网络安全等级保护安全物理环境测评实施 .pdfVIP

网络安全等级保护安全物理环境测评实

施

摘要：网络安全等级保护制度是国家网络安全的基石，2019年修订的《网络

安全等级保护基本要求》等国家标准正式实施，网络安全等级保护进入2.0时代。

文章以数据中心设计规范（GB50174-2017）为基准，结合实际测评、基本要求

和高风险判定指引，阐述在网络安全等级保护测评中，安全物理环境测评实施的

内容和要点。

关键词：网络安全等级保护测评，安全物理环境

安全物理环境主要包括机房、办公场地和介质存放场所等，但我们在实际测

评项目实施的时候，重点关注的是机房的安全，办公和介质存放场所为辅，以

《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）中第三级安

全通用要求为例，安全物理环境涉及的安全控制点包括物理位置选择、物理访问

控制、防盗窃和防破坏、防雷击、防火等十个层面。现场测评主要是测评师通过

现场实地查看、访谈、资料查阅等方式进行测评。

一、测评实施

1、物理位置选择

本安全控制点，要求测评师检查机房所在建筑物的验收或监理文档，抗震设

防类别不应该低于丙类，部分核心系统机房抗震设防类别不应低于乙类。针对部

分由办公室后期改建的机房，存在窗户、水管或暖气管，需核查窗户是否封堵，

是否存在漏水情况及暖气管、水管是否经过改造等，以对符合情况进行综合判断。

如果是采用集装箱式数据中心，则需核查模块化机柜所在的环境，但因为模块化

机柜相对封闭可控，故可以对面临相应的风险进行调整。

2、物理访问控制

本安全控制点，首先需要测评师查看机房所有出入口是否配置电子门禁系统，

对机房进出行为进行记录，要求项虽然写得简单，但是需要核查的点较多。首先

需要测评师核查机房的门禁系统是否运行正常，市电掉电后门禁是否正常。其次

登录门禁管理系统，查看门禁系统中账号分配的情况和进出情况记录，检查账号

和人员是否对应且一致，并且进出记录是否存留6个月。若是单机版门禁，则查

看设置，导出近期记录进行查看。如果是老旧机房，无门禁管理系统，那如果机

械钥匙统一管理，使用需登记审批，可以起到对进出人员进行识别和控制，那也

可以对风险进行相应调整。另外一种比较特殊的情况，模块化的机柜，大门访问

控制较弱，但是模块化机房的门禁可以做到基于人员的访问控制，那也可以对风

险进行调整。

3、防盗窃和防破坏

按照标准要求，第一，对于主要设备和主要部件设置不易去除的标签，内容

不应仅有设备名称，还应包括：IP地址、用途、责任人、重要程度等。第二，介

质是指磁盘、磁带、U盘之类的存储，需要及时分类并贴上标签放在指定位置。

不然会对后期管理留下隐患，比如人员离职，交接不明确，没有说明文档，后来

的人无法接管工作。第三，机房的防盗窃防破坏应该由视频安防监控系统、入侵

报警系统和出入口控制系统组成，各系统之间具备联动控制功能，且视频监控应

无盲区，硬盘录像机磁盘空间充足，满足视频记录留存6个月的要求。若仅配置

有视频安防监控系统，则需专人值守，不限于机房运维区的专人值守，可以与大

楼视频监控一起接入保安室，但是需要确认视频监控系统是否单独组网，未部署

在互联网上，因为在工业控制安全检查的过程中，发现大量监控摄像头暴露在互

联网上，存在安全漏洞及弱口令现象。

4、防雷击

本项测评时，如果业主或运维方可以提供每年的第三方的防雷检测报告，我

们即可判定为符合。若无法提供，就需要测评工程师进行实地检查，检查机房内

所有设备的金属外壳、各类金属管道、金属线槽等是是否进行等电位联结并接地，

检查等点位联结网格，通过等点位联结导体将电位联结带。此类隐蔽工程，核查

难度较大。若面对雷击风险大的雷电多发地区，防雷或过压防护装置则不能只核

查弱电箱或列头柜。首先要核查总供电端是否安装三相电源避雷器作为第一级防

护；其次核查在给机房主供电的分配电柜内是否安装箱式电源避雷器或模块式避

雷器，作为整个机房供配电系统的第二级防护；再次在机房的电源进线端（UPS

前端）核查是否分别安装安装箱式电源避雷器或模块式避雷器，作为机房供配电

系统的第三级防护；另外需在机房的电源UPS后端安装电源防雷插座，作为机房

供配电系统的电源精密级保护（末级保护）。

5、防火

测评师需实地查看核查，主机房是否配置气体灭火系统或者细水雾灭火系统，

常见气体灭火剂分为卤代烷和惰性混合气体，并设置两组独立的火灾探测器，如

温感和烟感，因为对于安装了新风