本標準規(guī)定了水利網絡安全保護總體要求、安全技術體系框架、安全縱深防御能力建設要求、安全監(jiān)測預警能力建設要求、安全應急響應能力建設要求、安全運營要求和安全監(jiān)督檢查要求。本標準適用于網絡安全等級保護等級為一級、二級和三級的水利網絡安全保護對象的網絡安全保護。

水利網絡安全保護對象：由計算機及相關設備組成的按照一定的規(guī)則和程序對信息進行收集、存儲、傳輸、交換、處理的系統(tǒng)，主要包括水利基礎信息網絡、云計算平臺/系統(tǒng)、大數據應用/平臺/資源、物聯網(IOT)、水利工程控制系統(tǒng)和水利業(yè)務應用系統(tǒng)(含采用移動互聯技術的系統(tǒng))等。

水利關鍵信息基礎設施：一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的水利網絡安全保護對象。例如：符合水利關鍵信息基礎設施認定規(guī)則的大型水利樞紐、輸水調水工程等重要基礎設施的集中控制系統(tǒng)和水災害防御、水資源管理等重要業(yè)務系統(tǒng)。

水利網絡安全保護技術規(guī)范

▼

(全文略)

水利網絡安全建設應遵循以下基本原則：

a)全面完整原則：在進行網絡安全建設時，應遵循本文件規(guī)定，結合實際，進行完整的網絡安全體系架構設計，全面覆蓋所有安全要素;

a)等級保護原則：應按照 GB/T 22240-2020，確定各類水利網絡安全保護對象的保護等級;

c)同步要求原則：水利信息化項目在規(guī)劃建設運行時，應將網絡安全保護措施同步規(guī)劃、同步建設、同步使用;

d)適當調整原則：在進行網絡安全建設時，可根據水利網絡安全保護對象具體情況和特點，適當調整部分安全要素的建設標準;

e)持續(xù)改進原則：應依據本標準和GB/T 22239-2020等國家標準規(guī)范要求持續(xù)完善網絡安全體系。

水利網絡安全建設應滿足以下一般要求：

a)設備安全要求：應優(yōu)先選用穩(wěn)定可靠的服務器、PLC、MCU、終端等計算設備，并根據需要進行計算設備安全評估;

b)軟件安全要求：應優(yōu)先選用穩(wěn)定可靠的操作系統(tǒng)、PLC系統(tǒng)、組態(tài)軟件、應用軟件等軟件，并根據需要進行軟件安全評估;

c)接入安全要求：可采用密碼技術等保證接入網絡的設備安全可信;

d)安全服務要求：應與產品、服務提供者簽訂安全保密協(xié)議，并約定其為產品、服務提供安全維護，在規(guī)定或者約定的期限內，不應終止提供安全維護;

e)容災備份要求：應具備容災備份措施對重要數據進行備份。

水利關鍵信息基礎設施網絡安全建設，應滿足以下補充要求：

a)設備安全要求：應對重要設備進行安全審查和評估;

b)軟件安全要求：應對重要軟件進行安全審查和評估;

c)協(xié)議安全要求：應采用具備安全校驗機制的通信協(xié)議，重要的服務和通信連接應采取加密技術措施;

d)認證檢測要求：關鍵設備和安全專用產品應當按照國家相關標準的強制性要求，采用安全認證或者安全檢測合格的產品;

e)計算環(huán)境要求：應按不低于第三級網絡安全保護對象的安全計算環(huán)境要求進行設計實施;

f)容災備份要求：應具備異地容災備份措施;

g)安全驗收要求：竣工驗收前，宜進行網絡安全專項驗收。

來源：計算機與網絡安全