国网公司信息安全管理制度

国家电网公司网络与信息系统 安全管理办法

第一章 总则

第一条 为加强和规范国家电网公司（以下简称“公司”）网络与信息系统安全工作,切实提高防攻击、防篡改、防病毒、防瘫痪、防窃密能力，实现网络与信息系统安全的可控、能控、在控,依据国家有关法律、法规、规定及公司有关制度,制定本办法。

第二条 本办法所称网络与信息系统是指公司电力通信网及其承载的管理信息系统和电力二次系统。

第三条 本办法适用于公司总(分）部及所属各级单位的网络与信息系统安全管理工作。

第四条 网络与信息系统安全防护目标是保障电力生产监控系统及电力调度数据网络的安全,保障管理信息系统及通信、网络的安全,落实信息系统生命周期全过程安全管理，实现信息安全可控、能控、在控.防范对电力二次系统、管理信息系统的恶意攻击及侵害，抵御内外部有组织的攻击，防止由于电力二次系统、管理信息系统的崩溃或瘫痪造成的电力系统事故。

第五条 公司网络与信息系统安全工作坚持“三纳入一融合”原则,将等级保护纳入网络与信息系统安全工作中,将网络与信息系统安全纳入信息化日常工作中，将网络与信息系统安全纳入公司安全生产管理体系中，将网络与信息系统安全融入公司安全生产中。在规划和建设网络与信息系统时,信息通信安全防护措施应按照“三同步"原则，与网络与信息系统建设同步规划、同步建设、同步投入运行.

第六条 管理信息系统安全防护坚持“双网双机、分区分域、安全接入、动态感知、全面防护、准入备案"的总体安全策略,执行信息安全等级保护制度。其中“双网双机”指信息内外网间采用逻辑强隔离设备进行隔离,并分别采用独立的服务器及桌面主机；“分区分域”指依据等级保护定级情况及业务系统类型，进行安全域划分，以实现不同安全域的独立化、差异化防护；“安全接入”指通过采用终端加固、安全通道、认证等措施保障终端接入公司信息内外网安全;“动态感知”指对公司网络、信息系统、终端及设备等安全状态进行全面动态监测,实现事前预警、事中监测和事后审计;“全面防护”指对物理、网络边界、主机、应用和数据等进行深度防护,加强安全基础设施建设,覆盖防护各层次、各环节、各对象；“准入备案"指对所有接入公司网络的各类网络、应用、系统、终端、设备进行准入及备案管理.

第一章 总则

第一条 为确保国家电网公司（以下简称“国网公司”）信息系统的安全稳定运行，保护公司信息资源的安全，防范和降低信息安全风险，依据国家相关法律法规和行业标准，结合公司实际，特制定本制度。

第二条 本制度适用于国网公司及其所属各级单位的信息系统安全管理。

第三条 本制度旨在提高公司信息安全意识，规范信息安全管理工作，确保公司信息系统的保密性、完整性、可用性和真实性。

第二章 组织与职责

第四条 国网公司设立信息安全领导小组，负责公司信息安全工作的统筹规划、决策和监督。

第五条 信息安全领导小组下设信息安全办公室，负责公司信息安全日常管理工作。

第六条 各级单位应设立信息安全管理部门，负责本单位信息安全工作的组织实施。

第三章 信息安全管理制度

第七条 信息安全管理制度应包括以下内容：

（一）信息系统安全等级保护制度；

（二）信息安全管理规范；

（三）信息安全事件应急预案；

（四）信息安全技术防护措施；

（五）信息安全培训与宣传；

（六）信息安全检查与评估。

第八条 信息系统安全等级保护制度应包括以下内容：

（一）信息系统安全等级划分；

（二）信息系统安全防护要求；

（三）信息系统安全等级保护措施。

第九条 信息安全管理规范应包括以下内容： （一）信息访问控制；

（二）信息存储与传输；

（三）信息备份与恢复；

（四）信息安全审计；

（五）信息安全管理监督。

第十条 信息安全事件应急预案应包括以下内容：

（一）事件分类与分级；

（二）事件报告与处理流程；

（三）应急响应措施；

（四）事件总结与改进。

第十一条 信息安全技术防护措施应包括以下内容：

（一）网络安全防护；

（二）主机安全防护；

（三）应用安全防护；

（四）数据安全防护。

第十二条 信息安全培训与宣传应包括以下内容：

（一）信息安全意识培训；

（二）信息安全技能培训；

（三）信息安全宣传。

第十三条 信息安全检查与评估应包括以下内容：

第一章 总则

第一条 为加强电网公司网络安全管理，保障电网安全稳定运行，防范网络安全风险，依据《中华人民共和国网络安全法》等相关法律法规，结合公司实际情况，制定本制度。

第二条 本制度适用于公司所有网络设备、信息系统、网络安全设备以及涉及公司网络安全的各项工作。

第三条 公司网络安全管理工作遵循“预防为主、防治结合、安全发展”的原则。

第二章 组织机构与职责

第四条 公司成立网络安全领导小组，负责公司网络安全工作的总体规划和组织实施。

第五条 网络安全领导小组下设网络安全办公室，负责公司网络安全工作的日常管理。

第六条 各部门、各单位应设立网络安全管理员，负责本部门、本单位网络安全工作的具体实施。

第三章 网络安全管理制度

第七条 网络安全管理制度包括但不限于以下内容：

（一）网络安全防护制度：包括网络安全等级保护、安全漏洞管理、入侵检测、安全事件应急响应等。

（二）网络安全设备管理制度：包括网络安全设备的采购、安装、配置、维护、升级等。

（三）网络安全操作规范：包括网络设备操作、系统管理、数据管理、应用系统使用等。

（四）网络安全培训制度：包括网络安全知识普及、技能培训、考核等。

（五）网络安全审计制度：包括网络安全审计范围、内容、方法、周期等。

（六）网络安全事件应急响应制度：包括网络安全事件报告、调查、处理、恢复等。

第八条 网络安全防护措施： （一）网络安全等级保护：根据国家网络安全等级保护要求，对公司信息系统进行安全等级划分，并采取相应的安全措施。

（二）安全漏洞管理：定期对网络设备、信息系统进行安全漏洞扫描，及时修复漏洞。

（三）入侵检测：部署入侵检测系统，实时监控网络流量，发现异常行为及时报警。

（四）安全事件应急响应：建立健全网络安全事件应急响应机制，确保网络安全事件得到及时、有效处置。

第四章 网络安全教育与培训

第九条 公司应定期开展网络安全教育与培训，提高员工网络安全意识和技能。

精品文章

《国家电网公司信息系统安全管理办法》

第一章总则

第一条为加强和规范国家电网公司（以下简称公司）信息系统安全工作，提高公司信息系统整体安全防护水平，实现信息系统安全的可控、能控、在控，依据国家有关法律、法规、规定及公司有关制度，制定本办法。

第二条本办法所称信息系统指公司一体化企业级信息系统，主要包括一体化企业级信息集成平台（以下简称“一体化平台”）和八大业务应用。“一体化平台”包含信息网络、数据交换、数据中心、应用集成和企业门户；“业务应用”包含财务（资金）管理、营销管理、安全生产管理、协同办公、人力资源管理、物资管理、项目管理、综合管理业务应用。电力二次系统安全防护遵照国家电力监管委员会5号令《电力二次系统安全防护规定》及其配套文件《电力二次系统安全防护总体方案》执行。

第三条信息系统安全主要任务是确保信息系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止公司对外服务中断和由此造成的电力系统运行事故。

第四条公司信息系统安全坚持“分区、分级、分域”总体防护策略，执行信息系统安全等级保护制度。管理信息网络分为信息内网和精品文章

信息外网，实现“双机双网”，信息内网定位为公司信息化“sg186”工程业务应用承载网络和内部办公网络，信息外网定位为对外业务网络和访问互联网用户终端网络。信息内、外网之间实施强逻辑隔离的措施。电力二次系统实行“安全分区、网络专用、横向隔离、纵向认证”的安全防护策略。

第五条在规划和建设信息系统时，信息系统安全防护措施应按照“三同步”原则，与信息系统建设同步规划、同步建设、同步投入运行。

第六条本办法适用于公司总部，各区域电网、省（自治区、直辖市）电力公司和公司直属单位（以下简称各单位）的信息系统安全管理工作。