信息系统安全等级保护物理安全方案

第七章 物理安全技术实施 7.1 概述 物理安全由称为实体安全，是整个计算机信息系统安全的基石，其目标是保护计算机设备、通信链路和其它媒体免遭自然灾害、环境事故、人为失误及各种计算机犯罪行为导致的破坏。

从机房建设的角度划分，物理安全建设可分为环境物理安全建设、基本物理设备安全建设和只能设备物理安全建设三个部分。环境物理安全建设是整个信息系统安全建设不可忽视的重要组成部分，旨在加强对地震、水灾和雷电等自然灾害的预防；基本物理设备安全建设指配电柜、UPS电源、机房专用空调和网络设备等机房必须设备的安全建设，保障基本物理设备的安全，已成为信息系统建设的第一道防线；智能设备物理安全建设包括门禁系统、防盗报警系统、机房监控系统、消防报警系统等，随着信息社会的高速发展，智能设备在机房建设中越来越重要，其效果比之前的人工管理也有了很大的提供，故实现机房的智能化管理，已成为现代机房建设的必备元素。

7.2 安全风险 信息系统物理安全风险可分为非人为安全风险和人为安全风险两部分。非人为安全风险指自然灾害、环境影响和设备故障等造成的风险，人为安全风险是指由人员失误或恶意攻击等造成的风险。对物理安全风险的简单描述如表7-1所示。

表7-1 物理安全风险分类表 种 类 描 述 非人为安全风险 自然灾害 鼠蚁虫害、水火灾害、地震、雷击等 环境影响 温度、湿度、灰尘、有害气体、电磁干扰，静电、断电等 设备故障 系统软硬件故障、通信链路中断等 人为安全风险 恶意攻击 物理攻击：设备被盗窃、故意破坏等； 非法使用：采取各种措施，非法访问非授权资源； 服务干扰：恶意占用系统资源，达到降低系统可用性的目的。 人员失误 操作失误：操作人员执行错误操作对系统造成的破坏； 管理失误：因管理不规范而造成信息系统不能正常运行。

7.3 安全目标 物理安全建设是整个信息系统安全建设的第一步，故其完成度和安全性对信息系统安全建设影响很大。为了实现信息系统的可靠运行，物理安全建设应达到以下目标：

(一) 根据不同的安全等级，选择机房建设位置和建筑建设基本要求； (二) 实现不同安全等级的访问控制功能，保护机房的设备及数据安全； (三) 实现不同安全等级的防雷击和防火要求，根据系统级别配置相应的避雷设备和灭火设备； (四) 保护机房设备，防止其被盗窃或者被破坏； (五) 采取相应的措施防止机房进水或者设备漏水，同时加强机房的温湿度控制，加强机房环境管理。 (六) 保障机房电力正常供应，并对主要设备进行防静电和电磁防护措施。

物理安全建设技术要求从物理环境建设技术和人员控制技术两方面来实现，其对各级系统的概括要求如表7-2所示。

表7-2 物理安全控制点 控 制 点 控 制 点 描 述 一级 二级 三级 四级 物理访问控制 从物理安全的角度来对人员的访问进行控制 √ √ √ √

防盗窃和防破坏 对机房实施保护，防止其遭受破坏或被盗窃 √ √ √ √

防雷击 保护机房设备免受雷电等自然灾害的影响 √ √ √ √ 防火 保护机房免受火灾的影响 √ √ √ √ 防水和防潮 机房大部分都是电器产品，故应该进行严格的防水设置 √ √ √ √

温湿度控制 机房正常运行需要一定的温湿度环境，所以进行相应的控制 √ √ √ √

电力供应 为了防止机房供电不稳定的情况下，应进行相应的电力供应 √ √ √ √ 物理位置的选择 机房选择要参照一般建筑物选址规范来进行 √ √ √

防静电 静电会对机房造成不良影响，为了保障机房设备的正常运行，应进行相应的静电防护措施 √ √ √

电磁防护 重要设备和重要区域进行电磁防护 √ √ √

等级保护中各级系统在建设中对控制点的物理技术要求如表7-3所示 控制点 第一级 第二级 第三级 第四级 物理访问控制 机房出入应安排专人负责，控制，鉴别和记录进入的人员 除安排专门人员负责机房的管理和记录外，还应建立一个进入机房的审批流程，建立访问备案记录，并限制其活动范围。 增加区域管理和电子门禁系统 增加区域管理并增加电子门禁系统，并且在重要区域增加第二层电子门禁系统

防盗窃和防破坏 主要设备应房子机房内，并且固定，且要设置明显不易去除的标记 增加标识，在主要的设备上安装防盗报警系统，将通信线缆敷设在隐蔽处 增加机房防盗报警系统和机房监控系统 同第三级 防雷击 机房建筑物应有防雷接地 设置避雷装置和交流电源接地 增加防雷保护器，防止感应雷 同第三级 防火 机房应设置灭火装置 设置灭火设备和火灾报警控制器 增加火灾自动报警和灭火装置，以及区域隔离防火 同第三级

防水和防潮 应对机房内的水管增加必要的防水措施，还应采取措施防止雨水通过窗户，屋顶和墙壁渗漏 水管不得穿过机房屋顶和地板下面，应敷设保温层，防止结露 增加水敏感的检测仪器或原件，进行防水和报警 同第三级 电力供应 应在机房供电线路上加稳压器和过压保护装置，以满足机房在断电情况下正常供电 增加短期的备用电力供应，以满足设备在断电的情况下正常运行

增加关键设备的备用供电系统和冗余电路电线线路 增加备用的供电系统和冗余

的供电系统

温湿度控制 机房应设置必要的温湿度控制设施 机房应设置温、湿度自动调节设施 同第二级 同第三级 物理位置的选择 无要求 机房建筑物应具有防雷、防震、防水、防风等能力 在防震功能外，机房建筑应避免在建筑物的高层或者地同第三级 下室，以及用水设备的下层或隔壁

防静电 无要求 关键设备应采用防静电接地措施 除必要的防静电接地外，还应该使用防静电地板 增加静电消除器，减少静电的产生 7.4 目标措施对应表 表7-4 物理安全目标与对应措施 安全目标 措 施

环境物理安全措施

机房环境安全措施 物理位置选择 符合一般建筑物规范 防火 划分不同区域并进行防火隔离 防雷击 增加避雷设备，交流电源接地 防水和防潮 避免进水、漏水，还应该有漏水监测系统

防静电 接地与屏蔽，应该使用防静电地板，使用经典消除剂 电磁防护 接地、隔离与屏蔽 布线系统 安装地下、线路冗余并打上标识

机房运行安全措施 机房人员日常行为准则 机房日常巡视制度 机房安全保密制度 机房硬件设备维护制度 机房资料管理

基本设备物理安全措施 配电柜应正确部署及维护 UPS电源应正确部署及维护 机房专用空调应正确部署及维护 网络设备的采购、编号、定期检查、借用、报废和日常维护等

职能设备物理安全措施 安装门禁系统 安装防盗报警系统 安装机房监控报警系统 安装消防报警系统

7.5 安全措施 机房建设可分为环境物理安全建设、基本设备物理安全建设、智能设备物理安全建设。其中，环境物理安全建设可分为物理位置的选择、温湿度控制和电磁防护等方面的建设；基本设备物理安全建设即网络设备、电气设备等的基本部署及安全建设；智能设备物理安全建设包括温湿度控制系统、报警系统、监控系统和消防系统等的建设

7.5.1 环境物理安全措施 环境物理安全措施包括机房环境安全措施和机房运行安全措施，这两方面的实施要点如下： 1. 机房环境安全措施 1) 机房物理位置的选择 (一) 机房和办公场所应选择在防震、防水、防风、防雨等能了的建筑内； (二) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 2) 防火 (一) 机房应设置自动灭火装置，能够自动检测火情、自动报警、并自动灭火； (二) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； (三) 机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

从防火的角度出发，可将机房分为脆弱区、危险区和一般要求区3个区域，脆弱区一旦发生火灾，将造成全局性的业务中断，使重要信息遭受严重破坏，极大的威胁机房安全，故这一区域应严格重点进行消防报警管理，出现火灾时应首先对这一区域进行灭火等操作；危险区多存放易燃物质，由于其存放的物质的特殊性，故在进行机房管理时应多加注意，防止出现火情，若出现火情应及时进行扑灭，以免蔓延至脆弱区，造成更大的损失；一般要求区即上述区域外的地方，其消费措施没有特殊的要求，保障安全正常的灭火报警系统即可。

3) 防雷击 (一) 机房建筑应设置避雷装置； (二) 应设置防雷保护器，防止感应雷； (三) 机房应设置交流电源地线。 4) 防水和防潮 1) 水管安装不得穿过机房屋顶和活动地板下； 2) 除空调设备外，机房内其设备一般不得安装水源； 3) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗漏； 4) 应采取措施防止机房内水蒸气结露和地下积水的转移和渗透； 5) 应安装对水敏感的检测仪或元件，对机房进行漏水监测和报警。 6) 防静电 (一) 主要设备采用必要的接地防静电措施； (二) 机房采用防静电地板； (三) 工作人员的衣服和鞋子尽量用不产生静电的衣料制作； (四) 维修人员进行硬件设备的维护特别是电路板的更换时候，最好戴接地手套； (五) 控制机房的湿度，使得机房的相对湿度维持在正常的要求的范围内，不宜偏低； (六) 在静电发生频繁的地方使用静电消除剂。 7) 电磁防护 (一) 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰； (二) 电源线和通信线缆应隔离敷设，避免相互干扰； (三) 应对关键设备和磁介质实施电磁屏蔽。