『导读』电动汽车充电信息安全是电动汽车充电基础设施安全的重要组成部分，为加强信息安全工作，根据能源行业电动汽车充电设施标准化技术委员会工作计划及中国电动汽车充电基础设施促进联盟工作安排，中电联标准化管理中心组织有关单位编制了《电动汽车充电基础设施信息安全防护指南》，并于7月5日起征求意见，要求相关企业将反馈意见在7月30日前提交至相关联系人。
电动汽车充电信息安全是电动汽车充电基础设施安全的重要组成部分，为加强信息安全工作，根据能源行业电动汽车充电设施标准化技术委员会工作计划及中国电动汽车充电基础设施促进联盟工作安排，中电联标准化管理中心组织有关单位编制了《电动汽车充电基础设施信息安全防护指南》，并于7月5日起征求意见，要求相关企业将反馈意见在7月30日前提交至相关联系人。
电动汽车充电基础设施信息安全防护指南
(征求意见稿)
总 则
第一条 充电基础设施网络化、信息化、互联互通发展迅速，充电基础设施网络信息安全事关人民生活和经济发展。为提升充电基础设施系统信息安全防护水平、保障系统安全，制定本指南。
第二条 充电基础设施运营企业以及从事充电基础设施系统规划、设计、建设、运维、评估的相关单位适用本指南。
第三条 信息安全防护总体要求是分区分域、安全接入、安全可信、动态感知、精益管理、全面防护。
第四条 信息安全防护分为11个防护方面。
技术要求：针对不同安全保护等级的要求，从物理安全、终端安全、应用安全、网络安全、主机安全、数据安全等方面进行技术保护。
管理要求：针对不同安全保护等级的要求，从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理、网络安全管理等方面进行管理。
安全软件选择与管理
第五条 充电基础设施采用安全软件需经过充电基础设施生产和运营企业的授权和安全评估，并基于风险评估为充电基础设施选择具有相应安全措施的安全软件。
第六条 建立防病毒和恶意软件入侵管理机制，对充电基础设施临时接入的设备采取病毒查杀等安全预防措施。
第七条 移动终端APP采用具有安全防护措施的安全软件，且相关安全软件需经过充电基础设施生产和运营企业授权和安全评估。
第八条 运营平台安全软件需经过充电基础设施运营企业授权和安全评估，具有支持充电基础设施和移动终端安全防护需求的安全能力，形成一体化防御体系。
配置和补丁管理
第九条 建立并维护充电基础设施系统配置清单，留存边界设备的访问日志、充电关键业务的日志，时间不少于6个月，并定期进行配置审计。
第十条 对重大配置变更制定变更计划并进行影响分析，配置变更实施前进行严格安全测试。
第十一条 密切关注充电基础设施重大安全漏洞，及时采取补丁升级措施。在安装补丁或升级前，需对补丁或升级进行严格的安全评估和测试验证。
第十二条 如需远程升级，升级过程需要在具有系统安全的条件下进行，具备通信安全，以及异常监测、响应的能力，并需要获得用户确认，且升级过程需记录完整的日志信息。
边界安全防护
第十三条 分离充电基础设施的开发、测试和生产环境。
第十四条 在充电基础设施体系架构设计中，采用网络分段和隔离技术。对不同网段进行边界控制，对进行充电基础设施内部控制网络的数据和文件进行安全控制和安全监测。
第十五条 充电基础设施与外部通信采用安全接入方式，并可对业务进行划分，通过不同的安全通信子系统接入网络。
第十六条 运营平台需具备防火墙、入侵检测等安全功能。
物理和环境安全防护
第十七条 对充电基础设施的全部访问点进行配置，访问限制。
第十八条 拆除主机上不必要的接口。
身份认证
第十九条 在充电基础设施启动登陆、移动终端登陆、运营平台访问等过程中使用身份认证管理。在关键业务场景下，采用多因素认证方式。
第二十条 用户注册实名制。
第二十一条 强化充电基础设施、移动终端及访问点等的登陆账户及密码，强制更改默认口令，避免使用弱口令，定期更新口令。
第二十二条 在充电基础设施系统间数据通信过程中使用身份认证机制。
远程访问安全
第二十三条 充电基础设施需对远程访问的端口进行严格控制，关闭不必要的端口。
第二十四条 确需远程访问的关键业务场景，采用安全措施进行加固，对访问时限进行控制，并采用身份认证、数据安全传输、访问控制等机制。
第二十五条 保留充电基础设施系统的相关访问日志，并对操作过程进行安全审计。
安全监测和应急预案演练
第二十六条 在充电基础设施建立安全监测体系，及时发现、报告并处理网络攻击或异常行为。
第二十七条 充电基础设施应具备包监测、数据监测等功能，限制违法操作。
第二十八条 制定安全事件响应预警，当遭受安全威胁导致充电基础设施出现异常或故障时，应立即采取紧急防护措施，防止事态扩大，并逐级报送直至属地主管部门，同时注意保护现场，以便进行调查取证。
第二十九条 定期对充电基础设施系统的应急响应预案进行演练，必要时对应急响应预案进行修订。
