上级单位名称

下级单位总数

单位类型

   电网企业            □

   发电企业            √

   电力科研企业        □

   电力设计施工企业    □

   其他类型企业        □

检查方式

    本单位自查           √   

    上级单位督查         □    

    电监会抽查           □

检查时间

检查范围

检查组基本信息

检查组织单位

检查组组长

检查组成员

ORG.1

组织机构建立

组织建立了由决策层、管理层、执行层组成的完整信息安全组织机构。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得0.4分。

决策层

符合/不符合判断法：

3)        不符合，此项得0分；

4)         符合，此项得0.3分。

管理层

符合/不符合判断法：

5)        不符合，此项得0分；

6)         符合，此项得0.3分。

执行层

ORG.2

第一责任人确立

组织主要负责人是本单位网络与信息安全的第一责任人，对本单位的网络与信息安全负全面责任。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得1分。

第一责任人

ORG.3

责任落实

组织机构职责涵盖信息安全工作的主要方面，职责明确到责任部门、责任人员，并以正式文件形式发布。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得1分。

ORG.4

专职机构及岗位设置

组织信息安全机构及岗位设置符合如下要求：1）电力企业集团公司总部设置信息安全专职机构；2）电力企业集团公司二级单位设置信息安全管理和技术岗位；3）电力企业基层单位设置信息安全岗位。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得1分。

机构

依据企业层级选择其中之一填写。

管理和技术岗位

信息安全岗位

ORG.5

安全人员配置

组织专职信息安全工作人员数量与组织总信息安全岗位数量的比值。

比率值法：

1） 得分=

2） 取小数点后2位。

信息安全岗位总数

专职人员数量

REG.1

整体策略及总体规划（方案）制定

组织制定了信息安全工作的整体策略和总体规划（方案），说明信息安全工作的总体目标、范围、防护框架和防护措施。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得0.5分。

整体策略

符合/不符合判断法：

3)        不符合，此项得0分；

4)        符合，此项得0.5分。

总体规划（方案）

REG.2

规章制度及体系完整性

组织对信息安全工作制定了基本安全管理制度，并以此为基础形成了涵盖人员管理、资产管理、存储介质管理、信息系统建设安全管理、运行维护管理、外包服务管理、培训教育等方面的制度体系。

选项法：

1） 无制度，此项得0分；

2） 制定了基本制度，此项得0.5分；

3） 形成制度体系，此项得1分。

基本制度

制度体系

REG.3

操作规程制定

组织对要求信息安全运行维护人员执行的日常管理操作制定了运维流程和操作规程。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得0.5分。

运维流程

符合/不符合判断法：

3)        不符合，此项得0分；

4)        符合，此项得0.5分。

操作规程

REG.4

制度发布

组织信息安全管理制度通过正式、有效的方式发布。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得0.5分。

发布制度

符合/不符合判断法：

3)        不符合，此项得0分；

4)        符合，此项得0.5分。

主要文件符合发布制度要求

FUN.1

经费预算

组织信息安全建设及运行维护经费被列入预算。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得1分。

FUN.2

安全建设经费投入

组织用于信息安全建设（安全软硬件购置、系统安全功能开发、安全测试、安全咨询、安全培训、安全专项研究等）的经费占年度信息化建设总投入的比率。（取当年值或近两年平均值）

选项法：

1） 比率=

2） 比率，此项得0分；

3） 比率，此项得0.3分；

4） 比率，此项得0.7分；

5） 比率，此项得1分。

信息化建设总经费

信息安全建设经费

FUN.3

安全运维经费投入

组织用于信息安全运行维护（监督检查、日常安全运维、监测分析、应急演练及应急保障、测试评估等）的经费占整个信息系统运行维护总投入的比率。（取当年值或近两年平均值）

选项法：

1） 比率=

2） 比率，此项得0分；

3） 比率，此项得0.3分；

4） 比率，此项得0.7分；

5） 比率，此项得1分。

信息系统运行维护总经费

信息安全运行维护经费

PER.1

全员安全培训及保密协议签订

组织全体员工中参加年度信息安全培训并签署保密协议的比率。

比率值法：

1)          得分=

；

2)          取小数点后2位。

员工总数

参加年度培训人员数

签署保密协议人员数

PER.2

专业技能培训

组织信息安全工作人员中获得国家、行业信息安全专业培训证书的比率。

比率值法：

1)        得分=；

2)        取小数点后2位。

信息安全工作人员总数

获得信息安全培训证书的人员数

PER.3

人员审查

组织对信息安全岗位人员和其他敏感岗位人员实施身份、背景和资质审查。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

PER.4

岗位调整管控

组织在信息安全岗位人员及其他敏感岗位人员离岗时执行权限回收和离岗承诺书签署。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

OSE.1

外包服务协议

组织与合约方签订的外包服务协议中具有信息安全管控和保密条款。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得0.5分。

管控条款

符合/不符合判断法：

3)          不符合，此项得0分；

4)          符合，此项得0.5分。

保密条款

OSE.2

第三方人员访问管理

组织对第三方人员访问机房等受控区域采取了书面审批、人员陪同、进出记录等管控措施。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得0.3分。

受控区域

符合/不符合判断法：

3)          不符合，此项得0分；

4)          符合，此项得0.3分。

审批情况

符合/不符合判断法：

5)          不符合，此项得0分；

6)          符合，此项得0.3分。

陪同和记录情况

OSE.3

远程服务管控

组织针对远程访问采取了书面审批、访问控制、在线监测、日志审计等管控措施。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得0.5分。

审批情况

符合/不符合判断法：

3)          不符合，此项得0分；

4)          符合，此项得0.5分。

管控措施

OSE.4

现场开发管控

组织采取技术措施保证开发测试环境与实际生产运行环境物理分离，并限定开发人员的活动范围和行为。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得0.5分。

环境分离措施

符合/不符合判断法：

3)          不符合，此项得0分；

4)          符合，此项得0.5分。

范围和行为限定措施

ASS.1

资产清单

组织识别所有信息资产并有资产清单。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

ASS.2

资产管理职责

组织对每项资产明确管理责任人及其职责。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

ASS.3

信息系统基础资料归档

组织对源代码、设计方案、建设实施方案等基础资料进行归档的系统数量与信息系统总数的比值。

比率值法：

1)        得分=；

2)        取小数点后2位。

信息系统总数

已归档系统数量

CON.1

上线安全测评

组织信息系统在上线前通过安全测评的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

已投运信息系统

通过安全测评系统

CON.2

等级保护建设

组织信息系统中按要求开展等级保护建设的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

需开展建设系统

已开展建设系统

CON.3

等级保护测评

组织信息系统中按要求开展等级保护测评的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

需测评信息系统

已开展测评信息系统

CON.4

风险评估

组织信息系统中按要求开展信息安全风险评估的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

需评估信息系统

开展评估信息系统

CON.5

密码产品采购

组织密码产品的采购和使用符合国家密码主管部门的要求。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

CON.6

产品采购测试

组织对信息安全产品、系统基础软硬件、系统应用软件、工业控制装置等在采购前实施安全性测试。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

CON.7

安全产品国产化情况

组织信息安全产品国产化率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

信息安全产品总数

国产产品数量

SDD.1

安全分区

按照《电力二次系统安全防护规定》要求，划分了生产控制大区和管理信息大区，生产控制大区内的控制区和非控制区逻辑隔离。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

生产大区内部分2个区，信息管理大区内部分1个区。

SDD.2

横向隔离及纵向认证

按照《电力二次系统安全防护规定》要求，在生产控制大区与其他区域有信息交换时，部署横向隔离装置，在调度数据网上下级网络接口部署纵向加密装置。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

生产大区内部1、2区之间。厂级和网调之间未加密。

SDD.3

跨区连接管控

组织不存在未通过横向隔离装置跨区网络直接连接的情况。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

SDD.4

内外网隔离

组织应用独立的网络及终端处理敏感信息且未与互联网连接。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

NET.1

生产控制大区防护

组织在生产控制大区内部实施了网络设备安全防护、ARP防范、非授权网络接入管控等技术措施。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

NET.2

管理信息大区防护

组织在管理信息大区内部实施了网络设备安全防护、ARP防范、非授权网络接入管控等技术措施。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

NET.3

互联网出口统一管理

组织互联网出口数量与组织内独立部门（单位）总数的比值。

比率值法：

1)        比率=；

2)        ，得0分；

3)        ，得0.3分

4)        ，得0.7分

5)        ，得1分

6)        取小数点后2位。

独立部门（单位）总数

互联网出口数量

NET.4

互联网出口安全管控

组织互联网出口中部署了访问控制设备和入侵检测设备且访问控制粒度达到端口级的比率。

比率值法：

1)        得分=；

2)        取小数点后2位。

互联网出口数量

防护符合要求出口数量

NET.5

无线网络安全应用

组织应用无线网络承载业务的信息系统中采取认证、完整性保护、机密性保护等必要安全防护措施的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

应用无线网络信息系统总数

符合防护要求的系统数

HEQ.1

补丁更新

组织按照补丁管理要求进行了可更新补丁的更新。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

HEQ.2

恶意代码防护

组织按照恶意代码管理要求进行了恶意代码检测程序及可更新恶意代码库的更新。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

HEQ.3

系统加固

组织主机和设备中按照等级保护测评、风险评估、信息安全检查等发现的问题完成加固的比率。

比率值法：

1)        得分=

2)        取小数点后2位。

应加固主机和设备数量

完成加固主机和设备数量

HEQ.4

办公终端管控

组织实施安全管控并统一安装防病毒软件的办公终端数量与办公终端总数的比值。

比率值法：

1)        得分=；

2)        取小数点后2位。

办公终端总数

实施管控终端数量

HEQ.5

主机和设备账号口令

组织主机和设备中经检测未发现存在不符合口令管理制度要求帐号口令的主机和设备比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

检测主机和设备数量

未发现问题的主机和设备数

ADA.1

应用系统安全功能及配置

组织在等级保护测评、风险评估、信息安全检查等工作中未发现应用系统安全功能及配置方面存在问题的应用系统比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

总检查、评估系统数

未发现问题的系统数

ADA.2

面向互联网服务系统安全监控和攻击防御

组织面向互联网服务的信息系统中部署信息监控和攻击防御措施的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

面向互联网提供服务系统数

符合防护要求系统数

ADA.3

面向互联网服务系统周期性测试

组织按要求对面向互联网服务的系统进行周期性安全测试的比率。

符合/不符合判断法：

1)        不符合，此项得0分；

2)        符合，此项得1分。

ADA.4

应用系统帐号口令管理

组织应用系统中经检测未发现存在不符合口令管理制度要求帐号口令的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

应用系统检测总数

未检出问题的应用系统数

ADA.5

重要数据安全防护

组织采用加密或其它措施实现系统管理数据、鉴别信息和重要业务数据传输和存储的完整性和保密性保护。

符合/不符合判断法：

1)          不符合，此项得0分；

2)          符合，此项得1分。

PEN.1

机房安全建设

组织按照等级保护要求落实物理安全防护的机房比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

机房总数

符合防护要求机房

OPE.1

日常维护

组织按照制定的规章制度、操作规程等执行了日常维护工作，并有详尽记录。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

OPE.2

日志审计

组织对网络运行日志、操作系统日志、数据库访问日志、业务应用系统运行日志、安全设施运行日志等进行集中收集、定期分析。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

OPE.3

补丁管理

组织制定了补丁升级管理制度和补丁升级策略，建立有关键业务系统补丁升级测试环境。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得0.5分。

制度及策略

符合/不符合判断法：

3） 不符合，此项得0分；

4） 符合，此项得0.5分

测试环境

OPE.4

介质管理

组织设置实施了限制移动介质使用的技术措施，对移动存储介质的发放、注册、使用、存放、销毁有记录。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

OPE.5

安全监测

组织建立安全监测系统对互联网出口、面向互联网提供服务系统、重要信息系统的运行、病毒木马、办公终端安全防护等情况进行监测。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

REC.1

硬件冗余

组织重要信息系统网络设备、通信线路和数据处理系统硬件冗余。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

REC.2

定期备份

组织重要信息系统实施本地备份，并制定定期检查策略，备份介质场外存放。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

说明是系统备份还是数据备份，是全部备份还是部分备份

REC.3

异地容灾中心

组织建立异地灾备中心，三级信息系统实现关键数据定时批量传送至备用场地，四级信息系统实现业务应用实时无缝切换。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

REC.4

恢复测试

组织按照备份及恢复测试要求，定期组织实施恢复测试，并有文档记录。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

EME.1

信息通报

组织建立了网络与信息安全信息通报机制，按要求向电力监管机构通报网络和信息安全状况。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

EME.2

应急预案制定

组织按照电力行业网络与信息安全应急预案，制定了网络与信息安全应急预案。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

EME.3

重要信息系统应急预案制定

组织重要信息系统中制定了专项应急处置预案的比率。

比率值法：

1)        得分=

；

2)        取小数点后2位。

重要信息系统总数

制定专项案的信息系统数

EME.4

应急演练

组织实施了年度应急演练，并有演练脚本和演练实施文档记录。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。

EME.5

应急资源配备

组织结合信息安全工作需求，储备、购置应急所需技术队伍和物资。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得0.5分。

应急支援队伍

符合/不符合判断法：

3） 不符合，此项得0分；

4） 符合，此项得0.5分。

已配备或已落实应急供应渠道

EME.6

事故调查

组织按照国家、行业及本单位应急预案要求，配合或组织开展事故调查。

符合/不符合判断法：

1） 不符合，此项得0分；

2） 符合，此项得1分。