数据中心信息安全管理及管控要求
数据中心信息安全管理制度
一、目的和依据为了保障数据中心信息系统的安全稳定运行，确保业务数据的安全性和完整性，根据《中华人民共和国网络安全法》、《信息安全技术信息系统安全等级保护基本要求》等相关法律法规，结合我单位实际情况，制定本制度。
二、适用范围本制度适用于我单位所有数据中心及其相关设施、系统、网络、数据等。
三、组织架构1. 成立数据中心信息安全工作领导小组，负责数据中心信息安全的组织、协调、监督和管理工作。
2. 设立数据中心信息安全管理部门，负责日常信息安全管理工作的组织实施。
四、信息安全管理制度1. 物理安全（1）严格门禁制度，实行24小时值班制度，确保数据中心内部环境安全。
（2）对数据中心内的设备、线路等进行定期检查和维护，确保其正常运行。
（3）禁止非工作人员随意进入数据中心，禁止携带任何未经授权的设备进入。
2. 网络安全（1）建立完善的网络安全防护体系，包括防火墙、入侵检测和防御系统、病毒防护等。
（2）对网络设备进行定期检查和维护，确保其安全稳定运行。
（3）对网络流量进行实时监控，及时发现并处理异常情况。
3. 系统安全（1）采用安全可靠的信息系统，定期进行安全漏洞扫描和修复。
（2）对系统管理员进行权限管理，确保其操作符合安全规范。
（3）对重要业务系统进行数据备份和恢复，确保数据安全。
4. 数据安全（1）对重要数据进行分类、分级管理，确保数据安全。
（2）采用数据加密、脱敏等技术，保护数据在传输、存储、处理过程中的安全。
（3）定期对数据进行备份和恢复，确保数据完整性。
5. 安全培训与意识提升（1）定期对员工进行信息安全培训，提高员工信息安全意识。
（2）开展信息安全竞赛、知识竞赛等活动，增强员工信息安全技能。
6. 应急处理（1）制定信息安全事件应急预案，明确事件处理流程和责任。
（2）定期进行应急演练，提高应对信息安全事件的能力。
五、监督与检查1. 信息安全工作领导小组定期对信息安全管理制度执行情况进行检查。
2. 信息安全管理部门负责对信息安全事件进行调查和处理。
数据中心管理规定
数据中心管理规定标题：数据中心管理规定引言概述：数据中心是企业重要的信息技术基础设施，对数据中心的管理规定是确保数据中心安全、高效运行的关键。
本文将从数据中心管理规定的角度进行详细介绍。
一、物理安全管理规定1.1 硬件设备安全：数据中心内的服务器、网络设备等硬件设备需定期进行巡检，确保设备正常运行，防止硬件故障导致数据丢失。
1.2 门禁控制：数据中心需设置严格的门禁控制措施，只有经过授权的人员才能进入数据中心，确保数据安全。
1.3 火灾防护：数据中心需配备有效的火灾报警系统和灭火设备，定期进行火灾演练，确保在火灾发生时能够及时处置。
二、网络安全管理规定2.1 访问控制：数据中心需建立完善的访问控制机制，对不同权限的用户进行分类管理，避免未经授权的访问。
2.2 数据加密：对数据中心内的重要数据进行加密处理，确保数据传输和存储的安全性。
2.3 安全漏洞管理：定期对数据中心内的系统和软件进行漏洞扫描和修复，防止黑客利用安全漏洞进行攻击。
三、电力管理规定3.1 电力备份：数据中心需配备可靠的电力备份设备，如UPS等，确保在断电情况下数据中心正常运行。
3.2 节能管理：数据中心应采取节能措施，如优化设备布局、采用高效节能设备等，降低能耗成本。
3.3 电力监控：对数据中心的电力消耗进行实时监控和分析，及时发现问题并进行调整。
四、环境管理规定4.1 温湿度控制：数据中心需保持适宜的温度和湿度，避免硬件设备过热或过冷导致故障。
4.2 清洁管理：定期对数据中心进行清洁，防止灰尘和杂物对设备造成影响。
4.3 噪音控制：对数据中心内的噪音进行控制，避免对设备和人员造成影响。
五、监控管理规定5.1 运行监控：对数据中心的运行状态进行实时监控，及时发现异常并进行处理。
5.2 安全监控：对数据中心的安全状态进行监控，及时发现安全隐患并进行处理。
5.3 性能监控：对数据中心的性能进行监控，及时调整资源配置，保证数据中心的高效运行。
数据中心管理规定
数据中心管理规定引言概述：数据中心作为现代企业信息技术基础设施的核心，对于保障数据安全、提高运维效率至关重要。
为了规范数据中心管理，确保数据中心的正常运行和数据的安全性，制定了一系列的管理规定。
本文将从五个方面详细阐述数据中心管理的规定。
一、物理安全管理1.1 门禁控制：数据中心应设立门禁系统，只允许授权人员进入，通过刷卡、指纹、面部识别等方式进行身份验证。
同时，设立访客登记制度，对来访人员进行登记和身份核实。
1.2 视频监控：在数据中心的重要区域设置监控摄像头，实时监控数据中心的活动情况，以及记录可能发生的安全事件。
监控录相应保存一定时间，以备需要时查阅。
1.3 火灾防护：数据中心应配置自动灭火系统，并定期进行检查和维护。
同时，应设置火灾报警设备，确保在火灾发生时能及时报警并采取相应的应急措施。
二、电力管理2.1 电源备份：数据中心应配置UPS（不间断电源）系统，以应对突发停电情况，保障数据中心的持续运行。
此外，还应设立发机电组作为备用电源，以应对长期停电的情况。
2.2 电力监控：对数据中心的电力供应进行实时监控，包括电压、电流、功率等参数的监测。
一旦浮现异常情况，应及时报警并采取相应的修复措施。
2.3 节能措施：数据中心应采用节能设备，如高效的服务器、空调系统等，合理调整设备的使用功率，降低能源消耗。
同时，定期进行能源管理评估，提出改进方案，优化数据中心的能源利用效率。
三、网络安全管理3.1 防火墙设置：在数据中心的网络入口处设置防火墙，对进入数据中心的流量进行过滤和监控，防止未经授权的访问和攻击。
3.2 安全策略：制定合理的安全策略，包括访问控制、密码策略、漏洞修复等，确保数据中心的网络安全。
同时，定期进行安全漏洞扫描和渗透测试，及时修复和预防潜在的安全风险。
3.3 数据备份与恢复：建立完善的数据备份和恢复机制，定期对数据进行备份，并将备份数据存储在安全的地方。
同时，进行数据恢复测试，确保备份数据的可用性和完整性。
数据中心数据安全管理制度
第一章总则第一条为加强数据中心数据安全管理，保障数据安全、完整、可靠，防止数据泄露、篡改和破坏，依据《中华人民共和国数据安全法》、《中华人民共和国网络安全法》等相关法律法规，结合我单位实际情况，制定本制度。
第二条本制度适用于我单位所有数据中心及涉及数据管理的相关部门和人员。
第三条数据中心数据安全管理应遵循以下原则：（一）依法合规：严格遵守国家法律法规，确保数据安全。
（二）安全保密：加强数据保密措施，防止数据泄露。
（三）责任明确：明确数据安全责任，确保责任落实。
（四）技术保障：采用先进技术手段，提高数据安全管理水平。
第二章数据安全管理职责第四条数据中心数据安全管理实行“一把手”负责制，由单位主要负责人全面负责数据安全管理工作。
第五条信息技术部门负责数据安全管理的具体实施，包括：（一）制定和实施数据安全管理制度；（二）负责数据安全的技术防护；（三）组织数据安全培训和演练；（四）监督、检查数据安全管理工作。
第六条各部门及人员应按照职责分工，共同做好数据安全管理工作。
第三章数据安全管理制度第七条数据分类分级管理（一）根据数据的重要程度、敏感程度和影响范围，将数据分为一级、二级、三级、四级四个等级。
（二）对数据进行分类分级，明确数据安全保护措施。
第八条数据访问控制（一）对数据访问进行严格控制，实行身份认证、权限管理。
（二）根据数据安全等级，对数据访问进行分级授权。
第九条数据传输安全（一）采用加密技术，确保数据在传输过程中的安全。
（二）对数据传输进行监控，及时发现异常情况。
第十条数据存储安全（一）对数据进行加密存储，防止数据泄露。
（二）定期对数据存储设备进行安全检查，确保设备安全。
第十一条数据处理安全（一）对数据处理过程进行监控，防止数据篡改和破坏。
（二）采用安全的数据处理技术，确保数据处理安全。
第十二条数据销毁安全（一）对数据销毁进行严格控制，确保数据无法恢复。
（二）对数据销毁过程进行记录，便于追溯。
第四章数据安全监督与考核第十三条信息技术部门定期对数据安全管理工作进行检查，发现问题及时整改。
数据中心管理规定
数据中心管理规定引言概述：数据中心是现代企业重要的信息技术基础设施，为了保证数据中心的正常运行和管理，制定一套合理的数据中心管理规定是必要的。
本文将从五个方面详细阐述数据中心管理规定的内容。
一、物理安全1.1 门禁控制：数据中心应设置门禁系统，只允许授权人员进入，确保数据安全。
1.2 视频监控：数据中心应安装视频监控设备，全天候对机房进行监控，及时发现异常情况。
1.3 火灾防护：数据中心应配备火灾报警系统和自动灭火设备，确保在火灾发生时能及时报警和灭火。
二、网络安全2.1 防火墙设置：数据中心应配置防火墙，对进出数据中心的网络流量进行过滤和监控，防止未经授权的访问。
2.2 安全策略：制定网络安全策略，包括访问控制、数据加密、漏洞管理等，确保数据传输的安全性。
2.3 安全审计：定期进行安全审计，发现和修复网络安全漏洞，保障数据中心的安全性和可靠性。
三、机房环境管理3.1 温湿度控制：数据中心应配备温湿度监测设备，并定期进行环境检测，保证机房环境适宜。
3.2 UPS备份电源：数据中心应配备UPS备份电源，以应对突发停电情况，保证数据中心的持续运行。
3.3 机房布线管理：合理规划机房布线，确保网络设备的连接可靠性和可维护性。
四、数据备份与恢复4.1 定期备份：制定数据备份策略，定期对数据进行备份，确保数据的安全性和可恢复性。
4.2 备份存储：备份数据应存储在安全可靠的介质中，如磁带库或者云存储，以防止数据丢失或者损坏。
4.3 恢复测试：定期进行数据恢复测试，验证备份数据的完整性和可用性，确保在灾难发生时能够及时恢复数据。
五、监控与维护5.1 远程监控：数据中心应配备远程监控系统，实时监测设备运行状态，及时发现故障并采取措施解决。
5.2 定期维护：定期对设备进行维护和保养，包括硬件设备的清洁、软件系统的升级等，确保设备的稳定性和性能。
5.3 故障处理：建立故障处理流程，及时响应和处理设备故障，减少故障对数据中心正常运行的影响。
数据中心管理规定
数据中心管理规定一、引言数据中心作为企业重要的信息技术基础设施，承担着存储、处理和传输大量数据的重要职责。
为了确保数据中心的安全、稳定和高效运行，制定本规定，明确数据中心管理的标准和要求。
二、数据中心管理责任1. 数据中心管理者应明确管理责任，并建立相应的管理团队，确保数据中心的正常运行。
2. 数据中心管理者应制定数据中心管理制度和流程，并定期进行评估和更新。
3. 数据中心管理者应建立完善的安全措施，保护数据中心的物理和网络安全。
三、数据中心设备管理1. 数据中心管理者应建立设备清单，并定期检查设备的运行状态和维护情况。
2. 数据中心管理者应制定设备维护计划，定期进行设备维护和保养。
3. 数据中心管理者应建立设备故障处理流程，及时处理设备故障，保证数据中心的稳定运行。
四、数据中心网络管理1. 数据中心管理者应建立网络拓扑图，并定期检查网络设备的运行状态。
2. 数据中心管理者应制定网络安全策略，保护数据中心网络的安全性。
3. 数据中心管理者应建立网络监控系统，及时发现和解决网络问题。
五、数据中心安全管理1. 数据中心管理者应建立严格的门禁制度，控制人员进出数据中心。
2. 数据中心管理者应建立视频监控系统，监控数据中心的安全状况。
3. 数据中心管理者应制定数据备份和恢复计划，确保数据的安全性和可靠性。
六、数据中心灾备管理1. 数据中心管理者应制定灾备计划，确保数据中心在灾难事件中能够快速恢复。
2. 数据中心管理者应建立灾备设施，包括备用电源、备用机房等。
3. 数据中心管理者应定期进行灾备演练，提高应急响应能力。
七、数据中心监督和评估1. 数据中心管理者应接受上级部门的监督和检查，及时整改存在的问题。
2. 数据中心管理者应定期进行自查和评估，发现问题及时解决。
八、数据中心管理培训1. 数据中心管理者应组织数据中心管理人员进行培训，提升管理水平。
2. 数据中心管理者应定期组织应急演练和培训，提高应对突发事件的能力。
数据、资料和信息的安全管理制度(4篇)
数据、资料和信息的安全管理制度是组织或企业在处理和处理数据、资料和信息过程中所遵循的一系列规定和程序，以确保其机密性、完整性和可用性。
1. 引言数据、资料和信息的安全是现代组织和企业不可或缺的重要组成部分。
随着信息技术的迅猛发展，数据和信息的泄露、篡改和丢失带来的威胁也日益增加。
因此，制定一个有效的安全管理制度对于保护数据的安全具有重要意义。
2. 目标和原则安全管理制度的目标是确保数据、资料和信息的机密性、完整性和可用性。
其原则包括：- 风险评估和管理：对数据、资料和信息的安全风险进行评估和管理，包括风险识别、风险分析和风险控制等。
- 安全责任：明确组织和个人在数据、资料和信息安全中的责任和义务。
- 安全培训和意识：提供必要的培训和意识，使所有员工都能了解数据、资料和信息安全的重要性，并采取适当的预防措施。
- 安全控制措施：制定和实施有效的安全控制措施，包括物理控制、逻辑控制和组织控制等，以最大限度地减少风险。
- 安全审计和监控：定期进行安全审计和监控，确保安全策略和控制措施的有效性。
- 响应和恢复：建立应急响应和恢复机制，对数据、资料和信息的安全事件进行及时处理和恢复。
3. 组织结构和责任安全管理制度应明确组织结构和责任，包括安全管理部门的设置和人员配备，以及各级管理人员和员工的安全责任和义务。
4. 安全培训和意识安全管理制度应包含培训计划和意识活动，以提高员工的安全意识和技能。
培训内容包括数据、资料和信息的安全政策、安全操作规程和安全工具的使用方法等。
5. 安全策略和控制措施安全管理制度应明确安全策略和控制措施，以保护数据、资料和信息的机密性、完整性和可用性。
包括但不限于以下方面：- 物理控制措施：如门禁系统、视频监控和安全存储设备等，以保护数据和设备的物理安全。
- 逻辑控制措施：如访问控制、加密技术和防火墙等，以确保数据在传输和存储过程中的安全。
- 组织控制措施：如安全策略、安全管理流程和安全评估等，以确保组织和员工在数据、资料和信息安全中的合规性。
大型数据中心信息安全管理制度
第一章总则第一条为确保大型数据中心的信息安全，防止信息泄露、篡改、破坏，保障国家利益、公共利益和用户合法权益，根据《中华人民共和国网络安全法》等相关法律法规，结合我单位实际情况，制定本制度。
第二条本制度适用于我单位所有大型数据中心及其相关业务，包括但不限于服务器、存储设备、网络设备、应用程序等。
第三条大型数据中心信息安全工作遵循以下原则：（一）安全第一，预防为主；（二）分级保护，重点突出；（三）责任明确，协同共治；（四）持续改进，动态调整。
第二章信息安全组织与职责第四条成立大型数据中心信息安全领导小组，负责制定、实施和监督信息安全管理制度，协调解决信息安全工作中的重大问题。
第五条信息安全领导小组下设信息安全办公室，负责具体实施信息安全管理工作。
第六条各部门、各单位应明确信息安全责任人，负责本部门、本单位的信息安全工作。
第三章信息安全管理制度第七条物理安全（一）严格门禁管理，实行实名制登记，确保只有授权人员进入数据中心；（二）安装视频监控系统，对重要区域进行24小时监控；（三）设立入侵报警系统，对异常情况进行实时报警；（四）加强数据中心消防设施建设，定期进行消防演练。
第八条网络安全（一）采用防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等网络安全设备，对网络进行实时监控和保护；（二）对网络设备进行定期维护和升级，确保网络设备安全稳定运行；（三）加强无线网络安全管理，防止无线网络被非法接入；（四）定期进行网络安全漏洞扫描和修复，提高网络安全防护能力。
第九条系统安全（一）对操作系统、数据库、应用程序等进行定期安全更新和补丁管理；（二）对重要系统进行安全加固，提高系统安全性；（三）实行严格的用户权限管理，确保用户权限与职责相匹配；（四）定期进行系统安全审计，发现并处理安全隐患。
第十条数据安全（一）对存储在数据中心的数据进行分类，明确数据安全等级；（二）采用数据加密技术，确保数据在传输和存储过程中的安全；（三）建立数据备份和恢复机制，确保数据在发生故障时能够及时恢复；（四）对重要数据进行定期审计，确保数据完整性和一致性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
——方案计划参考范本——数据中心信息安全管理及管控要求______年______月______日____________________部门随着在世界范围内，信息化水平的不断发展，数据中心的信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。
英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织（ISO）也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。
目前，在信息安全管理方面，英国标准ISO27000：20xx已经成为世界上应用最广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。
ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。
19xx年英国公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以作为一个正式认证方案的根据。
ISO27000-1与ISO27000-2经过修订于19xx年重新予以发布，19xx版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。
20xx年12月，ISO27000-1：19xx《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准ISO/IEC17799-1：20xx《信息技术-信息安全管理实施细则》。
20xx年9月5日，ISO27000-2：20xx草案经过广泛的讨论之后，终于发布成为正式标准，同时ISO27000-2：19xx被废止。
现在，ISO27000：20xx标准已得到了很多国家的认可，是国际上具有代表性的信息安全管理体系标准。
许多国家的政府机构、银行、证券、保险公司、电信运营商、网络公司及许多跨国公司已采用了此标准对信息安全进行系统的管理，数据中心（IDC）应逐步建立并完善标准化的信息安全管理体系。
一、数据中心信息安全管理总体要求1、信息安全管理架构与人员能力要求1.1信息安全管理架构IDC在当前管理组织架构基础上，建立信息安全管理委员会，涵盖信息安全管理、应急响应、审计、技术实施等不同职责，并保证职责清晰与分离，并形成文件。
1.2人员能力具备标准化信息安全管理体系内部审核员、CISP （CertifiedInformationSecurityProfessional，国家注册信息安全专家）等相关资质人员。
5星级IDC至少应具备一名合格的标准化信息安全管理内部审核员、一名标准化主任审核员。
4星级IDC至少应至少具备一名合格的标准化信息安全管理内部审核员2、信息安全管理体系文件要求，根据IDC业务目标与当前实际情况，建立完善而分层次的IDC信息安全管理体系及相应的文档，包含但不限于如下方面：2.1信息安全管理体系方针文件包括IDC信息安全管理体系的范围，信息安全的目标框架、信息安全工作的总方向和原则，并考虑IDC业务需求、国家法律法规的要求、客户以及合同要求。
2.2风险评估内容包括如下流程：识别IDC业务范围内的信息资产及其责任人；识别资产所面临的威胁；识别可能被威胁利用的脆弱点；识别资产保密性、完整性和可用性的丧失对IDC业务造成的影响；评估由主要威胁和脆弱点导致的IDC业务安全破坏的现实可能性、对资产的影响和当前所实施的控制措施；对风险进行评级。
2.3风险处理内容包括：与IDC管理层确定接受风险的准则，确定可接受的风险级别等；建立可续的风险处理策略：采用适当的控制措施、接受风险、避免风险或转移风险；控制目标和控制措施的选择和实施，需满足风险评估和风险处理过程中所识别的安全要求，并在满足法律法规、客户和合同要求的基础上达到最佳成本效益。
2.4文件与记录控制明确文件制定、发布、批准、评审、更新的流程；确保文件的更改和现行修订状态的标识、版本控制、识别、访问控制有完善的流程；并对文件资料的传输、贮存和最终销毁明确做出规范。
记录控制内容包括：保留信息安全管理体系运行过程执行的记录和所有发生的与信息安全有关的重大安全事件的记录；记录的标识、贮存、保护、检索、保存期限和处置所需的控制措施应形成文件并实施。
2.5内部审核IDC按照计划的时间间隔进行内部ISMS审核，以确定IDC的信息安全管理的控制目标、控制措施、过程和程序符标准化标准和相关法律法规的要求并得到有效地实施和保持。
五星级IDC应至少每年1次对信息安全管理进行内部审核。
四星级IDC应至少每年1次对信息安全管理进行内部审核。
2.6纠正与预防措施IDC建立流程，以消除与信息安全管理要求不符合的原因及潜在原因，以防止其发生，并形成文件的纠正措施与预防措施程序无2.7控制措施有效性的测量定义如何测量所选控制措施的有效性；规定如何使用这些测量措施，对控制措施的有效性进行测量（或评估）。
2.8管理评审IDC管理层按计划的时间间隔评审内部信息安全管理体系，以确保其持续的适宜性、充分性和有效性，最终符合IDC业务要求。
五星级IDC管理层应至少每年1次对IDC的信息安全管理体系进行评审四星级IDC管理层应至少每年1次对IDC的信息安全管理体系进行评审。
2.9适用性声明适用性声明必须至少包括以下3项内容：IDC所选择的控制目标和控制措施，及其选择的理由；当前IDC实施的控制目标和控制措施；标准化附录A中任何控制目标和控制措施的删减，以及删减的正当性理由。
2.10业务连续性过业务影响分析，确定IDC业务中哪些是关键的业务进程，分出紧急先后次序；确定可以导致业务中断的主要灾难和安全失效、确定它们的影响程度和恢复时间；进行业务影响分析，确定恢复业务所需要的资源和成本，决定对哪些项目制作业务连续性计划（BCP）/灾难恢复计划（DRP）。
2.11其它相关程序另外，还应建立包括物理与环境安全、信息设备管理、新设施管理、业务连续性管理、灾难恢复、人员管理、第三方和外包管理、信息资产管理、工作环境安全管理、介质处理与安全、系统开发与维护、法律符合性管理、文件及材料控制、安全事件处理等相关流程与制度。
二、信息安全管控要求1、安全方针信息安全方针文件与评审建立IDC信息安全方针文件需得到管理层批准、发布并传达给所有员工和外部相关方。
至少每年一次或当重大变化发生时进行信息安全方针评审。
2、信息安全组织2.1内部组织2.1.1信息安全协调、职责与授权信息安全管理委员会包含IDC相关的不同部门的代表；所有的信息安全职责有明确成文的规定；对新信息处理设施，要有管理授权过程。
2.1.2保密协议IDC所有员工须签署保密协议，保密内容涵盖IDC内部敏感信息；保密协议条款每年至少评审一次。
2.1.3权威部门与利益相关团体的联系与相关权威部门（包括，公安部门、消防部门和监管部门）建立沟通管道；与安全专家组、专业协会等相关团体进行沟通。
2.1.4独立评审参考“信息安全管理体系要求”第5和第8条关于管理评审、内部审核的要求，进行独立的评审。
审核员不能审核评审自己的工作；评审结果交管理层审阅。
2.2外方管理2.2.1外部第三方的相关风险的识别将外部第三方（设备维护商、服务商、顾问、外包方临时人员、实习学生等）对IDC信息处理设施或信息纳入风险评估过程，考虑内容应包括：需要访问的信息处理设施、访问类型（物理、逻辑、网络）、涉及信息的价值和敏感性，及对业务运行的关键程度、访问控制等相关因素。
建立外部第三方信息安全管理相关管理制度与流程。
2.2.2客户有关的安全问题针对客户信息资产的保护，根据合同以及相关法律、法规要求，进行恰当的保护。
2.2.3处理第三方协议中的安全问题涉及访问、处理、交流（或管理）IDC及IDC客户的信息或信息处理设施的第三方协议，需涵盖所有相关的安全要求。
3.1.1资产清单与责任人IDC对所有信息资产度进行识别，将所有重要资产都进行登记、建立清单文件并加以维护。
IDC中所有信息和信息处理设施相关重要资产需指定责任人。
3.1.2资产使用指定信息与信息处理设施使用相关规则，形成了文件并加以实施。
3.2信息资产分类3.2.1资产分类管理根据信息资产对IDC业务的价值、法律要求、敏感性和关键性进行分类，建立一个信息分类指南。
信息分类指南应涵盖外来的信息资产，尤其是来自客户的信息资产。
3.2.2信息的标记和处理按照IDC所采纳的分类指南建立和实施一组合适的信息标记和处理程序。
4、人力资源安全这里的人员包括IDC雇员、承包方人员和第三方等相关人员。
4.1信息安全角色与职责人员职责说明体现信息安全相关角色和要求。
4.2背景调查人员任职前根据职责要求和岗位对信息安全的要求，采取必要的背景验证。
4.3雇用的条款和条件人员雇佣后，应签署必要的合同，明确雇佣的条件和条款，并包含信息安全相关要求。
4.4信息安全意识、教育和培训入职新员工培训应包含IDC信息安全相关内容。
至少每年一次对人员进行信息安全意识培训。
4.5安全违纪处理针对安全违规的人员，建立正式的纪律处理程序。
4.6雇佣的终止与变更IDC应清晰规定和分配雇用终止或雇用变更的职责；雇佣协议终止于变更时，及时收回相关信息资产，并调整或撤销相关访问控制权限。
5、物理与环境安全5.1安全区域5.1.1边界安全与出入口控制根据边界内资产的安全要求和风险评估的结果对IDC物理区域进行分区、分级管理，不同区域边界与出入口需建立卡控制的入口或有人管理的接待台。
入侵检测与报警系统覆盖所有门窗和出入口，并定期检测入侵检测系统的有效性。
机房大楼应有7×24小时的专业保安人员，出入大楼需登记或持有通行卡。
机房安全出口不少于两个，且要保持畅通，不可放置杂物。
5星级IDC：出入记录至少保存6个月，视频监控至少保存1个月。
4星级IDC：出入记录至少保存6个月，视频监控至少保存1个月。
5.1.2IDC机房环境安全记录访问者进入和离开IDC的日期和时间，所有的访问者要需要经过授权。
建立访客控制程序，对服务商等外部人员实现有效管控。
所有员工、服务商人员和第三方人员以及所有访问者进入IDC要佩带某种形式的可视标识，已实现明显的区分。
外部人员进入IDC后，需全程监控。
5.1.3防范外部威胁和环境威胁IDC对火灾、洪水、地震、爆炸、社会动荡和其他形式的自然或人为灾难引起的破坏建立足够的防范控制措施；危险或易燃材料应在远离IDC存放；备份设备和备份介质的存放地点应与IDC超过10公里的距离。