信息系统安全等级保护物理安全方案

第七章 物理安全技术实施 7 1 概述 物理安全由称为实体安全 是整个计算机信息系统安全的基石 其目标是 保护计算机设备 通信链路和其它媒体免遭自然灾害 环境事故 人为失误及 各种计算机犯罪行为导致的破坏 从机房建设的角度划分 物理安全物理安全建设可分为环境物理安全建设 基本物 理设备安全建设和只能设备物理安全建设三个部分 环境物理安全环境物理安全建设是整个 信息系统安全建设不可忽视的重要组成部分 旨在加强对地震 水灾和雷电等 自然灾害的预防 基本物理设备安全基本物理设备安全建设指配电柜 UPS 电源 机房专用空调 和网络设备等机房必须设备的安全建设 保障基本物理设备的安全 已成为信 息系统建设的第一道防线 智能设备物理安全智能设备物理安全建设包括门禁系统 防盗报警系 统 机房监控系统 消防报警系统等 随着信息社会的高速发展 智能设备在 机房建设中越来越重要 其效果比之前的人工管理也有了很大的提供 故实现 机房的智能化管理 已成为现代机房建设的必备元素 7 2 安全风险 信息系统物理安全风险可分为非人为安全风险和人为安全风险两部分 非 人为安全风险指自然灾害 环境影响和设备故障等造成的风险 人为安全风险 是指由人员失误或恶意攻击等造成的风险 对物理安全风险的简单描述如表 7 1 所示 表表 7 1 物理安全风险分类表物理安全风险分类表 种种 类类描描 述述 自然灾害鼠蚁虫害 水火灾害 地震 雷击等 环境影响温度 湿度 灰尘 有害气体 电磁干扰 静电 断电等 非人为安全风险 设备故障系统软硬件故障 通信链路中断等 恶意攻击物理攻击 设备被盗窃 故意破坏等 非法使用 采取各种措施 非法访问非授权资源 服务干扰 恶意占用系统资源 达到降低系统可 用性的目的 人为安全风险 人员失误操作失误 操作人员执行错误操作对系统造成的 破坏 管理失误 因管理不规范而造成信息系统不能正 常运行 7 3 安全目标 物理安全建设是整个信息系统安全建设的第一步 故其完成度和安全性对 信息系统安全建设影响很大 为了实现信息系统的可靠运行 物理安全建设应 达到以下目标 一 根据不同的安全等级 选择机房建设位置和建筑建设基本要求 二 实现不同安全等级的访问控制功能 保护机房的设备及数据安全 三 实现不同安全等级的防雷击和防火要求 根据系统级别配置相应的 避雷设备和灭火设备 四 保护机房设备 防止其被盗窃或者被破坏 五 采取相应的措施防止机房进水或者设备漏水 同时加强机房的温湿 度控制 加强机房环境管理 六 保障机房电力正常供应 并对主要设备进行防静电和电磁防护措施 物理安全建设技术要求从物理环境建设技术和人员控制技术两方面来实现 其对各级系统的概括要求如表 7 2 所示 表表 7 2 物理安全控制点物理安全控制点 控 制 点控 制 点 描 述一级二级三级四级 物理访问 控制 从物理安全的角度来对人员的访问进行控制 防盗窃和 防破坏 对机房实施保护 防止其遭受破坏或被盗窃 防雷击保护机房设备免受雷电等自然灾害的影响 防火保护机房免受火灾的影响 防水和防 潮 机房大部分都是电器产品 故应该进行严格的防水设 置 温湿度控 制 机房正常运行需要一定的温湿度环境 所以进行相应 的控制 电力供应 为了防止机房供电不稳定的情况下 应进行相应的电 力供应 物理位置 的选择 机房选择要参照一般建筑物选址规范来进行 防静电 静电会对机房造成不良影响 为了保障机房设备的正 常运行 应进行相应的静电防护措施 电磁防护重要设备和重要区域进行电磁防护 等级保护中各级系统在建设中对控制点的物理技术要求如表等级保护中各级系统在建设中对控制点的物理技术要求如表 7 3 所示所示 控制点控制点第一级第一级第二级第二级第三级第三级第四级第四级 物理访问控制 机房出入应安排专人负责 控制 鉴别和记录进入的人 员 除安排专门人员负责机房的 管理和记录外 还应建立一 个进入机房的审批流程 建 立访问备案记录 并限制其 活动范围 增加区域管理和电子门禁系 统 增加区域管理并增加电子门 禁系统 并且在重要区域增 加第二层电子门禁系统 防盗窃和防破坏 主要设备应房子机房内 并 且固定 且要设置明显不易 去除的标记 增加标识 在主要的设备上 安装防盗报警系统 将通信 线缆敷设在隐蔽处 增加机房防盗报警系统和机 房监控系统 同第三级 防雷击机房建筑物应有防雷接地 设置避雷装置和交流电源接 地 增加防雷保护器 防止感应 雷 同第三级 防火机房应设置灭火装置 设置灭火设备和火灾报警控 制器 增加火灾自动报警和灭火装 置 以及区域隔离防火 同第三级 防水和防潮 应对机房内的水管增加必要 的防水措施 还应采取措施 防止雨水通过窗户 屋顶和 墙壁渗漏 水管不得穿过机房屋顶和地 板下面 应敷设保温层 防 止结露 增加水敏感的检测仪器或原 件 进行防水和报警 同第三级 电力供应 应在机房供电线路上加稳压 器和过压保护装置 以满足 机房在断电情况下正常供电 增加短期的备用电力供应 以满足设备在断电的情况下 正常运行 增加关键设备的备用供电系 统和冗余电路电线线路 增加备用的供电系统和冗余 的供电系统 温湿度控制 机房应设置必要的温湿度控 制设施 机房应设置温 湿度自动调 节设施 同第二级同第三级 物理位置的选择无要求 机房建筑物应具有防雷 防 震 防水 防风等能力 在防震功能外 机房建筑应 避免在建筑物的高层或者地 同第三级 下室 以及用水设备的下层 或隔壁 防静电无要求 关键设备应采用防静电接地 措施 除必要的防静电接地外 还 应该使用防静电地板 增加静电消除器 减少静电 的产生 7 4 目标措施对应表 表表 7 4 物理安全目标与对应措施物理安全目标与对应措施 安全目标措 施 物理位置选择符合一般建筑物规范 防火划分不同区域并进行防火隔离 防雷击增加避雷设备 交流电源接地 防水和防潮 避免进水 漏水 还应该有漏水监 测系统 防静电 接地与屏蔽 应该使用防静电地板 使用经典消除剂 电磁防护接地 隔离与屏蔽 机房环境安全 措施 布线系统安装地下 线路冗余并打上标识 机房人员日常行为准则 机房日常巡视制度 机房安全保密制度 机房硬件设备维护制度 机房资料管理 环 境 物 理 安 全 措 施 机房运行安全措施 配电柜应正确部署及维护 UPS 电源应正确部署及维护 机房专用空调应正确部署及维护基本设备物理安全措施 网络设备的采购 编号 定期检查 借用 报废和日常维护等 安装门禁系统 安装防盗报警系统 安装机房监控报警系统 职能设备物理安全措施 安装消防报警系统 7 5 安全措施 机房建设可分为环境物理安全建设 基本设备物理安全建设 智能设备物 理安全建设 其中 环境物理安全建设可分为物理位置的选择 温湿度控制和 电磁防护等方面的建设 基本设备物理安全建设即网络设备 电气设备等的基 本部署及安全建设 智能设备物理安全建设包括温湿度控制系统 报警系统 监控系统和消防系统等的建设 7 5 1 环境物理安全措施 环境物理安全措施包括机房环境安全措施和机房运行安全措施 这两方面 的实施要点如下 1 机房环境安全措施 1 机房物理位置的选择 一 机房和办公场所应选择在防震 防水 防风 防雨等能了的建筑内 二 机房场地应避免设在建筑物的高层或地下室 以及用水设备的下层或隔 壁 2 防火 一 机房应设置自动灭火装置 能够自动检测火情 自动报警 并自动灭火 二 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料 三 机房应采取区域隔离防火措施 将重要设备与其他设备隔离开 从防火的角度出发 可将机房分为脆弱区 危险区和一般要求区 3 个区域 脆弱区一旦发生火灾 将造成全局性的业务中断 使重要信息遭受严重破坏 极大的威胁机房安全 故这一区域应严格重点进行消防报警管理 出现火灾时 应首先对这一区域进行灭火等操作 危险区多存放易燃物质 由于其存放的物 质的特殊性 故在进行机房管理时应多加注意 防止出现火情 若出现火情应 及时进行扑灭 以免蔓延至脆弱区 造成更大的损失 一般要求区即上述区域 外的地方 其消费措施没有特殊的要求 保障安全正常的灭火报警系统即可 3 防雷击 一 机房建筑应设置避雷装置 二 应设置防雷保护器 防止感应雷 三 机房应设置交流电源地线 4 防水和防潮 1 水管安装不得穿过机房屋顶和活动地板下 2 除空调设备外 机房内其设备一般不得安装水源 3 应采取措施防止雨水通过机房窗户 屋顶和墙壁渗漏 4 应采取措施防止机房内水蒸气结露和地下积水的转移和渗透 5 应安装对水敏感的检测仪或元件 对机房进行漏水监测和报警 6 防静电 一 主要设备采用必要的接地防静电措施 二 机房采用防静电地板 三 工作人员的衣服和鞋子尽量用不产生静电的衣料制作 四 维修人员进行硬件设备的维护特别是电路板的更换时候 最好戴接地手 套 五 控制机房的湿度 使得机房的相对湿度维持在正常的要求的范围内 不 宜偏低 六 在静电发生频繁的地方使用静电消除剂 7 电磁防护 一 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰 二 电源线和通信线缆应隔离敷设 避免相互干扰 三 应对关键设备和磁介质实施电磁屏蔽 8 机房布线措施 一 安装地线 二 安装备份线路 三 应找专业的电工人员或者综合布线人员来布线 且要做好机房布线的档 案工作 以便日后维护 2 机房运行安全措施 1 机房人员日常行为准则 一 注意机房的环境卫生 不得在机房内吃零食 吸烟等 二 应对值班人员的责任细化 将责任落实到个人 三 机房工作人员必须按操作规程使用各种设备 以免出现误操作缩短设备 的使用寿命 四 严禁在机房大声喧哗 聊天 看视频等影响他人正常工作的行为 2 机房日常巡视制度 一 检查机房的环境卫生 温湿度 安全等情况 并认真做好记录 二 检查机房网络设备 空调系统 配电柜和 UPS 等基本物理设备的工作 情况 并做好记录 三 检查机房的消防系统 防盗报警系统等职能设备的运行情况 并做好记 录 3 机房安全保密制度 一 机房出入口安排专人值守 重要区域应配置电子门禁系统 对出入人员 进行鉴别和记录 二 对非本机房工作人员不得随意进出机房 遇特殊情况时 必须登记方可 进入 且对其活动范围进行限制和监控 三 值班人员需确定机房门 窗关闭 防盗装置正常开启后 方可离岗 四 工作人员有保护机房信息安全的义务 其工作区域内的重要文件 资料 和设备等的安全应得到保障 五 禁止将机房要素 门禁卡等物品外借他人 遇到遗失钥匙的情况要及时 上报 积极主动保护机房安全 4 机房硬件设备维护制度 一 工作人员应该熟识各设备的操作规程和养护方法 尽可能延长设备的使 用寿命 二 定期检查配电柜 UPS 机房专用空调 风机 消防设备 防雷设备和 报警系统等硬件的运行状态 查阅各设备的日志报告 了解设备的运行情 况 并做好记录 三 不得随意搬动 更改设备 遇特殊情况时 需要专业人员等的指导下进 行 5 机房资料管理 一 应建立机房资料管理制度 根据资料用途 设备类别等进行分类 并由 专人进行管理 二 机房资料应随着设备更新 维护等情况予以相应的变更 及时记录记录 的更新情况 三 工作人员有保护机房资料和数据安全的业务 不得随意泄露机房秘密 四 进行权限划分 只有拥有相应权限权限的人才可以查阅相关资料 未经 授权不得进行查阅 五 重要资料和数据等应进行加密备份 7 5 2 基本设备物理安全 在机房建设过程中 计算机电器系统设备是保证机房运行必不可少的设备 如网络交换机 配电柜 不断电系统 机房专用空调 风机和空气净化器等 这些设备的正常运行与否直接影响了机房的建设 故应做好这类设备的安全保 护 从而进一步维护机房的安全运行 1 1 配电柜配电柜 计算机机房的供电系统一般由机损及网络设备供电系统 机房设备敷设的供 电系统和备用供电系统组成 而机房专用配电柜在这三个系统中都起着至关重 要的作用 所以为了保证机房设备的正常供电 机房专用配电柜设计必须正确 合理 在设计配电柜时 既要思考各个供电系统之间的相互关系 也要考虑用 电设备的负荷 采取合理的方案来布置配电柜 是的配电柜使用维修方便 各 配电柜之间的控制关系良好 大型机房电器原理如图 7 2 所示 机房专用配电柜在使用时需从标示 线路和组件等方面综合考虑 具体包 含要求如下 一 标示 机房配电柜的编号应包括配电柜号及其用途两项 如 2 号动 力配电柜 配电柜内的各种开关 手柄和操作按钮应标记清楚 以防 止使用中出现误操作 配电柜内的各线路应按国家规定的颜色标记并 编号 二 线路 配电柜内应根据计算机设备及其辅助设备的不同要求 设置 中线和接地线的连接装置 中线 N 接地线 PE 和配电柜外壳要 绝缘 配电柜内采用的母线 接线排及各种电缆 导线 中性线 接 地线等 都应符合国家标准 配电柜诶要留有备用电路 作为机房扩 充使用 三 组件 配电柜内主要电气组件应 质量稳定 性能可靠的产品 应 该设置电流表 电压表 用于检测配电柜面板电流 电源电压和三相 间平衡关系 配电柜内应配有应急开关 消防报警系统与动力配电柜 联动 当消防报警信号被确认后 由消防控制系统将动力配电柜的电 压切断 四 其他 配电柜内铝排与铜排相接时 要采用铝铜过度材料 如采用 过度材料有困难 则铜件上一定要上锡 2 2 不间断电源系统不间断电源系统 不间断电源系统 Uninterruptible Power System 旨在建立一个不断电系 统 在市电中断的情况下 后备电源几乎可以在无端点的情况下 实现对负载 的正常供电 使负载可以正常工作并保护负载软 硬件不受损害 另外 部分 UPS 还可以在市电正常供电时 通过自身的稳频功能 将市电稳压后供应给负 载使用 UPS 部署图如图 7 3 所示 UPS 正确使用和维护可以延长寿命至 10 年 若维护不当 则其可能在几年 或者更短的时间内就会报废 故需要在其使用过程中注意一下几个方面 一 专人管理 值班人员应做好 UPS 每日工作的情况记录 以方便日后的 维护 UPS 电源的维修和管理应由专业技术人员进行处理 机房工作人员 不得随便开关 UPS 机房工作人员应定期测试 UPS 的工作性能参数 如发 现异常应及时进行处理 二 工作环境 UPS 的工作环境要保持清洁 无污染 工作间应控制一定的 温湿度 具体参数应查看当前 UPS 说明书 三 线路 UPS 输入线不得在接其他供电设备 电源输入钱最好接稳压器 保证输入电源的质量 电源输出电路不得接电动机 电吹风等一般用电设 备 保证电源职工给计算机设备的用电 四 电池 值班人员应定期给 UPS 蓄电池充放电 以恢复电池的容量 3 3 机房专用空调机房专用空调 机房专用空调为恒温恒湿空调 是专供机房使用的高精度空调 由控制监 测系统 通风系统 制冷循环系统 加湿系统 加热系统及水冷机组水循环等 六部分组成 图 7 4 和图 7 5 分别为机房专用空调工作图和机房专用空调组成 图 图图 7 4 机房专用空调工作图机房专用空调工作图 机房专用空调的使用维护和操作应依据空调厂家的详细说明书进行 且在 空调开机调试时 厂家技术人员应对用户进行简单的技术培训 使用户能够对 空调进行简单的操作 4 4 网络设备网络设备 网络设备即连接网络的物理实体 主要用来运行和存储各种信息 资源和数 量 基本的网络设备有计算机 防火墙 交换机和路由器等 而这些网络设备 也是机房物理安全建设中必须保护的网络设备 网络设备部署如图 7 6 所示 路由器工作在信息安全体系结构的网络层 可以在逻辑上分开网络上交换机 和路由器数据包 具有路由选择功能和网络流量控制功能 网络设备的防火墙 即硬件防火墙 他通过将防火墙程序嵌入到芯片中 由硬件执行防火墙功能 使得路由更稳定 交换机工作在数据链路层 依据内存的地址表确定目标 MAC 地址所在端口 从而将数据包传送到目标端口 计算机包括个人计算机和服务 器设备 主要负责存储和运行各类数据和服务 设备的使用和维护应从以下几方面进行 一 设备采购 二 设备登记 登记日期 设备名称 设备型号及配置 设备管理单位 管 理员签字和备注等 三 设备管理 设备管理编号 设备名称 型号 登记时间 设备供应方 保修时间和客服联系方式等 四 设备状态检查 检查设备编号 产品日期 检查日期 使用状态和备注 等 五 设备使用登记 登记借用设备名 借用机构 借用经手人 借用日期 欲借用时间和预计归还时间等 六 设备报废 七 硬件的日常维护 维护日期 设备编号 处理事项 维护人员和备注等 维护人员主要负责设备的清洁保养和定期检测等 维护工作应严格按照 厂家说明书进行操作 对于电路板等复杂器件的修理 应在厂家的协助 下进行 以避免毁坏设备 八 软件维护 机房管理人员应该维护好各系统软件 驱动程序 应用软件 和重要程序文件等 在进行新软件安装时 需要上级主管部门的书面批 准 只有在紧急情况下 方可通过上级口头许可进行安装 但事后需要 向上级管理人员补交书面申请 7 5 3 智能设备物理安全措施 随着信息社会的快速发展 计算机系统已成为各行各业必不可少的工具之 一 而存储在计算机系统中的文件和数据 因为会牵涉商业机密 技术资料和 情报等 需要受到保护 故在机房建设过程中 不仅要对机房环境和基本设备 进行管理 也需要智能设备来实现对机房多层次 立体化保护 机房的智能设备可分为门禁系统 防盗报警系统 监控报警系统和消防报 警系统 其设置的目的都是为了实现机房的智能化管理 更好的维护机房的正 常运行 1 1 门禁系统门禁系统 机房门禁系统的处理过程可分为两个部分 首先的是用读卡器等信息接收设 备接收人员输入的信息 并将其转换成电信号送到控制器中 然后控制器将收 到的信息和已存储的信息进行比较 从而做出具体的处理命令 门禁系统作为机房安全建设的第一道防线 应该部署在楼宇的进出口 实现 授权人员在规定的时间内方可进出部分或全部地区 门禁系统的功能如下 一 设备管理中心 管理卡或设备的发放 补助和注销等 在人员变动时要 对其持有的卡片进行相应的管理 二 权限管理 对已发放的卡片进行权限和出入时间的设置 规定每个人可 进出的房间以及能自由出入的时间范围等 三 事件记录 实时显示 记录所有人员的出入时间 异常时间及处理方式 和持有卡人个人信息 若遇到异常事件时还应提供报警功能 同时 系统 应保护事件记录的完整性 为查询非法人员的进入提供依据 四 应急管理 紧急情况下或电锁出现故障时应有应急钥匙可以将门打开 且全套系统最好有备用电源 以保证断电的情况下系统能继续使用 五 报警管理 可以采集防盗和防火探测器等报警信息 并实时上传至监控 管理中心 2 2 防盗报警系统防盗报警系统 防盗报警系统负责整个机房内外所有非法事件的侦测 一般由前端探测器 和报警控制器组成 其工作过程可分为两个部分 首先 前端探测器将探测到 的异常时间向报警控制器传送 然后 报警控制器判断收到的报警信号 并按 预先设定的报警方式报警 防盗报警系统如图 7 7 所示 机房防盗建设是机房安全建设的重要组成部分 应具有即时报警和恐吓非 法入侵者的功能 为了实现该功能 防盗报警系统可以采用多层次 立体的触 发进行告警触发 具体来讲 即在机房内外各部位均设置探测器 安装门磁 机房内安装烟感探测器 机房地面 空调和窗户等处安装漏水探测器 3 3 机房监控系统机房监控系统 智能监控系统的设立旨在监控和管理重要部门 如军事 金融机构等 的 机房设备及环境 其监控的对象包括机房环境 基本设备和智能设备等 智能 监控系统实时监控各系统设备的运行状态和工作参数 发现异常事件立即报警 同时对监控的历史数据和报警事件进行保存 以备来查询 机房监控系统组成 如图 7 8 所示 图图 7 8 机房监控系统组成机房监控系统组成 1 机房监控系统部署 由于机房环境的复杂性和监控对象的多样化 机房监控系统的安装方式不 尽相同