等级保护测评指导书.docx

物理安全测评指导书 机房安全测评 序号 测评指标 测评项 检查方法 预期结果 1 物理位置的选择 a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。 访谈： 询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。 检查： 检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。 机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。 b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。 检查： 检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁； 检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。 1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。 2 物理访问控制 a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。 访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。 1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。 b)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。 访谈： 询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是否限制和监控其活动范围。 检查： 检查是否有来访人员进入机房的审批记录。 1）来访人员进入机房需经过申请、审批流程并记录； 2）进入机房有机房管理人员陪同并监控和限制其活动范围。 c)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。 访谈： 访谈物理安全负责人，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求； 检查： 检查机房区域划分是否合理，是否在机房重要区域前设置交付或安装等过渡区域，是否对不同区域设置不同机房或同一机房的不同区域之间设置有效的物理隔离装置（如隔离墙等）。 1）对机房进行了划分区域管理； 2）对各个区域都有专门的管理要求。 d)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。 检查： 重要区域电子门禁记录。 配置了电子门禁系统，控制、鉴别、记录进入人员信息。 3 防盗窃和防破坏 a)检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。 访谈： 访谈物理安全负责人，采取了哪些防止设备、介质丢失的保护措施； 检查： 检查主要设备是否防止在机房内或其他不易被盗窃和破坏的可控范围内。 主要设备都放置在机房内。 b)检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。 访谈： 访谈机房维护人员，设备和主要部件是否进行了固定和标记； 检查： 检查主要设备或设备的主要部件的固定情况，是否不易被移动或被搬走，是否设置了明显的不易除去的标记。 设备和主要部件是否进行了固定和标记。 c)检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。 访谈： 访谈机房维护人员，了解通信线缆是否铺设在隐蔽处；是否设置了冗余或并行的通信线路； 检查： 检查通信线缆铺设是否在隐蔽处（如铺设在地下或管道中等）。 通信线缆铺设在隐蔽处。 d)检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。 访谈： 访谈资产管理人员，在介质管理中，是否设置了分类标识，是否存放在介质库或档案室中； 询问对设备或存储介质携带出工作环境是否规定了审批程序、内容加密、专人检查等安全保护的措施； 检查： 1）检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或资料室中并且进行分类存放（满足磁介质、纸介质等的存放要求）； 2）检查有关设备或存储介质携带出工作环境的审批记录，以及专人对内容加密进行检查的记录。 介质分类标识，存储在介质库或档案室中。 e)检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。 检查机房防盗报警设施是否正常运行，并查看运行和报警记录。 机房防盗报警设施运行正常，并且有运行和报警记录。 f)检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措施预防设