T/CAGX 003-2026 电力行业数据权限管控技术和数据访问异常监控指南

　　ICS 35.030 CCSI6440

　　T/CAGX

　　团 体 标 准

　　T/CAGX 003—2026

　　电力行业数据权限管控技术和数据访问

　　异常监控指南

　　Guide for data permission control technology and abnormal data access

　　monitoring in the electric power industry

　　2026-02-28 发布 2026-02-28 实施

　　广西计算机学会 发 布

　　T/CAGX 003—2026

　　T/CAGX 003—2026

　　前 言

　　本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。

　　本文件由广西计算机学会提出并归口 。

　　本文件起草单位：广西电网有限责任公司、广西产研院人工智能与大数据应用研究所有限公司、桂林电子科技大学、广西壮族自治区信息中心、深圳昂楷科技有限公司、广西海轮科技有限公司、广西友邦永信网络技术有限公司。

　　本文件主要起草人：艾徐华、张希翔、董贇、李文战、申超胜、董贇、韦杰、黄依婷、王子民、徐华福、银源、李俊、谭期文、甘凯今、梁奔香、韦宗慧、包乙春、吴鹏、甘东觉、周子煦、秦绍海、蒙颢文、林金智、兰杰、蒙剑强、黄鑫、梁全栋、黄燕燕、陈佳、万义飞、舒杰。

　　本文件为首次制定。

　　T/CAGX 003—2026

　　电力行业数据权限管控技术和数据访问异常监控指南

　　1 范围

　　本文件界定了电力行业数据权限管控技术和数据访问异常监控的术语和定义，对权限管理原则、权限管控规则、数据访问异常监控、权限管控和异常监控管理的指导内容。

　　本文件适用于电力行业开展电力数据权限配置和数据访问异常规则的设定和异常监控的响应。

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件;不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

　　GB/T 25069信息安全技术 术语

　　GB/T 35273信息安全技术个人信息安全规范

　　GB/T 35295信息技术 大数据 术语

　　3 术语和定义

　　GB/T 35295和GB/T 25069界定的以及下列术语和定义适用于本文件。

　　3.1 权限模型 Access Control Model

　　用于实现访问控制的模型，包括基于角色的访问控制(RBAC)、基于属性的访问控制(ABAC)、混合模型等。

　　3.2 基于角色的访问控制 RBAC(Role Based Access Control)

　　一种访问控制策略，用户被授予权限基于他们在组织中的角色，而非他们个人的身份。例如针对调控人员、运行人员、营销人员、设备运维、信息技术、安全监督等分配权限。

　　3.3 基于属性的访问控制 ABAC(Attribute Based Access Control)

　　一种动态访问控制模型，通过对用户、资源、环境等实体的属性进行组合判断，实现细粒度、上下文敏感的访问决策。

　　3.4 访问审计 Access Audit

　　监控和记录系统访问事件的过程，用于安全分析和合规性检查。

　　3.5 数据访问异常监控 Data Access Anomaly Monitoring

　　对数据访问行为进行持续监控和分析的过程， 以便及时发现和响应非正常或可疑的数据访问模式。

　　T/CAGX 003—2026

　　3.6 强制访问控制 MAC(Mandatory Access Control)

　　一种基于主体(如用户、进程)和客体(如文件、数据)的安全属性进行访问控制的安全机制，其核心特征是通过系统预设的安全策略强制限制主体对客体的访问权限，用户无法自主修改这些策略。

　　3.7 自主访问控制 DAC(Discretionary Access Control)

　　一种基于主体(用户、进程等)的自主意愿来控制客体(文件、数据、资源等)访问权限的安全机制。其核心特点是主体对所拥有的客体具有自主管理权限，可自行决定将访问权限授予其他主体或撤销权限，灵活性较高，但安全性依赖于主体的访问决策。

　　3.8 访问日志 Access Logs

　　记录系统、网络或数据库中所有访问和操作的日志文件，用于审计和异常检测。

　　3.9 数据访问行为 Data Access Behavior

　　用户或系统与数据交互的行为，包括数据的查询、修改、删除和传输等。

　　3.10 数据敏感性 Data Sensitivity

　　数据的保密性、重要性和价值，决定了数据需要的保护级别。

　　3.11 访问模式 Access Pattern

　　用户或系统访问数据的常规模式，包括访问时间、频率和数据类型等。

　　3.12 单点登录 SSO(Single Sign On)

　　允许用户使用一次登录凭据访问多个系统或应用程序的机制。

　　3.13 数据访问异常 Anomalous Data Access

　　指不符合正常行为基线或权限设定的数据访问行为，可能包括越权、非法、异常时段访问等行为。

　　3.14 最小权限原则 Least Privilege Principle

　　用户应仅被授予完成职责所必需的最低权限。

　　3.15 行为基线 Behavioral Baseline)

　　用户或系统在正常状态下的典型访问行为统计模型，用于识别偏离的异常行为。

　　3.16 用户与实体行为分析 UEBA(User and Entity Behavior Analytics)

　　基于大数据和机器学习技术，对用户或系统实体的行为进行建模和分析， 以识别安全威胁。

　　3.17 多因素认证 MFA(Multi-Factor Authentication)

　　通过多个不同类型的验证因素(如密码+短信+生物识别)进行用户身份验证的机制。

　　3.18 动态权限调整 Dynamic Privilege Adjustment

　　根据用户状态、环境或业务变动，实时调整其数据访问权限的机制。

　　T/CAGX 003—2026

　　4 基本原则

　　为保障电力行业数据的机密性、完整性与可用性，在开展数据权限管控和访问异常监控工作时应遵循以下基本原则：

　　4.1 合法合规原则

　　权限管理与访问监控需符合国家法律法规、电力行业政策与组织内部规章制度。

　　4.2 最小权限原则

　　用户应仅被授予完成其业务职能所必需的数据访问权限，防止过度授权与越权访问。

　　4.3 动态调整原则

　　随着组织结构、岗位职责或业务需求的变化，应支持权限与策略的动态调整和收回。

　　4.4 多层防护原则

　　数据权限与访问控制应结合身份验证、访问策略、审计追踪等多层机制，实现纵深防御。

　　4.5 以人为核心、以数据为边界

　　数据权限与异常检测应围绕用户行为与数据边界构建，从业务视角出发进行合理授权与风险识别。

　　4.6 智能化分析原则

　　充分利用行为基线、统计模型与机器学习技术，提升异常访问识别的准确性与及时性。

　　4.7 持续优化原则

　　权限管理与访问监控体系应具备自我评估与持续改进机制，确保其在技术演进与业务发展中持续有效。

　　5 数据权限管控

　　5.1 总体指引

　　权限管控应遵循以下指引：

　　[1] 权限系统设计应以分级分权为基本框架，确保权限分配符合岗位职责;

　　[2] 权限策略需具备明确的可追溯性，所有权限操作应留痕可审计;

　　[3] 所有权限配置应基于“最小权限 ”原则，避免权限冗余与过度授权;

　　[4] 权限设置应考虑与业务场景紧密耦合，并保持一致性和灵活扩展性。

　　5.2 权限管控模型

　　应选择与业务复杂度和系统规模匹配的访问控制模型，典型模型包括：

　　[1] RBAC(基于角色的访问控制)：标准应确保角色与权限映射的唯一性、一致性及可继承性;

　　[2] ABAC(基于属性的访问控制)：应对用户属性、资源属性和环境属性进行标准化定义与组合策略建模;

　　[3] 混合模型：允许在关键场景中同时采用RBAC与ABAC，标准应定义如何解决角色与属性冲突时的优先级;

　　[4] MAC(强制访问控制)/DAC(自主访问控制)：如用于高安全需求环境，标准应定义访问决策

　　T/CAGX 003—2026

　　的强制规则和用户自主边界;

　　[5] 权限模型中所有实体(用户、角色、资源、策略等)需具备完整的定义、唯一标识及生命周期管理机制。

　　5.3 权限设计要求

　　应在权限设计的时候结合需求充分考虑并满足如下要求：

　　[1] 应建立数据分类分级机制，并与权限策略联动映射，确保不同数据类型和敏感级别对应差异化权限;

　　[2] 应支持动态权限调整机制，标准需定义权限变更的触发条件、流程和时效要求;

　　[3] 应具备跨系统权限同步能力，标准应规定权限映射的元数据结构、同步接口和一致性校验机制;

　　[4] 数据资源目录应支持与权限策略一一绑定，确保资源权限配置的可视性和可验证性。支持结合电力统一数据资产目录。

　　5.4 用户身份验证

　　身份验证方案应依据系统风险等级分类采用：

　　[1] 高敏感系统：需使用多因素认证(MFA)，常见组合包括密码+手机短信验证、密码+软件令牌验证码等;

　　[2] 一般系统：可采用统一身份认证(SSO)，并具备单点登录能力;

　　[3] 特殊环境：如远程接入或关键操作，应支持生物识别(如指纹、面部识别等)或硬件令牌等增强验证手段。

　　[4] 各类身份验证机制应满足实名制的要求， 以及国家网络安全等级保护相关标准要求。

　　5.5 权限管控生命周期管理

　　权限管控应结合需求充分考虑并满足如下要求：

　　[1] 权限生命周期管理应覆盖权限的申请、审批、授予、调整与撤销全过程;

　　[2] 各阶段需明确定义操作角色、审批流程、权限边界和审计要求;

　　[3] 应定期开展权限复审，标准应明确复审周期、检查范围和处置方式;

　　[4] 所有权限操作需留存完整的审计日志，标准应规定日志内容、格式和保存期限;

　　5.6 权限管控安全要求

　　权限管控系统本身应满足的安全要求：

　　[1] 权限数据本身应具备访问控制和加密保护机制;

　　[2] 高权限账户的使用应被实时监控，标准应要求配置操作审计与行为告警策略;

　　[3] 权限系统应定期进行安全性评估与渗透测试，保障系统无高危漏洞;

　　[4] 应支持对权限配置进行可视化分析与最小化建议，辅助管理员识别潜在风险。

　　5.7 权限管控方法

　　权限管控可以根据组织、角色、权限和使用需求，结合已有系统的权限管控特点，采用以下方法和步骤对权限进行配置和管控：

　　[1] 明确范围：按照行业领域主管(监管)部门职责，明确本领域管理的职责范围 ;

　　[2] 确定权限管理模式，对权限管控业务进行细化，包括：

　　1) 结合部门职责分工，明确权限管理的角色和管控范围。需要确定的问题如：是否专门设置一个权限管理角色还是交给管理员处理?

　　2) 按照系统、业务范围、业务流程，明确各领域和业务条件的权限管控模式。需要确定

　　T/CAGX 003—2026

　　的问题如：是否统一管理权限还是各部门自行管理?是否采用申请审批制还是各部门自主决策?

　　3) 确定角色的定义， 以及角色和现实工作岗位的映射关系与职责

　　4) 根据各个业务、领域和部门的所用的系统，定义相关的权限名称。

　　5) 根据角色分配权限

　　[3] 权限分配：根据角色分配权限，确保用户只能访问其角色所需的资源

　　[4] 定期审核：定期审核权限分配情况，确保权限与用户职责相符。

　　[5] 权限调整：根据组织变化和业务需求调整权限设置。

　　图 1 权限管控方法

　　6 数据访问异常监控

　　6.1 一般规则

　　在监控数据访问异常的时候，需要在配置和响应层面满足如下的规则：

　　[1] 监控应覆盖关键的数据访问点，并能够实时或近实时地检测异常并告警， 以便快速响应;

　　T/CAGX 003—2026

　　[2] 合规性和可审计性：监控活动需符合相关法律法规，并保持详细的审计日志，以便于事后审查和合规性验证;

　　[3] 敏感性识别与响应：监控系统应能够识别敏感数据的访问模式，并在检测到异常时触发预定义的响应措施;

　　[4] 持续改进与风险评估：定期评估监控策略和工具，根据新的威胁和业务变化进行调整，并执行风险评估以优化资源分配;

　　[5] 应结合具体应用场景进行监控，不影响业务的正常进行。

　　6.2 监控对象与范围

　　数据访问异常监控对象和范围如下：

　　[1] 监控应要求覆盖所有涉及数据访问的环节，包括人工操作、系统访问及外部调用;

　　[2] 监控对象包括数据访问行为主体(如用户、进程)、访问行为(时间、频率、操作类型)及访问结果(成功/失败、数据变动等)。

　　6.3 异常行为定义与分类

　　应定义典型异常行为类别及其识别特征，至少包括：

　　[1] 非工作时段访问、远程/境外IP访问;

　　[2] 越权访问、敏感数据访问频率异常;

　　[3] 大批量下载、数据导出量异常;

　　[4] 非授权操作、操作行为与职责不符等。

　　[5] 所有异常类别应具备明确的规则定义、识别依据及分级标准。

　　6.4 异常识别指标与方法

　　需要为每一种异常行为定义设置指标：

　　[1] 应建立正常行为基线，定义标准行为模式及偏离阈值;

　　[2] 异常识别应至少包括：访问频次、时间分布、资源敏感度、行为与角色匹配性等维度;

　　[3] 指标应具备可配置性与上下限阈值支持，便于针对不同场景灵活调整。

　　6.5 异常监控技术体系

　　标准应支持以下监控技术体系构建：

　　[1] 规则引擎：基于黑/白名单、策略规则进行检测;

　　[2] 统计模型：基于访问日志进行频次、偏差分析;

　　[3] 机器学习模型：使用聚类、孤立森林等算法识别异常模式;

　　[4] UEBA系统：构建用户行为画像，动态检测异常。

　　6.6 日志采集与分析

　　日志采集和分析需满足如下规则：

　　[1] 日志采集应涵盖用户登录、数据访问、数据变更、策略执行等关键操作;

　　[2] 日志应具备统一结构，包含时间戳、用户标识、访问对象、操作结果等核心字段;

　　[3] 日志分析工具应具备可视化分析、关联分析与搜索能力，便于高效识别潜在风险行为。

　　6.7 告警与响应机制

　　告警和响应机制需满足如下要求：

　　[1] 告警应具备分级机制，区分高、中、低风险事件，设定对应响应级别与处理时限;

　　[2] 告警应可多渠道(邮件、短信、系统)实时通知责任人;

　　T/CAGX 003—2026

　　[3] 告警信息应支持重复消息合并，高频告警抑制，时间段抑制等功能，避免对责任人进行消息轰炸;

　　[4] 建立统一的应急响应机制，覆盖告警确认、初步调查、隔离处置、恢复和事后审查全流程;

　　[5] 高风险事件应支持自动阻断策略与账号联动控制机制。

　　6.8 数据访问异常规则配置方法和流程

　　异常监控规则是数据访问异常监控的前提，通过规范配置的行为和流程，可以让规则配置更符合当前的业务现状，制定出更加合理的规则。

　　[1] 定义异常行为：识别关键数据资产，确定组织内的关键数据资产，包括敏感数据、核心业务数据等;定义异常行为，根据业务逻辑和数据访问模式，定义什么构成了异常行为。例如，调度数据访问(调度员越权查询其他区域负荷数据)、运维系统异常操作(外包人员在非值班时段导出设备数据)、营销系统访问异常(突发批量访问客户用电数据)等;。

　　[2] 确定监控范围：数据访问点识别，识别所有可能的数据访问点，包括各种系统使用的各种用途的数据库等;访问路径分析，分析数据的访问路径，确定哪些路径是关键监控点;环境因素考虑，考虑不同的网络环境、用户角色和地理位置等因素，以确定监控的细化范围;

　　[3] 配置监控规则：规则模板开发，基于定义的异常行为和监控范围，开发规则模板;参数化规则，设定规则参数，如阈值、时间窗口、用户角色等，以适应不同的监控场景;规则测试，在生产环境之外测试规则，确保其有效性并调整参数以减少误报;

　　[4] 异常检测与响应：实施监控，将配置好的规则部署到监控系统中，并开始实施监控;定义响应策略：为不同类型的异常行为定义响应策略，包括是否需要阻断访问、发送告警信息等;告警信息定制：定制告警信息的内容和格式，确保信息的准确性和可操作性;角色和责任分配：确定告警信息的接收角色和责任人，如安全管理员、系统管理员等。

　　T/CAGX 003—2026

　　图 2 数据访问异常规则配置方法和流程

　　6.9 异常响应方法和流程

　　通过数据异常访问的响应方法和流程，组织可以有效地管理和缓解数据访问异常事件，保护数据资产的安全，并提高整体的安全防护能力，具体方法和流程如下：

　　[1] 告警触发：当监控系统检测到异常行为时，触发预定义的告警;

　　[2] 初步评估：对告警进行初步评估，判断是否为误报或需要进一步调查;

　　[3] 响应行动：根据评估结果，执行相应的响应行动，如阻断访问、用户隔离、系统隔离、进一步调查等;

　　[4] 记录和审计：记录所有告警和响应行动， 以便于事后审计和分析;

　　[5] 反馈循环：根据响应结果和审计反馈，调整监控规则和响应策略，以提高监控系统的有效性。

　　T/CAGX 003—2026

　　图 3 异常响应方法和流程

　　6.10 数据访问异常监控系统的安全与可靠性

　　在自身的安全与可靠性方面需满足如下要求：

　　[1] 系统自身应遵循等级保护要求，具备访问控制、 日志审计、防篡改等安全机制。

　　[2] 应进行定期漏洞扫描、安全评估，并具备入侵检测能力。

　　[3] 系统应具备高可用性架构，支持灾备与容灾设计。

　　[4] 监控系统需可持续优化，支持规则调整与模型更新机制。

　　7 权限管控和异常监控管理

　　7.1 建立权限管控和异常监控组织保障

　　T/CAGX 003—2026

　　权限管控和异常监控工作的开展需要有组织保障，应明确：

　　[1] 应明确权限管控和异常监控的决策机构和最高责任人。决策机构负统筹和决策职责，决策权限管控和异常监控工作的目标、内容、标准规范等。决策机构的最高责任人对权限管控和异常监控工作负全面领导责任;

　　[2] 应明确权限管控和异常监控的牵头部门。牵头部门负责牵头推动权限管控和异常监控工作的开展，牵头部门负责按照决策机构议定的工作目标和要求开展权限配置和规则配置工作，牵头制定企业权限管控和异常监控管理办法、制度、流程、标准规范，协调解决工作中的问题，牵头进行权限管控和异常监控工作的评价;

　　[3] 应明确权限管控和异常监控的实施部门，实施部门负责权限配置、规则配置的具体实施工作，具体包括：按照牵头部门制定的制度、流程、规范等梳理本部门的数据资源和规则要求，并提交给牵头部门。

　　7.2 建立权限管控和异常监控制度保障

　　权限管控和异常监控工作的开展需要有制度保障，应明确：

　　[1] 权限管控和异常监控的总体要求;

　　[2] 权限管控和异常监控的相关制度、规范、标准、工作流程等的制定、发布、维护和更新的机制以及评审和修订周期;

　　[3] 权限管控和异常监控管理相关绩效考评和评价机制;

　　[4] 数据权限管控及数据异常监控规则的确立、审核、修订周期和原则;

　　[5] 权限管控和异常监控保护的总体原则和目标;

　　[6] 操作人员的操作规程。

　　T/CAGX 003—2026

　　参 考 文 献

　　[1] 《中华人民共和国数据安全法》

　　[2] GB/T 22239 信息安全技术信息系统安全等级保护基本要求

　　[3] GB/T 35294 信息安全技术大数据服务安全能力要求

　　[4] GB/T 37988 信息安全技术数据处境安全评估指南

　　[5] 国家能源局.关于加强电力行业网络与信息安全保障工作的指导意见.2020.

　　[6] 中国电力企业联合会.电力行业信息系统网络安全防护规范(试行).2022.

　　[7] 工业和信息化部.工业控制系统信息安全防护指南[Z].2019.