電力二次系統作為電網公司的重要生產系統，長期受到極大的關注，電監會按照安全分區、網絡專用、橫向隔離、縱向認證的思路，將電力網絡劃分為一區、二區、三區和四區，其中一區為生產實時控制大區，二區為生產非實時控制大區，三區則為生產管理區，四區主要為管理信息系統和企業ERP系統等。
方案背景
根據《電網和電廠計算機監控系統及調度數據網絡安全防護的規定》（以下簡稱《規定》），對電力系統安全建設具有重要的指導意義。2006年電監會印發了《電力二次系統安全防護總體方案》，提出了省級以上調度中心、地縣級調度中心、發電廠、變電站等的二次系統安全防護方案。這些制度和方案對各省電力公司的安全體系建設起著指導意義。
安全需求
本文根據電力二次系統的防護要求，總體按照橫向隔離，縱向認證的主體，提出了省級以上調度中心、地縣級調度中心、發電廠、變電站、配電等的二次系統安全防護方案，綜合采用防火墻、入侵檢測、病毒防護、審計、安全管理等多種手段，對二次系統的安全運行提供穩定可靠的運行環境。電力二次系統安全防護工作的具體需求如下：
防病毒、木馬等惡意代碼的侵害；
保護電力監控系統和電力調度數據網絡的可用性和連續性；
保護重要信息在存儲和傳輸過程中的機密性、完整性；
實現應用系統和設備接入電力二次系統的身份認證，防止非法接入和非授權訪問；
實現電力監控系統和調度數據網安全事件可發現、可跟蹤和可審計；
實現電力監控系統和調度數據網絡的安全管理。
設計思路
首先，對于電力調度數據網，按照國家電監會《電力二次系統安全防護規定》的要求，電力調度數據網實現"安全分區、網絡專用、橫向隔離、縱向認證"。
其次，對于電力企業數據網，依據國家電網公司的指導意見，并結合國家電監會《電力二次系統安全防護規定》的 "安全分區、網絡專用、橫向隔離、縱向認證"。
方案設計
本方案依據《電力二次系統安全防護規定》和《電力二次系統安全防護總體方案》等系列方案，并結合天融信在電力行業的多年積累，從電力調度數據網和電力企業數據網兩個方面講解了電力二次系統安全防護的重點，系統安全防護示意圖如下：
在局域上與其他網絡間必須使用電力系統專用隔離裝置進行隔離，I區縱向必須使用IP認證裝置認證，II區可以使用IP認證裝置或硬件防火墻作安全防護；
控制區與非控制區之間應采用國產硬件防火墻、具有訪問控制功能的設備或相當功能的設施進行邏輯隔離。
安全區間網絡橫向和縱向邊界可部署IDS探頭，對邊界網絡數據報文進行動態檢測，以及時發現網絡安全事件。
在生產控制大區部署綜合安全管理平臺或日志審計系統，對各種網絡設備運行日志、操作系統運行日志、數據庫訪問日志、業務應用系統運行日志、安全防護設備運行日志等進行集中收集、自動分析和告警處理。
安全區內應部署防病毒系統，定期查殺病毒。
調度數據網中路由和交換設備的安全加固。
通過冗余備份機制增強核心網絡節點的可靠性。
重要服務器和通信網關定期進行安全評估和加固，條件具備情況下，可采用調度數字證書進行登錄的強身份認證。
方案效果
解決生產網絡與外部網絡的隔離問題。
解決網絡重要區域存在的單點故障問題。
解決了訪問控制身份認證與授權問題。
解決網絡入侵或病毒爆發監控與預警問題。
解決對不同安全產品日志集中審計與風險分析問題。
解決了終端病毒防護能力較弱問題。
解決網絡設備和策略存在漏洞問題。
解決對重要業務系統和服務器使用的強身份認證問題。