1、电力行业商用密码应用白皮书电力行业商用密码应用白皮书数观数观天下天下2022023 3年年2 2月月No.202No.20230201版版权权声声明明本白皮书版权属于本白皮书版权属于数观天下，数观天下，并受法律保护。转载、摘编并受法律保护。转载、摘编或利用其它方式使用本白皮书文字或者观点的或利用其它方式使用本白皮书文字或者观点的，应注明应注明“来来源：源：数观天下数观天下”。违反上述声明者，编者将追究其相关法。违反上述声明者，编者将追究其相关法律责任。律责任。编制说明编制说明(排名不分先后)本白皮书参与编写单位：公安部第三研究所、中国电力科学研究院、国网浙江省电力有限公司

2、科学研究院、国网浙江省电力有限公司信息通信分公司、国网浙江省电力有限公司杭州供电公司、杭州市商用密码应用协会、北京信安世纪科技股份有限公司、北京网御星云信息技术有限公司、深信服科技股份有限公司、江南信安（北京）科技有限公司、深圳市东进技术股份有限公司前前言言电力行业是关系国计民生的重要基础行业，同时也是技术、资金密集型行业。近年来，网络信息安全形势日益严峻，电力系统信息安全问题日益突出，已对电力系统生产和经营正常运行形成严重威胁。电力系统信息安全隐患不仅会导致信息和经济损失，更会危及到人身和社会安全。密码作为保护网络与信息安全的重要手段，在身份识别、安全隔离、信息加密、完整性保护和抗抵赖等方面

3、发挥着不可替代的重要作用。为贯彻落实国家相关政策要求，充分发挥密码在维护网络与信息安全方面的重要作用，切实加强电力行业密码应用工作，国家能源局及各级主管单位制定系列指导文件，明确提出密码应用要求。在金融和重要领域密码应用与创新发展工作规划（2018-2022年)、中华人民共和国密码法、中华人民共和国数据安全法、关键信息基础设施安全保护条例、国家能源局关于加强电力行业网络安全工作的指导意见等一系列政策文件指导下，电力行业大力推进我国商用密码应用，取得了阶段性成果，也存在一些薄弱环节。为持续推进电力行业商用密码应用，国家能源局在电力安全生产“十四五”行动计划、“十四五”现代能源体系规划、能源领域

4、5G 应用实施方案、2022 年能源工作指导意见等政策文件中明确提出加快推进密码应用基础设施建设、密码改造和商用密码应用安全性评估等要求。本白皮书聚焦电力行业典型场景，结合商用密码发展趋势，围绕电力行业重要信息系统，以及云计算、大数据、物联网、5G 等新技术赋能下电力行业应用，分析电力行业商用密码应用现状和需求，研判商用密码应用推进过程中面临的问题和挑战，并提出推进建议，以期为电力行业商用密码应用主管部门、从业单位提供参考。目目录录版版权权声声明明.2一、电力行业商用密码应用背景.2(一)电力行业面临愈加复杂的网络安全威胁.2(二)推进商用密码应用是落实政策文件要求.3二、电力行业商用密码应用

5、典型场景.4(一)电力行业密码基础设施.5(二)重要生产网络和信息系统.6(三)新技术应用场景.18三、电力行业商用密码应用面临的挑战.36(一)密码应用监管力度持续优化，提高政策推进的全要素建设.36(二)密码应用资源投入分散，密码基础设施统筹规划.36(三)密码系统建设处于传统模式，钻研新型技术能力发展模型.36四、推进建议.37(一)高层管理者参与，加强密码应用体系建设.37(二)建立弹性安全边界，密码服务统一化建设.37(三)密码设施完善换代，强化密码技术自主创新.38数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体2一、电力行业商用密码应用背景(一一)电力行业面临愈加复杂的网

6、络安全威胁电力行业面临愈加复杂的网络安全威胁电力行业网络信息安全形势日益严峻。当前复杂的国际形势下，全球范围内电力信息系统和网络屡遭网络攻击：巴西电力公司和欧洲能源巨头 EDP 公司等遭勒索软件攻击，印度核电站内网感染恶意软件，乌克兰某核电厂发生重大网络安全事故，委内瑞拉电力系统两年内遭受多次网络攻击，美国电力公司遭受 DDoS 攻击，法国费森海姆核电站敏感数据被泄露，俄黑客组织对美国核电站实施攻击。作为关键基础设施的重要组成部分，电力行业网络信息安全不仅关乎企业信息和经济安全，而且可影响社会安全和国家安全。更保障电力行业网络信息安全，具有重要的战略意义和现实意义。电力行业新技术融合应用引入了

7、新的安全风险。近年来，电力行业对网络和信息技术的依赖程度越来越高，电力物理空间与网络空间的连通、融合进一步加深，随着数字化转型下电力工业技术体系在开放性、互联互通性上的增强，以及能源网络的结构复杂化、边界模糊化、形态多样化，网络安全风险化显著增加。与此同时，能源互联网广泛融合能源生产、传输、交易、消费等各环节数据，能源电力生产中的信息获取方式、存储形态、传输渠道、处理方法以及对网络安全保障与防护的需求均发生了显著的变化。网络安全不再仅仅只是影响虚拟空间，而是将会通过电力信息物理耦合关系数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体3渗透到现实电力一次系统，严重影响电力一次系统的安全、

8、稳定、高效运行。(二二)推进商用密码应用是落实政策文件要求推进商用密码应用是落实政策文件要求法律法规明确提出商用密码应用要求。面对国家安全的新形势，我国已在多部法律法规中明确规定了密码应用的要求，包括中华人民共和国密码法、中华人民共和国网络安全法、中华人民共和国数据安全法、关键信息基础设施安全保护条例、商用密码管理条例（修订草案）等，突出强调了关键信息基础设施和网络安全等级保护第三级及以上信息系统的密码应用监管，并实施商用密码应用安全性评估和安全审查制度。1.主管部门和责任单位发布系列指导文件国家能源局统筹指导体系推进。2018 年，国家能源局印发关于加强电力行业网络安全工作的指导意见，明确提

9、出加快密码基础设施建设，包括在重要业务、重要领域实施密码保护，完善电力行业密码支撑体系，实现电力行业密码基础设施一体化管理；健全电力行业密码检测手段，开展密码应用安全性评估。2021 年国家能源局印发的电力安全生产“十四五”行动计划，将“加快推进密码应用基础设施建设、密码改造和商用密码应用安全性评估”作为网络与信息安全基础能力提升攻关重点之一。责任单位扎实推进行业密码应用。根据中办、国办 2019 年 36数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体4号文，加强金融和重要行业领域密码应用要求，国家电网编制了 国家电网有限公司商用密码应用与建设发展规划（2018-2022 年），印发

10、国家电网有限公司商用密码应用与建设发展工作要点，明确提出了建设统一密码应用服务体系的工作方向和要求。按照“合法合规、安全高效、集中统一、长效发展”的原则，确立公司密码“五统一五统一”的工作思路（统一规划、统一标准、统一建设、统一运营和统一服务）。分阶段建成技术领先、理念超前的“1+2+31+2+3”的统一密码应用服务体系（一个中心+两种技术体制+形成三种核心能力）”二、电力行业商用密码应用典型场景现代电力生产和经营管理都已具备高度网络化、系统化、自动化的特征，以网络、数据库、计算机自动控制技术为代表的信息处理技术已经渗透到电力生产、经营管理的各个方面。此外，能源互联网技术、云计算、大数据、物联

11、网、5G、区块链等新技术也逐步应用到电力行业重要信息系统，在为电力行业提质增效的同时也带来了新的安全挑战。密码作为网络信息安全的核心技术和基础支撑，在电力行业网络信息安全防护体系中占据重要地位。以下从力行业密码基础设施建设、重要生产网络和信息系统、新技术赋能等方面展开详述型场景下的商用密码应用现状和需求。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体5(一一)电力行业密码基础设施电力行业密码基础设施密码基础设施密码基础设施是提供机密性、完整性、真实性、不可否认性等安全服务的基础资源，是实现密码应用的重要组成。在国家能源局的指导下，国网公司成立商用密码管理中心，并在各网省公司建设统一密

12、码服务平台。商用密码管理中心负责落实国家和国网公司密码政策要求，统一密码基础设施和统一密码服务平台的建设、管理、对外服务和运营，以及建设密码应用监控系统，并将统一密码基础设施和统一密码服务平台的运行监控、风险管控纳入网络安全督察体系。图 1 商用密码体系建设示意图统一密码基础设施统一密码基础设施作为自建密码服务的载体，可实现密钥的统一发放，实现密钥在生产、存储、传输、备份、更新、吊销等全生命周期的管理。统一密码服务平台作为衔接统一密码基础设施和各数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体6业务系统密码应用的纽带，可提供身份认证、电子签名验签、数据加解密等密码应用服务。国网公司统一

13、密码基础设施全面支撑用电信息采集、配电检修、“网上国网”、智慧能源服务、电网资产统一身份编码和物联网终端安全接入等各类业务和应用场景，保障主站、通信通道、终端的和数据等安全，是电力物联网安全防护体系的核心内容。目前，全国数亿只智能电表中全部嵌入了密码芯片，对用电数据进行加密，实现由原来的人员抄表、数据“裸奔”变成远程采集和加密传输，电费结算更加安全高效。应用密码技术为电动汽车发放数字证书，通过在充电桩中安装密码芯片，确保电动汽车充电、计费安全。(二二)重要生产网络和信息系统重要生产网络和信息系统1.电力监控系统现代电力工业高度依赖计算机、通信和控制技术，支持电力发、输、变、配、用及调度等环节的

14、电力监控系统已成为电力生产运行控制不可或缺的一部分。鉴于此电力行业发布了电力系统安全防护规定（国家发展和改革委员会令 2014 年第 14 号令）、2015 年2 月国家能源局发布 国家能源局关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知（国安能【2015】36 号）文件等政策标准。并且在电力发、输、变、配、用及调度等各个环数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体7节均配备有相应运行的电力监控系统，各系统之间遵循“横向隔离”原则，并通过专用的电力安全防护设备实现各个系统之间数据交互。电力监控系统电力监控系统安全防护工作应当落实国家信息安全等级保护制度，按照国

15、家信息安全等级保护的有关要求，坚持“安全分区、网络专用、横向隔离、纵向认证”的原则，保障电力监控系统的安全。针对重点防护的调度中心、发电厂、变电站，在生产控制大区与广域网的纵向连接处应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现双向身份认证、数据加密和访问控制；对于网纵向通信无论采用何种通信方式，应当对控制指令与参数设置指令使用基于非对称加密算法的认证加密技术进行安全防护；同时调度数据网未覆盖到的电力监控系统的数据通信优先采用电力专用通信网络，不具备条件的也可以采用公用通信网、无线网络等通讯方式，使用上述通讯方式时应当设立安全接入区、并采用安全隔离、

16、访问控制、认证及加密等安全措施。基于以上电力行业网络安全相关政策要求，电力行业不断完善电力监控系统安全防护体系，加快实现我国商用密码算法在电力监控系统各个环节的相应的应用，积极推进基于国产密码算法的安全防护技术体系建设。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体8图 2 电力监控系统总体架构示意图电力监控系统的安全 I 区是电力生产的重要环节，也是全防护的重点与核心，对系统运行的实时监控，纵向使用电力调度数据网络或专用通道；安全 II 区是电力生产的必要环节，使用电力调度数据网络，与控制区（安全 I 区）中的系统或功能模块联系紧密；安全 III 区主要生产管理系统；安全 IV 区

17、纯管理系统。基于电力监控系统各区域的系统实际应用情况，通过部署一系列符合相应政策要求的电力专用安全产品以实现对电力生产控制大区和管理信息大区各电力监控系统的安全防护，以及对用户供配电网络和用电设备的不间断保护和监控，从而提高供配电可靠性和自动化水平，最终构建可靠、安全、先进的供配电系统。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体9图 3 电力监控系统输电与用电网络架构示意图纵向加密装置是电力监控系统安全防护体系的重要防线。依据电力监控系统网络安全防护导则，电力监控系统在国调、网调、省调、地调、县调间，以及各级调度机构与其直调的发电厂、变电站之间的纵向边界，均部署纵向加密认证装置及

18、相应措施，形成电力监控系统纵向从下到上四道安全防线，同事采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护，达成高安全等级控制区安全防护强度的累积效应，保障生产控制大区的重要业务系统安全。依据“安全分区、网络专用、横向隔离、纵向认证”防护原则，纵向加密装置部署于生产控制区实时控制区（安全区）及生产控制区非实时控制区（安全 II 区），保障纵向数据交互时的数据完整数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体10性和保密性。纵向加密装置通常具备以下特性：一是利用隧道加密技术为用户构建安全可靠的虚拟专用网络，不仅提供基本的数据加解密功能，而且具备数据包完整性认

19、证、IP 地址封装解密、安全策略审查等安全功能；二是密钥管理采用公私钥体制，符合 X.509 标准，使用 BASE-64 编码，由调度证书服务系统一签发；三是产品通过了国家主管部门的审批和技术鉴定，采用国家主管部门审批通过的专用密码算法；四是采用三级密钥管理，包括主密钥、设备公私钥（设备公钥以证书请求方式导出，由证书服务系统签发成设备证书并发布）和作密钥，密钥同步的双方首先需要相互验证身份，且工作密钥以 SM2 算法加密传送实时产生并定期自动更换；五是实行五类安全证书机制，即根证书、操作员证书、管理中心证书、纵向认证设备证书、对机证书；六是装置协商的会话密钥采用国电专用对称密码算法芯片预置的

20、SSF09 算法，装置通过该会话密钥对电力调度业务报文进行保护，在保证下行控制数据保护强度的同时，确保了上行状态数据的实时性。发、输、变、配、用等环节的密码应用需求各有侧重。在发电侧，发电厂内部重要电力监控系统（DCS、PLC、SIS 等）对实时性的要求较高，密码算法的引入将增加业务时延，对控制系统的运行安全和运行效率可产生负面影响，因此发电侧控制系统密码应用需要实时性好、高可靠的密码实现方案，在保障发电业务平稳运行的同时实数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体11现对各种控制指令和调节指令的数据加密和身份鉴别。在输电侧，针对数据采集、传输及交换等环节，使用纵向加密认证网关、

21、安全加密模块、安全接入平台、安全隔离装置等实现输电监控系统的安全保障。在变电侧，一是站控层、间隔层及过程层中有关控制指令需要使用密码技术进行安全认证与鉴别，二是变电站站内应用需要使用可靠、可扩展的密码模块。在配电侧，大多数仅实现了配电终端对主站的单向身份认证，遥信、遥测数据和终端配置参数等敏感数据缺乏必要的安全防护；现场手持运维终端对配电终端的访问控制仅通过简单的口令实现认证，缺乏必要的强认证和访问控制权限管理措施。在用电侧，对于用电、计量、营销等数据的采集、处理、存储等环节需要使用密码技术进行完整性保护和隐私保护。同时，计量自动化系统、电动汽车充换电系统等新业务系统也提出了密码应用需求。2.

22、互联网应用场景当前，智能终端和物联网、云计算、大数据等技术运用加速推进信息技术和通信技术的融合，促进移动互联网高速发展。移动互联网应用技术，就是借助移动互联网终端（如手机、平板等）实现传统的互联网应用或服务。互联网应用需要严格遵守密码管理条例，数据传输、存储、使用都需要使用商用密码相关技术，以国家电网网上国网 APP 为例。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体12网上国网 App 是国网公司官方统一线上服务入口，集“住宅、电动车、店铺、企事业、新能源”五大使用场景，提供高低压居民新装、企业新装，充电桩报装、线上办电、信息查询、电费交纳、用能分析、能效诊断、找桩充电、光伏新装

23、、故障报修、能效服务、在线客服、发票下载等服务。图 4 上国网架构图在网络安全上，采用 https 接入网关提供初始化验证和加密通信通道。在数据安全上，用户鉴别采用 SM3、SM4 等算法加密存储，采用 SM3、SM4 等算法对数据加密传输。在终端安全上，通过终端证书进行身份验证；在应用安全上，开展移动应用安全加固，通过数字证书、数据加密保证移动应用安全，接入时采用 IP 鉴权、MAC 校验、身份鉴别等方式保证应用系统接口安全。3.配网自动化系统配网自动化配网自动化的现行状态集合了通信、传感和计算机及其网络技数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体13术，在配网发展实践中，配网

24、自动化技术表现出较高优势。目前，配网自动化系统采用加密网关和加密模块来保护配网系统数据在公网传输中的数据安全。但是报文在 I 区采集服务器与安全接入区采集服务器之间是明文状态传输（架构图如下），存在恶意篡改或回放重发等风险，服务器与终端都无法判断报文是否准确。图 5 配网自动化系统架构图数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体14图 6 配网自动化系统数据通信架构图在整个数据通信路径中，安全接入区服务器仅具有通信数据采集、转发功能，不直接生产遥控指令下发；另外，仅有主站加密网关和终端加密模块之间具备加密通信防护能力，主站端从安全区内部发出的指令或者报文没有任何防护能力和身份验签

25、能力。在 I 区采集服务器和安全接入区采集服务器加入指令防篡改装置，对遥信报文、遥测报文、遥控报文等报文数据增加签名验签，实现交互报文数据防篡改，保证遥信、遥测以及遥控安全性。公网部分延用加密网关到加密终端之间原有的 IPSec VPN 隧道进行加密保护。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体15I 区采集服务器通过调用指令防篡改装置访问接口进行报文签名验签，本方案从业务源头对业务报文进行防篡改保护，为减少对现有网络拓扑和 I 区采集服务器负载均衡的改变，I 区内部采用协处理的方式部署，安全接入区内部采用串接方式部署。指令防篡改装置（I 区侧），装置安装在配电网安全 I 区核

26、心骨干网中进行签名验签协处理，主要完成安全 I 区主站系统业务报文的签名验签工作，并将异常事件进行日志记录。指令防篡改装置（安全接入区侧），装置串接安装在配电网安全接入区采集服务器和加密网关之间，主要完成安全接入区侧业务图 7 配网自动化系统数据通信架构图数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体16报文的签名验签工作，并将异常事件进行日志记录。4.协同办公系统协同办公协同办公是利用网络、计算机、信息化，实现多人沟通、共享、协同一起办公的一块软件，从而提高办公人员提供方便、快捷、降低成本，提高效率的一款在线软件。“i i 国网国网”作为国家电网为内部员工开发的一款协同办公 APP

27、，为用户提供覆盖 PC（WINDOWS、MAC、LINUX）、移动终端的即时通讯应用及服务，PC 客户端功能主要面向国网公司所有员工，提供登录认证、即时通讯、移动日常办公和安全管控等功能。图 8 i 国网架构图终端及应用安全方面终端及应用安全方面，i 国网通过分享控制、界面水印、敏感词过滤、阅后即焚、双因子认证等技术保证数据安全。身份鉴别安全方面，采用统一权限平台身份认证及鉴别安全措施。利用 CA 系统签发的数字证书进行数字证书进行身份鉴别。涉及第三方业务的系数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体17统，采用国家主管机构认证的第三方数字证书。应用安全方面应用安全方面，通过集成

28、物联安全接入网关客户端 SDK、移动安全监测客户端 SDK、安全加密 SDK 实现业务数据安全加密与安全监测。网络传输安全方面网络传输安全方面，采用 HTTPS 安全通道结合业务层国密加密，实现了网络传输保密性和完整性。并通过物联安全接入网关实现网络传输安全加密。数据数据安全方面安全方面，首先，通过数据加密实现数据存储安全，采用国密 SM4实现传输与存储的保密性，采用 SM3 实现传输与存储的完整性。对于日志文件内容的设计要求，重要日志信息采用国密 SM4 加密存储。为保证服务端数据安全，采取了身份账号认证、第三方认证、分级授权、基于组织机构的权限管理、国密加密存储、数据脱敏等手段。密钥管理方

29、面密钥管理方面，针对数字证书、SM2 密钥、SM4 密钥的全生命周期管控如下：表 1密钥全生命周期管控表类型全生命周期管控实现方法数字证书生成统一密码服务平台进行签发。分发初始化时在线分发给各客户端存储服务端国密算法加密存储，客户端安全硬件介质或者安全沙箱环境加密存储更新随应用更新注销程序升级注销、终端遗失注销数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体18SM2 密钥生成初始化生成，通过硬件生成（加密卡、加密机）或软件密码模块生成公私密钥对，密钥长度为 256分发公钥通过数字证书形式分发，私钥不需要分发存储通过统一密码服务平台数字证书进行存储或采用国密算法加密存储更新随业务协商动

30、态更新注销随业务更新动态注销SM4 密钥生成通过硬件生成（加密卡、加密机）或者软件密码模块随业务交互动态生成，密钥长度为 128，保证一次一密分发动态协商的方式生成，无需进行密钥的分发。存储服务端与客户端不涉及存储密钥，一次一密更新随业务数据交互动态更新，一次一密注销随业务更新动态注销5.南方电网密码应用场景随着南方电网数字化转型不断推进，电力生产与信息化融合将数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体19不断加深，各个业务领域横向接口逐步打通，各业务支撑系统的平台化、集约化、融合化为下一步发展趋势。公司于 2021 年正式发布了密码管理办法，规定了南网电网密码工作相关要求，包括

31、密码应用技术管控、专业人员管理、密码算法与密钥管理、密码设备与密码系统管理等方面要求，提出各信息系统应对密码应用进行规划，原则上必须使用公司建设的管理信息系统、电力监控系统密码服务平台。并按需开展密码设备/密码系统同城和异地灾备系统建设工作。同时，结合当前及“十四五”期间业务发展方向，在现有安全费控体系基础上，围绕“云、管、边、端”各环节设计涵盖系统主站、计量终端、智能电表的新一代智能量测安全体系架构，建立对身份、数据、指令等关键业务信息的加密认证体系及针对网络安全日志及流量的采集监测体系，实现基于业务流程的本质安全防护。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体20图 9 智能

32、量测安全防护体系应用防护图智能量测安全防护体系应用防护架构主要涵盖网级平台、省级主站、终端及电表侧其中网级统一客户服务平台、网级电能量平台依托统一密码服务实现双因子认证、电子签章、数据脱敏、传输加密、存储加密等防护功能。省级主站营销系统、计量自动化系统、采集前置系统、发行系统、检测系统依托统一密码服务实现双因子认证、工单签名、远控安全、存储加密、密码发行检测、终端接入认证、数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体21传输加密等防护功能。终端侧除各类终端依托终端安全模块实现基础的身份认证、传输加密等基础安全功能外，负控终端还基于安全模块实现本地、远程费控安全功能，集中器实现与电表

33、的认证及传输加密。电表依托安全芯片实现安全费控，与集中器的认证及加密传输等防护功能。存量终端、电表可依托安全通信模块的通信认证、密钥协商、密码运算实现存量终端与主站、存量终端与存量电表之间的双向身份认证及传输加密。(三三)新技术应用场景新技术应用场景1.电力云计算国网云平台主要是围绕“国网云”和“调度控制云”两个重要云平台建设。首先推进“国网云”平台建设，“国网云”平台以“一平台、一系统、多场景、微应用”为思路，促进企业管理云、公共服务云向混合架构应用模式的转变，保障企业管理云、公共服务云对应用高可用、多活等业务能力的提升，实现企业管理云、公共服务云对电力各类应用的全面支撑。但与此同时，企业管

34、理云、公共服务云基于云计算、大数据、虚拟化等新技术的应用也带来了新的风险，需要统筹考虑云平台安全防护措施，结合“国网云”平台当中身份鉴别、访问控制和通信传输过程中的 SM1、SM3、SM4 等密码算法融合，确保“国网云”平台安全、稳定运行。依据国网公司一体化“国网云”平台和全业务统一数据中心的总数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体22体设计要求，全面推进“调度控制云”平台建设工作，“调度控制云”的云计算平台为用户供给了虚拟标准操作台，并把该操作台分发到平板电脑或其他智能设备中。智能终端则通过无线网络覆盖，经 VPN 与纵向认证等网络加密方法，不受时空限制地连接云计算数据中心

35、；由此数据通信安全、数据读取安全以及数据存储安全均通过密码技术进行有效保障。随着智能电网调度技术支持系统在各级调度的部署与智能变电站一体化监控系统建设的日益深入，“调度控制云”已慢慢形成。在未来发展中，“调度控制云”将变成国网云的中枢神经系统，确保智能电网稳定运行。云平台安全防护方面，分别从云平台安全防护、云平台虚拟化安全、云平台租户安全三个层面进行防护：云平台安全防护主要是采用纵向认证、隔离与访问控制的安全措施确保国网云平台接口以及对外边界的安全；云平台虚拟化安全主要是实现访问防护、虚拟隔离、快照保护、镜像安全等安全措施保证云平台虚拟环境和资源的安全；云平台租户安全主要通过数据访问权限、云应

36、用安全代理和数据安全保护等措施确保国网云平台提供安全、稳定的支撑服务。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体23图 10 国网电力云平台安全防护能力视图国网电力云平台融合多种 ZUC（祖冲之算法）SM1、SM2、SM3、SM4、SM7、SM9 等密码算法技术，不仅能够有效解决数据生产、传输、存储、处理、分析和使用等全生命周期安全问题，还有利于处理网络基础资源、信息设施、计算分析、应用服务、网络通道、接入终端等全体系平台安全问题，促进技术融合、产业融合中的全产业链条安全问题的解决。密码技术助力打通“国网云”和“调度控制云”数据融通的信任瓶颈，实现信息资源开放共享，利用基于 SM

37、2、SM3、SM7 的数据标识、数字签名、数字内容和产权保护等技术，构建真实有效的、不可抵赖的“数字契约”，为数据资源确权、开放、流通、交易提供信任基础；另一方面，密码助力疏通资金融通的信任梗阻，促进融资便利化。为国网数字经济建设提供系统性、全方位的安全数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体24防护。2.电力物联网电力物联网电力物联网是物联网在智能电网中的应用，其将有效整合通信基础设施资源和电力系统基础设施资源，实时在线连接能源电力生产与消费各环节的人、机、物，全面承载并贯通电网生产运行、企业经营管理和对外客户服务，提高电力系统信息化水平，改善电力系统现有基础设施利用效率，为

38、电网发、输、变、配、用电等环节提供重要技术支撑，是支撑我国能源互联网高效、经济、安全运行的基础设施。电力物联网将原本孤立的电力设备进行通信串联，打通了封闭网络的信息通路，在提升电力系统运营便捷的同时，也给电力这一传统行业带来了新兴的网络安全风险。图 11 电力物联网应用架构按照电网输电、变电、配电和用电业务的经营现状，电力物联网的整体框架设计如上图所示，共包括 4 层。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体25感知层感知层由电力各个终端和现场通信方式组成，主要实现输变配用各个环节电力终端设备信息的感知和采集。网络层，网络层在整体架构中介于感知层和平台层之间，主要包括终端通信接

39、入网、传输网、数据网三个部分。综合运用有线通信、无线通信、卫星通信、运营商专线、5G 等技术构建电力专用通信系统，形成了电力物联网的广域连接。平台层，在管理平台实现信息的整合、分析、处理，为全业务提供水平化支撑。应用层，通过对不同行业电力服务的差异化决策，面向不同行业提供智能化专业用电服务，实现电力配电、电力调度的高效化和智能化。其商密数据采用国密算法进行储存，重要数据加密存储。国密算法作为我国自主知识产权加密算法，可以融合电力物联网特点进行部署应用，在其各个层面提高电力物联网的行业安全性，具体应用需求如下：在终端加固方面，可在应用安全模块，对硬件安全、特征等利用数字证书进行检查；在数据传输通

40、道方面，可通过与网关的密钥协商保障数据完整性，使用 SM2 加密、SM3 杂凑、安全协议三种技术完成安全通道的建立；在安全传输硬件方面，使用国产平台安全控制系统，使用国密加密卡对数据进行加解密；在操作系统方面，采用国产的经安全验证的操作系统；在身份认证方面，SM9 作为身份标识密码的一种，使用具有唯一性的各类标识作为公钥进行数据加密数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体26和身份认证，能够简化在加密过程中数字证书的交换问题，可在终端与平台接入认证方面进行应用。在数据存储方面，其商密数据采用国密算法进行储存，重要数据加密存储。密码算法具有数据加密、身份认证的作用，而且在网络边界

41、部署密码设备还能起到网络隔离的作用，运用国产密码算法有利于提高安全强度，保障电力系统的安全运行。3.5G 电力虚拟专网5G 作为第五代移动通信网络，把人与人的连接拓展到了万物互联，为智慧城市、智慧医疗和智能电网等领域的发展提供了一种更优的无线解决方案。由于实际通信的需求及业务类型的多样性、未知性及复杂性等特点，通信网络需适度超前，提前储备，提前满足未来多元化的业务承载需求。5G 网络新的发展趋势，尤其是 5G 新业务、新架构、新技术，对数据安全和用户隐私保护都提出了新的挑战。在 5G 环境下，不仅是人与物的通信，更多的是物与物的通信。面对成百上亿的物联网设备接入与通信，数据的安全与隐私保护非常

42、具有挑战性。5G 电力虚拟专网安全防护提供严格的网络准入认证、安全的数据传输通道、全面的网络边界安全防护，旨在建成一个融合多业务多应用的安全可靠的无线通信平台。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体27图 12 5G 电力虚拟专网架构图密码技术在 5G 电力虚拟专网实际应用，可依层次分为终端侧、5G 通道、安全接入区、电力业务侧。终端侧：终端数据存储可基于软件密码模块按需采用对称加密算法 SM4 对敏感数据进行存储加密。电力 5G 定制化模组集成硬加密图 13 电力 5G 虚拟专网生产控制大区架构图数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体28芯片，采用对称加密

43、算法 SM1/SM4 对传输数据加密。5G 通道：空口加密：发送方通过加密算法将明文数据转换为密文数据发送给接收方，保证数据不被泄露。空口加密特性可以防止 gNodeB（5G 基站）和 UE（终端）间的数据被非法拦截或泄露。用户永久身份加密：用户永久身份 SUPI 将以加密形式发送，以防范攻击。SUPI 通过特定加密算法后变为 SUCI 在空口传送，只有在归属地合法运营商的AUSF/UDM 中保存了相应算法和随机数，才可以解开 SUCI 获得最终的用户永久身份标识。安全接入区侧：终端与安全接入网关之间建立端到端 SSL/SSAL VPN，实现数据传输的保密性和完整性保护。采用量子加密技术，在电

44、力终端和业务侧进行数据加密传输。4.电力区块链区块链，就是一个又一个区块组成的链条。每一个区块中保存了一定的信息，它们按照各自产生的时间顺序连接成链条。这个链条被保存在所有的服务器中，只要整个系统中有一台服务器可以工作，整条区块链就是安全的。这些服务器在区块链系统中被称为节点，它们为整个区块链系统提供存储空间和算力支持。如果要修改区块链中的信息，必须征得半数以上节点的同意并修改所有节点中的信息，而这些节点通常掌握在不同的主体手中，因此篡改区块链中的信息是一件极其困难的事。相比于传统的网络，区块链具有两大核心特点：一是数据难以篡改、二是去中心化。基于这两个特点，数 观 天 下电力行业商用密码应用

45、白皮书懂甲方的商密媒体29区块链所记录的信息更加真实可靠，可以帮助解决人们互不信任的问题。区块链场景是商用密码应用的典型场景之一，以国网公司国网链系统为例。国网链主要用于国网公司上链业务系统，旨在进一步完善主链对外公共服务能力，加强联盟链管理、节点管理、智能合约管理等公共能力建设;实现不同链、不同用户接入；构建稳定且易于扩展的区块链服务。系统主要为业务系统提供上链服务，业务系统将业务数据生成的哈希值以及业务一般数据，通过调用上链接口进行数据上链。图 14 国网链架构图节点间通信服务安全方面，区块链采用国际标准算法 ECDH 和国密算法 SM2，通过密钥协商建立安全通信信道，实现安全的信息数 观

46、 天 下电力行业商用密码应用白皮书懂甲方的商密媒体30交换，保证节点间的通信安全。采用国密算法 SM4，实现基于对称加密算法的节点间密文传输，保证平台消息传输的高安全性；采用国密算法 SM2，对平台交易以及节点间通信消息进行签名验签，保证交易和消息通信的完整性和正确性。链上数据存储方面，区块链上存储数据通过密码学+块链式数据结构实现防篡改，通过分区管理进行权限控制，业务数据哈希值采用国密摘要算法 SM3 生成并进行上链存储，业务一般数据采用国密对称加密算法 SM4 加密数据进行存储，保证数据安全。在网络传输安全方面，采用校验技术或密码技术保证通信过程中数据的完整性和保密性，互联网传输通道采用H

47、TTPS 协议保护通信过程中数据保密性、完整性。5.电力大数据在新型电力系统和双碳目标及能源数字化转型和低碳转型的大趋势下，我国能源大数据产业迅猛发展。随着“以电代煤”“以电代油”“以电代气”等工作不断推进，电能在终端能源消费中的比重加快提升，电力在某种程度上已经具备了全能型能源的属性，电力数据要素的放大、叠加、倍增效应日益凸显，电力大数据成为推动能源革命和数字革命深度融合的重要载体，能源大数据的建设已成为能源电力行业数字化转型，实现碳中和的重要手段。基于电力数据的能源大数据中心已在全国多处落地，不少省份多以电网企业作为承建主力，浙江、四川、重庆、福建等 15 个省市都已开展能数 观 天 下电

48、力行业商用密码应用白皮书懂甲方的商密媒体31源大数据建设。国家电网公司通过能源大数据中心将电力数据与政府、企业、能源上下游数据汇聚整合、共享交换、挖掘分析；整合能源领域数据和政务领域数据，为政府提供辅助决策服务；开展数据技术服务和数据流通交易服务，助力企业风险控制、节能减排，提升企业智慧运营，从而推动数据资产商业化运营。由于数据天然的流动性，数据在传输、存储、使用等不同形态之间的转化每时每刻都在发生，因此保障能源大数据安全，需要数据流转的采集、传输、存储、使用等多个层次环节中，对数据施加主动式安全防护。对于流动数据防护，密码技术可以提供独特价值，密码技术直接作用于数据，是最直接有效的主动防护措

49、施，密码技术可以直接保障数据的机密性和完整性，同时也可以保障信息传递中的真实性和不可否认性。在电力大数据的采、传、存、用等四个方面应用密码技术将有效保障数据流动安全。另外如同态加密、安图 15 能源大数据中心架构图数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体32全多方计算等隐私增强计算技术，可实现多个企业或机构间的数据共享互联，使数据在共享时实现“最少可用原则”和“最小权限原则”，让数据在跨组织应用中实现共享与安全兼得，在能源大数据业务场景有强烈应用需求。另外，在政策层面，由于能源行业的关键基础设施特性，能源大数据平台属于国家关键信息基础设施，相关法律法规也要求运营者应当使用商用密

50、码技术进行保护。在能源大数据的安全防护中，通过密码技术的应用，结合统一密码服务平台以及数据全生命周期中密码技术的应用，保障了能源数据在采集、传输、存储、使用等数据流动过程中的安全性。具体应用方式如下：数据采集方面：对于采集中的数据，在数据创建时大数据系统通过调用统一密码服务平台提供的接口实现业务应用数据层面的加密，加密算法可采用 SM2 及 SM9 以确保数据提供者身份的真实性及数据的不可抵赖性，可使用 SM3 实现对数据完整性的验证。数据传输方面：在数据传输阶段，需对数据来源进行身份验证并确保数据的保密性、完整性。因此，应使用符合 GM/T 0022-2014 或 GM/T0024-2014

51、 要求的密码产品，利用加密网关保证数据边界控制与传输加密安全。可采用 SM2、SM9 以实现对数据来源的身份验证，通过 SM3确保数据的完整性，通过 SM4 实现对数据的保密性上的保护。数据存储方面：在静态数据存储保护方面，首先，采用数据加密保护数数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体33据存储安全，加密系统密钥由统一密码服务平台管理，通过 SM3、SM4等算法实现密钥安全存储、密钥生命周期管理，确保了数据的完整性和保密性。再而，采用严格的审批管控措施控制对静态存储数据的访问，使用 SM2、SM9 等算法对访问者的身份进行合法认证。数据应用方面：在数据共享安全保护方面，积极探

52、索隐私计算技术，实现面向隐私信息全生命周期保护的计算，在保障数据本身不对外泄露的前提下实现数据分析计算，通过密文状态下的联合计算方式保护数据隐私安全。6.电力零信任随着电力系统建设过程中越来越多的大量运用“大云物移智”以及工控、5G 等信息技术的出现，电力的多样性促使用户、设备、业务以及平台更加复杂化，数据也打破隔阂在用户、设备、业务以及平台间互相流通。传统的以网络边界防御为主的安全架构逐渐不能满足新的安全形势的需求，甚至基于传统网络边界的隐含信任成为最大的安全漏洞，必须要寻找新的安全防护架构。零信任安全架构凭着“永不信任，持续验证”的理念，逐步成为备受青睐的安全防护架构。数 观 天 下电力行

53、业商用密码应用白皮书懂甲方的商密媒体34图 16 零信任架构图以端到端安全防护为核心的零信任架构来进行建设；建立以身份为中心，基于持续信任评估和授权的动态访问控制体系，同时结合现有安全防护措施实现网络安全防护架构演变，形成电力持续自适应风险与信任评估网络安全防护体系。零信任建设是在不打破现有安全防护架构基础上，新增零信任安全接入区，建设数据通道和控制信道分离的零信任安全控制平台，动环监控接入边缘代理，并在边缘代理设备安装零信任 agent，监控边代安全可信执行环境、制定各类安全接入基线。在零信任实践中，密码技术是提供安全信任的基础。零信任关注身份管理，通过身份管理系统为设备、应用、服务和人员颁

54、发数数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体35字证书，解决身份安全性问题，同时数字证书的应用可以与生物特征、OTP 等多种认证手段进行结合，提升其易用性。在具备数字证书这种高安全身份后，零信任架构中的“双向国密通信信道”及“数据安全层面的机密性、完整性保护”问题，都可以非常快速、便利地解决。密码技术不仅是保障零信任体系的安全底座，同时也是提升零信任体系实施效率的有效手段。表 2密码技术在零信任体系中的作用建立设备信任建立用户信任建立应用信任设备证书（及对应私钥）用户证书（及对应私钥）软件版本信息设备环境感知信息动态令牌（基于密码运算）代码签名网络地址和接入方式生物特征、口令、

55、.用户行为、属性持续评估+授权判决信任评估算法授权信息完整性（分发）策略完整性（存储）建立流量信任数据机密性数据完整性防火墙、WAF、.零信任整体密码应用：传输协议通过对原始数据包进行隧道封装，并使用 SM1/SM4 密码算法加密，保证数据的传输安全。服务端密钥基于国密推荐椭圆曲线的 SM2 非对称密钥，其中私钥保存在密码卡内。预主密钥、主密钥、工作密钥、会话密钥使用SM2 算法动态协商生成，连接结束即销毁。服务端密钥：包括服务端签名密钥和服务端加密密钥，基于国密推荐曲线的 SM2 算法非对称密钥对，又称设备密钥，用于握手过程中服务端身份鉴别和预主密钥的协商。数 观 天 下电力行业商用密码应用

56、白皮书懂甲方的商密媒体36三、电力行业商用密码应用面临的挑战(一一)密码应用监管力度密码应用监管力度持续持续优化优化，提高政策推进的全要提高政策推进的全要素建设素建设在集团公司政策的引导下，各省级及以上单位在监管力度上能达到较好的效果，电力行业安全合规和管理规范已经相当完善。但省级以下相关单位暂无有效的监管手段，相关系统和物理环境改造存在一定的弊端，且老旧业务涉及面广泛，无法有效地推动业务二次迭代的研发。(二二)密码基础设施统筹规划密码基础设施统筹规划目前密码应用投入规模，仍需将支撑电力密码基础设施建设做为重点工作。电力行业数据隔离、网络隔离和物理隔离的安全防护能力已经成熟，但数据校验、传输和

57、存储方面还需要完善，密码基础设施建设将打通数据融通的信任瓶颈，实现信息资源开放共享。(三三)密码系统建设处于传统模式密码系统建设处于传统模式，钻研新型技术能力发钻研新型技术能力发展模型展模型在设计全新的网络传输方式过程中，电力行业如何实现高效实时传输、大规模跨层级互联等新型技术体系依旧是较难解决的痛点问题，因此，需要进行电力定制化的网络协议设计和可信验证机制。目前 SM1、SM2、SM3、SM4、SM9 等密码算法在“国网云”平台和“调度控制云”平台中未能做到深度融合，密码的核心技术创新、研发数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体37和生产能力还需要加大资源投入和提高技术培养

58、。四、推进建议(一一)高层管理者参与，加强密码应用体系建设高层管理者参与，加强密码应用体系建设省级公司领导参与到密码发展中，强化领导责任，推动督办密码规范建设，并设立专职密码岗位提高密码应用的监管力度，告知领导密码应用状况，加强领导协调密码应用管理工作。为了保障重要信息系统数据的安全性，电力行业密码应用管理体系的提升建设必不可少。例如持续提高电力行业密码安全管理制度，加强组织领导统筹协调密码应用安全管理工作；建立电力行业密码安全责任体系，权责细化，落实责任追究措施。(二二)建立弹性安全边界，密码服务统一化建设建立弹性安全边界，密码服务统一化建设遵循“合法合规、安全高效、集中统一、长效发展”的原

59、则，严格贯彻落实国家法律法规要求，充分结合企业实际情况，合法依规建设密码应用服务体系。密码技术应用既要保障业务系统安全性，也要保证业务系统应用效率。坚持“统一规划、统一标准、统一建设、统一运营、统一服务”，建设统一密码应用服务体系。统一规划：统一规划：密码应用服务体系的建设是一个系统工程，密码应用服务体系建设的基本纲领和总体指向，是密码技术设计和实施的前提与依据，是建立密码应用服务的先决条件。统一标准：统一标准：密码应用服务体系建设的基础是统一标准。管理数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体38密码各类标准独立分散的建设模式已经不能满足密码服务建设的要求，迫切需要建立能够涵盖

60、密码服务，建设密码服务体系统一标准的框架。统一建设：统一建设：电力行业共建设多套密码应用体系，资源过于分散；应整合资源共同建立一套覆盖整个电力行业的密码应用体系。统一运营：统一运营：在高层领导带领下，结合电力自身情况，建立一套电力自己的密码应用服务管理制度。统一服务：统一服务：提供密码应用服务化能力，提升密码应用服务管理、服务运维能力。(三三)密码设施完善换代，强化密码技术自主创新密码设施完善换代，强化密码技术自主创新密码技术是保障网络与信息安全的核心技术和基础支持，密码算法和密码产品的自主可控是确保信息安全的重中之重。为实现密码算法和密码产品的自主可控，电力行业持续优化密码设备，促进密码新技术加速研究及持续迭代更新。加快国密算法与自身业务深度融合；在数据加密、身份鉴别、访问控制、取证溯源等方面尽快将原有密码算法替换为国密算法，保证基础数据隐私保护中算法的自主可控。数 观 天 下电力行业商用密码应用白皮书懂甲方的商密媒体39数观天下地址：浙江省杭州市上城区市民街 98 号邮编：310000电话：网址：