1 引言

電力信息系統不僅包括發電、輸電、變電、配電、用電等環節的生產、調度與控制系統，還包括生產、營銷等工作管理系統。此前，電力行業監管部門一直高度重視信息安全工作，于2005年頒發了《電力二次系統安全防護規定》(電監會5號令)[1]，后陸續制定了《電力二次系統安全防護總體方案》、《省級及以上調度中心二次系統安全防護方案》、《變電站二次系統安全防護方案》等。根據《關于開展全國重要信息系統安全等級保護定級工作的通知》(公信安[2007]861號文)[2]要求，電力行業作為首個行業單位率先組織開展信息安全等級保護工作。

在電力生產不同環節中的信息系統在部署環境、系統功能、安全保障需求中存在非常大的差異，電力行業在開展信息安全等級保護工作時，采取了謹慎的態度，在試點示范的基礎上，持續挖掘電力系統自身的特點，逐漸形成了具有行業特色的信息安全等級保護需求。同時，國家公安部在《關于開展信息安全等級保護安全建設整改工作的指導意見》(公信安[2009]1429文)明確指出，重點行業信息系統主管部門可以按照《信息系統安全等級保護基本要求》[3]的具體指標，在不低于等級保護基本要求的情況下，結合系統安全保護的特殊需求，在有關部門指導下制定行業標準規范或細則，指導本行業信息系統安全建設整改工作。電力行業積極貫徹國家管理要求，在深入分析行業現狀和特點的同時，研究國家信息安全等級保護相關標準和管理規范，制定《電力行業信息系統安全等級保護基本要求》(送審稿)[4]，并選擇行業內具有代表性的信息系統，開展等級保護測評試點工作。

本文在綜述電力行業信息系統安全等級保護基本要求的基礎上，具體描述了電力行業在開展信息安全等級保護測評工作時，協調應用等級保護要求基本指標和行業特殊指標的測評方法。

2 電力行業信息安全等級保護標準綜述

電力行業信息安全等級保護要求中貫徹鞏固了電力行業信息安全工作成果，在總體要求部分提出了電力企業應劃分不同安全分區、不同安全分區應具有不同安全防護要素的安全保護要求，并根據信息安全等級保護工作思路，總體要求由整體技術要求和通用管理要求組成。其中，整體技術要求中規定，電力生產企業、電網企業、供電企業內部基于計算機和網絡技術的業務系統，原則上劃分為生產控制大區和管理信息大區，生產控制大區可分為控制區和非控制區。并根據電力企業信息化工作管理要求，提出了不同安全保護等級的信息系統應成獨立的安全域[5]、電力企業的互聯網出口應歸集統一、調度數據網上應實現縱向數據認證加密傳輸等具有行業特色的安全保護要求。

同時，電力行業根據電力行業信息系統特點以及電力行業信息系統安全防護的保障需求，將電力信息系統細分為管理信息系統類和生產控制系統兩大類，并根據這兩類系統的差異，在行業信息安全等級保護標準中對管理信息系統和生產控制系統分別提出了不同安全分區、不同安全防護等級、不同安全防護要點的信息系統等級保護要求。雖然電力行業針對不同類別的信息系統分別提出了具有一定差異的安全等級保護要求，但總的來說，行業要求是落實并強化國家信息安全等級保護要求。通過對國家標準和行業標準進行差異分析，可發現生產控制類系統和管理信息類系統的安全等級保護要求較國標中相應條款而言，存在的差異僅有落實、細化、加強、新增四種。并且電力行業信息安全等級保護要求中生產控制信息系統、管理信息系統的安全等級要求也具有逐漸加強的特點。

3 電力行業信息安全等級保護標準的應用

在電力行業信息安全等級保護測評中心組織的國家電網公司信息安全等級保護測評試點工作中，依據信息系統重要程度和使用范圍、覆蓋不同安全等級的原則，選取了具有代表性的二、三級管理信息系統共6個開展試點測評工作，被測評單位為網省級電力企業。

某電力企業財務(資金)管理信息系統為試點測評信息系統之一，安全保護等級為三級，具體安全級別為S2A3G3。該系