[摘要]电动汽车充电信息安全是电动汽车充电基础设施安全的重要组成部分，为加强信息安全工作，根据能源行业电动汽车充电设施标准化技术委员会工作计划及中国电动汽车充电基础设施促进联盟工作安排，中电联标准化管理中心组织有关单位编制了《电动汽车充电基础设施信息安全防护指南》，并于7月5日起征求意见，要求相关企业将反馈意见在7月30日前提交至相关联系人。
电动汽车充电信息安全是电动汽车充电基础设施安全的重要组成部分，为加强信息安全工作，根据能源行业电动汽车充电设施标准化技术委员会工作计划及中国电动汽车充电基础设施促进联盟工作安排，中电联标准化管理中心组织有关单位编制了《电动汽车充电基础设施信息安全防护指南》，并于7月5日起征求意见，要求相关企业将反馈意见在7月30日前提交至相关联系人。
电动汽车充电基础设施信息安全防护指南
(征求意见稿)
总 则
第一条 充电基础设施网络化、信息化、互联互通发展迅速，充电基础设施网络信息安全事关人民生活和经济发展。为提升充电基础设施系统信息安全防护水平、保障系统安全，制定本指南。
第二条 充电基础设施运营企业以及从事充电基础设施系统规划、设计、建设、运维、评估的相关单位适用本指南。
第三条 信息安全防护总体要求是分区分域、安全接入、安全可信、动态感知、精益管理、全面防护。
第四条 信息安全防护分为11个防护方面。
技术要求：针对不同安全保护等级的要求，从物理安全、终端安全、应用安全、网络安全、主机安全、数据安全等方面进行技术保护。
管理要求：针对不同安全保护等级的要求，从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理、网络安全管理等方面进行管理。
安全软件选择与管理
第五条 充电基础设施采用安全软件需经过充电基础设施生产和运营企业的授权和安全评估，并基于风险评估为充电基础设施选择具有相应安全措施的安全软件。
第六条 建立防病毒和恶意软件入侵管理机制，对充电基础设施临时接入的设备采取病毒查杀等安全预防措施。
第七条 移动终端APP采用具有安全防护措施的安全软件，且相关安全软件需经过充电基础设施生产和运营企业授权和安全评估。
第八条 运营平台安全软件需经过充电基础设施运营企业授权和安全评估，具有支持充电基础设施和移动终端安全防护需求的安全能力，形成一体化防御体系。
配置和补丁管理
第九条 建立并维护充电基础设施系统配置清单，留存边界设备的访问日志、充电关键业务的日志，时间不少于6个月，并定期进行配置审计。
第十条 对重大配置变更制定变更计划并进行影响分析，配置变更实施前进行严格安全测试。
第十一条 密切关注充电基础设施重大安全漏洞，及时采取补丁升级措施。在安装补丁或升级前，需对补丁或升级进行严格的安全评估和测试验证。
第十二条 如需远程升级，升级过程需要在具有系统安全的条件下进行，具备通信安全，以及异常监测、响应的能力，并需要获得用户确认，且升级过程需记录完整的日志信息。
边界安全防护
第十三条 分离充电基础设施的开发、测试和生产环境。
第十四条 在充电基础设施体系架构设计中，采用网络分段和隔离技术。对不同网段进行边界控制，对进行充电基础设施内部控制网络的数据和文件进行安全控制和安全监测。
第十五条 充电基础设施与外部通信采用安全接入方式，并可对业务进行划分，通过不同的安全通信子系统接入网络。
第十六条 运营平台需具备防火墙、入侵检测等安全功能。
物理和环境安全防护
第十七条 对充电基础设施的全部访问点进行配置，访问限制。
第十八条 拆除主机上不必要的接口。
身份认证
第十九条 在充电基础设施启动登陆、移动终端登陆、运营平台访问等过程中使用身份认证管理。在关键业务场景下，采用多因素认证方式。
第二十条 用户注册实名制。
第二十一条 强化充电基础设施、移动终端及访问点等的登陆账户及密码，强制更改默认口令，避免使用弱口令，定期更新口令。
第二十二条 在充电基础设施系统间数据通信过程中使用身份认证机制。
远程访问安全
第二十三条 充电基础设施需对远程访问的端口进行严格控制，关闭不必要的端口。
第二十四条 确需远程访问的关键业务场景，采用安全措施进行加固，对访问时限进行控制，并采用身份认证、数据安全传输、访问控制等机制。
第二十五条 保留充电基础设施系统的相关访问日志，并对操作过程进行安全审计。
安全监测和应急预案演练
第二十六条 在充电基础设施建立安全监测体系，及时发现、报告并处理网络攻击或异常行为。
第二十七条 充电基础设施应具备包监测、数据监测等功能，限制违法操作。
第二十八条 制定安全事件响应预警，当遭受安全威胁导致充电基础设施出现异常或故障时，应立即采取紧急防护措施，防止事态扩大，并逐级报送直至属地主管部门，同时注意保护现场，以便进行调查取证。
第二十九条 定期对充电基础设施系统的应急响应预案进行演练，必要时对应急响应预案进行修订。
资产安全
第三十条 建设充电基础设施资产清单，明确资产责任人，以及资产使用及处置规则。
第三十一条 对关键设备和组件等进行冗余配置。
数据安全
第三十二条 对在充电基础设施系统中采集、传输、存储的数据，定期开展风险评估。关键业务数据和用户信息须在存储和传输过程中使用安全机制，并在使用过程中采用访问控制策略。
第三十三条 定期备份关键业务数据。
第三十四条 对用户信息的采集、存储、传输和使用，必须经过用户的明确授权。
供应链管理
第三十五条 在选择充电基础设施规划、设计、建设、运维或评估、产品及服务供应商时，优先选择通过安全评估的产品，优先选择具备安全服务经验的企事业单位，并要求供应商做好相应的保密工作，防止敏感信息的外泄。
第三十六条 在充电基础设施系统投入运营前或发生重大变化时进行安全评估，并对投入运行的充电基础设施定期进行安全评估。
落实责任
第三十七条 通过建立充电基础设施安全管理机制、成立信息安全协调小组等方式，明确信息安全管理责任人，落实安全责任制，部署安全防护措施。
第三十八条 针对不同安全保护等级的要求，从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理、网络安全管理等方面进行管理。
第三十九条 建立充电基础设施网络安全防护评估制度，采取自评估为主、检查评估为辅的方式，建立充电基础设施网络信息安全管理体系。
为推动新能源汽车的市场化发展进程，建立用户、运营商、整车企业、配套商之间更加紧密的联系，7月29日，全国新能源汽车运营产业联盟成立仪式将在浙江杭州举行。
会议同期还将召开2017中国绿色物流供应链产业高峰论坛。邀请全产业链的优秀代表，共同探讨新的背景和形势下，新能源物流车产业如何面对补贴退坡等带来的压力和挑战？如何更好地发挥新能源物流车在城市配送中的优势和地位？如何处理好好整车企业、运营商、终端用户之间的关系？
扫下方二维码，了解更多详情。
（责任编辑：王一淅）
