中国石油天然气股份有限公司计算机机房安全管理规范(试行.doc

中国石油天然气股份有限公司计算机机房安全管理规范（试行）石油科字2003207号前 言随着中国石油天然气股份有限公司（以下简称“中国石油”）信息化建设的稳步推进，信息安全受到广泛的关注。加强企业信息安全管理政策和技术标准的建设成为中国石油信息技术战略顺利实施的重要保障。依照中国石油天然气股份有限公司信息技术总体规划，中国石油制定了本套中国石油天然气股份有限公司信息安全技术标准。本安全标准体系架构参照了国际、国内和相关行业的同类技术标准及规范，结合了中国石油总部及下属的勘探与生产、炼油与销售、化工与销售、天然气与管道四个专业板块信息安全现状和业务特点，充分考虑了中国石油未来的业务发展对信息安全的需求，目的在于通过建立相关的信息安全标准与规范，提高中国石油信息安全的整体技术水平和管理能力。中国石油信息安全技术标准总体架构如下：图1 信息安全技术标准总体架构整个安全标准技术架构从逻辑上共分7个部分，分别为：物理环境、硬件设备、网络、操作系统、数据和文档、应用系统和通用标准等。安全标准共由14本“规范”组成。安全标准以“信息安全生命周期方法论”作为基本理论指导。本文中国石油天然气股份有限公司计算机机房安全管理规范（试行）制定了中国石油在机房的建设、维护管理等方面与安全有关的控制措施和规范要求。本规范由中国石油天然气股份有限公司提出。本规范由中国石油天然气股份有限公司科技与信息管理部归口管理。本规范由中国石油制定信息安全政策与标准项目组起草。第1章 中国石油计算机机房安全概述1.1 概述计算机机房作为计算机设备、网络基础设施的汇集地，是信息安全重要的区域。计算机机房的安全是企业信息安全的基础。为了确保机房的安全，使得机房内的信息资产免受物理环境（如温度、湿度等）的影响，也使得机房内的信息设备或信息资产免受非法或未经授权的访问、窃取或破坏，制定本规范。本规范将机房分为四个等级：关键级机房、重要级机房、普通级机房和其他设备间。针对四种不同级别的机房制定了不同的规范加以约束，从而确保各种不同安全需求等级的机房得到了不同程度的保护。1.2 目标通过对机房这一特殊的安全区域进行保护，确保机房相关的各类信息系统基础设施、设备、媒体介质免受非法实物访问、自然灾害和环境的危害。防止机房基础设施等资产的损坏、丢失和敏感信息的泄漏，增强员工的安全防范意识，促进防范措施的落实。1.3 适用范围本规范适用于计算机机房这一个相对独特的安全区域。规范中的机房是指： 正式机房（及相应的配套设备间、工作间和辅助间） 非正式机房 网络及通讯设备间 配线间 小机柜1.4 规范引用的文件或标准下列文件中的条款通过本标准的引用而成为本标准的条款。凡是不注日期的引用文件，其最新版本适用于本标准。【国家标准】1SJ 300031993 电子计算机机房施工及验收规范2GB 501741993 电子计算机机房设计规范3GB 178591999 计算机信息系统安全保护等级划分准则4GAT 3912002 计算机信息系统安全等级保护管理要求5GB 93611988 计算站场地安全要求6GB 28872000 计算站场地技术条件 【国家防火规范标准】1GB 5022295 建筑内部装修设计防火规范2GB 5005794 建筑物防雷设计规范 【国外相关标准】1ISO 17799 2IT Baseline Protection Manual (Germany)3ISO 15408 (“Common Criteria”)4NIST美国国家标准技术委员会系列丛书第2章 机房安全分级标准表1 机房安全等级区分表机 房 类 型定 义信息系统/业务影响范围举 例关键级机房放置了整个公司企业级应用服务器或公司的核心主干网络设备的计算机机房公司总部和各专业公司企业级机房或数据中心重要级机房放置了地区公司部门级应用服务器或非核心主干网络设备的机房一个或多个地区公司地区公司机房或数据中心普通级机房放置了非重要业务部门或下属公司普通应用服务器或普通网络设备的计算机机房小业务单元或部门某个部门内部的小机房，俗称“简易机房”其它设备间仅放置了少量服务器设备或机房配套设施或小型网络设备等普通设备的辅助间，如小设备间、配线间和小机柜某个业务单元的一个环节每个办公区域的配线间或大楼的楼层配线间，办公区域内放置了少量服务器的区域等第3章 机房物理环境安全3.1 机房场地的环境选择和设计3.1.1 机房组成依据计算机系统的规模、用途、任务、性质、计算机对供电和空调等要求的不同以及管理体制的差异可选用下列房间 (允许一室多用或酌情增加)。 注：不包括行政办公等用房。 a）计算机主机房是计算机系统、网络系统及有关外部设备运行的区域。 b）基本工作房间有：数据录入室、终端室、网络设备室、已记录的媒体存放室、上机准备间。c）第一类辅助房间有：备件间、未记录的媒体存放间、资料室、仪器室、硬件人员办公室、软件人员办公室。d）第二类辅助房间有：维修室、电源室、蓄电池室、发电机室、空调系统室、新风室、灭火钢瓶间、监控室、值班室。e）第三类辅助房间有：储藏室、更衣换鞋室、缓冲间、机房人员休息室、盥洗室等。3.1.2 计算机机房面积a）计算机机房的使用面积按照下述两种方法之一确定。第一种方法为：S（57）Sb（1）式中：S计算机机房的面积，单位：平方米；Sb指与计算机系统有关的并在机房平面布置图中占有位置的设备的面积，单位：平方米；Sb指计算机机房内所有设备占地面积的总和，单位：平方米。第二种方法为：SKA（2）式中：S计算机机房的面积，单位：平方米；A计算机机房内所有设备台(架)的总数；K系数，取值(4.55.5)平方米/台(架)。b）关键级和重要级计算机机房使用面积宜大于30平方米。 c）其它各类房间的使用面积，依据人员、设备及需要而定。 3.1.3 机房建设的环境安全性a）计算机机房在多层建筑或高层建筑物内宜设于第二、三层。应避免设在建筑物的高层或地下室，以及用水设备的下层。b）计算机机房应尽量建在电力、水源充足、自然环境清洁、通讯、交通运输方便的地方。c）应当远离产生粉尘、油烟、有害气体以及存放腐蚀、易燃、易爆炸物的地方。d）应尽量避免建在低洼、潮湿、落雷区和地震活动频繁的地方。e）应尽量远离强振动源和强噪声源。 f）应尽量避开强电磁场的干扰。当无法避开强电磁场干扰或为保障计算机系统信息安全，可采取有效的电磁屏蔽措施。g）上述各条如无法避免，应采取相应的技术措施。3.1.4 设备布置a）计算机设备宜采用按功能分分区布置，一般可分为主机区、存贮器区、数据输入区、数据输出区、通信区和监控调度区等。具体划分可根据系统配置及管理而定。b）需要经常监视或操作的设备布置应便于操作。c）产生尘埃及废物的设备应远离对尘埃敏感的设备，并宜集中布置在靠近机房的回风口处。d）主机房内通道与设备间的距离应符合下列规定：1）两相对机柜正面之间的距离不应小于1.5m；2）机柜侧面（或不用面）距墙不应小于0.5m，当需要维修测试时，则距墙不应小于1.2m；3）走道净宽不应小于1.2m。3.2 机房环境控制3.2.1 温度、湿度a）机房的温度、湿度必须满足计算机设备、网络设备、计算机辅助设备、信息存储媒介的要求。b）机房内的温、湿度应满足下列要求：表2 开机时机房的温、湿度级别项目关键级机房重要级机房普通级机房夏季冬季温度（）2322021530依照设备规定的温度条件相对湿度（%）45654070依照设备规定的湿度条件温度变化率（/h）5并不得凝露10并不得凝露依照设备规定的温度变化率表3 停机时机房的温、湿度级别项目关键级机房重要级机房普通级机房温度()535535按设备规定的温度条件相对湿度(%)40702080按设备规定的湿度条件温度变化率(/h)5并不得凝露10并不得凝露按设备规定的温度变化率c）信息媒体介质库的温、湿度应符合下列要求：1）常用媒体介质库的温、湿度应与所处的安全区域相同；2）其它媒体介质库的要求应按表3采用。表4 媒体介质库的温、湿度品 种纸 介 质光 盘磁 带磁 盘长期保存已记录的未记录的已记录的未记录的温度550-205018280401828 040相对湿度40%70%10%95%20%80%20%80%磁场强度3,200A/m4,000A/m3,200A/m 4,000A/m3.2.2 防烟防尘a）关键级和重要级机房的空气含尘浓度，在表态条件下测试，每升空气中大于或等于0.5m的尘粒数，应少于18,000粒。3.2.3 防噪声、电磁干扰及电磁泄漏3.2.3.1 防噪音a）对不可避免的强噪音源应采取必要消音措施和隔离措施。b）关键级和重要级机房内的噪声，在计算机系统停机条件下，在主操作员位置测量应小于68dB（A）。3.2.3.2 防电磁干扰a）关键级和重要级机房内无线电干扰场强，在频率为0.151,000MHz时，不应大于126dB。b）关键级和重要级机房内磁场干扰环境场强不应大于800A/m2。3.2.3.3 防电磁泄漏机房应采用适当的防护措施防止重要信息通过电磁辐射泄露。可参考以下三个主要防范措施：a）对主机房及重要信息存储、收发部门进行屏蔽处理，即建设一个具有高效屏蔽效能的屏蔽室，用它来安置主要运行设备，以防止高辐射设备的信号外泄。为提高屏蔽室的效能，在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计，如信号线、电话线、空调、消防控制线，以及通风波导门的关起等。 b）对本地网、局域网传输线路传导辐射的抑制，由于电缆传输辐射信息的不可避免性，建议采用光缆传输的方式，在Modem出口处安装光电转换接口，用光缆接出屏蔽室外进行传输。 c）对终端设备辐射的防范。终端机尤其是CRT显示器，由于上万伏高压电子流的作用，辐射有极强的信号外泄，但因终端分散使用不宜集中采用屏蔽室的办法来防止，故要求除在订购设备上尽量选取低辐射产品外，也可以采取主动式的干扰设备如干扰机来破坏对相应信息的窃取。3.3 机房建筑安全3.3.1 建筑安全一般规定a）计算机机房的建筑平面和空间布局应具有适当的灵活性，主机房的主体结构宜采用大开间大跨度的柱网，内隔墙宜具有一定的可变性。 b）主机房净高，应按机柜高度和通风要求确定。宜为2.43.0m。c）计算机机房的楼板荷载可按5.07.5kN平方米设计。d）计算机机房主体结构应具有耐久、抗震、防火、防止不均匀沉陷等性能。变形缝和伸缩缝不应穿过主机房。e）主机房中各类管线宜暗敷，当管线需穿楼层时，宜设计技术竖井。 f）室内顶棚上安装的灯具、风口、火灾探测器及喷嘴等应协调布置，并应满足各专业的技术要求。g）计算机机房围护结构的构造和材料应满足保温、隔热、防火等要求。h）计算机机房各门的尺寸均应保证设备运输方便。3.3.2 机房出入口安全规定a）计算机机房宜设单独出入口，当与其它部门共用出入口时，应避免人流、物流的交叉。b）计算机机房建筑的入口至主机房应设通道，通道净宽不应小于1.5m。c）计算机机房宜设门厅、休息室和值班室。人员出入主机房和基本工作间应更衣换鞋。 d）主机房和基本工作间的更衣换鞋间的使用面积应按最大班人数的每人13m2计算。 当无条件单独设更衣换鞋间时，可将换鞋、更衣柜设于机房入口处。 e）计算机机房的耐火等级应符合现行国家标准高层民用建筑设计防火规范、建筑设计防火规范及计算站场地安全要求的规定。 f）当计算机机房与其它建筑物合建时，应单独设立防火分区。 g）计算机机房的安全出口，不应少于两个，并宜设于机房的两端。门应向疏散方向开启，走廊、楼梯间应畅通并有明显的疏散指示标志。 h）主机房、基本工作间及第一类辅助房间的装饰材料应选用非燃烧材料或难燃烧材料。3.3.3 振动控制 a）在计算机系统停机条件下主机房地板表面垂直及水平向的振动加速度值，不应大于500mm/s2。b）当第二类辅助房间内有强烈振动的设备时，设备及其通往主机房的管道，应采取隔振措施。3.4 机房电气技术安全3.4.1 供电和电缆a）计算机机房用电负荷等级及供电要求按现行国家标准供配电系统设计规范的规定执行。b）计算机场地的供电电源应满足下列要求：表5-A 供电电源需求表A项 目要 求频率50Hz电压380V/220V相数三相五线或三相四线制/单相三线制c）供电电源根据计算机的性能、用途和运行方式（是否联网）等情况，可参考下表：表5-B 供电电源需求表B级别项目关键级机房重要级机房普通级机房稳态电压偏移范围，%-2+2-5+5-13+7稳态频率偏移范围，Hz-0.2+0.2-0.5+0.5-1+1电压波形畸变率，%3-55-88-10允许断电持续时间，ms04420002001500d）计算机机房供配电系统应考虑计算机系统有扩充、升级等可能性，并应预留备用容量。e）主机房内宜设置专用动力配电箱，机房内其它电力负荷不得由计算机主机电源和不间断电源系统供电。f）重要级及以上级别机房应采用交流不间断电源系统供电。g）当采用表态交流不间断电源设备时，应按现行国家标准供配电系统设计规范和现行有关行业标准规定的要求，采取限制谐波分量措施。h）机房低压配电系统应采用频率50Hz、电压220/380VTN-S或TN-C-S系统。主机电源系统应按设备的要求确定。i）机房电源进线应按现行国家标准建筑防雷设计规范采取防雷措施。计算机机房电源应采用地下电缆进线。当不得不采用架空进线时，在低压架空电源进线处或专用电力变压器低压配电母线处，应装设低压避雷器。j）主机房内应分别设置维修和测试用电源插座，两者应有明显区别标志。测试用电源插座应由计算机主机电源系统供电。其它房间内应适当设置维修用电源插座。k）主机房内活动地板下部的低压配电线路宜采用铜芯屏蔽导线或铜芯屏蔽电缆。l）活动地板下部的电源线应尽可能远离计算机信号线，并避免并排敷设。当不能避免时，应采取相应的屏蔽措施。m）电缆必须铺设在线槽内或地板下。3.4.2 不间断供电系统（UPS）a）关键级机房应使用在线式UPS。b）如果供电系统无双路供电且无备用发电机时，不间断供电系统(UPS)应能够根据设计的供电时间要求持续供电。c）应定期检查和维护UPS设备和相应的电池组(包括充电和放电)，以确保UPS有充足供电能力保证在断电的情况下设备能按照设计标准正常运转，同时定期按制造商的建议进行测试。d）适度控制好UPS电源的连接负载，保证UPS的负载量不超过其额定功率的85%。e）后备式UPS不适宜用在对电源敏感的设备上。f）保护服务器的UPS电源最好具有智能管理功能。g）UPS功率应该与保护对象的功率相匹配。h）禁止把电感性负载连接到UPS电源上。i）不得频繁开关UPS电源。3.4.3 照明a）计算机机房照明的照度标准应符合下列规定：一、主机房的平均照度可按200、300、500lx取值；二、基本工作间、第一类辅助房间的平均照度可按100、150、200lx取值。三、第二、三类辅助房间应按现行照明设计标准的规定取值。b）计算机机房照度标准的取值应符合下列规定：一、间歇运行的机房取低值；二、持续运行的机房取中值；三、连续运行的机房取高值；四、无窗建筑的机房取中值或高值。c）主机房、基本工作间宜采用下列措施限制工作面上的反射眩光和作业面上的光幕反射。一、使视觉作业不处在照明光源与眼睛形成的镜面反射角上；二、采用发光表面积大、亮度低、光扩散性能好的灯具；三、视觉作业处家具和工作房间内应采用无光泽表面。d）工作区内一般照明的均匀度（最低照度与平均照度之比）不宜小于0.7。非工作区的照度不宜低于工作区平均照度的1/5。e）计算机机房内应设置备用照明，其照度宜为一般照明的1/10。备用照明宜为一般照明的一部分。f）计算机机房应设置疏散照明和安全出口标志灯，其照度不应低于0.5lx。 g）计算机机房照明线路宜穿钢管暗敷或在吊顶内穿钢管明敷。 h）大面积照明场所的灯具宜分区、分段设置开关。 i）技术夹层内应设照明，采用单独支路或专用配电箱（盘）供电。 3.4.4 防静电机房内地面及工作台面的静电泄漏电阻，应符合现行国家标准计算机机房用活动地板技术条件的规定。a）机房内不用活动地板时，可铺设导静电地面，导静电地面可采用导电胶与建筑地面粘牢，导静电地面的体积电阻率均应为1.01071.01010cm3，其导电性能应长期稳定，且不易发尘。b）关键级机房内采用的活动地板可由钢、铝或其它阻燃性材料制成。活动地板表面应是导静电的，严禁暴露金属部分。单元活动地板的系统电阻应符合现行国家标准计算机机房用活动地板技术条件的规定。c）关键级机房内的工作台面及坐椅垫套材料应是导静电的，其体积电阻率应为1.01071.01010cm3。d）主机房内的导体必须与大地作可靠的连接，不得有对地绝缘的孤立导体。e）导静电地面、活动地板、工作台面和坐椅垫套必须进行静电接地。家俱表面材料的表面电阻值应低于109。f）静电接地的连接线应有足够的机械强度和化学稳定性，导静电地面和台面采用导电胶与接地导体粘接时，其接触面积不宜小于10cm2。g）主机房内绝缘体的静电电位不应大于1kV。h）工作人员的服装包括内衣在内，最好由不产生静电的衣料制作。工作人员穿的鞋，最好用低阻值的材料制作，以免产生静电。3.4.5 机房接地a）机房接地装置的设置应满足人身的安全及计算机正常运行和系统设备的安全要求，机房应采用下列四种接地方式： 交流工作接地，接地电阻不应大于4； 安全工作接地，接地电阻不应大于4； 直流工作接地，接地电阻应按计算机系统具体要求确定； 防雷接地，应按现行国家标准建筑防雷设计规范执行。b）交流工作接地、安全保护接地、直流工作接地、防雷接地等四种接地宜共用一组接地装置，其接地电阻按其中最小值确定；若防雷接地单独设置接地装置时，其余三种接地宜共用一组接地装置，其接地电阻不应大于其中最小值，并应按现行国标准建筑防雷设计规范要求采取防止反击措施。c）对直流工作接地有特殊要求需单独设置接地装置的电子计算机系统，其接地电阻值及与其它接地装置的接地体之间的距离，应按计算机系统及有关规定的要求确定。d）计算机系统的接地应采取单点接地并宜采取等电位措施。e）当多个电子计算机系统共用一组接地装置时，宜将各电子计算机系统分别采用接地线与接地体连接。f）静电接地可以经限流电阻及自己的连接线与接地装置相连，限流电阻的阻值宜为1M。3.5 空气调节3.5.1 一般规定a）主机房和基本工作间，均应设置空气调节系统。b）当主机房和其它房间的空调参数不同时，宜分别设置空调系统。3.5.2 热湿负荷计算a）计算机和其它设备的散热量应按产品的技术数据进行计算。b）电子计算机机房空调的热湿负荷应包括下列内容：一、计算机和其它设备的散热；二、建筑围护结构的传热；三、太阳辐射热；四、人体散热、散湿；五、照明装置散热；六、新风负荷。3.5.3 气流组织a）主机房和基本工作间空调系统的气流组织，应根据设备对空调的要求、设备本身的冷却方式、设备布置密度、设备发热量以及房间温湿度、室内风速、防尘、消声等要求，并结合建筑条件综合考虑。b）气流组织形式应按计算机系统的要求确定，当未提出明确要求时，可按表7.5.3选用。对设备布置密度大、设备发热量大的主机房宜采用活动地板下送上回方式。表7.5.3 气流组织、风口及送风温差气 流 组 织下 送 上 回上送上回（或侧回）侧 送 侧 回送风口1带可调多叶阀的格栅风口2条形风口（带有条形风口的活动地板）3孔板1散流器2带扩散板风口3孔板4百叶风口5格栅风口1百叶风口2格栅风口回风口1格栅风口2百叶风口3网板风口4其它风口送风温差46送风温度应高于室内空气露点温度4668c）采用活动地板下送风时，出口风速不应大于3m/s，送风气流不应直对工作人员。3.5.4 系统设计a）电子计算机机房要求空调的房间宜集中布置；室内温、湿度要求相近的房间，宜相邻布置。b）主机房不宜设采暖散热器。如设散热器必须采取严格的防漏措施。c）电子计算机机房的风管及其它管道的保温和消声材料及其粘结剂，应选用非燃烧材料或难燃烧材料。冷表面需作隔气保温处理。采用活动地板下送风方式时，楼板应采取保温措施。d）风管不宜穿过防火墙和变形缝。如必须穿过时，应在穿过防火墙处设防火阀；穿过变形缝处，应在两侧设防火阀。防火阀应既可手动又能自控。穿过防火墙、变形缝的风管两侧各2m范围内的风管保温材料，必须采用非燃烧材料。e）空调系统应设消声装置。f）主机房必须维持一定的正压。主机房与其它房间、走廊间的压差不应小于4.9Pa，与室外静压差不应小于9.8Pa。g）空调系统的新风量应取下列三种中的最大值：一、室内总送风量的5%；二、按工作人员每人40m3/h；三、维持室内正压所需风量。h）主机房的空调送风系统，应设初效、中效两级空气过滤器，中效空气过滤器计数效率应大于80%，末级过滤装置宜设在正压端或送风口。i）主机房在冬季需送冷风时，可取室外新风作冷源。j）电子计算机机房空气调节控制装置应满足电子计算机系统对温度、湿度以及尘对正压的要求。3.5.5 设备选择a）空调设备的选用应符合运行可靠、经济和节能的原则。b）空调系统和设备选择应根据计算机类型、机房面积、发热量及对温、湿度和空气含尘浓度的要求综合考虑。c）空调冷冻设备宜采用带风冷冷凝器的空调机。当采用水冷机组时，对冷却水系统冬季应采取防冻措施。d）空调和制冷设备宜选用高效、低噪声、低振动的设备。e）空调制冷设备的制冷能力，应留有15%20%的余量。f）当计算机系统需长期连续运行时，空调系统应有备用装置。3.6 给水排水 3.6.1 一般规定a）关键级主机房不应安装暖气设施。b）位于用水设备下层的计算机机房，应在吊顶上设防水层，并设漏水检查装置。c）与主机房无关的给排水管道不得穿过主机房。d）主机房内的设备需要用水时，其给排水干管应暗敷，引入支管宜暗装。管道穿过主机房墙壁和楼板处，应设置套管，管道与套管之间应采取可靠的密封措施。e）主机房内如设有地漏，地漏下应加设水封装置，并有防止水封破坏的措施。f）计算机机房内的给排水管道应采用难燃烧材料保温。3.6.2 系统和管材a）计算机机房应根据设备、空调、生活、消防等对水质、水温、水压和水量的不同要求分别设置循环和直流给水系统。b）循环冷却水系统应按有关规范进行水质稳定计算，并采取有效的防蚀、防腐、防垢及杀菌措施。c）计算机机房内的给排水管道必须有可靠的防渗漏措施，必须使用防锈阻燃材料的管道。暗敷的给水管道宜用无缝钢管，管道连接宜用焊接。d）循环冷却水管可采用工程塑料管或镀锌钢管。3.7 消防与其他安全规范3.7.1 消防安全一般规定a）计算机主机房、基本工作间应设二氧化碳或卤代烷灭火系统，并应按现行有关规范的要求执行。b）计算机机房应设火灾自动报警系统，并应符合现行国家标准火灾自动报警系统设计规范的规定。c）报警系统和自动灭火系统应与空调、通风系统联锁。空调系统所采用的电加热器，应设置无风断电保护。d）计算机机房的安全设计，除执行本章的规定外，尚应符合现行国家标准计算站场地安全要求的规定。e）计算机机房是非常重要的场所，发生灾害后会造成非常严重的损失，因此，在工程设计中必须采取相应的技术措施。3.7.2 消防设施 a）机房的防火建筑构造、耐火等级、灭火系统应遵照国标建筑设计防火规范（GBJ 1687）、高层民用建筑设计防火规范（GB 5004597）。b）室内装修应遵照国标建筑内部装修设计防火规范（GB 5022295），宜采用非燃烧材料或难燃烧材料。c）在机房内、基本工作房间内、活动地板下、吊顶里、主要空调管道中及易燃物附近部位应设置感烟、感温探测器。d）必须配备火灾报警及消防设施。备有卤代烷1211、1301灭火器，且灭火器应当尽量放置在走道等明显的位置。e）应设置火灾报警装置（遵照国标火灾自动报警系统设计规范GBJ 11688）。必须设置感烟、感温探测器。设置卤代烷1211、1301自动消防系统。f）凡设有卤代烷灭火装置的电子计算机机房，应配置专用的空气呼吸器或氧气呼吸器。g）除纸介质等易燃物质外，禁止使用水、干粉或泡沫等易产生二次破坏的灭火剂。h）计算机机房内应采用有防火盖的金属容器来存放废弃物。 计算机机房内应采用金属柜或其它能防火的容器来存放记录介质。i）主机房出口应设置向疏散方向开启且能自动关闭的门。并应保证在任何情况下都能从机房内打开。j）定期检查消防设施，确保消防器材使用的有效性。k）自动消防系统的测试、维修要提前申报机房管理部门和安全保卫部门，作出安排后方可进行。l）机房严禁动用电焊、氧焊。如有特殊需要，应经机房管理部门同意并在安全保卫部门办理动火手续，消防系统采取措施后方可使用。3.7.3 其他安全规范a）机房及其周围地区严禁放置易燃易爆物品。b）在关键级机房的出入口、通道和重要设施处应设置闭路监视系统（CATV）。c）机房内及其周围地区严禁放置有害的、腐蚀性化学物品。机房内腐蚀性气体二氧化硫0.15mg/l，硫化氢0.01mg/l。d）机房应有防鼠、防虫措施。在易受鼠害的场所应采取堵塞等防范措施，同时设置捕鼠设施，电缆和电线上应涂敷驱鼠药剂。e）根据机房的重要性，可设警卫室或保安设施。3.8 其它设备间a）其它设备间应遵照相关设备对环境的要求；b）应保持设备间清洁、干燥、通风、避免强光直射；c）保持合适的温度和湿度；d）采用稳定可靠的供电源，必要的情况下也可以采用UPS等备用供电保护；e）应设有基本消防装置和防火措施；f）对于特别重要的设备间可以采用摄像头进行监控；g）严禁放置易燃易爆物品和有害的化学物质。3.9 自然灾害防御自然灾害往往难以预料，防御自然灾害最有效的手段是在灾害到来前尽早做好准备，在灾难发生时将损失减小到最低。在灾害多发区应建立相应灾害预警机制和灾难恢复机制。3.9.1 雷击防范机房可遵照国标GB 50057建筑防雷设计规范中第三类防雷建筑物要求采取相应的防雷措施。一般规定：a）各类防雷建筑物应采取防直击雷和防雷电波侵入的措施。b）装有防雷装置的建筑物， 在防雷装置与其它设施和建筑物内人员无法隔离的情况下，应采取等电位连接。c）防雷建筑物防直击雷的措施，宜采用装设在建筑物上的避雷网（带）或避雷针或由这两种混合组成的接闪器。避雷网（带）应按相关规定沿屋角屋脊、屋檐和檐角等易受雷击的部位敷设。并应在整个屋面组成不大于20m20m或24m16m的网格。d）每根引下线的冲击接地电阻不宜大于30，其接地装置宜与电气设备等接地装置共用。防雷的接地装置宜与埋地金属管道相连。当不共用、不相连时，两者间在地中的距离不应小于2m。e）建筑物宜利用钢筋混凝土屋面板、梁、 柱和基础的钢筋作为接闪器、引下线和接地装置。f）当土壤电阻率小于或等于3000m时，在防雷的接地装置同其它接地装置和进出建筑物的管道相连的情况下，防雷的接地装置可不计其接地电阻值。g）砖烟囱、钢筋混凝土烟囱，宜在烟囱上装设避雷针或避雷环保护。多支避雷针应连接在闭合环上。h）引下线不应少于两根，但周长不超过25m且高度不超过40m的建筑物可只设一根引下线。引下线应沿建筑物四周均匀或对称布置，其间距不应大于25m。当仅利用建筑物四周的钢柱或柱子钢筋作为引下线时，可按跨度设引下线，但引下线的平均间距不应大于25m。i）防止雷电电流流经引下线和接地装置时产生的高电位对附近金属物或线路的反击。j）在雷电频繁区域，应装设浪涌电压吸收装置。k）应当安装防雷保安器以防止感应雷对计算机系统的破坏。具体防雷保安器的相关规范可以参见国家标准计算机信息系统防雷保安器GA 1731998。3.9.2 地震防范地震多发地区，机房应依据国家有关规范采取相应的保护措施。3.9.3 水灾防范在水灾易发生的地区，机房的位置不能在地表水平面或地表以下的位置。建议将机房设置在二楼或更高的位置。3.9.4 台风防范在台风易发生的地区，建议建筑物遵循防范台风的相关规定。第4章 人员出入机房相关的管理规范4.1 人员身份识别机房采用的人员身份识别方法应遵循下表要求表6 身份识别参照表安全级别身份识别方法关键级机房重要级机房普通级机房其他设备间PIN码(用户所知)智能卡(用户所持)生物鉴别(用户生物体征)表中符号说明：不要求；：要求；：可选 所有存放重要信息资产的机房环境都至少需要使用门锁进行必要的保护。 对于关键级机房应当采用两种身份识别方式组合，比如采用PIN码结合智能卡的方式或PIN码结合生物鉴别的方式等。 重要级机房选择一种合适的身份识别方式即可。可以采用PIN码身份识别或采用智能卡身份识别。生物鉴别技术由于投资成本较高因此通常不建议采用。 普通级机房可以选择一种合适的身份识别方式如PIN码或智能卡，或采用普通的门锁进行保护。 其他类型的机房没有强制的规定，但必须有防护措施如安装门锁等。举例：机房门禁系统在数据中心主楼的入口处可以设置智能卡身份识别的方式，凡是持有可以进入机房的IC卡的人员可以通过。在进入数据中心后又会有许多的不同的机房需要不同的门禁系统支持，如信息相对不十分敏感的机房区域门禁系统可以采用人员输入PIN码的方式进入，而信息十分敏感的机房区域的门禁系统可以采用或的技术。4.1.1 PIN码使用a）每隔90天修改口令。b）明确每个用户使用PIN码的责任。c）用户需要保守PIN码的秘密性，不要将密码告诉任何不相关的人。d）用户需要避免保留PIN码的字面纪录或电子纪录。e）用户需要避免将PIN码通过Email、电话等任何电子的或纸质的方式传播出去。f）PIN码的最短长度不得低于6位。g）避免使用与个人有关数据（如生日、身份证字号、单位简称、电话号码、同事名字等）当做PIN码。h）避免在不同的应用情况下使用同样的PIN码。i）任何时候有迹象表明PIN码可能已经泄漏或受损害时要立即更换。4.1.2 智能卡相关标准 (Smart Card)智能卡是一种安装有集成电路芯片，卡中存有用户数据信息和密钥，是目前有效的身份认证手段之一。智能卡具有安全性高、防伪性好、可靠性高、信息存储量大及使用简便的特点。目前对于智能卡的物理特性和技术特性和通讯协议有严格的相关标准，但用作身份认证时没有具体的使用管理规范。4.1.3 用户生物体征用户生物体征识别（BIOMETRICS）是指通过计算机利用人体所固有的生理特征或行为特征来进行个人身份识别和（或）验证目的。常用的生物特征包括：指纹、掌纹、虹膜、脸像等。生物特征识别是目前正在发展的一门新兴技术，还没有成熟标准可参考。4.1.3.1 指纹识别计算机系统通过个体指纹生理特征的提取、比对、验证，从而达到身份识别目的。指纹识别技术在所有生物特征识别技术中性能价格比最好。指纹门禁系统、指纹考勤系统是基于指纹的身份鉴别技术最直接的应用成果。4.1.3.2 虹膜识别通过对个体虹膜图像提取、图像处理、虹膜特征提取、匹配与识别等手段达到身份识别目的。它具有唯一性、稳定性、可采集性、非侵犯性等优点。虹膜具有更高的准确性。目前，虹膜识别的错误率是各种生物特征识别中最低的。4.2 机房出入授权管理规范4.2.1 外来访问者管理对外来访问者的管理各个业务单元可以根据具体的情况对细节进行一些修改定制，但必须遵循以下五个必要的步骤：a）预约申请；b）确认访问者身份；c）记录访问相关信息；d）授予相应访问权限；e）记录离开相关信息并收回相应的访问权限。4.2.1.1 举例关键级机房访问管理办法a）对外来访问者应提前3天预约申请并得到相关主管审批；b）对于访问人员来说整个机房区域必须只有一个出入口可以进出，且在出入口处需要有专门人员值勤；c）来访时需要受访者亲自当面确认其身份；d）对被核准的外来访问者发放临时访问卡；e）记录访问者的访问时间、访问地点和事由；f）如需访问一些机房内的设备还需要相关主管部门进一步书面确认。g）取得临时访问卡的外来访问人员在规定时间、规定地点，在被授权的区域内访问，且受访者在访问期间必须时刻陪同访问者直到访问结束；h）访问结束后访问者应及时归还回临时访问卡，并登记离开时间；i）外来访问者在机房内严禁拍照、录像。如有特殊需要，需经上级主管领导批准，通知机房管理部门后，方可进行。4.2.1.2 举例重要级机房访问管理办法：a）对于访问人员来说整个机房区域必须只有一个出入口可以进出，且在出入口处需要有专门人员值勤；b）来访时需要受访者确认其身份；c）对被核准的外来访问者发放临时访问卡；d）记录访问者的访问时间、访问地点和事由；e）如需访问一些机房内的设备还需要相关主管部门进一步书面确认；f）取得临时访问卡的外来访问人员在规定时间、规定地点，在被授权的区域内访问；g）访问结束后访问者应及时归还回临时访问卡，并登记离开时间。4.2.2 内部员工授权管理内部员工的访问控制管理办法应采取分权分级并基于角色和应用相结合的授权方法。（这里指的内部员工是指在机房区域内工作或和机房相关的工作人员，其他部门的人员都不属于内部员工概念的范畴，而属于外来访问者）。a）通过人事系统中员工的相关信息授予其相应的权限和承担的责任。b）以书面的方式将员工的权限和相应的责任提交给员工本人。c）根据员工权限和责任的大小确认是否需要签署相关的保密协议。d）在日常工作中记录员工的机房访问日志信息。e）员工一旦离职或调动岗位应立即收回或调整其访问的权限。4.2.2.1 举例关键级机房的内部员工管理办法：a）新员工进入公司后相关的档案信息进入人事系统，然后根据该员工的职权范围授予相应的访问权限。b）将访问权限写入员工的身份标识卡（如智能卡）后发放给员工。c）书面通知该员工相应的权利和责任并签署相关的保密协议。d）在日常使用中记录员工访问日志，以备日后审核。e）内部用户一旦离职或岗位变动应及时调整访问权限，同时收回或更换身份标识卡。4.2.2.2 举例重要级机房的内部员工管理办法：a）新员工进入公司后相关的档案信息进入人事系统，然后根据该员工的等级给与相应的访问权限。b）（如需要）将访问权限写入该员工的身份标识卡（如智能卡）后发放给该员工。c）书面通知该员工相应的的权利和责任并签署确认书。d）在日常使用中记录该员工访问日志，以备日后审核。e）内部用户一旦离职或岗位变动应及时收回或调整访问权限，同时收回或更换身份标识卡。4.3 机房的相关日志管理和权限的审计管理4.3.1 外部人员进出机房登记簿管理4.3.1.1 登记记录的内容应该包括：a）访问者的姓名、证件号码、访问的日期和进出时间；b）访问者的单位、访问事由、携带物品和相关的接待人；c）机房内重要信息系统的操作过程；d）进出机房区的设备和媒体的名称、数量、编号、进出时间、批准者；e）检测、报警系统的报警时间、现场勘测人员姓名、到达时间、以及现场的其他情况。4.3.1.2 登记簿纪录保留时限：a）关键级机房登记记录应该至少保留两年以上；b）重要级机房登记记录应该至少保留一年；c）普通级机房和其他设备间登记记录应该至少保留六个月。样例：表7 外部人员访问登记表序 号姓 名访问者单位身份证号码被授权的临时身份标识卡号访问的机房访问事由进入时间离开时间陪同人员携带物品备 注4.3.2 机房电子门禁系统日志管理4.3.2.1 电子门禁系统日志文件应记录以下内容：a）日志信息；b）访问者的ID；c）访问的日期和时间。4.3.2.2 日志文件保留的时间a）关键级机房的日志文件应保留3年，以备审计用。超过保留期限的日志应监督销毁；b）重要级机房的日志文件应保留2年，以备审计用。超过保留期限的日志应监督销毁；c）普通级机房日志文件应保留1年，以备审计用。超过保留期限的日志应监督销毁。4.3.3 日志定期审计和人员权限的定期审核4.3.3.1 日志定期审计a）关键级机房的日志文件每1个月审核一次；b）重要级机房的日志文件每3个月审核一次；c）普通级机房和其他设备间的日志文件每6个月审核一次。4.3.3.2 人员权限定期审计a）关键级机房的人员权限每1个月审核一次；b）重要级机房的人员权限每3个月审核一次；c）普通级机房和其他设备间的人员权限每6个月审核一次。4.3.4 访问者访问期间的管理办法4.3.4.1 访问者访问期间必须佩戴相关的临时访问证件并严格遵守相应的规章