专用网络划分
1调度数据网。
调度数据网必须建立在IP+SDH的基础上，严格执行MPLSVPN的划分。通过MPLSVPN划分将调度数据网分成VPN1和VPN2。因此在纵向上安全区I的数据传输和交换通过VPN1来完成，安全区II的数据传输和交换通过VPN2来完成。
2安全区III网络（调度生产管理信息OMS网络）
安全区III网络（调度生产管理信息OMS网络）主要是在纵向上各级调度部门传输调度生产管理信息，属于管理信息大区，它与安全区IV网络之间主要通过防火墙隔离。
3、安全区之间的横向隔离及纵向防护
在各安全区之间均需选择适当安全强度的隔离装置。具体隔离装置的选择不仅需要考虑网络安全的要求，还需要考虑带宽及实时性的要求。安全区之间隔离装置必须是国产并经过国家或电力系统有关部门认证。
安全区Ⅰ与安全区Ⅱ之间的隔离要求：
采用硬件防火墙可使安全区之间逻辑隔离。禁止跨越安全区Ⅰ与安全区Ⅱ的E-MAIL、WEB、telnet、rlogin。
安全区Ⅰ/Ⅱ与安全区Ⅲ/Ⅳ之间的隔离要求：
采用物理隔离装置可使安全区之间物理隔离。禁止跨越安全区Ⅰ/Ⅱ与安全区Ⅲ/Ⅳ的非数据应用穿透
物理隔离装置的安全防护强度适应由安全区Ⅰ/Ⅱ向安全区Ⅲ/Ⅳ的单向数据传输。由安全区Ⅲ/Ⅳ向安全区Ⅰ/Ⅱ的单向数据传输必须经安全数据过滤网关串接物理隔离装置。
同一安全区间纵向防护与隔离：
同一安全区间纵向联络使用VPN网络进行连接
安全区Ⅰ/Ⅱ分别使用SPDnet的实时VPN1与非实时VPN2
安全区Ⅲ/Ⅳ分别使用SPInet的VPN
防病毒措施
病毒防护是电力二次系统网络必须的安全措施。病毒的防护应该覆盖所有安全区的主机与工作站。特别在安全区I、II要建立独立的防病毒中心，病毒特征码要求必须以离线的方式及时更新。安全区III的防病毒中心原则上可以和安全区IV的防病毒中心共用。防病毒软件要求覆盖所有服务器及客户端，对关键服务器实时查毒，对于客户端定期进行查毒，制定查毒策略，并备有查杀记录。
其他安全防护措施
1、数据与系统备份
对关键应用的数据与应用系统进行备份，确保数据损坏、系统崩溃情况下快速恢复数据与系统的可用性。
2、入侵检测IDS
对于安全区I与II，建议统一部署一套IDS管理系统。考虑到调度业务的可靠性，采用基于网络的入侵检测系统（NIDS），其IDS探头主要部署在：
安全区I与II的边界点、SPDnet的接入点、以及安全区I与II内的关键应用网段。其主要的功能用于捕获网络异常行为，分析潜在风险，以及安全审计。
对于安全区III，禁止使用安全区I与II的IDS，与安全区IV的IDS系统统一规划部署。
3、主机防护
主机安全防护主要的方式包括：安全配置、安全补丁、安全主机加固。
安全配置
通过合理地设置系统配置、服务、权限，减少安全弱点。禁止不必要的应用，作为调度业务系统的专用主机或者工作站，严格管理系统及应用软件的安装与使用。
安全补丁
通过及时更新系统安全补丁，消除系统内核漏洞与后门。
主机加固
安装主机加固软件，强制进行权限分配，保证对系统的资源（包括数据与进程）的访问符合定义的主机安全策略，防止主机权限被滥用。
4、CA与身份认证
基于PKI的CA认证系统为电力调度生产及管理系统与调度数据网上的用户、关键网络设备、服务器提供数字证书服务。最终CA认证体系结构图如下所示：
建立健全安全管理的工作体系
电力二次系统安全防护工作涉及电力企业的建设、运行、检修和信息化等多个部门，是跨专业的系统性工作，加强和规范管理是确实保障电力二次系统安全管理的重要措施，管理到位才能杜绝许多不安全事件的发生。因此建立健全安全管理的工作体系，第一是要建立完善的安全管理制度，第二是要明确各级的人员的安全职责。
结束语：
本文根据电力二次系统安全防护工作特点，介绍了水电厂电力二次系统统的安全防护的原则、划分和措施，以防范对电网和电厂计算机监控系统及调度数据网络的攻击侵害及由此引起的电力系统事故，保障三门峡水电厂电力系统的安全、稳定、经济运行。
