信息安全 第二章 物理安全
信息安全技术中信息系统的物理安全
信息安全技术中信息系统的物理安全在当今数字化的时代，信息系统成为了各个领域运转的核心。
然而，我们在关注信息系统的软件和网络安全的同时，往往容易忽视一个至关重要的方面——物理安全。
物理安全是信息安全的基石，它涵盖了保护信息系统的设备、设施以及存储介质等免受物理威胁的一系列措施和策略。
想象一下，如果一个公司的服务器机房没有适当的门禁系统，任何人都能随意进入，那其中存储的机密数据将面临巨大的风险。
或者，如果数据中心的电力供应不稳定，频繁出现停电，这不仅会导致业务中断，还可能损坏硬件设备，造成数据丢失。
这些都是物理安全范畴内需要解决的问题。
首先，让我们来谈谈环境安全。
合适的机房选址至关重要。
机房应远离可能发生自然灾害的区域，如洪水区、地震带等。
同时，要避免建在有强电磁场干扰的地方，比如高压电线附近。
机房内部的温度和湿度控制也是关键。
过高的温度可能导致设备过热宕机，而过湿的环境则容易引起设备腐蚀和短路。
因此，安装有效的空调和除湿设备是必不可少的。
防火措施同样不容忽视。
火灾不仅会直接摧毁设备，还可能导致烟雾和水渍对设备造成二次损害。
安装烟雾探测器、自动灭火系统，并确保机房内的线缆具有防火性能，都是防火工作的重要环节。
电力供应的稳定性对于信息系统的正常运行至关重要。
除了接入可靠的市电电网外，还应配备不间断电源（UPS），以在市电中断时能够无缝切换，为设备提供持续的电力支持。
同时，发电机作为备用电源，在停电时间较长的情况下能够保障系统的运行。
物理访问控制是物理安全的另一个重要方面。
只有授权人员能够进入敏感区域，如服务器机房、数据存储室等。
这可以通过门禁系统、生物识别技术（如指纹识别、面部识别）或智能卡等方式实现。
监控摄像头的安装能够实时监控人员的活动，记录进出情况，为安全审查提供依据。
设备的安全防护也不能忽视。
服务器、网络设备等应放置在专门的机柜中，防止未经授权的接触和物理破坏。
对于移动设备，如笔记本电脑、平板电脑等，应设置密码锁，并启用设备追踪和远程擦除功能，以防设备丢失或被盗后数据泄露。
信息系统安全措施细则（三篇）
信息系统安全措施细则信息系统安全措施是确保信息系统的数据和资源安全的重要措施。
本文将介绍一些常见的信息系统安全措施细则。
一、物理安全措施1. 限制物理访问：只有经过授权的人员才能进入存放信息系统的机房或服务器房，并使用身份验证措施如密码、智能卡等。
2. 安全设备安装：安装视频监控、入侵检测系统、门禁系统等物理设备，监控和记录任何未经授权的访问。
3. 管理员监控：对机房进行定期巡检，以确保设备完好无损且无异常情况发生。
二、网络安全措施1. 防火墙设置：设置和配置防火墙以监测和阻止恶意网络流量，保护网络不受未经授权的访问和攻击。
2. 网络隔离：将内部网络与外部网络分隔开来，确保内部网络安全，并限制外部网络对内部网络的访问。
3. 加密通信：使用加密协议和技术，如SSL/TLS，在网络传输中保护敏感数据的机密性和完整性。
4. 网络漏洞扫描：定期对网络进行漏洞扫描，并及时修复或补丁已发现的漏洞。
三、账户安全措施1. 强密码策略：要求用户使用复杂的密码，包括字母、数字和特殊字符，并定期更换密码。
2. 多因素身份验证：使用多因素身份验证，如手机短信验证码、指纹或虹膜扫描等，以提高账户的安全性。
3. 登录失败限制：限制登录失败次数，当登录失败次数达到一定限制时，自动锁定账户。
四、数据安全措施1. 定期备份：定期将系统和数据进行备份，并存储在安全的地方，以防止数据丢失或损坏。
2. 加密存储：对敏感数据进行加密，并存储在加密的存储设备中，防止未经授权的访问。
3. 访问控制：对敏感数据进行访问控制，只有经过授权的人员才能访问和修改这些数据。
五、应用软件安全措施1. 定期更新和维护应用软件：定期更新和维护应用软件，包括操作系统和应用程序，以修复已知的漏洞和安全问题。
2. 安全审计：记录和审计应用软件的用户操作，以及对敏感数据的访问和修改，以便及时发现和应对潜在的安全风险。
3. 安全开发和测试：在应用软件的开发和测试过程中，考虑安全因素，遵循安全最佳实践和安全编码标准。
物理安全体系
5．数据备份计划 数据备份计划分以下几步完成： 第一步：确定数据将受到的安全威胁。完整考察 整个系统所处的物理环境和软件环境，分析可 能出现的破坏数据的因素。 第二步：确定敏感数据。对系统中的数据进行挑 选分类，按重要性和潜在的遭受破坏的可能性 划分等级。
2．数据备份的重要性 计算机中的数据是非常脆弱的，在计算机上存放重要数 据如同大象在薄冰上行走一样不安全。计算机中的数 据每天经受着许许多多不利因素的考验，电脑病毒可 能会感染计算机中的文件，并吞噬掉文件中的数据。 安放计算机的机房，可能因不正确使用电而发生火灾， 也有可能因水龙头漏水导致一片汪洋; 计算机还可能 会遭到恶意电脑黑客的入侵，如在计算机上执行 Format（格式化）命令；计算机中的硬盘由于是半导 体器件还可能被磁化而不能正常使用；计算机还有可 能由于被不太熟悉电脑的人误操作或者用户自己的误 操作而丢失重要数据。所有这些都会导致数据损坏甚 至完全丢失。
（2）增量备份则是指仅对上一次备份以后更新 的数据做备份。此种备份策略的优点是每次需 要备份的数据量小，消耗存储空间小，备份所 需时间短。其缺点首先是备份与恢复的操作都 较为复杂，备份时需要区分哪些数据被修改过， 恢复时首先也需要一次完全备份作为基础，然 后依照一次次的增量备份，逐渐将系统数据恢 复到最后一次备份时的水准。
3．优秀备份系统应满足的原则 不同的应用环境要求不同的解决方案来适应。一 般来说，一个完善的备份系统需要满足以下原 则。 （1）稳定性；（2）全面性；（3）自动化； （4）高性能；（5）操作简单；（6）实时性； （7）容错性
4．数据备份的种类 数据备份按照备份时所备份数据的特点可以分为 3种：完全备份、增量备份和差分备份。 （1）完全备份即对系统中全部需要备份的数据 与文件做备份，在备份系统中存放的数据是最 新的。完全备份的优点是备份与恢复的操作比 较简单，数据恢复所需的时间最短，相对来说 也最为可靠。此种备份策略的缺点在于，需要 备份的数据量最大，消耗的存储空间最多，备 份过程也最慢。
信息安全的物理安全与环境安全
信息安全的物理安全与环境安全信息安全是当今社会中备受关注的一个重要话题。
在数字化时代，网络上的信息泄露、数据被盗等问题层出不穷，给个人和企业带来了严重的损失。
而要保证信息的安全，除了网络安全措施外，物理安全和环境安全也是至关重要的因素。
一、物理安全物理安全是指通过对信息系统的实体设备、硬件等进行保护，防止非法获取、破坏或者盗取信息的安全措施。
以下是一些常见的物理安全措施：1. 门禁控制：在进入信息系统房间的门口设置门禁系统，只允许授权人员进入。
这可以有效防止未经授权的人员进入机房或数据中心，进而减少物理攻击和信息泄露的风险。
2. 锁定服务器：对于存放重要信息的服务器，应采取物理锁定措施，确保只有授权人员才能接触到服务器。
防止未经授权的人员进行破坏或盗取数据的行为。
3. 视频监控：在信息系统房间或者重要设备的周围安装视频监控系统，实时监测设备状况，对异常情况进行及时发现和处理。
4. 灭火系统：信息系统房间应配备适当的自动灭火设备，一旦发生火灾，可以及时扑灭，并减少对设备和数据的损害。
二、环境安全环境安全是指通过对信息系统所处环境的保护，减少环境因素对信息系统正常运行和数据安全的影响。
以下是一些常见的环境安全措施：1. 温湿度控制：信息系统房间应安装温湿度传感器，并配备调控设备，保持适宜的温湿度范围。
过高或过低的温湿度都可能对设备和数据造成损害。
2. 电力保障：信息系统房间应配备稳定的电力供应设备，如UPS不间断电源和发电机组等，以应对断电和电压波动等情况，确保设备稳定运行。
3. 防尘防静电：信息系统房间应进行定期的清洁和消除静电处理，以避免尘埃和静电对设备的损害。
4. 防水防潮：信息系统房间应避免选址在容易受到水患或潮湿环境的地方，同时采取适当的防水措施，防止设备和数据被水损坏。
三、物理安全与环境安全的重要性物理安全和环境安全是信息安全的重要组成部分，它们直接关系到信息系统的稳定运行和数据的安全。
信息安全的物理安全措施
信息安全的物理安全措施信息安全是当代社会中非常重要的一个领域，尤其在数字化时代，保护信息资产和数据的安全对于企业，组织及个人来说至关重要。
在信息安全中，物理安全措施是一项关键的措施，通过对设备、设施和资源进行有效的物理保护，可以防止未经授权者获取、破坏或篡改数据和信息。
本文将就信息安全的物理安全措施进行探讨。
一、入口控制入口控制作为物理安全的基本措施之一，指的是通过合理的门禁系统和监控设备来控制人员的进入。
对于企业和组织来说，可以通过以下措施来实现入口控制：1. 门禁系统：采用电子门禁系统，并设置门禁卡或密码等识别方式，只有持有有效权限的人员才能进入。
此外，还可以考虑使用双重认证技术，如指纹或虹膜识别等，提高门禁的安全性。
2. 人员监控：在入口处设置摄像头进行监控行为准止，并将监控录像存档备查。
这可以起到威慑作用，也可以在事故发生时提供线索与证据。
3. 客户端安全控制：对于涉及敏感数据的电脑，可以设置启动密码、屏幕锁定，并限制 USB 接口的使用。
这样可以防止未经授权者拷贝或篡改数据。
二、安全存储信息安全的物理安全措施还包括保护存储的设备和介质，以防止数据被盗、丢失或损坏。
以下几点是关于安全存储的重要措施：1. 数据备份：定期对重要数据进行备份，并将备份数据存储在安全的地方，如离线介质库、云存储等。
这样即使原始数据出现意外情况，备份数据仍可恢复。
2. 存储介质的安全：对于存储介质，如硬盘、U 盘等，应妥善保管，避免遗失或被盗。
特别是涉及敏感信息的介质，应尽量加密或设置密码。
3. 数据销毁：在处理旧设备或不再需要的存储介质时，应采取合适的数据销毁方法，确保数据无法被恢复，以防数据泄露。
三、设备安全设备安全涉及到对计算机、服务器等设备的物理保护，以下是一些常见的设备安全措施：1. CCTV 监控系统：在计算机机房和重要的设备区域安装闭路电视监控系统，实时监测设备的安全情况。
2. 安全柜和机架：将服务器和其他重要设备存放在安全柜或机架中，设置密码，限制物理接触，增加设备的保密性和安全性。
02-信息安全与技术(第2版)-朱海波-清华大学出版社
一、硬件设备的维护和管理
计算机网络系统的硬件设备一般价格昂贵，一旦被损坏 而又不能及时修复，可能会产生严重的后果。因此， 必须加强对计算机网络系统硬件设备的使用管理，坚 持做好硬件设备的日常维护和保养工作。
信息安全与技术 （第二版）
清华大学出版社
第2章物理安全体系
物理安全是指为了保证计算机系统安全、可 靠地运行，确保系统在对信息进行采集、传输、 存储、处理、显示、分发和利用的过程中，不会 受到人为或自然因素的危害而使信息丢失、泄露 和破坏，对计算机系统设备、通信与网络设备、 存储媒体设备和人员所采取的安全技术措施。物 理安全主要考虑的问题是环境、场地和设备的安 全及物理访问控制和应急处置计划等。物理安全 在整个计算机网络信息系统安全中占有重要地位。 它主要包括环境安全、设备安全和媒体安全三个 方面。
一、机房安全设计
计算机系统中的各种数据依据其重要性，可以划 分为不同等级，需要提供不同级别的保护。如果对高 等级数据采取低水平的保护，就会造成不应有的损失； 相反，如果对低等级的数据提供高水平的保护，又会 造成不应有的浪费。因此，应根据计算机机房视其管
1.机房安全等级
机房的安全等级分为A类、B类和C类3个基本类别。
另一种方法是根据机房内设备的总数进行机房面积的估 算。假设设备的总和数为K，则估算公式如下：
机房面积＝(4.5~5.5)K (m2) 在这种计算方法中，估算的准确与否和各种设备的尺 寸是否大致相同有密切关系，一般的参考标准是按台 式计算机的尺寸为一台设备进行估算。如果一台设备 占地面积太大，最好将它按两台或多台台式计算机来 计算，这样可能会更准确。系数4.5~5.5也是根据我国 具体情况的统计数据确定的。
信息安全技术之物理安全
地板的安装
❖ 1. 用螺栓将支柱的底脚与土建地面固定牢，并通过 纵梁或搁栅（1m~2m间隔）将支柱相互连接起来。
❖ 2. 用固定粘合材料将支柱的底脚与土建地面固定牢， 并通过纵梁或搁栅将支柱相互连接起来。
2.2 设施安全管理
❖ 审计跟踪
▪ 包括访问尝试的日期和时间 ▪ 是否成功访问 ▪ 在什么地方被授权 ▪ 谁授权访问的 ▪ 谁修改的访问权限
❖ 设施选择和建设 ❖ 设施安全管理 ❖ 人员管理控制
2 管理控制
2.1 设施选择和建设
❖ 选择一个安全的地点: ▪ 可见性 ▪ 周围地形 ▪ 建筑物标志 ▪ 相邻建筑物类型 ▪ 地区人口状况
设施选择
❖ 选择一个安全的地点: ▪ 周围与外界条件
• 犯罪率 • 应急设施支持 • 周围区域可能的威胁
❖ 设施 ❖ 支持系统 ❖ 物理组件 ❖ 耗材
物理资产分类
物理安全威胁
❖ 威胁类别: 计算机服务中断，物理损坏，非授权 泄漏，系统完整性的破坏，偷窃等
❖ 案例：施工导致光纤损坏 交换机损坏导致业务中断 笔记本失窃，醉翁之意不在酒
❖ 实施措施
▪ - 管理控制 ▪ - 技术控制 ▪ - 物理控制
物理安全控制
人员安全管理
❖ 雇员检查
▪ 定期考核 ▪ 安全访问级别审核 ▪ 岗位轮换 ▪ 职责分离 ▪ 强制休假
人员安全管理
❖ 离职处理
▪ 友好终止 ▪ 离职面谈 ▪ 归还计算机或笔记本 ▪ 归还所有属于公司的财产 ▪ 禁用计算机系统帐户 ▪ 更改密码
3 环境与生命安全控制
❖ 电源 ❖ 防火 ❖ 供热通风空调
4 访问控制措施
4.1 边界保护措施
❖ 警卫— 费用较高、判断能力高 ❖ 警犬— 费用昂贵，忠实，嗅觉敏感 ❖ 探照灯-最常用的方式 ❖ 栅栏
信息安全管理中的物理安全要点与措施(二)
信息安全管理中的物理安全要点与措施在当今信息化的社会中，信息安全已经成为各个行业以及个人关注的焦点。
除了网络安全和软件安全外，物理安全也同样重要。
本文将探讨信息安全管理中的物理安全要点与措施。
一、安全区域划分信息安全管理的第一步是将安全区域划分清楚。
每个企业或组织都需要明确确定哪些区域是需要保护的。
例如，办公区、数据中心、服务器房等。
根据不同的区域，需要采取不同的物理安全措施。
门禁控制门禁系统是物理安全的基础。
通过门禁系统可以控制进入每个安全区域的人员和时间。
必须确保只有授权人员才能进入敏感区域，以防止未经授权的人员进入。
门禁系统应该采用多重身份验证，如卡片、指纹和密码等。
此外，还需要建立日志记录系统，记录每个人的进入时间和离开时间。
监控系统监控系统可以实时监视每个安全区域的活动情况。
这包括视频监控、入侵检测和报警系统。
视频监控可以记录安全区域的实时画面，有助于及时发现异常情况。
入侵检测系统可以监测房间内是否有非法入侵者，并及时发出警报。
二、设备与资产管理在信息安全管理中，设备和资产管理是非常重要的环节。
以下是一些物理安全措施的例子：标记和登记为了避免物品丢失或被盗，每个设备和资产都应该被标记和登记。
标记可以使用独特的编号或标签，以便跟踪和辨认。
登记则是将设备和资产的详细信息记录在台账中，包括型号、序列号、采购日期等。
锁定和安全存储设备和资产应该被安全地存储在专门设计的机房或柜子中。
这些机房或柜子应该采用钢板和防火材料进行加固，并安装专门的门锁和防盗系统。
此外，敏感设备还应该安装电子锁或智能锁，以增加安全性。
三、灾备与恢复在信息安全管理中，灾备与恢复是防止和应对意外事件的重要措施。
以下是几种物理安全的灾备与恢复措施：备份数据定期备份公司重要的数据。
备份数据可以存储在离线介质上，如磁带、光盘或硬盘。
同时，备份数据的存储地点应该与源数据分离，以免遭受相同的风险。
火灾防护火灾是最常见的自然灾害之一。
为了防止火灾发生，应定期检查电线电缆的安全性，禁止乱丢烟蒂，设置灭火器和自动报警系统等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
人员安全管理
• 受聘前 • 教育和工作背景的考察 • 关键人员的历史背景——信用记录、犯罪记录 • 在聘中 • 访问控制 • 定期的考核与评价 • 离职 • 离职谈话 • 收回物理访问权限 • 收回各种资产
二 物理安全规划
根据安全目标确定安全计划
• 杂货店与金融机构 • 医院与军事机构 • 学校与政府单位。。。
• 身体的：人身安全是物理安全首要考虑的 问题，因为人也是信息系统的一部分
• 物质的：承载信息的物质，包括信息存储 、处理、传输和显示的设施和设备
• 自然的：自然环境的保障，如温度、湿度 、电力、灾害等
物理安全的重要性
网络的物理安全是整个网络信息安全的前 提。
信息系统面临的物理安全威胁： 自然威胁（如：地震、洪水、风暴、龙卷
风等） 设施系统（如：火灾、漏水、温度湿度变
化、通信中断、电力中断、电磁泄露） 人为/政治事件（如：爆炸、蓄意破坏、
盗窃、恐怖袭击、暴动）
物理安全目标
• 物理安全机制包括设施位置的设计和布局、环境组件 、应急响应的敏捷性、培训、访问控制、入侵检测以 及电力和火灾防范等诸多方面。
• 物理安全机制能够为人员、数据、设备、系统、工具 以及公司的许多其他资产提供保护。
• 供应系统威胁 停电、通信中断、其他自然资 源(如水、蒸汽、汽油)中断等。
• 人为威胁 未授权访问(内部的和外部的)、爆 炸、愤怒的员工所造成的毁坏、员工造成的错 误和事故、故意破坏、欺诈、盗窃以及其他威 胁。
• 以政治为动机的威胁 罢工、暴乱、不合作主 义、恐怖攻击和爆炸等。
物理安全原则
• 物理安全机制的实现必须基于分层防御 模型(layered defense model)，即物理 控制措施应在一个分层体系结构中发挥 作用。这样，即使其中一个层出现故障 ，其他层仍然能够为重要的资产提供保 护。分层保护应以由外到内的方式实现 。例如，最外边是一道栅栏，接着是墙 、访问控制卡设备、保安、IDS，最内 部是加锁的计算机机箱和保险箱。
应用安全技术
信息和通信技术 （ICT）安全
系统安全技术 电信和网络安全
知识体
物理安全技术
知识域
恶意代码防护 Web应用安全 电子邮件安全 电子商务安全 安全编程技术 操作系统安全技术 数据库系统安全技术 网络入侵检 测/入侵防御设备等 物理安全基础 物理安全技术控制措施 物理设施要求 环境和人身安全
物理安全管理
• 记录物理访问的时间 • 物理访问是否成功 • 访问权限是哪里授予的？院墙大门？机
房门禁？保安？前台？ • 谁试图访问 • 谁以管理员的权限修改了访问权限的分
配
物理安全管理-应急流程
• 系统紧急关闭的流程 • 人员撤离流程 • 物理安全的培训、意识教育和演练流程 • 周期性的设备和基础设施的测试流程
知识子域
一些物理安全事件
• 有人报告公寓楼中一扇滑动玻璃门的门 锁坏了，但物业公司没有及时进行修理 。随后，居住在该公寓楼内的一名妇女 被入侵者强奸。
• 靠近ATM机的灌木长得太密，犯罪分子 可以藏在它们后面，攻击前来取款的客 户。
一些物理安全事件
• 地下停车场的某个区域没有照明，攻击 者可以躲在黑暗中等待加班后回家的员 工，以实施犯罪。
• 考虑对手类型，对手能力，对手会使用的资源 和战术
• 物理安全是保护资源的人员、过程、措施和设 备的组合。可靠物理安全计划的设计应是系统 的，并且应当衡量计划的目标与可用的资源。
制定物理安全原则
• 物理安全是保护资源的人员、过程、措 施和设备的组合。可靠物理安全计划的 设计应是系统的，并且应当衡量计划的 目标与可用的资源。
外部威胁
• 政府建筑 • 激进分子 • 运钞车。。。
• 最严重：内外勾结的共谋
物理安全计划应涉及目标
• 通过震慑预防犯罪和破坏 栅栏、保安、警示 标志等。
• 通过使用延迟机制来减少损失 延缓对手行动 的防御层，如锁、安全人员和屏障。
• 犯罪或破坏检测 烟雾探测器、运动探测器、 CCTV等。
• 事故评估 保安检测到的事故的反应以及破坏 级别的确定。
• 物理安全计划的目标取决于各种资产和 公司所需的保护级别。反过来，所需的 保护级别又依赖于组织机构可接受的风 险级别。可接受的风险级别应源自于组 织机构必须遵守的法律法规以及组织机 构的全面威胁概况
内部威胁
• 内部的威胁可能包括运行不良的设备、 火灾危险或企图以某种方式给公司造成 破坏的雇员。雇员熟悉公司的设施和资 产，这些都是他们执行任务和履行职责 时所需的，但同样会使内部人员更容易 实施破坏行为而不被发觉。然而，公司 面临的重大威胁可能来自自己的保安， 如果您请一条狼来保护鸡舍。。。
• 响应措施 灭火机制、应急响应过程、执法通 告、外部安全专家咨询。
可能的性能度量
• 成功犯罪的次数。 • 成功破坏的次数。 • 犯罪或破坏失败的次数。 • 检测、评估和恢复步骤的时间。 • 破坏带来的业务影响。 • 检测报警的误报次数。 • 犯罪分子通过一个控制所用的时间。 • 还原操作环境所需的时间。
信息安全基础
一、物理安全简介
物理安全简介
• 物理安全领域提供了从外围到内部办公 环境，包括所有信息系统资源的防护技 巧。
• 作为一名合格的CISP, 应当： • 能够描述与企业内敏感信息资产物理
防护相关的威胁、脆弱性和抵抗措施； • 能够识别与设施、数据、媒介、设备
、支持系统相关的物理安全风险。
• 安全设施建造、风险评估和分析、安全数据中心的实 现、防火、IDS和CCTV的实现、人员应急响应和培训 、物理安全的法律法规方面等方面需要考虑
• 应对物理破坏、入侵者、环境问题、盗窃和故意破坏 • 在任何情况下，生命安全都是最重要的考虑因素
物理安全威胁
• 自然环境威胁 洪水、地震、暴风雨和龙卷风 、火灾、极端的气候条件等。
• 加油站外面厕所的门锁坏了，攻击者跟 随一名女性顾客进入厕所并将其杀害。
• 一家便利店在外面的橱窗中悬挂太多的 广告牌和海报，致使窃贼选择这家商店 作为目标。因为广告牌可以遮挡住在店 内发生的犯罪活动，不容易被驾车或走 路经过的人发现。
物理安全概念
• 什么是物理安全
• “物理”：Physical, 身体的、物质的、自 然的