等保物理层面.docVIP

[物理安全]防盗窃和防破坏 要求内容 a) 应将主要设备放置在机房内； b) 应将设备或主要部件进行固定，并设置明显的不易除去的标记； c) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d) 应对介质分类标识，存储在介质库或档案室中； e) 应利用光、电等技术设置机房防盗报警系统； f) 应对机房设置监控报警系统。 二、实施建议 首先需要明确所有信息资产都应根据其重要程度实施物理上的保护措施。 制定完整、统一、唯一、详细的资产分类和标识规定，并应在资产的明显出进行标记；在实施物理保护措施的同时增加监控、报警系统对资产的安全进行辅助管理，如在重要资产存放区域和附近增加红外或感应报警系统。 常见问题 虽然多数单位能够做到对重要资产采取基本的安全保护措施，但对线缆一类的资产则可能忽略采取保护手段，而且大都缺少很好资产分类和标识规定，尤其是经过多次易手的组织资产，经常是没有对资产进行标记，有的甚至出现多种不同的标签。 四、实施难点 对于信息资产的分类和标记方法应当尽量做到与财务或行政部门对固定资产的要求相一致。 五、测评方法 形式 访谈，检查。 对象 物理安全负责人，机房维护人员，资产管理员，设备，介质，通信线缆，机房设施，介质清单和使用记录，通信线路布线文档，运行和报警记录，监控记录，防盗报警系统和监控报警系统的安全资质材料、安装测试/验收报告。 实施 a) 应访谈物理安全负责人，采取了哪些防止设备、介质等丢失的保护措施； b) 应访谈机房维护人员，询问主要设备放置位置是否做到安全可控,设备或主要部件是否进行了固定和标记，通信线缆是否铺设在隐蔽处；是否设置了冗余或并行的通信线路；是否对机房安装的防盗报警系统和监控报警系统进行定期维护检查； c) 应访谈资产管理员，在介质管理中，是否进行了分类标识，是否存放在介质库或档案室中； d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围内；检查主要设备或设备的主要部件的固定情况，是否不易被移动或被搬走，是否设置明显的不易除去的标记；是否有设备物理位置图，是否经常检查设备物理位置的变化； e) 应检查通信线缆铺设是否在隐蔽处（如铺设在地下或管道中等）； f) 应检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或档案室中；是否有异地保存的措施； g) 应检查机房防盗报警设施是否正常运行，并查看运行和报警记录；应检查机房的摄像、传感等监控报警系统是否正常运行，并查看运行记录、监控记录和报警记录； h) 应检查是否有通信线路布线文档，介质清单和使用记录，机房防盗报警设施和监控报警设施的安全资质材料、安装测试/验收报告；查看文档中的条文是否与通信线缆铺设等实际情况一致。 [物理安全]物理访问控制 要求内容 机房出入口应安排专人值守并配置电子门禁系统，控制、鉴别和记录进入的人员； b) 需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围； c) 应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域； d) 重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员。 实施建议 机房进出通过双向电子门禁系统进行控制，可通过门禁电子记录或填写出入记录单的形式记录进出人员和时间，有能力的单位应当增设保安人员在门外值守；机房的内和外部临近入口区域要安装摄像头保证全部范围覆盖，外来人员进入机房应当由专人全程陪同；对于系统较多、机房面积较大的有能力单位应将机房按系统和设备的重要程度划分不同的单独区域进行物理隔离，采用双向电子门禁系统控制，联通各区域间的通道空间便形成机房的过渡缓冲区。 三、常见问题 很多单位的机房仅采用了单向门禁系统，并且对人员进出缺少完整和严格的记录要求；规模较小的机房通常没有安装监控设施。 四、实施难点 增加机房物理访问控制的措施需要较大的资金投入，加之领导对机房安全的重视程度不够，对于众多小企业，对有限的机房空间实施完整的安全访问控制较难实现。 五、测评方法 形式 访谈，检查。 对象 物理安全负责人，机房值守人员，机房，机房设施（电子门禁系统），机房安全管理制度，值守记录，进入机房的登记记录，来访人员进入机房的审批记录，电子门禁系统记录，电子门禁验收文档或安全资质，电子门禁运行维护记录。实施 a) 应访谈物理安全负责人，了解具有哪些控制机房进出的能力； b) 应访谈物理安全负责人，如果业务或安全管理需要，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求；是否严格控制来访人员进入或一般不允许来访人员进入； c) 应访谈机房值守人员，询问是否认真执行有关机房