ICS 33.070.01 CCS M 37 湖 DB42 北 省 地 方 标 准 DB42/T 1666—2021 智能电网移动终端安全防护规范 Security protection specification for mobile operation in smart grid 2021 - 04 - 01 发布 湖北省市场监督管理局 2021 - 06 - 01 实施 发 布 DB42/T 1666—2021 目 次 前言 ................................................................................ III 1 范围 ............................................................................... 1 2 规范性引用文件 ..................................................................... 1 3 术语和定义 ......................................................................... 1 4 总体要求 ........................................................................... 2 5 移动终端安全 ....................................................................... 3 6 接入安全 ........................................................................... 4 7 服务端安全 ......................................................................... 5 参考文献 .............................................................................. 6 I DB42/T 1666—2021 II DB42/T 1666—2021 前 言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由国网湖北省电力有限公司信息通信公司提出。 本文件由国网湖北省电力有限公司归口。 本文件主要起草单位：国网湖北省电力有限公司信息通信公司、武汉直径科技有限公司、湖北省标 准化与质量研究院。 本文件主要起草人：袁慧、朱国威、郑蕾、庄严、郭岳、董亮、邵璇、舒成。 本文件实施应用中的疑问，可咨询国网湖北省电力有限公司，联系电话：13545223899，邮箱： [email protected]；对本文件的有关修改意见建议请反馈至国网湖北省电力有限公司信息通信公 司，联系电话：027-88564862，邮箱：[email protected]。 III DB42/T 1666—2021 智能电网移动终端安全防护规范 1 范围 本文件规定了智能电网移动终端安全防护总体要求、移动终端安全、接入安全、服务端安全。 本文件适用于湖北地区电力行业信息内网安全接入要求。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB 4943.1 信息技术设备 安全 第1部分：通用要求； GB/T 20518 信息安全技术 公钥基础设施 数字证书格式 GB/T 30284 信息安全技术 移动通信智能终端操作系统安全技术要求； GB/T 37729 信息技术 智能移动终端应用软件（APP）技术要求 GM/T 0009 SM2密码算法使用规范 GM/T 0010 SM2密码算法加密签名消息语法规范 GM/T 0015 基于SM2密码算法的数字证书格式规范 3 术语和定义 下列术语和定义适用于本文件。 3.1 数字证书 digital certificate 数字证书是由国家认可，具有权威性、可信性和公正性的第三方证书认证（CA）进行数字签名的一 个可信的数字化文件。 [来源：GB/T 20518-2018，3.7]。 3.2 身份认证 Identity authentication 对用户身份标识的有效性进行验证和测试的过程。 3.3 安全接入平台 secure access platform 安全接入平台是提供非公司信息内网区域的终端以安全专网方式接入信息内网时的设备接入认证、 数据隔离交换、实时安全监测与数据安全检查等核心边界接入防护措施的一套安全设备。 3.4 无线 APN wireless APN 无线APN是由无线运营商为企业提供的一种无线专线网络服务。 3.5 安全专控软件 security control software 1 DB42/T 1666—2021 终端安全专控软件是部署在移动终端上的安全防护软件，可保障移动终端的数据安全、网络安全、 系统安全。 3.6 移动终端 mobile terminals 移动终端包括各种接入终端，如PDA、智能手机、PC、笔记本、监测采集终端等，主要由安全软、 硬件模块组成。 4 总体要求 智能电网移动终端的应用场景如图1所示，智能电网移动终端安全防护规范主要由安全终端层、安 全通道层、安全接入层、安全业务访问层四大层次组成。在移动终端侧、安全接入网关侧部署数字证书， 在接入网关侧针对特定移动终端设定不同的访问控制权限策略，对访问后台服务的IP地址、端口等进行 设置，同时在数据交换系统侧进行安全数据交换规则设置。 图1 移动终端典型应用场景 终端初次连接时，启动安全专控软件，和安全接入网关进行基于数字证书的双向身份验证，彼此验 证成功后，建立基于SSL协议的专用加密隧道，非对称算法使用RSA算法，对称算法使用SM1算法，均由 终端侧、接入网关侧的加密TF卡实现。 终端通过安全专控软件扫描模块对终端进行硬件特征标识扫描，并提交到安全接入网关、身份认证 系统进行硬件信息在线注册，同时断开加密连接，等待管理员批准授权。 管理员检查硬件信息合法性后，批准该终端进行安全接入，终端才能重新进行加密连接建立与加密 隧道协商，对通讯数据进行专用硬件算法加密。 2 DB42/T 1666—2021 同时，终端和安全接入网关的连接在访问后台应用时，必须经数据交换系统进行安全隔离、裸数据 交换后进入内网，充分保证非法链接不会穿透内网以及保证数据的安全交换。 所有设备、终端的实时信息，包括连接会话、应用会话等信息都置于集中监管系统的监管之下，管 理员可以方便、灵活地对系统安全策略、安全状态等进行实时监控管理。 5 移动终端安全 5.1 通用配置 移动终端通用配置要求包括： a) 移动终端应符合 GB 4943.1 的要求，终端内置操作系统应满足 GB/T 30284-2020 中 7.2 规定 的移动终端操作系统 EAL2 保障级的相关要求； b) 应支持数字证书的安装和运行； c) 应支持安全 TF 卡的安装和运行； d) 应支持安全专控软件客户端的安装和运行，及在线升级； e) 应支持业务软件客户端的安装和运行，及在线升级。 5.2 数字证书 5.2.1 数字证书应符合 GM/T 0009、GM/T 0010、GM/T 0015 的要求。 5.2.2 移动终端应使用由国网统一数字证书系统颁发的数字证书。 5.3 安全 TF 卡 移动终端安全TF卡技术要求包括： a) 安全 TF 卡应通过国家密码管理局产品认证，用于移动终端接入时的数据加密存储； b) 安全 TF 卡应支持国产 SM2 非对称密码算法，SM2 密钥长度应至少 256 位，如果不支持 SM2 算 法，应支持 2048 位 RSA 非对称密码算法，用于移动终端接入时的身份认证； c) 安全 TF 卡应提供措施确保密钥在密钥产生、密钥协商、密钥存储、密钥使用或更换、密钥销 毁整个生命周期内的安全，确保私有密钥在全生命周期内免受未授权的获取、修改和替换； d) 安全 TF 卡应支持业务数据信息加密存储，且存储容量不小于 2 GB； e) 安全 TF 卡应使用国网统一数字证书系统颁发的证书，并在使用前经管理员检查硬件信息合法 性后，确保非对称密码算法与国网 CA 系统的证书运算兼容。 5.4 安全专控软件客户端 实现移动电力业务办公时对移动终端的安全管理，具体要求包括： a) 应符合 GB/T 37729 的要求； b) 应具有网络访问控制功能，非经配置允许的网络地址或者地址段禁止访问； c) 应具有进程控制功能，非经配置允许的进程禁止启动； d) 在终端使用过程中如果发生网络断开、访问业务系统出现异常、安全专控软件运行异常、安 全 TF 卡运行异常的情况，安全专控软件应记录日志； e) 移动终端启动时，如果绑定使用的安全 TF 卡、SIM 卡、数字证书三者有至少一个与在安全接 入平台注册时不同，安全专控软件应向接入台发出告警信息，阻止电力业务软件启动，并记 录日志； f) 应在与安全接入平台建立连接后，将记录的日志发送至安全接入平台； 3 DB42/T 1666—2021 g) 应具备防御卸载机制，当安全专控软件客户端被卸载时，需由管理员给予授权码才允许卸载， 且本地电力业务数据将被自动删除。 5.5 业务软件客户端 业务软件客户端应支持以下功能： a) 应符合 GB/T 37729 的要求； b) 应在启动时进行登录口令认证，口令输入应防止输入劫持，防止键盘记录； c) 应支持人脸识别、指纹识别等功能，可实现专人专用； d) 应在启动时检查系统文件是否缺失或被非法篡改，配置是否被修改； e) 应对关键数据在安全 TF 卡中加密备份； f) 应记录业务访问异常数据并实时上报服务端。 5.6 网络防护 网络防护要求包括： a) 终端使用的 SIM 卡应绑定唯一 APN 网络通信通道，不允许访问其他 APN 网络和互联网； b) 应在终端和服务端之间建立基于 SSL 协议的专用加密隧道，非对称算法使用 RSA 算法，对称 算法使用 SM1 算法数据加密传输通道。 5.7 运行环境隔离 移动终端的运行环境隔离要求包括： a) 应采用