系中，则会结合电力行业的实际特点，提出更加完整、具体的规定和要求，比如按照“安全分区”的要求，这个系统应该摆放在哪个安全区；按照“横向隔离”或者“纵向认证”的要求，这个系统应该在与其有数据交互的其他业务系统或者本系统的终端之间采取哪些安全防护措施，这些都会有更加明确的规定。
可以这么说，信息系统安全等级保护的有关规定和要求是一个通用的、基本的门槛，而电力监控系统安全防护根据电力行业的特点，对其予以了细化、补充、完善和加强。
标签：史玉波,解读,电力监控系统,安全防护规定
