王彬筌，蒋亚坤，张仕鹏，李晓耕，韩校，孙浩

（1. 云南电力调度控制中心，昆明 650051；2. 中国能源建设集团广东省电力设计研究院有限公司，广东 广州 510663；3. 华南理工大学电力学院，广东 广州 510641）

0 前言

近年来，网络安全形势日益严峻[1-2]。在此背景下国家制定颁布了《中华人民共和国网络安全法》，提出了网络强国战略，明确了网络治理、网络安全、核心技术等方面的要求。并提出对重要行业和领域的关键信息基础设施（CII）实行重点保护。国家互联网信息办公室发布了关于《关键信息基础设施安全保护条例》公开征求意见的通知[3]，对如何开展关键基础设施安全保护工作提出了具体要求。

当前电力行业面临日益严峻的网络安全形势，网络安全攻击事件时有发生，如伊朗核设施的震网病毒攻击事件[4-5]、能源企业的Shamoon攻击事件等。在此背景下国内相关管理和研究机构、学者和企业，开展了网络安全防控技术和管理体系的研究[6-8]，提出了技术规范或标准以及网络安全管理体系建设的要求。

1 电力行业CII保护的意义

1.1 CII与CI的关系

关键信息基础设施（Critical Information Infrastructure，简称CII）与关键基础设施（Critical Infrastructure，简称CI）即有紧密的联系又有明显的区别。关键基础设施（CI）主要是指一旦遭受损坏将严重影响国家安全、国民经济发展和公众健康的一系列物理或虚拟的系统和固定资产[9-12]。当前，关键信息基础设施（CII）的定义，较为普遍认可的主要指在发生网络安全事故后，会影响重要行业正常运行，对国家相应的行业或领域，以及人民生命财产造成严重损失的重要行业或企业的信息系统或工业控制系统[13-14]，其严重危害性特征显著。……