纵向加密装置等保测评一般检查哪些项？

等保2.0（GB/T 22239-2019）对电力监控系统的安全通信网络与安全区域边界提出了明确测评要求。针对纵向加密装置，测评机构通常重点检查以下五项内容：

1. 是否存在明文通道绕行：测评人员会扫描站端网络拓扑，核查所有通往调度主站的业务流量是否全部经过纵向加密装置，是否存在绕过加密装置的明文通道（如备用拨号链路、运维调试口未关闭等）。这是等保测评的"一票否决"项。

2. 证书合法性与有效期：检查纵向加密装置使用的数字证书是否由电力调度CA签发，证书链是否完整可信，证书是否在有效期内（通常为3年），是否存在自签名证书或过期证书仍在使用的情况。

3. ACL策略是否为白名单最小化：核查访问控制策略是否采用"默认拒绝、显式允许"的白名单模式，策略条目是否精确到具体IP地址与端口，是否存在过于宽泛的通配规则（如0.0.0.0/0）。

4. 审计日志完整性：要求提供近6个月的完整审计日志，检查日志是否覆盖隧道建立/拆除、证书验证失败、违规访问、管理员登录与配置变更等关键事件，日志是否具备防篡改机制（如只读存储、数字签名）。

5. 管理员口令与权限管理：检查是否存在默认口令、弱口令，管理员口令是否每90天强制更换，是否启用双因素认证，是否存在共享账号现象。测评时通常会使用口令字典进行弱口令扫描。

此外，测评人员还会现场演示隧道建立过程（验证双向证书认证是否正常）、加密策略配置界面（验证国密算法是否启用）以及双机热备切换（验证主备冗余有效性）。建议运维团队在正式测评前30天完成自查整改，并准备完整的设备台账、证书清单与策略文档。