Q／SY 201.2-2015  油气管道监控与数据采集系统通用技术规范 第2部分：系统安全

5.3.1服务器和工作站操作系统、网络设备配置管理软件、SCADA应用软件系统

3.1服务器和工作站操作系统、网络设备配置管理软件、SCADA应用软件系统应采取系统登 系统操作密码防护手段

5.3.2系统软件的密码设置与管理应遵守如下原则

密码的设置应遵循规范原则，密码最小长度为6位，且必须为数字与英文字母组合形式。 b 由于某种原因密码外泄后需立即更改密码设置。 C 控制中心重要的软硬件系统配置及管理界面宜结合动态口令、物理设备、生物识别和数字证 书等鉴别技术。 用户账户和密码应备案并由系统管理员保管

建筑软件、计算5.4端口策略与服务控制

5.4.1系统服务器和工作站的操作系统应关闭与数据采集及监控无关的系统服务和协议端口，操作 系统如有系统防火墙功能应将其开启，并设置安全防护策略 5.4.2应限制对系统服务器的远程登录方式，并开启地址范围限制策略， 5.4.3启用服务器操作系统安全审计，设置文件系统的访问权限，删除系统默认共享

5.5病毒防护与补丁更新

5.1应对SCADA系统进行病毒主动防护工作，具体包括： a） SCADA系统的服务器和工作站应配置防病毒软件，并及时下载与更新测试成功的防病毒软 件病毒库。 b) SCADA系统网络中如果部署有防病毒服务器，该服务器应与互联网物理隔离。 C) 应限制光盘和移动存储介质的使用。因设备调试、系统升级等，确需通过存储介质向系统加 载数据与程序文件，应先对存储介质进行离线查杀病毒后再使用。 d） 接入SCADA系统网络的计算机设备，必须先安装杀毒软件并查杀病毒后，方可接入 SCADA系统网络。 5.2SCADA系统服务器、工作站、网络设备应进行必要的补丁更新

SCADA系统的服务器和工作站应配置防病毒软件，并及时下载与更新测试成功的防病毒软 件病毒库。 b） SCADA系统网络中如果部署有防病毒服务器，该服务器应与互联网物理隔离。 C 应限制光盘和移动存储介质的使用。因设备调试、系统升级等，确需通过存储介质向系统加 载数据与程序文件，应先对存储介质进行离线查杀病毒后再使用。 d） 接入SCADA系统网络的计算机设备，必须先安装杀毒软件并查杀病毒后，方可接人 SCADA系统网络。 5.5.2SCADA系统服务器、工作站、网络设备应进行必要的补丁更新

式。 .2SCADA系统各通信链路带宽分配应满足监控数据传输的需求

O/SY 201.22015

6.3网络分区与边界防护

6.3.1SCADA系统网络作为专用的生产控制网络，应具有相对独立性与封闭性 6.3.2不应从互联网对SCADA系统直接进行访问。 6.3.3外部应用系统网络如需与SCADA系统网络进行连接，应在两者之间部署网络防火墙及物理 隔离装置。 6.3.4各管道站控系统网络间可采用网络防火墙划分不同VLAN、设置访问列表、限制访问协议和 端口等控制方式实现网络安全域的划分及网络访问控制

6.3.1SCADA系统网络作为专用的生产控制网络，应具有相对独立性与封闭性。 6.3.2不应从互联网对SCADA系统直接进行访问。 6.3.3外部应用系统网络如需与SCADA系统网络进行连接，应在两者之间部署网络防火墙及物理 隔离装置。 6.3.4各管道站控系统网络间可采用网络防火墙划分不同VLAN、设置访问列表、限制访问协议和 端口等控制方式实现网络安全域的划分及网络访问控制

6.4.1网络中具有配置管理功能的网络设备与主机节点均应配置设备管理地址及开启事件日志， 6.4.2所有与SCADA网络进行连接的计算机、网络设备均应经过授权。 6.4.3网络设备中不使用的网络端口应立即作停用处理，并定期对网络和端口进行巡检。 5.4.4控制中心SCADA系统网络宜应用人侵监测系统实现网络安全运行状态（设备状态、网络流 量）的自动监测，并在侵入事件发生时能够及时自动监测并通知系统管理人员，

6.4.1网络中具有配置管理功能的网络设备与主机节点均应配置设备管理地址及开启事件日志 6.4.2所有与SCADA网络进行连接的计算机、网络设备均应经过授权。 6.4.3网络设备中不使用的网络端口应立即作停用处理，并定期对网络和端口进行巡检。 5.4.4控制中心SCADA系统网络宜应用人侵监测系统实现网络安全运行状态（设备状态、网络流 量）的自动监测，并在侵入事件发生时能够及时自动监测并通知系统管理人员，

6.4.1网络中具有配置管理功能的网络设备与主机节点均应配置设备管理地址及开启事件日志

7.1.1应限制SCADA系统中移动存储介质的接入，系统更新与数据交互需使用内部专用存储介质 由内部管理人员实施操作， 7.1.2所有存储有SCADA系统信息的电子媒介，应采取物理破坏的办法来进行处理。 7.1.3服务器控制台访问应开启超时锁定功能。 7.1.4第三方系统服务商应与用户签订保密协议

7.2.1除主备中心SCADA系统和远程诊断维护系统外，严禁其他外部应用系统对站控系统进行 访间。 7.2.2远程诊断维护系统不应对站控系统中的控制设备进行远程操作和程序下载等工作 7.2.3外部应用系统不应直接访问SCADA系统的实时与历史数据库，可设置一个中间数据库平台灌溉水质标准， 作为应用系统读取生产数据的唯一数据源。

7.2.1除主备中心SCADA系统和远程诊断维护系统外，严禁其他外部应用系统对站控系统进行 访问。 7.2.2远程诊断维护系统不应对站控系统中的控制设备进行远程操作和程序下载等工作。 .2.3外部应用系统不应直接访问SCADA系统的实时与历史数据库，可设置一个中间数据库平台， 作为应用系统读取生产数据的唯一数据源。

7.3.1每周对控制中心SCADA系统工程信息进行一次增量备份，每月进行一次完全备份。 7.3.2在SCADA系统升级或维护之前，应对系统软件和工程信息进行备份。 7.3.3在对SCADA系统进行恢复操作前，应在测试系统上测试通过后，才能在在线生产环境进行 恢复操作

Q/SY201.22015

8.1系统安全审计应覆盖到系统全部用户的登录及系统变更操作，对SCADA系统重要安全事件进 行审计，应包括以下事件：系统管理（用户管理、授权管理等）、配置管理（安全参数的设置和修 改）等。 8.2系统安全审计应能够对应用SCADA系统进行管道控制的各项操作进行有效记录。 8.3系统安全审计记录内容应将每个可审计事件与引起该事件的用户身份相关联。内容应包括：事 件发生的时间（或时间段）、事件发起用户名、用户操作的客户端标识、事件内容、事件的结果。 8.4应具备对审计记录和审计工具的保护能力，禁止非授权的访问、修改和删除。 8.5每年对审计记录进行维护与备份归档

Q/SY201.22015

施工管理标准规范范本1］GB/T22240信息安全技术信息系统安全等级保护定级指南 [2]APIStd1164:2004PipelineSCADAsecurity

Q/SY 201. 22015

中国石油天然气集团公司 企业标准 油气管道监控与数据采集系统 通用技术规范 第2部分：系统安全 Q/SY 201.2—2015 石油工业出版社出版 （北京安定门外安华里二区一号楼） 北京中石油彩色印刷有限责任公司排版印刷 （内部发行） 880×1230毫米16开本0.75印张19千字印1—1200 2015年10月北京第1版 2015年10月北京第1次印刷 书号：155021·18183 定价：12.00元 版权专有不得翻印