等级保护测评物理安全.docx
《等级保护测评物理安全.docx》由会员分享，可在线阅读，更多相关《等级保护测评物理安全.docx（17页珍藏版）》请在冰豆网上搜索。
等级保护测评物理安全
一．物理安全测评指导书
1.物理安全测评
序号
测评指标
测评项
检查方法
预期结果
备注说明
1
物理位置的选择
a）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑。
1）应检查机房和办公场地的设计/验收文档，查看是否具有机房场地的选址备注说明，查看是否备注说明机房和办公场地所在的建筑具有防震、防风和防雨等能力。
1）具有建筑物抗震设防审批文档。
2）机房具有防风、防雨能力。
2）应检查机房和办公场地所在的建筑物，查看其是否具有防震、防风和防雨等能力的基本条件。
b）机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。
1）应检查机房场地是否避免在建筑物的高层或地下室，以及用水设备的下层或隔壁。
1）机房场地不在用水区域的垂直下方。
2
物理访问控制
a）机房出入口应有专人值守，控制、鉴别和记录进入的人员。
1）应检查是否具有对进入机房人员的身份鉴别措施，如戴有可见的身份辨别标识。
1）机房所有开放的出入口有专人值守。
2）能够识别进出人员身份。
3）具有来访人员进入机房的登记记录。
2）应检查机房所有开放的出入口是否具有专人值守，进入机房的人员登记记录。
b）需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动围。
1）应检查机房安全管理制度，查看其是否具有关于外来人员出入机房方面的规定，如需要审批和专人陪同等。
1）具有机房安全管理制度。
2）制度明确了人员进出机房审批流程。
3）具有来访人员进入机房的申请、审批记录。
4）申请、审批记录包括来访人员的访问围。
5）通过监控系统或有人陪同的方式对进入机房的来访人员行为进行限制和监控。
2）应检查是否具有来访人员进入机房的审批记录，进入机房是否具有人员陪同。
c）应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域。
1）应访谈物理安全负责人，如果业务或安全管理需要，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求。
1）机房合理划分区域。
2）在机房重要区域前设置交付或安装等过渡区域。
3）在不同机房间和同一机房不同区域间设置了有效的物理隔离装置。
2）应检查机房区域划分是否合理，是否在机房重要区域前设置交付或安装等过渡区域。
是否对同一机房的不同区域之间设置有效的物理隔离装置（如隔墙等）。
d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。
1）应检查是否具有电子门禁系统，是否正常工作（不考虑断电后的工作情况），是否能够鉴别和记录进入人员身份。
1）重要区域配置电子门禁系统。
2）电子门禁系统有验收文档或产品安全认证资质。
3）4）通过电子门禁系统记录能够鉴别和记录进入人员的身份。
5）电子门禁系统有运行记录、定期检查和维护记录。
2）应检查重要区域配置的电子门禁系统是否有验收文档或产品安全认证资质。
3）应检查是否有电子门禁系统运行和维护记录。
3
防盗窃和防破坏
a）应将主要设备放置在机房。
1）应检查主要设备是否都放置在机房。
1）主要设备放置在机房。
b）应将设备或主要部件进行固定，并设置明显的不易除去的标记。
1）应检查设备或设备主要部件的固定情况，是否不易被移动或被搬走，是否设置明显的不易除去的标记。
1）主要设备或设备的主要部件已固定在机架上，并设置明显的不易除去的标记。
c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。
1）应检查通信线缆铺设是否在隐蔽处（如铺设在地下或管道中等）。
1）通信线缆铺设在不易被发现的地方。
d）应对介质分类标识，存储在介质库或档案室中。
1）应访谈资产管理员，是否对介质进行了分类标识，是否存放在介质库或档案室中。
1）介质有分类标识。
2）介质分类存放在介质库或档案室。
2）应检查介质的管理情况，查看介质是否具有正确的分类标识，是否存放在介质库或档案室中，并且进行分类存放（满足磁介质、纸介质等存放要求）
e）应利用光、电等技术设置机房的防盗报警系统。
1）应检查机房是否具有防盗报警设施，查看其是否正常运行。
1）机房安装防盗报警设施
2）防盗报警设施正常运行。
3）具有机房防盗报警设施的安全资质材料、安装测试和验收报告
4）具有防盗报警设施的运行记录、定期检查和维护记录。
2）应检查是否有机房防盗报警设施的安全资质材料、安装测试和验收报告。
3）应检查机房防盗报警系统是否有运行记录、定期检查和维护记录。
f）应对机房设置监控报警系统。
1）应检查机房是否具有摄像、传感等监控报警系统，查看其是否正常运行。
1）机房安装摄像、传感等监控报警系统。
2）监控报警系统正常运行。
3）具有机房监控报警设施的安全资质材料、安装测试和验收报告。
4）具有监控报警系统的监控记录、定期检查和维护记录。
2）应检查是否有机房监控报警设施的安全资质材料、安装测试和验收报告。
3）应检查机房监控报警系统是否有运行记录、定期检查和维护记录。
4
防雷击
a）机房建筑应设置避雷装置。
1）应访谈物理安全负责人，询问为防止雷击事件导致重要设备被破坏采取了哪些防护措施，机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测。
1）机房所在建筑物设置避雷装置。
b）应设置防雷保安器，防止感应雷。
1）应检查是否在电源和信号线上增加有资质的防雷保安器，以避免感应雷击。
1）机房安装防止感应雷的防雷装置。
2）具有防雷检测资质的检测部门对防雷装置的检测报告。
2）应检查是否具有相关防雷检测部门的检测报告。
c）机房应设置交流电源地线。
1）应访谈物理安全负责人，询问机房计算机系统接地是否设置了交流电源地线。
1）设置了交流电源地线。
2）防雷验收文档中有设置交流电源地线的备注说明。
2）应检查机房设计/验收文档，查看是否具有地线连接要求的描述，是否与实际情况一致。
5
防火
a）机房应设置火灾自动消防系统，自动检测火情、自动报警，并自动灭火。
1）应访谈物理安全负责人，询问机房采取了哪些防火措施，是否设置了灭火设备，是否设置了自动检测火情、自动报警、自动灭火的自动消防系统。
1）机房设置了自动检测火情、自动报警、自动灭火的自动消防系统。
2）自动消防系统是经消防检测部门检测合格的产品。
3）消防产品有效期合格。
4）自动消防系统处于正常运行状态。
5）具有运行记录、定期检查和维护记录。
2）应检查灭火设备摆放位置是否合理，有效期是否合格。
3）应检查机房是否设置了自动检测火情、自动报警、自动灭火的消防系统，查看其是否正常运行。
4）应检查是否具有自动消防系统的运行记录、检查和定期维护记录。
b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。
1）应检查机房设计/验收文档，查看是否备注说明机房及相关的工作房间和辅助房间的建筑材料具有相应的耐火等级。
1）具有机房设计或验收文档。
2）验收文档中描述机房及相关的工作房间和辅助房采用具有耐火等级的建筑材料。
c）机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。
1）应检查机房是否采取区域隔离防火措施，将重要设备与其他设备隔离开。
1）机房重要区域与其他区域之间采取隔离防火措施。
6
防水和防潮
a）水管安装，不得穿过机房屋顶和活动地板下。
1）应访谈物理安全负责人，询问机房是否具有上下水管安装，如果有水管安装是否避免穿过屋顶和活动地板下。
1）机房屋顶和活动地板下未安装水管。
b）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
1）应检查机房是否具有对外开放的窗户，如果有窗户是否采取必要的防雨措施。
在屋顶和墙壁等是否不存在漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁。
1）穿过机房墙壁或楼板的给水排水管道采取防渗漏和防结露等防水保护措施。
2）机房的窗户、屋顶和墙壁等未出现过漏水、渗透和返潮现象。
3）机房的窗户、屋顶和墙壁进行过防水防渗处理。
c）应采取措施防止机房水蒸气结露和地下积水的转移与渗透。
1）应访谈物理安全负责人，询问机房采取哪些防水、防潮措施，是否出现过漏水、渗透和返潮现象，是否配备除湿装置，是否具有人负责机房防水防潮事宜。
1）具有机房空调机和加湿器，并设置了挡水和排水设施。
2）湿度较高地区的机房有除湿装置并能够正常运行。
3）具有定期检查和维护记录
4）具有机房湿度记录。
2）应检查机房是否具有除湿装置并能够正常运行，是否具有防止出现机房地下积水的转移与渗透的措施，是否与机房湿度记录情况一致。
d）应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
1）应检查是否设置水敏感的检测仪表或元件，对机房进行防水检测和报警，查看该仪表或元件是否正常运行。
1）设置对水敏感的检测仪表或元件，对机房进行防水检测和报警。
2）仪表或元件正常运行。
3）具有运行记录、定期检查和维护记录。
2）应检查是否有防水检测装置的运行记录、定期检查和维护记录。
7
防静电
a）主要设备应采用必要的接地防静电措施。
1）访谈物理安全负责人，询问机房是否存在静电问题或因静电引起的故障事件，采取哪些有效防静电措施，主要设备是否采用必要的接地防静电措施
1）主要设备有安全接地构造或其他静电泄放措施。
2）机房设计验收文档中描述了接地防静电措施。
2）检查机房设计/验收文档，查看是否采取了接地防静电措施，描述容与实际情况是否一致。
b）机房应采用防静电地板。
1）应检查机房是否不存在明显的静电现象。
1）机房不存在静电现象。
2）机房采用了防静电地板或敷设防静电地面。
2）应检查机房是否铺设了防静电地板。
8
温湿度控制
a）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的围之。
1）应检查温、湿度自动调节系统是否能够正常运行。
1）机房配备了温湿度自动调节设施，并能够正常运行。
2）具有温湿度自动调节设施的运行记录、定期检查和维护记录。
2）应检查是否具有温湿度自动调节设施的运行记录、定期检查和维护记录。
9
电力供应
a）应在机房供电线路上设置稳压器和过电压防护设备。
1）应访谈物理安全负责人，询问是否出现过电压不稳现象，计算机系统供电线路上是否设置了稳压器和过电压防护设备。
1）机房的计算机系统供电线路上设置了稳压器和过电压防护设备。
2）稳压器和过电压防护设备正常运行。
3）供电电压正常。
2）应检查机房，查看计算机系统供电线路上的稳压器、过电压防护设备是否正常运行，查看供电电压是否正常。
b）应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求。
1）应访谈物理安全负责人，是否设置了短期备用电力供应设备（如UPS），供电时间是否满足系统最低电力供应需求。
1）机房计算机系统配备了短期备用电源设备（UPS）。
2）短期备用电源设备正常运行。
3）具有设备的运行、检查和维护记录。
2）应检查短期备用电力供应设备是否工作正常。
3）应检查是否具有短期备用电力供应设备的运行记录、定期检查和维护记录。
c）应设置冗余或并行的电力电缆线路为计算机系统供电。
1）应访谈物理安全负责人,询问是否安装了冗余或并行的电力电缆线路（如双路供电方式。
1）设置了冗余或并行的供电线路。
d）应建立备用供电系统。
1）应访谈物理安全负责人,是否建立备用供电系统（如备用发电机）。
1）建立了备用供电系统（发电机）。
2）具有备用供电系统运行记录、定期检查和维护记录。
2）应检查是否具有备用供电系统运行记录、定期检查和维护记录。
10
电磁防护
a）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰。
1）应访谈物理安全负责人，询问是否具有防止外界电磁干扰和设备寄生耦合干扰的措施，是否出现过因电磁防护问题引发的安全事件。
1）机房设备安装在机架上或机柜，机架和机柜都有安全接地。
2）应检查机房设备外壳是否具有安全接地。
b）电源线和通信线缆应隔离铺设，避免互相干扰。
1）应检查机房布线，查看是否做到电源线和通信线缆隔离。
1）机房布线做到电源线和通信线缆隔离铺设。
c）应对关键设备和磁介质实施电磁屏蔽。
1）应访谈物理安全负责人，询问是否具有处理或者存储敏感信息的设备或介质，设备是否为低辐射设备，设备与磁介质是否采取了必要的电磁屏蔽措施。
1）磁介质和处理敏感信息的设备存放在具有电磁屏蔽功能的环境中。
2）应检查关键设备与磁介质是否存放在具有电磁屏蔽功能的环境中。
升级会员 