CISP物理安全.ppt

物理安全 中国信息安全测评中心 引言 “城堡通常建在战略位置上并以高墙包围” 问题 哪里是战略位置? 高墙有多高? 堡垒怎么部署? 谁来保卫出口? 升降吊桥有什么规矩？ 遭遇火灾或掠夺怎么办？ 物理安全领域探讨的问题 物理安全概念 什么是物理安全 “物理”：Physical, 身体的、物质的、自然的 身体的：人身安全是物理安全首要考虑的问题，因为人也是信息系统的一部分 物质的：承载信息的物质，包括信息存储、处理、传输和显示的设施和设备 自然的：自然环境的保障，如温度、湿度、电力、灾害等 物理安全概念 计算机安全 与攻击者、骇客和黑客有关 是物理安全 与入侵者、蓄意破坏者和窃贼有关 考虑的是一个人如何能够物理上进入一个计算机环境、计算机环境如何影响系统 物理安全领域提供了从外围到内部办公环境，包括所有信息系统资源的防护技巧。 作为一名合格的CISP, 应当： 能够描述与企业内敏感信息资产物理防护相关的威胁、脆弱性和抵抗措施； 能够识别与设施、数据、媒介、设备、支持系统相关的物理安全风险。 主要内容 物理安全威胁 物理安全需求计划 物理安全控制 物理安全威胁 物理安全的威胁 自然威胁（如：地震、洪水、风暴、龙卷风等） 设施系统（如：通信中断、电力中断） 人为/政治事件（如：纵火、爆炸、蓄意破坏、盗窃、恐怖袭击、暴动） 通信中断 2009年08月19日受海缆断裂影响，中国至美国、欧洲等方向的通信大面积瘫痪 。 中国联通和中国电信方面采取租用其他海缆线路的应急预案，使得国际通信部分得到恢复 网民:通信中断让人抓狂 911事件 恐怖袭击 破坏信息数据 几乎所有没有进行远程备份的企业都蒙受巨大数据损失 倒闭 地震 大火 2009年2月央视北配楼大火 起火原因 烟花燃放 失控原因 大量建筑材料成为助燃，如玻璃幕墙 云梯车 无法到达起火层 蓄意破坏 2009年11月29日印度西南卡纳塔克邦的核电站 发生放射性元素污染事故，致使大约50名工人毒 “显然为恶意行径” 某人“故意”将重水倒入供核电站员工饮用的冷却水系统中 间谍案件 拨号打印机 使馆桌椅内嵌监听器 碎纸机扫描功能 医疗设备 暗藏玄机的石头 奥运大厦 2008年奥运期间 法轮功分子乘班车进入广场散发传单 机房事件 2008北京奥运前好运测试赛 出现过机房透水现象； 主机房4台空调中有3台因故障而停止运行，机房温度过高导致网络设备不能正常工作； 利用ATM机盗取银行卡资金 安装特殊装置盗取银行卡信息。 安装摄像头、假键盘、录音机等特殊装置 利用测录机等设备盗取客户磁卡上的磁道信息 制造吞卡、不出钞等假相。 在ATM机旁粘贴假冒的“客户服务投诉热线”，引诱持卡人向所谓的“银行员工”或“公安人员”透露卡号、密码等安全信息，或直接把资金转移到其指定的账户上。 目前不法分子的诈骗手段又有升级，出现了将真实银行客户服务电话号码嵌入小灵通号码，伪装银行客户服务热线的新手法，较之早前的手法更具隐蔽性和欺骗性。 张贴虚假告示。 冒充ATM管理单位，在ATM机上张贴紧急通知或公告（如“银行系统升级”、“银行程序调试”等），要求持卡人将自己银行卡的资金通过ATM转帐到指定账户上，盗取持卡人存款。 4、分散持卡人注意力，对卡片进行掉包 某银行 服务器硬盘损坏 交给厂商修复 涉及信息泄露 收到严厉处罚 常见物理安全问题 笔记本电脑或移动存储设备丢失 重要文件或密码写在纸上放在办公桌上 外来人员（特别是服务厂商）到处溜达没人过问 数据备份磁盘未放置在保密柜中 …… 物理安全需求规划 物理安全需求规划 物理安全需求规划是在信息系统开发建设的早期阶段明确对物理安全控制措施的需求，包括： 选择安全的物理地点 设计物理安全防范措施 选择建筑地点时应该考虑的因素 可见性 周围地形 建筑的标志和标记 相邻建筑物的类型 周围地区和外界条件 犯罪率 与警察、医疗和消防机构的接近程度 周围区域可能带来的危险 可接近性 道路接近 交通拥挤情况 与机场、火车站和高速公路的接近程度 自然灾害 发生火灾、龙卷风、地震或飓风的可能性 有危害的地形（泥石流、山上的落石、过多的降雨或降雪） 佛山南海作为数据中心的优势 信息化优势 区位及交通优势 环境配套优势 人力资源优势 生态环境优势 经济基础优势 成本优势 南海-信息化优势 国家信息化试点城市 信息化基础设施完善 国际互联网出口总带宽达170Gbps，可满足不同速度的网络接入需要 提供不同运营商的线路备份，充分保障了网络的安全与稳定。 数据中心落户单位 富士通数据中心 国家税务总局数据中心、 汇丰(佛山)环球营运中心 日商电子(科技)广东有限公司 南海-区位及交通优势 金融高新区位于广佛黄金节点，是广州和佛山的连接枢纽 佛山跟广州距离在一小时