1、ICS 91.140.60 P 41 DB33 浙江省地方标准 DB33/T 2051 2017 智慧供排水信息系统安全 技术 规范 Technical specification for intelligent water supply and drainage information system safety 2017 - 09 - 11 发布 2017 - 10 - 11 实施 浙江省质量技术监督局 发布 DB33/T 2051 2017 I 目 次 前 言 . 1 范围 .1 2 规范性引用文件 .1 3 术语和定义 .1 4 保护原则和目标 .3 4.1 原则 .3 4.2 目标
2、.3 5 安全等级划分与保护 .3 5.1 国家信息安全保护等级划分原则 .3 5.2 国家信息 系统 安全等级划分 .3 5.3 城镇供水信息系统安全等级划分 .3 5.4 城镇排水信息系统安全等级划分 .6 5.5 城镇供排水信息系统安全等级保护 .6 6 信息安全保护原则与保障体系 .7 6.1 信息安全保护原则 .7 6.2 信息安全保障体系 .7 7 工控系统安全保护 .8 7.1 安全软件选择与管理 .8 7.2 工控系统配置管理 .9 7.3 边界安全防护 .9 7.4 物理和环境安全防护 .9 7.5 安全账户认证 .9 7.6 远程访问安全 .9 7.7 安全监测及应急预案演
3、练 . 10 7.8 资产安全 . 10 7.9 数据安全 . 10 7.10 供应链管理 . 10 DB33/T 2051 2017 II 前 言 本标准依据 GB/T1.1-2009的规则起草。 本标准由浙江省住房和城乡建设厅提出并归口。 本标准主要起草单位：浙江省城市水业协会、宁波市供排水集团有限公司、浙江和达科技股份有限公司、太平洋水处理工程有限公司、宁波东海集团有限公司、杭州安信检测技术有限公司。 本标准主要起草人：柳成荫、陈爱朝、林好斌、刘青友、 滕良方、郭军、曹滢锋、鲍建军、 达云祥、张嘉伟、郭健。DB33/T 2051 2017 1 智慧供排水信息系统安全技术规范 1 范围 本
4、标准主要内容包括智慧供排水信息系统建设原则和目标、安全等级划分与保护、信息安全保护原则与保障体系、水厂与污水厂工控系统保护等。 本标准适用于浙江省智慧供排水信息系统安全建设、运行与管理。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南 3 术语和定义 下列术语和定义适用于本标准。 3.1 信息系统 informat
5、ion systems 用于采集、处理、存储、传输，分发和部署信息的整个基础设施、组织结构、人员和组件的总和。 3.2 信息系统安全 information systems security 通过使用合理的安全控制措施保护在存储、处理或传输等过程中的信息不被未授权用户访问，并 保证授权用户能够正常使用系统。 3.3 安全保护能力 security protection ability 系统能够抵御威胁、发现安全事件以及在系统遭到损害后能够恢复先前状态等的程度。 3.4 授权 authentication 授予权限，包括允许基于访问权的访问。 3.5 安全策略 security policy D
6、B33/T 2051 2017 2 为信息系统安全管理制定的行动方针、路线、工作方式、指导原则或程序。 3.6 资产 asset 信息系统安全策略中所保护的信息或资源。 3.7 访问控制 access control 按确定的规则，对实体之间的访问活动进行控制的安全机制，能防止对资源的未授权使用。 3.8 风险 risk 威胁利用资产或一组资产的脆弱性对组织机构造成伤害的潜在可能。 3.9 攻击 attack 在信息系统中一种绕过安全控制的行为。攻击成功与否取决于信息系统的脆弱性以及现有对策的有效性。 3.10 服务集标识 Service Set Identifier （简称 SSID） 一个
7、局域网的名称。 3.11 MAC 地址 Medium/Media Access Control 用来表示互联网上每一个站点的标识符，采用十六进制数表示，共六个字节（ 48 位）。 3.12 数据采集与监视控制系统 Supervisory Control And Data Acquisition （简称 SCADA ） 以计算机为基础的 生产过程控制 与调度自动化系统。 3.13 可编程逻辑控制器 Programmable Logic Controller （简称 PLC） 专门为在工业环境下应用而设计的数字运算操作电子系统。它采用一种可编程的存储器，在其内部存储执行逻辑运算、顺序控制、定时、计
8、数和算术运算等操作的指令，通过数字式或模拟式的输入输出来控制各种类型的机械设备或生产过程。 3.14 虚拟专用网络 Virtual Private Network （简称 VPN） 一种在公用网络上建立的专用网络，并进行加密通讯。 DB33/T 2051 2017 3 3.15 敏感信息 sensitive information 企业商业机密信息或国家机密信息或未经授权被修改会对国家、企业造成不利影响的信息。 4 保护原则和目标 4.1 原则 4.1.1 保密性：保证非授权操作不能获取受保护的信息或计算机资源。 4.1.2 完整性：保证非授权操作不能修改数据。 4.1.3 有效性：保证非授权
9、操作不能破坏信息或计算机资源。 4.1.4 可控性：对信息的传播及内容具有控制能力。 4.1.5 可用性：保证合法用户在需要时可访问到需要的信息 4.1.6 易操作：能够方便地部署各种安全策略。 4.2 目标 4.2.1 保证信息系统安全、可靠、稳定的运行。 4.2.2 保证信息系统中的信息的保密性、完整性、可用性和抗抵赖性。 4.2.3 保证信息系统中传播内容的合法性。 5 安全等级划分与保护 5.1 国家信息安全保护等级划分原则 信息系统的安全保护等级应根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织 的合法权
10、益的危害程度等因素划分。 5.2 国家信息 系统 安全等级划分 根据 GB/T 22240-2008 的规定，信息系统安全保护等级分为以下五级： a) 第一级 ， 信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 b) 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 c) 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 d) 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害
11、。 e) 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 5.3 城镇供水信息系统安全等级划分 5.3.1 水厂工控系统 水厂工控系统安全等级划分应符合表 1 的规定。 DB33/T 2051 2017 4 表 1 水厂工控系统控制系统安全等级 日供水规模 X 有备用供水方案 无备用供水方案 X 5 万 m3/d 第 一级 第 一级 5 万 m3/d X 30 万 m3/d 第 一级 第 二级 X 30 万 m3/d 第 二级 第 三级 5.3.2 生产调度系统 生产调度系统安全等级划分应符合表 2 的规定。 表 2 生产调度系统安全等级 总供水规模 X 只监测不能远程控制或设置运
12、行参数 监测并且能远程控制或设置运行参数 X 20 万 m3/d 第 一级 第 一级 20 万 m3/d X 50 万 m3/d 第 一级 第 二级 X 50 万 m3/d 第 二级 第 三级 5.3.3 管网地理信息系统 管网地理信息系统安全等级划分应符合表 3 的规定。 表 3 管网地理信息系统安全等级 总供水规模 X 地图不涉敏感信息 地图涉敏感信息 X 50 万 m3/d 第 一 级 第 二级 X 50 万 m3/d 第 二级 第 三级 5.3.4 区域加压泵站或阀门监控系统 区域加压泵站或阀门监控系统安全等级划分应符合表 4 的规定。 DB33/T 2051 2017 5 表 4 区
13、域加压泵站或阀门监控系统安全等级 日供水规模 X 只监测不远程控制 监测且需远程控制 X 2 万 m3/d 第 一级 第 一级 2 万 m3/d X 5 万 m3/d 第 一级 第 二级 X 5 万 m3/d 第 一级 第 三级 5.3.5 二次供水集中管理系统 二次供水集中管理系统安全等级划分应符合表 5 的规定。 表 5 二次供水集中管理系统安 全等级 泵房数量 X（座） 只监测不能远程控制或设置运行参数 监测并且能远程控制或设置运行参数 X 100 第 一级 第 一级 100 X 500 第 一级 第 二级 X 500 第 二级 第 三级 5.3.6 营业收费系统 用户数量小于 50 万
14、的营业收费系统，应定为第一级，否则应定为第二级。 5.3.7 门户网站和办公自动化系统 县级市供水企业门户网站 和办公自动化系统 应定为第一级；地级市以上（含）供水企业门户网站 和办公自动化系统 为第二级。 5.3.8 安防系统 公司（厂区）、城区范围的安防系统摄像头总数小于 100 个，其信息系统安全等级应定为第一级，否则应定为第二级。 5.3.9 其它信息系统 其它信息系统安全等级划分应符合表 6 规定。 DB33/T 2051 2017 6 表 6 其它信息系统安全等级 总供水规模 X 不涉敏感信息 涉敏感信息 X 50 万 m3/d 第 一级 第 二级 X 50 万 m3/d 第 二级
15、 第 二级 5.4 城镇排水信息系统安全等级划分 5.4.1 污水厂、泵站工控系统 污水处理厂规模小于 10 万 m3/d、 泵站规模小于 5 万 m3/d，其信息系统安全等级应定为第一级，否则应定为第二级。 5.4.2 生产调度系统 排水实时生产调度系统能监测数据但不能实行控制，其信息系统安全等级应定为第一级，排水实时生产调度系统能监测数据且能实行控制，其信息系统应定为第二级。 5.4.3 地理信息系统 地下管网地理信息系统地图不涉敏感信息，其信息系统安全等级应定为第一级，否则应定为第二级。 5.4.4 门户网站和办公自动化系统 县级市及以下排水企业门户网站 和办公自动化系统，其信息系统安全
16、等级 应定为第一级；地级市及以上（含）排水企业门户网站 和办公自动化系统，其信息系统安全等级 应定为第二 级。 5.4.5 安防系统 公司（厂区）、城区范围的安防系统摄像头总数小于 100 个，其信息系统安全等级应定为第一级，否则应定为第二级。 5.4.6 其它信息系统 其它信息系统若不涉敏感信息，其信息系统安全等级应定为第一级，否则应定为第二级。 5.5 城镇供排水信息系统安全等级保护 5.5.1 城镇供排水信息系统应具备的基本安全保护能力 城镇供排水信息系统的安全保护等级属于 1 3级。 1 3级 的信息系统应具备的基本安全保护能力见现行国家标准信息安全技术 信息系统安全等级保护基本要求
17、GB/T 22239-2008 中 4.2。 5.5.2 城镇供排水信息系统安全保护能力的基本要求 5.5.2.1 第一级信息系统安全保护能力基本技术要求及管理要求见 GB/T 22239-2008 中第 5章。 5.5.2.2 第二级信息系统安全保护能力基本技术要求及管理要求见 GB/T 22239-2008 中第 6章。 5.5.2.3 第三级信息系统安全保护能力基本技术要求及管理要求见 GB/T 22239-2008 中第 7章。 DB33/T 2051 2017 7 5.5.2.4 水厂、污水厂工控系统相应等级保护除应符合 GB/T 22239-2008 安全保护能力基本技术要求及管理
18、要求外，尚应符合本规范第 7章的规定。 6 信息安全保护原则与保障体系 6.1 保护原则 6.1.1 自主保护原则 信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全保护。 6.1.2 重点保护原则 根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。 6.1.3 同步建设原则 信息系统在新建、改建、扩建时应同 步规划和设计安全方案，投入一定比例的资金建设与维护信息安全设施，保障信息安全与信息化建设相适应。 6.1.4 动态调整原则 应跟踪信息
19、系统的变化情况，调整安全保护措施。由于信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级，根据信息系统安全保护等级的调整情况，重新实施安全保护。 6.2 保障体系 6.2.1 信息安全体系建设 信息安全体系建设应依据安全等级保护的基本要求，从物理安全、网络安全、主机安全、应用安全、数据安全以及安全管理等方面综合考虑，建设成可管理、可控制、可信任的并且融管理、运行和技术为一体的信息安全体系。 6.2.2 安全管理体系 信息安全管理架构应包括：安全组织架构、人员管理架构和安全管理制度架构。应 通过建立安全管理机制、成立信息安全协调小组，明确安全管理责任人，落实安全责任制，部署安全防护措施。 6.2.3 安全运行体系 信息安全运行体系应成为技术体系和管理体系作为运行体系的支撑，可通过运行体系的运行情况分析出技术体系和管理体系所存在的不足，为后期进一步完善加强信息安全工作打下 基础。信息安全运行体系应包括建设管理、运维管理、监督检查等。 6.2.4 安全技术体系 6.2.4.1 体系要求 信息安全技术体系是其安全管理体系和安全运行体系的交叉组成部分。安全技术体系应是整个信息安全体系框架的基础，应包括：数据安全、系统安全和基础设施安全。
