计算机机房管理安全检查指南.docx

计算机机房管理安全检查指南

检查项1：计算机机房安全管理

基本要求：（1）应制定机房安全工作的总体方针和安全策略，说明安全工作的总体目标、范围、原则和框架等；应建立机房安全管理制度；应建立机房操作规程；应指定或授权专门的部门或人员负责安全管理制度的制定；安全管理制度应具有统一的格式，并进行版本控制；应组织相关人员对制定的安全管理制度进行论证和审定；安全管理制度应通过正式、有效的方式发布并定期评估、更新；安全管理制度应注明发布范围，并对收发文进行登记；有密级的安全管理制度，应注明安全管理制度密级，并按密级管理；（2）应设立负责机房安全管理工作的职能部门，设立安全主管、安全管理等各方面的岗位，并定义各岗位的职责；（3）应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训；应对安全责任和惩戒措施进行书面规定并告知相关人员，对违反安全策略和规定的人员进行惩戒；应对定期安全教育和培训进行书面规定；应对安全教育和培训的情况和结果进行记录并归档保存。

检查方法、步骤：（1）通过座谈和调阅相关资料，了解机房安全工作的总体方针、安全策略、安全组织架构、操作规程、人员职责以及安全管理制度的相关情况；（2）约谈相关人员了解其职责履行、教育培训、安全意识和制度执行情况，判断相关安全工作落实情况；（3）检查安全教育和培训情况的记录。

检查项2：计算机机房集中监控系统

基本要求：（1）应通过值班等制度，确保通信线路、环境监控系统、防盗监控系统等7*24小时有效运行，形成记录并妥善保存。实时监控所获取的内容至少保存3个月,非定时监控所获取的内容至少保存3年；有实时交易服务的数据中心应实行24小时值班，值班人员至少应有2名，并在数据工作区做到双进双出；（2）应组织相关人员定期对监测和报警记录进行分析和评审，审定有无可疑行为，形成分析报告，并采取必要的应对措施；（3）应制定监控系统报警事件处理流程，并对相关人员进行培训。

检查方法、步骤：（1）查看计算机机房监控和值班的记录和日志，检查计算机机房监控和值班的相关制度落实情况；（2）就监测和报警记录分析情况约谈相关人员，判断其做法是否有效；（3）查看监控系统报警事件处理流程是否合理有效，并检查相关人员的执行情况。

检查项3：计算机机房安全区域访问控制

基本要求：（1）关键和敏感的业务信息处理设施应放置在安全区域内，并受到已定义的安全周边、适合的安全屏障和入口控制的保护。这些设施应在物理上避免未授权访问、损坏和干扰；（2）安全区域访问用户和权限的管理应由专门部门执行。对安全区域的访问者应办理进入手续，记录他们进入和离开的时间，并予以监督。只能允许他们访问特定的、已授权的目标，并要向他们宣布关于该区域安全要求和必要的应急规程的说明。访问敏感信息和信息处理设施应受到控制，并且仅限于已授权的人员。鉴别控制(插卡加个人识别号)应当用于授权和确认所有访问。所有访问的审核踪迹应安全地加以维护。要求所有人员佩带某种形式的可视标识，并且要求他们询问无人护送的陌生人和未佩带可视标识的任何人员。对安全区域的访问权限应定期地予以评审和更新；（3）机房应具有独立的出入口。机房出入口应安排专人值守并配置电子门禁系统，控制、鉴别和记录进入的人员；需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员；（4）交付或安装等过渡区域应设计成：在无需交货人员获得进入本建筑物其他部分的情况下就能卸下物资。当内部的门打开时，交接区域的外部门应紧闭。在交付物资从交接区域运到使用地点之前，应检查该物资是否有潜在危险。交付物资应在场地的入口处进行登记。由建筑物外进入交接区仅限于已标识的物资和已授权的人员。

检查方法、步骤：（1）判断计算机机房安全区域的划分、交付或安装等过渡区域设置是否合理，各区域是否有效运作；（2）了解计算机机房访问人员授权的情况，检查有无过期和无效的授权；（3）通过实地检查和查看日志记录，检查安全区域的物理防护和访问控制是否能有效防范非授权物理访问、破坏和干扰；（4）是否根据所运行业务重要性将机柜分类管理；（5）外来设备（如电信设备）与内部设备是否分区放置，以确保安全。

检查项4：计算机机房运行管理

基本要求：（1）运行管理体系架构合理。物理环境/计算机机房管理岗位的设置应科学、规范、合理、全面，与实际管理需求相符合；（2）管理制度全面有效，制度执行到位。管理制度切合实际，覆盖计算机机房运维的各方面，并按工作要求及时调整、完善；（3）岗位职责设置合理，人员职责明确，人员资质和能力胜任相应的岗位；（4）执行相关培训计划；（5）人员的录用、离岗和考核制度执行有力。

检查方