目前，由于大部分發電企業都按照國家規程規制，部署了橫向隔離、縱向加密產品，完成了網絡專用、安全分區的工作，但在安全檢查后仍然面臨整改要求，而完成整改工作的核心任務是如何落實國家關于“綜合防護”的要求。綜合防護需滿足國家等保2.0關于構建一個中心三重防護安全體系、國家發改委14號令和能源局XX號文件關于“綜合防護”的要求。

1. 內網安全綜合防護依據

國家等保2.0、國家發改委14號令、國家能源局XX號文為規定和規范電力監控系統安全防護整體方案，包括電力調度、電力生產企業的監控系統詳細防護方案。

1.1 國家能源局XX號文件關于發電企業安全防護總體策略：二十字方針（不同于十六字方針）

安全分區、網絡專用、橫向隔離、縱向加密、綜合防護。

1.2 國家等級保護2.0的要求

構建一個安全管理中心支持下的三重防護體系。安全管理中心集中管控網絡內安全設備或安全組件。實現網絡通信、區域邊界、計算環境的三重防護。

1.3 國家電網1084號文件的要求

設備自身感知、裝置就地采集、平臺統一管控

1.4 南方電網 41號文件的要求

堵入口、強邊界、固本體、嚴管控

1.5 各發電集團相關文件要求（略）

2. 發電企業安全問題和安全項目實操常見問題

2.1 發電企業安全問題

• 不知道。部署很多安全產品，安全狀態信息也上傳調度、國資委，但發電企業自己卻不知道自己的安全狀態。
• 不劃算。調度、國家用發電企業投資的網絡安全監測裝置、態勢感知了解、掌握發電企業的安全狀況，并以此作為發電企業的整改依據，而發電企業并不能第一時間獲得信息，只是通過整改單被動整改。自己投資，他人感知，非常不劃算。
• 不兼容。國家等保2.0、國資委智慧能源平臺、國網網絡安全監視、南網態勢感知等多部門都下發了強制執行的安全要求，如不能采用整體兼容的安全防護解決方案和技術，勢必造成重復投資、反復實施。
• 沒辦法。許多發電企業在安全防護方案中選擇的安全產品，大部分是審計類、監視類產品，極少使用防護類產品，面臨安全整改要求，不能實現快速處置、自動消缺。

2.2 項目實操常見問題

1） 現象：整改實施后，復查結果仍然不合規達標。

原因：方案不完整，消缺不完全。

由于有些廠商對國家文件要求不了解,對綜合防護理解不全面,所以提供給用戶的方案不能夠完全響應國家文件要求,其方案不完整,消缺不完全,勢必造成整改結果不合規達標。如：等保2.0的一個中心三重防護的要求，但實際情況是既沒有一個中心（沒有統一管控中心），又沒有三重防護（大部分是審計類產品）。

2） 現象：在項目實施過程中，造成業務中斷、系統崩潰。

原因：選用國家文件明令禁止使用的技術和產品。

由于有些廠商對國家文件要求的在生產控制大區內部選用的技術、產品的規定不了解、不熟悉,甚至選用了文件明文禁止的產品和技術。比如:

能源局XX號文件規定:禁止在生產控制大區使用B/S架構的安全產品,仍然選用B/S架構的安全產品,嚴重違規,帶來新的安全隱患。

能源局XX號文件規定:主機加固要采用專用軟件強化操作系統訪問控制能力。在實際方案仍然采用手動加固等方式而不是采用文件要求的專用軟件強化操作系統訪問控制能力的方式進行加固, 造成宕機、系統崩潰、業務中斷等嚴重事件。

國網1167文件規定，部署在生產控制大區的安全產品，必須通過國家電網委托的測評。但是實際項目實施過程中，仍然有些廠商在用戶的生產控制大區內部署了沒有通過國家電網和南方電網測評的產品。實際上，帶來了新的安全風險。

3） 現象：部署了很多安全產品，無法實現統一管控，不符合36號文件“綜合防護”的要求、也不能自行了解項目實施的效果。

原因：成果不可視，沒有綜合防護統一管控平臺，無法了解實施的效果和實時安全狀態。

由于在方案中,沒有提供安全態勢自評估系統,用戶無法了解,在項目實施之前與之后安全防護的狀況與效果。無法了解,在項目實施之前與國家要求的差距,在項目實施之后達到國家要求的程度。

由于在方案中沒有提供綜合防護統一管控平臺,無法自行了解電力監控系統安全防護實時狀況,只能根據調度的整改通知、兩年一度的安評報告了解安全防護狀態,造成工作上的被動,安全問題不能夠及時感知、快速響應、迅速解決。無法實現國家文件關于量化評估、雙周一報的要求。

總之，發電企業缺乏合規達標、統一管控、整體兼容的綜合防護方案，造成安全防護效果不理想，投入許多人力物力，仍然面臨：不知道、不劃算、不兼容、沒辦法的狀況。急需一個合規達標、整體兼容的綜合防護方案。北京信達可提供安全綜合防護整體解決方案，并且在發電企業有大量成功的運行案例。