實體安全的威脅.ppt

第三章 實體安全 第三章 實體安全 本章探討實體安全，包含實體安全管理面、環境設計、支援系統，與實體安全技術，涵蓋層面很廣，介紹議題如：冷暖氣與通風系統、火災防護與消防系統、監視系統等，讓讀者了解實體安全各項知識與觀念，進一步增進電腦系統安全。 實體安全的威脅 實體安全管理 環境安全與安全設施 支援系統安全 實體安全技術 3.1 實體安全的威脅 傳統實體安全 ( Physical Security ) 著重機房的安全設施，現代的實體安全需要實體設備與資訊管體整合為一體，才能達成實體安全的任務。 資訊資產 (Information Assets ) 常會遭受破壞，資訊資產面臨的威脅 ( Threats ) 如表3-1 所示，導致損害或系統無法運作，造成企業組織重大損失。資訊資產面臨多項威脅，包含自然災害、人為破壞、支援系統故障、政治事件等。 3.1 實體安全的威脅 企業組織要達成資訊安全需求 ( Security Requirements ) ，需要依照資訊安全三原則 (如圖 3-1)，即所謂 CIA 的目標：機密性 ( Confidentiality )、整體性 ( Integrity )、與可用性 ( Availability )。實體安全也需要達到此目標，為達安全目標，需要從技術面、管理面、與功能面同時著手。 3.1 實體安全的威脅 技術面需從環境安全開始著手，包含諸如：機房位置選定、建築物安全、安全設施的整體設計等方面。甚至支援系統的安全也需要考量，包含：電力系統、溫度冷熱與通風系統、水冷卻幫浦系統、或消防系統皆需要有妥善的規劃與管理。 安全裝置也是重要的防護措施，例如：設置圍籬、圍牆與阻絕設施、鐵門、鐵窗與門鎖安全考量、燈光設備、或警衛設置等，也都是實體安全考量的項目。 3.1 實體安全的威脅 實體安全相關措施與規範，在ISO-17799/CNS-17799規範相關控制措施，包含以下要項： A.6.1 工作說明與資源分配的安全。 A.7 實體與環境安全。 A.8.6 儲存媒體的處理與安全。 A.8.7.2 儲存媒體運送過程之安全。 A.9.3.2 無人看管之資訊設備。 3.2 實體安全管理 對於有價值的資訊資產之保護，以往著重的實體保護主要是在機房設施，如：限制人員進出，使用門鎖或警報器保護設備安全，對於內部設備則確保其不受熱或受潮。 由於網路通訊發達、無線通訊普及，資訊資產儲存量大增與伺服器運算功能快速提昇，電腦能處理大量資訊，服務層面無限延伸，機房設施更顯重要。 依據2003年美國聯邦調查局 ( FBI ) 電腦犯罪與安全研究報告，安全威脅主要來自於內部人員，對內部實體設施侵入並存取資源，盜取有價值資訊資產。 實體安全管理，主管與員工都有責任，都需要參與投入，主管需要盡到管理服務之職責，員工也要確實接受相關教育訓練課程並參與各種演習。對於各項實體安全設施，必須不斷測試其功能並改善其缺失。 3.2.1 管理服務 在管理服務上，組織的安全主管需要建立與增進現有實體安全流程，安全主管需與管理階層定義實體安全流程的目標，設計實體安全流程，與實施實體安全流程，並評估流程，作為循環改進的依據。 實體安全需整合人員、流程、步驟、和設備，要設計合適的安全流程，需要先做資產評估 ( Asset Assessment ) 與風險評估 (Risk Assessment )。實體安全的目標需要針對公司不同資產的需求，設置不同的實體安全流程，並要符合可接受程度的風險。 3.2.2 人員訓練與演習 一般而言，員工已經習慣於常態的工作模式與自己的作業流程，一旦變成千篇一律的作業方式，就容易疏忽安全管理上應該要注意的事項。為了讓員工了解自己的安全責任，導入安全測試或演習是必要的，安全測試或演習的內容由安全主管設計與引導實施。 為避免意外事故發生或降低災害損失，平時就需要成立災害反應小組，指派每人應有的任務，每個人員都要擔任相關救災與救援的部分工作。並且定期或不定期，進行資訊安全演習，以便檢視災害反應小組是否能順利進行相關工作。 以火災而言，火災逃生技能是員工應具備的基本技能，員工平時需要了解逃生路線、防火設備，以及火災發生時每人所應擔任的救災任務。 3.2.3 安全測試與查核清單 安全測試可提供每項設施的脆弱性評估，測試其安全性，以確實辨識各項設備或機制的弱點，進而加以強化其安全性。例如，以門禁系統而言，測試使用假造或變造的卡片、識別證等，是否可以輕易進入機房內部？ 各項安全測試實施完成後，需要撰寫測試報告，將報告送給安全小組進行評估，並找出安全弱點與解決方案。組織的測試人員是需要受管制的，應該僅了解測試知識即可以，否則公司恐有遭到機密外洩的危險。 安全測試後需要建立查核清單，有助於列管與辨識，甚至每半年或一年需要檢討一次