S.00.00.00/DP.0400.0009

广东电力二次系统网络与信息安全管理规定

5.5.9.2. 防火墙的口令设置和管理应满足本规定关于账户、口令和权限管理的要求。 5.5.9.3. 在防火墙上禁止开通telnet、ftp、http等高风险服务。 5.5.9.4. 防火墙设备应启用抗攻击和端口扫描等功能。

5.5.9.5. 防火墙的部署不得出现网络旁路现象，以保证安全策略的有效性。

5.5.9.6. 跟踪厂家发布的防火墙补丁程序，及时修补防火墙操作系统的漏洞，并做好升级记录。

5.5.9.7. 调度机构、变电站、发电厂输变电部分防火墙安全策略及路由的配置和变更必须报请相应调度机构审核，经批准后方可实施。

5.5.9.8. 防火墙配置变更前后均必须对其配置信息进行备份。

5.5.9.9. 系统安全管理员对防火墙的告警信息应动态跟踪处理，发现安全事件应立即启动应急处理程序。

5.5.10 入侵检测系统安全管理

5.5.10.1. 入侵检测系统由运行维护部门安全管理员负责运行维护，由运行维护部门安全审计员负责运行日志审计。

5.5.10.2. 入侵检测系统的口令设置和管理应满足本规定关于账户、口令和权限管理的要求。

5.5.10.3. 入侵检测系统安全规则的设置、更改，必须符合保护对象的安全策略。 5.5.10.4. 系统配置变更前后均必须对其配置信息进行备份.。 5.5.11 操作系统安全管理

5.5.11.1. 操作系统安全管理的主要责任人是系统管理员。

5.5.11.2. 操作系统口令设置和管理应满足本规定关于账户、口令和权限管理的要求。 5.5.11.3. 操作系统应遵循最小安装的原则，仅安装需要的组件。 5.5.11.4. 按照最小授权原则，分别授予不同角色用户权限。 5.5.11.5. 跟踪系统厂商发布的安全补丁；及时修补系统安全漏洞。

5.5.11.6. 关闭非必要的服务，设置关键配置文件的访问权限，开启系统的日志审计功能。 5.5.11.7. 限制管理员权限使用，一般操作中，尽量采用一般权限用户，仅在必要时切换至管理员账号进行操作。

共 22 页 第 15 页

S.00.00.00/DP.0400.0009

广东电力二次系统网络与信息安全管理规定

5.5.11.8. 及时删除多余的、过期的账户，避免共享账户的存在。 5.5.12 数据库安全管理

5.5.12.1. 数据库由运行维护部门数据库管理员负责安全管理，由运行维护部门安全审计员负责运行日志审计。

5.5.12.2. 数据库环境安全配置应满足以下要求：

（1） 数据库服务器应当置于单独的服务器区域，其他区域对这些数据库服务器的物理访问均应受到控制。

（2） 数据库服务器所在的服务器区域边界应部署防火墙或其它逻辑隔离设施。 （3） 数据库系统的宿主操作系统除提供数据库服务外，不得提供其它网络服务，如：WWW、FTP、DNS 等。

（4） 应在宿主操作系统中设置本地数据库专用账户，并授予该账户除了运行各种数据库服务外的最低权限。

（5） 应对数据库系统安装目录及相应文件访问权限进行控制，如：禁止除专用账户外的其它账户修改、删除、创建子目录或文件。 5.5.12.3. 数据库系统安装、启动与更新应满足以下要求：

（1） 生产数据库系统应与开发数据库系统物理分离。 （2） 仅开启必要的数据库系统服务。 （3） 启用数据库日志审计功能。

5.5.12.4. 数据库账户口令设置和管理应满足本规定关于账户、口令和权限管理的要求。 5.5.12.5. 数据库对象安全应满足以下要求：

（1） 应当对数据文件访问权限进行控制，如：禁止除专用账户外的其它账户访问、修改、删除数据文件。

（2） 删除不需要的示例数据库，对允许存在的示例数据库应控制数据库账户的权限。

（3） 应删除或禁用不需要的数据库存储过程。

（4） 对于数据库中的敏感字段，如：口令等，应加密保存。 5.5.13 应用系统安管理

共 22 页 第 16 页

S.00.00.00/DP.0400.0009

广东电力二次系统网络与信息安全管理规定

5.5.13.1. 应用系统安全管理的主要责任人是应用系统管理员。 5.5.13.2. 依据最小化原则对用户赋予适当的权限。

5.5.13.3. 对应用系统应进行数据输入的合法性和参数配置的正确性检验。

5.5.13.4. 应用系统源代码应保存在专用的开发系统中，不应与运行系统同机存放。 5.5.13.5. 发现应用系统的安全漏洞应及时修复。 5.5.14 病毒、恶意代码防护管理

5.5.14.1. 运行维护部门应指定专人负责二次系统的病毒、恶意代码防护管理

5.5.14.2. 防病毒责任人应及时更新毒特征码，每日查看防病毒系统的告警信息，跟踪防病毒信息，对防病毒系统运行日志进行统计和分析。

5.5.14.3. 对生产控制大区防病毒系统应采用专用U盘进行病毒特征码的离线更新。更新前必须对病毒特征码进行测试，确保其代码无误后，方可更新。

5.5.14.4. 当有计算机设备、应用系统、移动存贮介质需要接入电力二次系统时，必须经过病毒检测。

5.5.14.5. 当发现连接调度数据网的计算机设备带有通过调度数据网传播的病毒时，应立即断开该带毒机器，并立即向相应调度机构报告。 5.5.14.6. 未清除病毒的计算机不得接入电力二次系统网络。 5.5.15 补丁安全管理

5.5.15.1. 系统安全员负责跟进安全漏洞信息和产品厂商发布的安全补丁信息。 5.5.15.2. 补丁必须由产品厂商直接提供，通过正规渠道获取。

5.5.15.3. 补丁加载前必须经过严格的测试，并做好重要文件（系统配置、系统用户数据等）备份工作，严禁未经测试直接在运行的系统上加载补丁。

5.5.15.4. 补丁加载必须安排在业务比较空闲的时间进行，对补丁加载的操作过程必须详细记录。

5.5.15.5. 对核心业务主机的补丁加载，应要求厂商工程师现场支持。

5.5.15.6. 补丁加载后的一周内，必须对系统性能和事件进行密切的监控，确保补丁加载后不影响系统的性能和正常运行。 5.5.16 账户和口令管理

共 22 页 第 17 页

S.00.00.00/DP.0400.0009

广东电力二次系统网络与信息安全管理规定

5.5.16.1. 操作系统、数据库系统、安全设备、网络设备、中间件、业务应用系统及其他设备的管理员账号口令长度至少设置为8 位，口令必须从字符（a-z，A-Z）、数字（0-9）、符号（~!@#$%^&*()_<>）中至少选择两种进行组合设置。

5.5.16.2. 操作系统、数据库系统、安全设备、网络设备、中间件、业务应用系统及其他设备的普通用户账号口令长度至少设置为6 位，由非纯数字或字母组成，不得使用容易猜测的口令。

5.5.16.3. 操作系统、数据库系统、安全设备、网络设备、中间件、应用系统及其他设备的普通用户账号和管理员账号不得使用缺省口令，应确保普通用户账号和管理员账号口令不同。

5.5.16.4. 数据库管理员账号不得与操作系统管理员账号相同，应用系统连接数据库系统的账号不得与数据库管理员账号相同。

5.5.16.5. 系统账号的口令必须以加密形式显示，同时，最小口令长度、修改口令的时间间隔、口令的唯一性、口令过期失效后的宽限使用次数必须严格限制。

5.5.16.6. 操作系统和数据库系统初始安装完毕后，必须更改系统安装时默认的管理员账户和具有特殊权限账户的口令，关闭不必使用的账号。

5.5.16.7. 网络设备、安全防护设备、重要服务器操作系统账户的口令必须经常更改，至少每月更改一次；数据库账户的口令至少每季度更改一次；应用系统管理员账户的口令至少每半年更改一次；并且每次更新的口令不得与旧的口令相同。

5.5.16.8. 安全管理专责人员、系统管理员、网络管理员离岗后，必须即刻更换操作密码或注销用户。

5.5.16.9. 发生安全事件后，有关系统必须即刻更换操作密码。 5.5.17 权限管理

5.5.17.1. 根据管理用户的角色分配权限，仅授予管理用户所需的最小权限。

5.5.17.2. 操作系统和数据库系统特权用户的权限必须分离，定期检查和调整用户访问数据库的权限。

5.5.17.3. 应严格限制默认账号的访问权限。

5.5.17.4. 系统管理操作应进行登录源限制，并采用安全加密的方式（如采用SSL 等）登

共 22 页 第 18 页