《數觀天下：2023電力行業商用密碼應用白皮書（44頁）.pdf》由會員分享，可在線閱讀，更多相關《數觀天下：2023電力行業商用密碼應用白皮書（44頁）.pdf（44頁珍藏版）》請在三個皮匠報告上搜索。

1、電力行業商用密碼應用白皮書電力行業商用密碼應用白皮書數觀數觀天下天下2022023 3年年2 2月月No.202No.2023021700130217001版版權權聲聲明明本白皮書版權屬于本白皮書版權屬于數觀天下，數觀天下，并受法律保護。轉載、摘編并受法律保護。轉載、摘編或利用其它方式使用本白皮書文字或者觀點的或利用其它方式使用本白皮書文字或者觀點的，應注明應注明“來來源：源：數觀天下數觀天下”。違反上述聲明者，編者將追究其相關法。違反上述聲明者，編者將追究其相關法律責任。律責任。編制說明編制說明(排名不分先后)本白皮書參與編寫單位：公安部第三研究所、中國電力科學研究院、國網浙江省電力有限公司

2、科學研究院、國網浙江省電力有限公司信息通信分公司、國網浙江省電力有限公司杭州供電公司、杭州市商用密碼應用協會、北京信安世紀科技股份有限公司、北京網御星云信息技術有限公司、深信服科技股份有限公司、江南信安（北京）科技有限公司、深圳市東進技術股份有限公司前前言言電力行業是關系國計民生的重要基礎行業，同時也是技術、資金密集型行業。近年來，網絡信息安全形勢日益嚴峻，電力系統信息安全問題日益突出，已對電力系統生產和經營正常運行形成嚴重威脅。電力系統信息安全隱患不僅會導致信息和經濟損失，更會危及到人身和社會安全。密碼作為保護網絡與信息安全的重要手段，在身份識別、安全隔離、信息加密、完整性保護和抗抵賴等方面

3、發揮著不可替代的重要作用。為貫徹落實國家相關政策要求，充分發揮密碼在維護網絡與信息安全方面的重要作用，切實加強電力行業密碼應用工作，國家能源局及各級主管單位制定系列指導文件，明確提出密碼應用要求。在金融和重要領域密碼應用與創新發展工作規劃（2018-2022年)、中華人民共和國密碼法、中華人民共和國數據安全法、關鍵信息基礎設施安全保護條例、國家能源局關于加強電力行業網絡安全工作的指導意見等一系列政策文件指導下，電力行業大力推進我國商用密碼應用，取得了階段性成果，也存在一些薄弱環節。為持續推進電力行業商用密碼應用，國家能源局在電力安全生產“十四五”行動計劃、“十四五”現代能源體系規劃、能源領域

4、5G 應用實施方案、2022 年能源工作指導意見等政策文件中明確提出加快推進密碼應用基礎設施建設、密碼改造和商用密碼應用安全性評估等要求。本白皮書聚焦電力行業典型場景，結合商用密碼發展趨勢，圍繞電力行業重要信息系統，以及云計算、大數據、物聯網、5G 等新技術賦能下電力行業應用，分析電力行業商用密碼應用現狀和需求，研判商用密碼應用推進過程中面臨的問題和挑戰，并提出推進建議，以期為電力行業商用密碼應用主管部門、從業單位提供參考。目目錄錄版版權權聲聲明明.2一、電力行業商用密碼應用背景.2(一)電力行業面臨愈加復雜的網絡安全威脅.2(二)推進商用密碼應用是落實政策文件要求.3二、電力行業商用密碼應用

5、典型場景.4(一)電力行業密碼基礎設施.5(二)重要生產網絡和信息系統.6(三)新技術應用場景.18三、電力行業商用密碼應用面臨的挑戰.36(一)密碼應用監管力度持續優化，提高政策推進的全要素建設.36(二)密碼應用資源投入分散，密碼基礎設施統籌規劃.36(三)密碼系統建設處于傳統模式，鉆研新型技術能力發展模型.36四、推進建議.37(一)高層管理者參與，加強密碼應用體系建設.37(二)建立彈性安全邊界，密碼服務統一化建設.37(三)密碼設施完善換代，強化密碼技術自主創新.38數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體2一、電力行業商用密碼應用背景(一一)電力行業面臨愈加復雜的網

6、絡安全威脅電力行業面臨愈加復雜的網絡安全威脅電力行業網絡信息安全形勢日益嚴峻。當前復雜的國際形勢下，全球范圍內電力信息系統和網絡屢遭網絡攻擊：巴西電力公司和歐洲能源巨頭 EDP 公司等遭勒索軟件攻擊，印度核電站內網感染惡意軟件，烏克蘭某核電廠發生重大網絡安全事故，委內瑞拉電力系統兩年內遭受多次網絡攻擊，美國電力公司遭受 DDoS 攻擊，法國費森海姆核電站敏感數據被泄露，俄黑客組織對美國核電站實施攻擊。作為關鍵基礎設施的重要組成部分，電力行業網絡信息安全不僅關乎企業信息和經濟安全，而且可影響社會安全和國家安全。更保障電力行業網絡信息安全，具有重要的戰略意義和現實意義。電力行業新技術融合應用引入了

7、新的安全風險。近年來，電力行業對網絡和信息技術的依賴程度越來越高，電力物理空間與網絡空間的連通、融合進一步加深，隨著數字化轉型下電力工業技術體系在開放性、互聯互通性上的增強，以及能源網絡的結構復雜化、邊界模糊化、形態多樣化，網絡安全風險化顯著增加。與此同時，能源互聯網廣泛融合能源生產、傳輸、交易、消費等各環節數據，能源電力生產中的信息獲取方式、存儲形態、傳輸渠道、處理方法以及對網絡安全保障與防護的需求均發生了顯著的變化。網絡安全不再僅僅只是影響虛擬空間，而是將會通過電力信息物理耦合關系數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體3滲透到現實電力一次系統，嚴重影響電力一次系統的安全、

8、穩定、高效運行。(二二)推進商用密碼應用是落實政策文件要求推進商用密碼應用是落實政策文件要求法律法規明確提出商用密碼應用要求。面對國家安全的新形勢，我國已在多部法律法規中明確規定了密碼應用的要求，包括中華人民共和國密碼法、中華人民共和國網絡安全法、中華人民共和國數據安全法、關鍵信息基礎設施安全保護條例、商用密碼管理條例（修訂草案）等，突出強調了關鍵信息基礎設施和網絡安全等級保護第三級及以上信息系統的密碼應用監管，并實施商用密碼應用安全性評估和安全審查制度。1.主管部門和責任單位發布系列指導文件國家能源局統籌指導體系推進。2018 年，國家能源局印發關于加強電力行業網絡安全工作的指導意見，明確提

9、出加快密碼基礎設施建設，包括在重要業務、重要領域實施密碼保護，完善電力行業密碼支撐體系，實現電力行業密碼基礎設施一體化管理；健全電力行業密碼檢測手段，開展密碼應用安全性評估。2021 年國家能源局印發的電力安全生產“十四五”行動計劃，將“加快推進密碼應用基礎設施建設、密碼改造和商用密碼應用安全性評估”作為網絡與信息安全基礎能力提升攻關重點之一。責任單位扎實推進行業密碼應用。根據中辦、國辦 2019 年 36數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體4號文，加強金融和重要行業領域密碼應用要求，國家電網編制了 國家電網有限公司商用密碼應用與建設發展規劃（2018-2022 年），印發

10、國家電網有限公司商用密碼應用與建設發展工作要點，明確提出了建設統一密碼應用服務體系的工作方向和要求。按照“合法合規、安全高效、集中統一、長效發展”的原則，確立公司密碼“五統一五統一”的工作思路（統一規劃、統一標準、統一建設、統一運營和統一服務）。分階段建成技術領先、理念超前的“1+2+31+2+3”的統一密碼應用服務體系（一個中心+兩種技術體制+形成三種核心能力）”二、電力行業商用密碼應用典型場景現代電力生產和經營管理都已具備高度網絡化、系統化、自動化的特征，以網絡、數據庫、計算機自動控制技術為代表的信息處理技術已經滲透到電力生產、經營管理的各個方面。此外，能源互聯網技術、云計算、大數據、物聯

11、網、5G、區塊鏈等新技術也逐步應用到電力行業重要信息系統，在為電力行業提質增效的同時也帶來了新的安全挑戰。密碼作為網絡信息安全的核心技術和基礎支撐，在電力行業網絡信息安全防護體系中占據重要地位。以下從力行業密碼基礎設施建設、重要生產網絡和信息系統、新技術賦能等方面展開詳述型場景下的商用密碼應用現狀和需求。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體5(一一)電力行業密碼基礎設施電力行業密碼基礎設施密碼基礎設施密碼基礎設施是提供機密性、完整性、真實性、不可否認性等安全服務的基礎資源，是實現密碼應用的重要組成。在國家能源局的指導下，國網公司成立商用密碼管理中心，并在各網省公司建設統一密

12、碼服務平臺。商用密碼管理中心負責落實國家和國網公司密碼政策要求，統一密碼基礎設施和統一密碼服務平臺的建設、管理、對外服務和運營，以及建設密碼應用監控系統，并將統一密碼基礎設施和統一密碼服務平臺的運行監控、風險管控納入網絡安全督察體系。圖 1 商用密碼體系建設示意圖統一密碼基礎設施統一密碼基礎設施作為自建密碼服務的載體，可實現密鑰的統一發放，實現密鑰在生產、存儲、傳輸、備份、更新、吊銷等全生命周期的管理。統一密碼服務平臺作為銜接統一密碼基礎設施和各數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體6業務系統密碼應用的紐帶，可提供身份認證、電子簽名驗簽、數據加解密等密碼應用服務。國網公司統一

13、密碼基礎設施全面支撐用電信息采集、配電檢修、“網上國網”、智慧能源服務、電網資產統一身份編碼和物聯網終端安全接入等各類業務和應用場景，保障主站、通信通道、終端的和數據等安全，是電力物聯網安全防護體系的核心內容。目前，全國數億只智能電表中全部嵌入了密碼芯片，對用電數據進行加密，實現由原來的人員抄表、數據“裸奔”變成遠程采集和加密傳輸，電費結算更加安全高效。應用密碼技術為電動汽車發放數字證書，通過在充電樁中安裝密碼芯片，確保電動汽車充電、計費安全。(二二)重要生產網絡和信息系統重要生產網絡和信息系統1.電力監控系統現代電力工業高度依賴計算機、通信和控制技術，支持電力發、輸、變、配、用及調度等環節的

14、電力監控系統已成為電力生產運行控制不可或缺的一部分。鑒于此電力行業發布了電力系統安全防護規定（國家發展和改革委員會令 2014 年第 14 號令）、2015 年2 月國家能源局發布 國家能源局關于印發電力監控系統安全防護總體方案等安全防護方案和評估規范的通知（國安能【2015】36 號）文件等政策標準。并且在電力發、輸、變、配、用及調度等各個環數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體7節均配備有相應運行的電力監控系統，各系統之間遵循“橫向隔離”原則，并通過專用的電力安全防護設備實現各個系統之間數據交互。電力監控系統電力監控系統安全防護工作應當落實國家信息安全等級保護制度，按照國

15、家信息安全等級保護的有關要求，堅持“安全分區、網絡專用、橫向隔離、縱向認證”的原則，保障電力監控系統的安全。針對重點防護的調度中心、發電廠、變電站，在生產控制大區與廣域網的縱向連接處應當設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置或者加密認證網關及相應設施，實現雙向身份認證、數據加密和訪問控制；對于網縱向通信無論采用何種通信方式，應當對控制指令與參數設置指令使用基于非對稱加密算法的認證加密技術進行安全防護；同時調度數據網未覆蓋到的電力監控系統的數據通信優先采用電力專用通信網絡，不具備條件的也可以采用公用通信網、無線網絡等通訊方式，使用上述通訊方式時應當設立安全接入區、并采用安全隔離、

16、訪問控制、認證及加密等安全措施?；谝陨想娏π袠I網絡安全相關政策要求，電力行業不斷完善電力監控系統安全防護體系，加快實現我國商用密碼算法在電力監控系統各個環節的相應的應用，積極推進基于國產密碼算法的安全防護技術體系建設。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體8圖 2 電力監控系統總體架構示意圖電力監控系統的安全 I 區是電力生產的重要環節，也是全防護的重點與核心，對系統運行的實時監控，縱向使用電力調度數據網絡或專用通道；安全 II 區是電力生產的必要環節，使用電力調度數據網絡，與控制區（安全 I 區）中的系統或功能模塊聯系緊密；安全 III 區主要生產管理系統；安全 IV 區

17、純管理系統?；陔娏ΡO控系統各區域的系統實際應用情況，通過部署一系列符合相應政策要求的電力專用安全產品以實現對電力生產控制大區和管理信息大區各電力監控系統的安全防護，以及對用戶供配電網絡和用電設備的不間斷保護和監控，從而提高供配電可靠性和自動化水平，最終構建可靠、安全、先進的供配電系統。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體9圖 3 電力監控系統輸電與用電網絡架構示意圖縱向加密裝置是電力監控系統安全防護體系的重要防線。依據電力監控系統網絡安全防護導則，電力監控系統在國調、網調、省調、地調、縣調間，以及各級調度機構與其直調的發電廠、變電站之間的縱向邊界，均部署縱向加密認證裝置及

18、相應措施，形成電力監控系統縱向從下到上四道安全防線，同事采用認證、加密、訪問控制等技術措施實現數據的遠方安全傳輸以及縱向邊界的安全防護，達成高安全等級控制區安全防護強度的累積效應，保障生產控制大區的重要業務系統安全。依據“安全分區、網絡專用、橫向隔離、縱向認證”防護原則，縱向加密裝置部署于生產控制區實時控制區（安全區）及生產控制區非實時控制區（安全 II 區），保障縱向數據交互時的數據完整數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體10性和保密性?？v向加密裝置通常具備以下特性：一是利用隧道加密技術為用戶構建安全可靠的虛擬專用網絡，不僅提供基本的數據加解密功能，而且具備數據包完整性認

19、證、IP 地址封裝解密、安全策略審查等安全功能；二是密鑰管理采用公私鑰體制，符合 X.509 標準，使用 BASE-64 編碼，由調度證書服務系統一簽發；三是產品通過了國家主管部門的審批和技術鑒定，采用國家主管部門審批通過的專用密碼算法；四是采用三級密鑰管理，包括主密鑰、設備公私鑰（設備公鑰以證書請求方式導出，由證書服務系統簽發成設備證書并發布）和作密鑰，密鑰同步的雙方首先需要相互驗證身份，且工作密鑰以 SM2 算法加密傳送實時產生并定期自動更換；五是實行五類安全證書機制，即根證書、操作員證書、管理中心證書、縱向認證設備證書、對機證書；六是裝置協商的會話密鑰采用國電專用對稱密碼算法芯片預置的

20、SSF09 算法，裝置通過該會話密鑰對電力調度業務報文進行保護，在保證下行控制數據保護強度的同時，確保了上行狀態數據的實時性。發、輸、變、配、用等環節的密碼應用需求各有側重。在發電側，發電廠內部重要電力監控系統（DCS、PLC、SIS 等）對實時性的要求較高，密碼算法的引入將增加業務時延，對控制系統的運行安全和運行效率可產生負面影響，因此發電側控制系統密碼應用需要實時性好、高可靠的密碼實現方案，在保障發電業務平穩運行的同時實數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體11現對各種控制指令和調節指令的數據加密和身份鑒別。在輸電側，針對數據采集、傳輸及交換等環節，使用縱向加密認證網關、

21、安全加密模塊、安全接入平臺、安全隔離裝置等實現輸電監控系統的安全保障。在變電側，一是站控層、間隔層及過程層中有關控制指令需要使用密碼技術進行安全認證與鑒別，二是變電站站內應用需要使用可靠、可擴展的密碼模塊。在配電側，大多數僅實現了配電終端對主站的單向身份認證，遙信、遙測數據和終端配置參數等敏感數據缺乏必要的安全防護；現場手持運維終端對配電終端的訪問控制僅通過簡單的口令實現認證，缺乏必要的強認證和訪問控制權限管理措施。在用電側，對于用電、計量、營銷等數據的采集、處理、存儲等環節需要使用密碼技術進行完整性保護和隱私保護。同時，計量自動化系統、電動汽車充換電系統等新業務系統也提出了密碼應用需求。2.

22、互聯網應用場景當前，智能終端和物聯網、云計算、大數據等技術運用加速推進信息技術和通信技術的融合，促進移動互聯網高速發展。移動互聯網應用技術，就是借助移動互聯網終端（如手機、平板等）實現傳統的互聯網應用或服務?；ヂ摼W應用需要嚴格遵守密碼管理條例，數據傳輸、存儲、使用都需要使用商用密碼相關技術，以國家電網網上國網 APP 為例。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體12網上國網 App 是國網公司官方統一線上服務入口，集“住宅、電動車、店鋪、企事業、新能源”五大使用場景，提供高低壓居民新裝、企業新裝，充電樁報裝、線上辦電、信息查詢、電費交納、用能分析、能效診斷、找樁充電、光伏新裝

23、、故障報修、能效服務、在線客服、發票下載等服務。圖 4 上國網架構圖在網絡安全上，采用 https 接入網關提供初始化驗證和加密通信通道。在數據安全上，用戶鑒別采用 SM3、SM4 等算法加密存儲，采用 SM3、SM4 等算法對數據加密傳輸。在終端安全上，通過終端證書進行身份驗證；在應用安全上，開展移動應用安全加固，通過數字證書、數據加密保證移動應用安全，接入時采用 IP 鑒權、MAC 校驗、身份鑒別等方式保證應用系統接口安全。3.配網自動化系統配網自動化配網自動化的現行狀態集合了通信、傳感和計算機及其網絡技數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體13術，在配網發展實踐中，配網

24、自動化技術表現出較高優勢。目前，配網自動化系統采用加密網關和加密模塊來保護配網系統數據在公網傳輸中的數據安全。但是報文在 I 區采集服務器與安全接入區采集服務器之間是明文狀態傳輸（架構圖如下），存在惡意篡改或回放重發等風險，服務器與終端都無法判斷報文是否準確。圖 5 配網自動化系統架構圖數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體14圖 6 配網自動化系統數據通信架構圖在整個數據通信路徑中，安全接入區服務器僅具有通信數據采集、轉發功能，不直接生產遙控指令下發；另外，僅有主站加密網關和終端加密模塊之間具備加密通信防護能力，主站端從安全區內部發出的指令或者報文沒有任何防護能力和身份驗簽

25、能力。在 I 區采集服務器和安全接入區采集服務器加入指令防篡改裝置，對遙信報文、遙測報文、遙控報文等報文數據增加簽名驗簽，實現交互報文數據防篡改，保證遙信、遙測以及遙控安全性。公網部分延用加密網關到加密終端之間原有的 IPSec VPN 隧道進行加密保護。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體15I 區采集服務器通過調用指令防篡改裝置訪問接口進行報文簽名驗簽，本方案從業務源頭對業務報文進行防篡改保護，為減少對現有網絡拓撲和 I 區采集服務器負載均衡的改變，I 區內部采用協處理的方式部署，安全接入區內部采用串接方式部署。指令防篡改裝置（I 區側），裝置安裝在配電網安全 I 區核

26、心骨干網中進行簽名驗簽協處理，主要完成安全 I 區主站系統業務報文的簽名驗簽工作，并將異常事件進行日志記錄。指令防篡改裝置（安全接入區側），裝置串接安裝在配電網安全接入區采集服務器和加密網關之間，主要完成安全接入區側業務圖 7 配網自動化系統數據通信架構圖數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體16報文的簽名驗簽工作，并將異常事件進行日志記錄。4.協同辦公系統協同辦公協同辦公是利用網絡、計算機、信息化，實現多人溝通、共享、協同一起辦公的一塊軟件，從而提高辦公人員提供方便、快捷、降低成本，提高效率的一款在線軟件?！癷 i 國網國網”作為國家電網為內部員工開發的一款協同辦公 APP

27、，為用戶提供覆蓋 PC（WINDOWS、MAC、LINUX）、移動終端的即時通訊應用及服務，PC 客戶端功能主要面向國網公司所有員工，提供登錄認證、即時通訊、移動日常辦公和安全管控等功能。圖 8 i 國網架構圖終端及應用安全方面終端及應用安全方面，i 國網通過分享控制、界面水印、敏感詞過濾、閱后即焚、雙因子認證等技術保證數據安全。身份鑒別安全方面，采用統一權限平臺身份認證及鑒別安全措施。利用 CA 系統簽發的數字證書進行數字證書進行身份鑒別。涉及第三方業務的系數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體17統，采用國家主管機構認證的第三方數字證書。應用安全方面應用安全方面，通過集成

28、物聯安全接入網關客戶端 SDK、移動安全監測客戶端 SDK、安全加密 SDK 實現業務數據安全加密與安全監測。網絡傳輸安全方面網絡傳輸安全方面，采用 HTTPS 安全通道結合業務層國密加密，實現了網絡傳輸保密性和完整性。并通過物聯安全接入網關實現網絡傳輸安全加密。數據數據安全方面安全方面，首先，通過數據加密實現數據存儲安全，采用國密 SM4實現傳輸與存儲的保密性，采用 SM3 實現傳輸與存儲的完整性。對于日志文件內容的設計要求，重要日志信息采用國密 SM4 加密存儲。為保證服務端數據安全，采取了身份賬號認證、第三方認證、分級授權、基于組織機構的權限管理、國密加密存儲、數據脫敏等手段。密鑰管理方

29、面密鑰管理方面，針對數字證書、SM2 密鑰、SM4 密鑰的全生命周期管控如下：表 1密鑰全生命周期管控表類型全生命周期管控實現方法數字證書生成統一密碼服務平臺進行簽發。分發初始化時在線分發給各客戶端存儲服務端國密算法加密存儲，客戶端安全硬件介質或者安全沙箱環境加密存儲更新隨應用更新注銷程序升級注銷、終端遺失注銷數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體18SM2 密鑰生成初始化生成，通過硬件生成（加密卡、加密機）或軟件密碼模塊生成公私密鑰對，密鑰長度為 256分發公鑰通過數字證書形式分發，私鑰不需要分發存儲通過統一密碼服務平臺數字證書進行存儲或采用國密算法加密存儲更新隨業務協商動

30、態更新注銷隨業務更新動態注銷SM4 密鑰生成通過硬件生成（加密卡、加密機）或者軟件密碼模塊隨業務交互動態生成，密鑰長度為 128，保證一次一密分發動態協商的方式生成，無需進行密鑰的分發。存儲服務端與客戶端不涉及存儲密鑰，一次一密更新隨業務數據交互動態更新，一次一密注銷隨業務更新動態注銷5.南方電網密碼應用場景隨著南方電網數字化轉型不斷推進，電力生產與信息化融合將數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體19不斷加深，各個業務領域橫向接口逐步打通，各業務支撐系統的平臺化、集約化、融合化為下一步發展趨勢。公司于 2021 年正式發布了密碼管理辦法，規定了南網電網密碼工作相關要求，包括

31、密碼應用技術管控、專業人員管理、密碼算法與密鑰管理、密碼設備與密碼系統管理等方面要求，提出各信息系統應對密碼應用進行規劃，原則上必須使用公司建設的管理信息系統、電力監控系統密碼服務平臺。并按需開展密碼設備/密碼系統同城和異地災備系統建設工作。同時，結合當前及“十四五”期間業務發展方向，在現有安全費控體系基礎上，圍繞“云、管、邊、端”各環節設計涵蓋系統主站、計量終端、智能電表的新一代智能量測安全體系架構，建立對身份、數據、指令等關鍵業務信息的加密認證體系及針對網絡安全日志及流量的采集監測體系，實現基于業務流程的本質安全防護。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體20圖 9 智能

32、量測安全防護體系應用防護圖智能量測安全防護體系應用防護架構主要涵蓋網級平臺、省級主站、終端及電表側其中網級統一客戶服務平臺、網級電能量平臺依托統一密碼服務實現雙因子認證、電子簽章、數據脫敏、傳輸加密、存儲加密等防護功能。省級主站營銷系統、計量自動化系統、采集前置系統、發行系統、檢測系統依托統一密碼服務實現雙因子認證、工單簽名、遠控安全、存儲加密、密碼發行檢測、終端接入認證、數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體21傳輸加密等防護功能。終端側除各類終端依托終端安全模塊實現基礎的身份認證、傳輸加密等基礎安全功能外，負控終端還基于安全模塊實現本地、遠程費控安全功能，集中器實現與電表

33、的認證及傳輸加密。電表依托安全芯片實現安全費控，與集中器的認證及加密傳輸等防護功能。存量終端、電表可依托安全通信模塊的通信認證、密鑰協商、密碼運算實現存量終端與主站、存量終端與存量電表之間的雙向身份認證及傳輸加密。(三三)新技術應用場景新技術應用場景1.電力云計算國網云平臺主要是圍繞“國網云”和“調度控制云”兩個重要云平臺建設。首先推進“國網云”平臺建設，“國網云”平臺以“一平臺、一系統、多場景、微應用”為思路，促進企業管理云、公共服務云向混合架構應用模式的轉變，保障企業管理云、公共服務云對應用高可用、多活等業務能力的提升，實現企業管理云、公共服務云對電力各類應用的全面支撐。但與此同時，企業管

34、理云、公共服務云基于云計算、大數據、虛擬化等新技術的應用也帶來了新的風險，需要統籌考慮云平臺安全防護措施，結合“國網云”平臺當中身份鑒別、訪問控制和通信傳輸過程中的 SM1、SM3、SM4 等密碼算法融合，確?！皣W云”平臺安全、穩定運行。依據國網公司一體化“國網云”平臺和全業務統一數據中心的總數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體22體設計要求，全面推進“調度控制云”平臺建設工作，“調度控制云”的云計算平臺為用戶供給了虛擬標準操作臺，并把該操作臺分發到平板電腦或其他智能設備中。智能終端則通過無線網絡覆蓋，經 VPN 與縱向認證等網絡加密方法，不受時空限制地連接云計算數據中心

35、；由此數據通信安全、數據讀取安全以及數據存儲安全均通過密碼技術進行有效保障。隨著智能電網調度技術支持系統在各級調度的部署與智能變電站一體化監控系統建設的日益深入，“調度控制云”已慢慢形成。在未來發展中，“調度控制云”將變成國網云的中樞神經系統，確保智能電網穩定運行。云平臺安全防護方面，分別從云平臺安全防護、云平臺虛擬化安全、云平臺租戶安全三個層面進行防護：云平臺安全防護主要是采用縱向認證、隔離與訪問控制的安全措施確保國網云平臺接口以及對外邊界的安全；云平臺虛擬化安全主要是實現訪問防護、虛擬隔離、快照保護、鏡像安全等安全措施保證云平臺虛擬環境和資源的安全；云平臺租戶安全主要通過數據訪問權限、云應

36、用安全代理和數據安全保護等措施確保國網云平臺提供安全、穩定的支撐服務。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體23圖 10 國網電力云平臺安全防護能力視圖國網電力云平臺融合多種 ZUC（祖沖之算法）SM1、SM2、SM3、SM4、SM7、SM9 等密碼算法技術，不僅能夠有效解決數據生產、傳輸、存儲、處理、分析和使用等全生命周期安全問題，還有利于處理網絡基礎資源、信息設施、計算分析、應用服務、網絡通道、接入終端等全體系平臺安全問題，促進技術融合、產業融合中的全產業鏈條安全問題的解決。密碼技術助力打通“國網云”和“調度控制云”數據融通的信任瓶頸，實現信息資源開放共享，利用基于 SM

37、2、SM3、SM7 的數據標識、數字簽名、數字內容和產權保護等技術，構建真實有效的、不可抵賴的“數字契約”，為數據資源確權、開放、流通、交易提供信任基礎；另一方面，密碼助力疏通資金融通的信任梗阻，促進融資便利化。為國網數字經濟建設提供系統性、全方位的安全數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體24防護。2.電力物聯網電力物聯網電力物聯網是物聯網在智能電網中的應用，其將有效整合通信基礎設施資源和電力系統基礎設施資源，實時在線連接能源電力生產與消費各環節的人、機、物，全面承載并貫通電網生產運行、企業經營管理和對外客戶服務，提高電力系統信息化水平，改善電力系統現有基礎設施利用效率，為

38、電網發、輸、變、配、用電等環節提供重要技術支撐，是支撐我國能源互聯網高效、經濟、安全運行的基礎設施。電力物聯網將原本孤立的電力設備進行通信串聯，打通了封閉網絡的信息通路，在提升電力系統運營便捷的同時，也給電力這一傳統行業帶來了新興的網絡安全風險。圖 11 電力物聯網應用架構按照電網輸電、變電、配電和用電業務的經營現狀，電力物聯網的整體框架設計如上圖所示，共包括 4 層。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體25感知層感知層由電力各個終端和現場通信方式組成，主要實現輸變配用各個環節電力終端設備信息的感知和采集。網絡層，網絡層在整體架構中介于感知層和平臺層之間，主要包括終端通信接

39、入網、傳輸網、數據網三個部分。綜合運用有線通信、無線通信、衛星通信、運營商專線、5G 等技術構建電力專用通信系統，形成了電力物聯網的廣域連接。平臺層，在管理平臺實現信息的整合、分析、處理，為全業務提供水平化支撐。應用層，通過對不同行業電力服務的差異化決策，面向不同行業提供智能化專業用電服務，實現電力配電、電力調度的高效化和智能化。其商密數據采用國密算法進行儲存，重要數據加密存儲。國密算法作為我國自主知識產權加密算法，可以融合電力物聯網特點進行部署應用，在其各個層面提高電力物聯網的行業安全性，具體應用需求如下：在終端加固方面，可在應用安全模塊，對硬件安全、特征等利用數字證書進行檢查；在數據傳輸通

40、道方面，可通過與網關的密鑰協商保障數據完整性，使用 SM2 加密、SM3 雜湊、安全協議三種技術完成安全通道的建立；在安全傳輸硬件方面，使用國產平臺安全控制系統，使用國密加密卡對數據進行加解密；在操作系統方面，采用國產的經安全驗證的操作系統；在身份認證方面，SM9 作為身份標識密碼的一種，使用具有唯一性的各類標識作為公鑰進行數據加密數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體26和身份認證，能夠簡化在加密過程中數字證書的交換問題，可在終端與平臺接入認證方面進行應用。在數據存儲方面，其商密數據采用國密算法進行儲存，重要數據加密存儲。密碼算法具有數據加密、身份認證的作用，而且在網絡邊界

41、部署密碼設備還能起到網絡隔離的作用，運用國產密碼算法有利于提高安全強度，保障電力系統的安全運行。3.5G 電力虛擬專網5G 作為第五代移動通信網絡，把人與人的連接拓展到了萬物互聯，為智慧城市、智慧醫療和智能電網等領域的發展提供了一種更優的無線解決方案。由于實際通信的需求及業務類型的多樣性、未知性及復雜性等特點，通信網絡需適度超前，提前儲備，提前滿足未來多元化的業務承載需求。5G 網絡新的發展趨勢，尤其是 5G 新業務、新架構、新技術，對數據安全和用戶隱私保護都提出了新的挑戰。在 5G 環境下，不僅是人與物的通信，更多的是物與物的通信。面對成百上億的物聯網設備接入與通信，數據的安全與隱私保護非常

42、具有挑戰性。5G 電力虛擬專網安全防護提供嚴格的網絡準入認證、安全的數據傳輸通道、全面的網絡邊界安全防護，旨在建成一個融合多業務多應用的安全可靠的無線通信平臺。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體27圖 12 5G 電力虛擬專網架構圖密碼技術在 5G 電力虛擬專網實際應用，可依層次分為終端側、5G 通道、安全接入區、電力業務側。終端側：終端數據存儲可基于軟件密碼模塊按需采用對稱加密算法 SM4 對敏感數據進行存儲加密。電力 5G 定制化模組集成硬加密圖 13 電力 5G 虛擬專網生產控制大區架構圖數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體28芯片，采用對稱加密

43、算法 SM1/SM4 對傳輸數據加密。5G 通道：空口加密：發送方通過加密算法將明文數據轉換為密文數據發送給接收方，保證數據不被泄露?？湛诩用芴匦钥梢苑乐?gNodeB（5G 基站）和 UE（終端）間的數據被非法攔截或泄露。用戶永久身份加密：用戶永久身份 SUPI 將以加密形式發送，以防范攻擊。SUPI 通過特定加密算法后變為 SUCI 在空口傳送，只有在歸屬地合法運營商的AUSF/UDM 中保存了相應算法和隨機數，才可以解開 SUCI 獲得最終的用戶永久身份標識。安全接入區側：終端與安全接入網關之間建立端到端 SSL/SSAL VPN，實現數據傳輸的保密性和完整性保護。采用量子加密技術，在電

44、力終端和業務側進行數據加密傳輸。4.電力區塊鏈區塊鏈，就是一個又一個區塊組成的鏈條。每一個區塊中保存了一定的信息，它們按照各自產生的時間順序連接成鏈條。這個鏈條被保存在所有的服務器中，只要整個系統中有一臺服務器可以工作，整條區塊鏈就是安全的。這些服務器在區塊鏈系統中被稱為節點，它們為整個區塊鏈系統提供存儲空間和算力支持。如果要修改區塊鏈中的信息，必須征得半數以上節點的同意并修改所有節點中的信息，而這些節點通常掌握在不同的主體手中，因此篡改區塊鏈中的信息是一件極其困難的事。相比于傳統的網絡，區塊鏈具有兩大核心特點：一是數據難以篡改、二是去中心化?；谶@兩個特點，數 觀 天 下電力行業商用密碼應用

45、白皮書懂甲方的商密媒體29區塊鏈所記錄的信息更加真實可靠，可以幫助解決人們互不信任的問題。區塊鏈場景是商用密碼應用的典型場景之一，以國網公司國網鏈系統為例。國網鏈主要用于國網公司上鏈業務系統，旨在進一步完善主鏈對外公共服務能力，加強聯盟鏈管理、節點管理、智能合約管理等公共能力建設;實現不同鏈、不同用戶接入；構建穩定且易于擴展的區塊鏈服務。系統主要為業務系統提供上鏈服務，業務系統將業務數據生成的哈希值以及業務一般數據，通過調用上鏈接口進行數據上鏈。圖 14 國網鏈架構圖節點間通信服務安全方面，區塊鏈采用國際標準算法 ECDH 和國密算法 SM2，通過密鑰協商建立安全通信信道，實現安全的信息數 觀

46、 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體30交換，保證節點間的通信安全。采用國密算法 SM4，實現基于對稱加密算法的節點間密文傳輸，保證平臺消息傳輸的高安全性；采用國密算法 SM2，對平臺交易以及節點間通信消息進行簽名驗簽，保證交易和消息通信的完整性和正確性。鏈上數據存儲方面，區塊鏈上存儲數據通過密碼學+塊鏈式數據結構實現防篡改，通過分區管理進行權限控制，業務數據哈希值采用國密摘要算法 SM3 生成并進行上鏈存儲，業務一般數據采用國密對稱加密算法 SM4 加密數據進行存儲，保證數據安全。在網絡傳輸安全方面，采用校驗技術或密碼技術保證通信過程中數據的完整性和保密性，互聯網傳輸通道采用H

47、TTPS 協議保護通信過程中數據保密性、完整性。5.電力大數據在新型電力系統和雙碳目標及能源數字化轉型和低碳轉型的大趨勢下，我國能源大數據產業迅猛發展。隨著“以電代煤”“以電代油”“以電代氣”等工作不斷推進，電能在終端能源消費中的比重加快提升，電力在某種程度上已經具備了全能型能源的屬性，電力數據要素的放大、疊加、倍增效應日益凸顯，電力大數據成為推動能源革命和數字革命深度融合的重要載體，能源大數據的建設已成為能源電力行業數字化轉型，實現碳中和的重要手段?；陔娏祿哪茉创髷祿行囊言谌珖嗵幝涞?，不少省份多以電網企業作為承建主力，浙江、四川、重慶、福建等 15 個省市都已開展能數 觀 天 下電

48、力行業商用密碼應用白皮書懂甲方的商密媒體31源大數據建設。國家電網公司通過能源大數據中心將電力數據與政府、企業、能源上下游數據匯聚整合、共享交換、挖掘分析；整合能源領域數據和政務領域數據，為政府提供輔助決策服務；開展數據技術服務和數據流通交易服務，助力企業風險控制、節能減排，提升企業智慧運營，從而推動數據資產商業化運營。由于數據天然的流動性，數據在傳輸、存儲、使用等不同形態之間的轉化每時每刻都在發生，因此保障能源大數據安全，需要數據流轉的采集、傳輸、存儲、使用等多個層次環節中，對數據施加主動式安全防護。對于流動數據防護，密碼技術可以提供獨特價值，密碼技術直接作用于數據，是最直接有效的主動防護措

49、施，密碼技術可以直接保障數據的機密性和完整性，同時也可以保障信息傳遞中的真實性和不可否認性。在電力大數據的采、傳、存、用等四個方面應用密碼技術將有效保障數據流動安全。另外如同態加密、安圖 15 能源大數據中心架構圖數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體32全多方計算等隱私增強計算技術，可實現多個企業或機構間的數據共享互聯，使數據在共享時實現“最少可用原則”和“最小權限原則”，讓數據在跨組織應用中實現共享與安全兼得，在能源大數據業務場景有強烈應用需求。另外，在政策層面，由于能源行業的關鍵基礎設施特性，能源大數據平臺屬于國家關鍵信息基礎設施，相關法律法規也要求運營者應當使用商用密

50、碼技術進行保護。在能源大數據的安全防護中，通過密碼技術的應用，結合統一密碼服務平臺以及數據全生命周期中密碼技術的應用，保障了能源數據在采集、傳輸、存儲、使用等數據流動過程中的安全性。具體應用方式如下：數據采集方面：對于采集中的數據，在數據創建時大數據系統通過調用統一密碼服務平臺提供的接口實現業務應用數據層面的加密，加密算法可采用 SM2 及 SM9 以確保數據提供者身份的真實性及數據的不可抵賴性，可使用 SM3 實現對數據完整性的驗證。數據傳輸方面：在數據傳輸階段，需對數據來源進行身份驗證并確保數據的保密性、完整性。因此，應使用符合 GM/T 0022-2014 或 GM/T0024-2014

51、 要求的密碼產品，利用加密網關保證數據邊界控制與傳輸加密安全?？刹捎?SM2、SM9 以實現對數據來源的身份驗證，通過 SM3確保數據的完整性，通過 SM4 實現對數據的保密性上的保護。數據存儲方面：在靜態數據存儲保護方面，首先，采用數據加密保護數數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體33據存儲安全，加密系統密鑰由統一密碼服務平臺管理，通過 SM3、SM4等算法實現密鑰安全存儲、密鑰生命周期管理，確保了數據的完整性和保密性。再而，采用嚴格的審批管控措施控制對靜態存儲數據的訪問，使用 SM2、SM9 等算法對訪問者的身份進行合法認證。數據應用方面：在數據共享安全保護方面，積極探

52、索隱私計算技術，實現面向隱私信息全生命周期保護的計算，在保障數據本身不對外泄露的前提下實現數據分析計算，通過密文狀態下的聯合計算方式保護數據隱私安全。6.電力零信任隨著電力系統建設過程中越來越多的大量運用“大云物移智”以及工控、5G 等信息技術的出現，電力的多樣性促使用戶、設備、業務以及平臺更加復雜化，數據也打破隔閡在用戶、設備、業務以及平臺間互相流通。傳統的以網絡邊界防御為主的安全架構逐漸不能滿足新的安全形勢的需求，甚至基于傳統網絡邊界的隱含信任成為最大的安全漏洞，必須要尋找新的安全防護架構。零信任安全架構憑著“永不信任，持續驗證”的理念，逐步成為備受青睞的安全防護架構。數 觀 天 下電力行

53、業商用密碼應用白皮書懂甲方的商密媒體34圖 16 零信任架構圖以端到端安全防護為核心的零信任架構來進行建設；建立以身份為中心，基于持續信任評估和授權的動態訪問控制體系，同時結合現有安全防護措施實現網絡安全防護架構演變，形成電力持續自適應風險與信任評估網絡安全防護體系。零信任建設是在不打破現有安全防護架構基礎上，新增零信任安全接入區，建設數據通道和控制信道分離的零信任安全控制平臺，動環監控接入邊緣代理，并在邊緣代理設備安裝零信任 agent，監控邊代安全可信執行環境、制定各類安全接入基線。在零信任實踐中，密碼技術是提供安全信任的基礎。零信任關注身份管理，通過身份管理系統為設備、應用、服務和人員頒

54、發數數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體35字證書，解決身份安全性問題，同時數字證書的應用可以與生物特征、OTP 等多種認證手段進行結合，提升其易用性。在具備數字證書這種高安全身份后，零信任架構中的“雙向國密通信信道”及“數據安全層面的機密性、完整性保護”問題，都可以非?？焖?、便利地解決。密碼技術不僅是保障零信任體系的安全底座，同時也是提升零信任體系實施效率的有效手段。表 2密碼技術在零信任體系中的作用建立設備信任建立用戶信任建立應用信任設備證書（及對應私鑰）用戶證書（及對應私鑰）軟件版本信息設備環境感知信息動態令牌（基于密碼運算）代碼簽名網絡地址和接入方式生物特征、口令、

55、.用戶行為、屬性持續評估+授權判決信任評估算法授權信息完整性（分發）策略完整性（存儲）建立流量信任數據機密性數據完整性防火墻、WAF、.零信任整體密碼應用：傳輸協議通過對原始數據包進行隧道封裝，并使用 SM1/SM4 密碼算法加密，保證數據的傳輸安全。服務端密鑰基于國密推薦橢圓曲線的 SM2 非對稱密鑰，其中私鑰保存在密碼卡內。預主密鑰、主密鑰、工作密鑰、會話密鑰使用SM2 算法動態協商生成，連接結束即銷毀。服務端密鑰：包括服務端簽名密鑰和服務端加密密鑰，基于國密推薦曲線的 SM2 算法非對稱密鑰對，又稱設備密鑰，用于握手過程中服務端身份鑒別和預主密鑰的協商。數 觀 天 下電力行業商用密碼應用

56、白皮書懂甲方的商密媒體36三、電力行業商用密碼應用面臨的挑戰(一一)密碼應用監管力度密碼應用監管力度持續持續優化優化，提高政策推進的全要提高政策推進的全要素建設素建設在集團公司政策的引導下，各省級及以上單位在監管力度上能達到較好的效果，電力行業安全合規和管理規范已經相當完善。但省級以下相關單位暫無有效的監管手段，相關系統和物理環境改造存在一定的弊端，且老舊業務涉及面廣泛，無法有效地推動業務二次迭代的研發。(二二)密碼基礎設施統籌規劃密碼基礎設施統籌規劃目前密碼應用投入規模，仍需將支撐電力密碼基礎設施建設做為重點工作。電力行業數據隔離、網絡隔離和物理隔離的安全防護能力已經成熟，但數據校驗、傳輸和

57、存儲方面還需要完善，密碼基礎設施建設將打通數據融通的信任瓶頸，實現信息資源開放共享。(三三)密碼系統建設處于傳統模式密碼系統建設處于傳統模式，鉆研新型技術能力發鉆研新型技術能力發展模型展模型在設計全新的網絡傳輸方式過程中，電力行業如何實現高效實時傳輸、大規?？鐚蛹壔ヂ摰刃滦图夹g體系依舊是較難解決的痛點問題，因此，需要進行電力定制化的網絡協議設計和可信驗證機制。目前 SM1、SM2、SM3、SM4、SM9 等密碼算法在“國網云”平臺和“調度控制云”平臺中未能做到深度融合，密碼的核心技術創新、研發數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體37和生產能力還需要加大資源投入和提高技術培養

58、。四、推進建議(一一)高層管理者參與，加強密碼應用體系建設高層管理者參與，加強密碼應用體系建設省級公司領導參與到密碼發展中，強化領導責任，推動督辦密碼規范建設，并設立專職密碼崗位提高密碼應用的監管力度，告知領導密碼應用狀況，加強領導協調密碼應用管理工作。為了保障重要信息系統數據的安全性，電力行業密碼應用管理體系的提升建設必不可少。例如持續提高電力行業密碼安全管理制度，加強組織領導統籌協調密碼應用安全管理工作；建立電力行業密碼安全責任體系，權責細化，落實責任追究措施。(二二)建立彈性安全邊界，密碼服務統一化建設建立彈性安全邊界，密碼服務統一化建設遵循“合法合規、安全高效、集中統一、長效發展”的原

59、則，嚴格貫徹落實國家法律法規要求，充分結合企業實際情況，合法依規建設密碼應用服務體系。密碼技術應用既要保障業務系統安全性，也要保證業務系統應用效率。堅持“統一規劃、統一標準、統一建設、統一運營、統一服務”，建設統一密碼應用服務體系。統一規劃：統一規劃：密碼應用服務體系的建設是一個系統工程，密碼應用服務體系建設的基本綱領和總體指向，是密碼技術設計和實施的前提與依據，是建立密碼應用服務的先決條件。統一標準：統一標準：密碼應用服務體系建設的基礎是統一標準。管理數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體38密碼各類標準獨立分散的建設模式已經不能滿足密碼服務建設的要求，迫切需要建立能夠涵蓋

60、密碼服務，建設密碼服務體系統一標準的框架。統一建設：統一建設：電力行業共建設多套密碼應用體系，資源過于分散；應整合資源共同建立一套覆蓋整個電力行業的密碼應用體系。統一運營：統一運營：在高層領導帶領下，結合電力自身情況，建立一套電力自己的密碼應用服務管理制度。統一服務：統一服務：提供密碼應用服務化能力，提升密碼應用服務管理、服務運維能力。(三三)密碼設施完善換代，強化密碼技術自主創新密碼設施完善換代，強化密碼技術自主創新密碼技術是保障網絡與信息安全的核心技術和基礎支持，密碼算法和密碼產品的自主可控是確保信息安全的重中之重。為實現密碼算法和密碼產品的自主可控，電力行業持續優化密碼設備，促進密碼新技術加速研究及持續迭代更新。加快國密算法與自身業務深度融合；在數據加密、身份鑒別、訪問控制、取證溯源等方面盡快將原有密碼算法替換為國密算法，保證基礎數據隱私保護中算法的自主可控。數 觀 天 下電力行業商用密碼應用白皮書懂甲方的商密媒體39數觀天下地址：浙江省杭州市上城區市民街 98 號郵編：310000電話：0571-87031601網址：