09-物理与环境安全控制程序.docVIP

综述 本公司员工应根据本公司运营需要对信息资产进行保护。本公司的信息资产保护要求通过完成以下目标来实现： 确保所有信息资产的物理和环境保护能得到本公司的有效控制。 减少擅自访问或损坏或影响本公司控制的信息资产的风险。 防止本公司控制的信息资产被人擅自删除或移动。 安全控制措施包括以下各项： 本公司的场地（各生产车间，市场营销部，技术保障部……）的信息处理设施周围设置实际安全隔离措施，如门禁系统等。 本公司的实际入口安全防范措施。 防护设备避免发生火、水、极端温度/湿度、灰尘和电产生的危害。 设备维护。 清理信息资产。 安全区域 本公司按《人员活动区域管理办法》进行信息安全区域划分。 物理安全边界 所有进入本公司的人员都需经过授权，本公司员工之外的人员进入本公司必须登记换取来宾卡才能进入(得到被访者允许)。 安全区域出入控制措施 物理控制措施 本公司物理控制措施执行《人员活动区域管理办法》。 合同方及第三方 一般来说，非本公司人员必须： 要在主要出入口处填写《外单位人员进入封闭区域审批表》； 在显眼处佩戴本公司发出的来宾卡。 本公司工作人员的控制措施 本公司工作人员都必须在显眼处佩带胸卡； 本公司工作人员调离本公司时，其实际进入权也同时相应取消； 访问申请 任何人如需要申请使用本公司感应卡门禁，申请人必须先填写《员工卡申请（变更）审批表》并获得总经理办公室或其授权代表的批准。 总经理办公室应定期(每三个月)审查访问本公司的人员名单并将进出权限过期或作废的人员从名单上划掉。同时审查门禁系统控制权限分配，确保门禁权限控制正确。 外部和环境威胁的安全防护 危险或易燃材料应在离安全区域安全距离以外的地方存放。大批供应品（例如文具等）不应存放于特殊安全区域内； 恢复设备和备份介质的存放地点应与主场地有一段安全的距离，以避免影响主场地的灾难产生的破坏； 应提供适当的灭火设备，并应放在合适的地点。 交接区安全 本公司应设立交接区，同时： 向本公司发送货物必须预先通知市场营销部或其授权代表； 送货公司名称和交货时间应当在接收货物之前由监督人员确认； 送货公司在进入本公司区域之前要经过工作人员鉴别确认； 技术保障部或其授权代表应安排人员检验货物，以保证没有潜在的危害。 设备安全 设备安置与保护 本公司中应考虑以下控制措施： 设备应进行适当安置，尽量减少不必要的对工作区域的访问； 应把处理敏感数据的信息处理设施放在适当的限制观测的位置，以减少在其使用期间信息被窥视的风险，还应保护储存设施以防止未授权访问； 要求专门保护的部件要予以隔离，以降低所要求的总体保护等级； 应采取控制措施以减小潜在的物理威胁的风险，例如偷窃、火灾、爆炸、烟雾、水（或供水故障）、尘埃、振动、化学影响、电源干扰、通信干扰、电磁辐射和故意破坏； 在信息处理设施附近禁止进食、喝饮料和抽烟； 对于可能对信息处理设施运行状态产生负面影响的环境条件（例如温度和湿度）要予以监视； 所有建筑物都应采用避雷保护，所有进入的电源和通信线路都应装配雷电保护过滤器； 应保护处理敏感信息的设备，以减少信息泄露的风险；极其重要设备应部署在不同位置。 支持性设施 应有足够的支持性设施（例如电、供水、排污、加热/通风和空调）来支持系统。支持性设施应定期检查并适当的测试以确保他们的功能，减少由于他们的故障或失效带来的风险。应按照设备制造商的说明提供合适的供电。 对支持关键业务操作的设备，推荐使用支持有序关机或连续运行的不间断电源（UPS）。电源应急计划要包括UPS 故障时要采取的措施。如果电源故障延长，而处理要继续进行，则要考虑备份发电机。应提供足够的燃料供给，以确保在延长的时间内发电机可以进行工作。 应急电源开关应位于设备房间应急出口附近，以便紧急情况时快速切断电源。万一主电源出现故障时要提供应急照明。 要有稳定足够的供水以支持空调、加湿设备和灭火系统（当使用时），供水系统的故障可能破坏设备或阻止有效的灭火。如果需要还应有告警系统来指示水压的降低。 连接到公共提供商的通信设备应至少有两条不同线路以防止在一条连接路径发生故障时语音服务失效。要有足够的语音服务以满足地方法规对于应急通信的要求。 实现连续供电的选项包括多路供电，以避免供电的单一故障点。 电缆安全 敷设到本公司内各个区域的其它电缆线的保护方式如下： 进入信息处理设施的电源和通信线路宜在地下，若可能，或提供足够的可替换的保护； 网络布缆要免受未授权窃听或损坏，例如，利用电缆管道或使路由避开公众区域； 为了防止干扰，电源电缆要与通信电缆分开； 使用清晰的可识别的电缆和设备记号，以使处理失误最小化，例如，错误网络电缆的意外配线； 使用文件化配线列表减少失误的可能性； 对于敏感的或关键的系统，更进一步的控制考虑应包括： 在检查点和终接点