CISP-15-物理安全省公开课一等奖全国示范课微课金奖课件

物理安全中国信息安全测评中心第1页引言“城堡通常建在战略位置上并以高墙包围”问题哪里是战略位置?高墙有多高?堡垒怎么布署?谁来保卫出口?升降吊桥有什么规矩？遭遇火灾或掠夺怎么办？物理安全领域探讨问题第2页物理安全概念什么是物理安全“物理”：Physical,身体、物质、自然身体：人身安全是物理安全首要考虑问题，因为人也是信息系统一部分物质：承载信息物质，包含信息存放、处理、传输和显示设施和设备自然：自然环境保障，如温度、湿度、电力、灾害等第3页物理安全概念计算机安全与攻击者、骇客和黑客相关是物理安全与入侵者、蓄意破坏者和窃贼相关考虑是一个人怎样能够物理上进入一个计算机环境、计算机环境怎样影响系统第4页物理安全领域提供了从外围到内部办公环境，包含全部信息系统资源防护技巧。作为一名合格CISP,应该：能够描述与企业内敏感信息资产物理防护相关威胁、脆弱性和抵抗办法；能够识别与设施、数据、媒介、设备、支持系统相关物理安全风险。第5页主要内容物理安全威胁物理安全需求计划物理安全控制第6页物理安全威胁第7页物理安全威胁自然威胁（如：地震、洪水、风暴、龙卷风等）设施系统（如：通信中止、电力中止）人为/政治事件（如：纵火、爆炸、蓄意破坏、偷窃、恐怖攻击、暴乱）第8页网络故障—造成停电造成巨大损失和影响.2.03阿尔及利亚停电事故.3.31伊朗大停电事故.8.14美加大停电事故.8.28伦敦大停电.9.23瑞典和丹麦停电事故.9.28意大利和瑞士大停电.11约旦停电事故.11.8利比亚西部停电事故.8约旦停电事故.5莫斯科停电事故第9页通信中止年08月19日受海缆断裂影响，中国至美国、欧洲等方向通信大面积瘫痪。中国联通和中国电信方面采取租用其它海缆线路应急预案，使得国际通信部分得到恢复网民:通信中止让人抓狂第10页911事件恐怖攻击破坏信息数据几乎全部没有进行远程备份企业都蒙受巨大数据损失倒闭第11页地震第12页大火年2月中央电视台北配楼大火起火原因烟花燃放失控原因大量建筑材料成为助燃，如玻璃幕墙云梯车无法抵达起火层第13页蓄意破坏年11月29日印度西南卡纳塔克邦核电站发生放射性元素污染事故，致使大约50名工人毒“显然为恶意行径”某人“有意”将重水倒入供核电站员工饮用冷却水系统中第14页间谍案件拨号打印机使馆桌椅内嵌监听器碎纸机扫描功效医疗设备暗藏玄机石头第15页奥运大厦奥运期间法轮功分子乘班车进入广场散发传单第16页机房事件北京奥运前好运测试赛出现过机房透水现象；主机房4台空调中有3台因故障而停顿运行，机房温度过高造成网络设备不能正常工作；第17页利用ATM机盗取银行卡资金安装特殊装置盗取银行卡信息。安装摄像头、假键盘、录音机等特殊装置利用测录机等设备盗取客户磁卡上磁道信息制造吞卡、不出钞等假相。在ATM机旁粘贴假冒“客户服务投诉热线”，引诱持卡人向所谓“银行员工”或“公安人员”透露卡号、密码等安全信息，或直接把资金转移到其指定账户上。当前不法分子诈骗伎俩又有升级，出现了将真实银行客户服务电话号码嵌入小灵通号码，伪装银行客户服务热线新手法，较之早前手法更具隐蔽性和坑骗性。张贴虚假通告。冒充ATM管理单位，在ATM机上张贴紧急通知或公告（如“银行系统升级”、“银行程序调试”等），要求持卡人将自己银行卡资金经过ATM转帐到指定账户上，盗取持卡人存款。4、分散持卡人注意力，对卡片进行掉包第18页某银行服务器硬盘损坏交给厂商修复包括信息泄露收到严厉处罚第19页常见物理安全问题笔记本电脑或移动存放设备丢失主要文件或密码写在纸上放在办公桌上外来人员（尤其是服务厂商）处处溜达没人过问数据备份磁盘未放置在保密柜中……第20页物理安全需求规划第21页物理安全需求规划物理安全需求规划是在信息系统开发建设早期阶段明确对物理安全控制办法需求，包含：选择安全物理地点设计物理安全防范办法第22页选择建筑地点时应该考虑原因可见性周围地形建筑标志和标识相邻建筑物类型周围地域和外界条件犯罪率与警察、医疗和消防机构靠近程度周围区域可能带来危险可靠近性道路靠近交通拥挤情况与机场、火车站和高速公路靠近程度自然灾害发生火灾、龙卷风、地震或飓风可能性有危害地形（泥石流、山上落石、过多降雨或降雪）第23页佛山南海作为数据中心优势信息化优势区位及交通优势环境配套优势人力资源优势生态环境优势经济基础优势成本优势第24页南海-信息化优势国家信息化试点城市信息化基础设施完善国际互联网出口总带宽达170Gbps，可满足不一样速度网络接入需要提供不一样运行商线路备份，充分保障了网络安全与稳定。数据中心落户单位富士通数据中心国家税务总局数据中心、汇丰(佛山)环球营运中心日商电子(科技)广东有限企业第25页南海-区位及交通优势金融高新区位于广佛黄金节点，是广州和佛山连接枢纽佛山跟广州距离在一小时车程之内，人口很密集，城市功效、产业功效与广州互补且挨得很近。金融高新区交通便捷，与广州已形成全程高速连接交通网络，离广州环城、广佛、广肇、京珠等高速公路出入口均在5公里内。距广州新白云国际机场仅40分钟车程，距广州火车站仅20分钟车程，距广州珠江新城及天河北约35分钟车程。年6月28日开工兴建广佛地铁在金融高新区附近设有两个站点。金融高新区已实现与广州“同城化”。第26页南海-环境配套三家在建五星级酒店12家三星级以上酒店近10个高档住宅小区及公寓众多购物中心公园、学校、医院、高尔夫球场等设施甲级写字楼兴建配套公寓第27页南海-人力资源依靠与广州“同城生活，同城工作”优势条件，金融高新区能够利用广州人力资源平台，为园区企业提供强大支撑。众多高校以及信息化人才第28页南海-生态环境金融高新区所在地为佛山城市标志性景观－－千灯湖，山青水碧、绿草如茵，空气清新低密度建设规划标准，空间开阔第29页南海-经济基础佛山是广东第三大城市，经济总量约占全省十分之一，金融机构本外币各项存款余额稳居全省第三位。第30页南海-成本优势土地成本、物业租赁成本、物业管理成本、人力资源成本、生活成本多方面优势在土地、人工成本和物业价格方面几项价格，南海当前水平只有广州1/2～1/3，与深圳比则更低第31页设施/建筑物建造（1/3）墙壁阻燃材料（木材、钢材、混凝土）防火级别特殊安全区域加强门阻燃材料（木材、压制板材、铝制）防火级别紧急标志位置布置紧报布置玻璃种类——假如有必要，可能需要是防碎或防弹第32页设施/建筑物建造（2/3）天花板阻燃材料负重承受程度窗户半透明或不透明防碎报警装置位置布置可靠近性（入侵者是否能够打坏玻璃进入建筑）地板负重承受程度阻燃材料（木材、钢材、混凝土）防火级别提升地板（电气接地问题）绝缘表面和材料供暖、通风和空调正向气压受保护通风口入口专用电力管线紧急状态下自动关闭阀门和开关位置布置第33页设施/建筑物建造（3/3）电力供给备用和轮换电力供给清洁、稳定电力资源位置布置，对分布面板和断路开关控制停电：完全丧失供电１～５分钟灯火管制：商业电力连续丧失故障：电力突然中止供水和天然气管线管道阀门正向流动（比如，管道内物质应该流出建筑，而不是流入）位置布置火灾监测和排除传感器和探测器放置喷水装置放置喷水装置和探测装置类型选择第34页物理安全需求规划

-设计安全站点周围大楼地面楼层、办公室分布数据中心/设备、媒介第35页物理安全控制第36页物理安全设备选择步骤关键：全部保护机制都应该是经济安全须知：受法律约束而需要遵从，首先考虑确保人生命安全电梯＋楼梯逃生门安全应知：为防止破坏性活动带来后果，需要采取控制办法。备份关键数据对网络进行物理和逻辑上隔离聘请保安第37页物理安全控制办法管理上控制办法设施选择和建设设施管理员工管控培训突发事件响应和处理步骤技术上控制办法访问控制入侵检测警报装置监视装置HVACR电力供给火灾检测和排除备份物理上控制办法栅栏大门护柱加锁照明建筑设施材料第38页物理安全管理

-审计办法统计物理访问时间物理访问是否成功访问权限是哪里授予？院墙大门？机房门禁？保安？前台？谁试图访问谁以管理员权限修改了访问权限分配第39页物理安全管理

-应急流程系统紧急关闭流程人员撤离流程物理安全培训、意识教育和演练流程周期性设备和基础设施测试流程第40页人员安全管理受聘前教育和工作背景考查关键人员历史背景——信用统计、犯罪统计在聘中访问控制定时考评与评价离职离职谈话收回物理访问权限收回各种资产第41页物理安全技术控制办法详解

第42页大楼周围大楼入口保护监控办法环境保护办法数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）物理安全技术控制办法详解第43页大楼周围周围安全控制是防护第一道防线，能够起到划分“领地”和物理屏障作用。保护屏障要么是天然或人造天然屏障通常指那些难以穿越场所，如山、河流、沙漠等(卫星发射中心：幽深峡谷)人为屏障包含围墙、屡次灌木、护柱等第44页周围地形灌木丛或树林能够提供屏障同时也是一个入口；多刺灌木丛能够作为一道难以穿越屏障。第45页周围围墙用于划定安全区域，并指定资产边界应该满足特定尺寸和建筑规范高安全域可能需要“更高防护”应该到达特定高度第46页周围围墙围墙必须定时检验和修补围墙网状物必须与杆安全连接确保植被或临近建筑物不能够提供“越过”围墙桥梁第47页周围大门围墙上控制人和/或车辆进出指定区域。纽约市地铁系统入口处，第48页周围护柱专门设计用来控制交通升高柱子，用来保护资产为预防车辆冲进大楼提供安全防护带有灯光护柱可用于停车场、道路、人行道第49页与周围探测系统进行联动第50页大楼周围大楼入口保护监控办法环境保护办法数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）物理安全技术控制办法详解

第51页大楼入口保护门中空或实心铰链门框第52页大楼入口保护窗标准平面玻璃钢化玻璃丙烯酸物质：防碎减重聚碳酸酯窗-玻璃和聚碳酸化合物复合高质量玻璃及丙烯晴第53页大楼入口防护锁使用最广泛物理安全设施仅仅考虑作为延迟设施，并不能对产生十分安全防护，易于突破几乎全部类型锁均能够用暴力和特殊工具来突破应作为众多物理安全控制办法中一个方面来使用第54页大楼入口点防护锁-安全办法锁和钥匙控制系统必须执行钥匙控制制度并严格执行程序公布、签发、详细清单、毁坏或丢失钥匙对于组合锁，组合号码必须定时或在特殊情况下更改第55页大楼入口点防护门卫门卫能够对非授权进入者产生威慑，在一些情况下，能够阻止非授权进入第56页大楼入口点防护卡访问控制或生物特征系统磁卡、非接触卡等指纹、视网膜扫描、署名、声音识别、手形等等第57页大楼入口点防护生物识别每个人身份经过一些特征确认能够经过：生理特征：独有：指纹、视网膜、虹膜行为特征：署名第58页大楼入口点防护生物识别设施主要要素：方便：它不需要记住复杂密码，也不需随身携带钥匙、智能卡之类东西不易伪造和假冒：每个人生物特征含有与其它人不一样唯一性和在一定时期内不变稳定性生物识别技术产品均借助于当代计算机技术实现，很轻易配合电脑和安全、监控、管理系统整合。第59页大楼周围大楼入口保护监控办法环境保护办法数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）物理安全技术控制办法详解

第60页监控办法入侵检测系统用来检测区域访问传感器监控设备闭路电视（CCTV）第61页监控办法入侵检测系统光电（photoelectric）超声（ultrasonic）微波（microwave）红外（passiveinfrared）压感（pressure-sensitive）视频观看（40m）第62页监控办法闭路电视使用摄影机经过传输媒介将图片传送到连接显示器电视传输系统传输媒介能够使光缆、微波、无线电波、或红外光束

第63页监控办法CCTV等级：检测级：能够检测到对象存在识别级：能够检测到对象类型确认级：能够分辨对象细节第64页监控办法CCTV-3个主要组件成像设备传输媒介（如同轴线、光纤或无线）显示器第65页监控办法CCTV-成功关键点充分了解设施整个监控需求确定需要监控区域大小，深度、宽度来决定摄影机镜头尺寸照明非常主要，不一样灯光和照明将提供不一样效果等级对象与背景对比度也非常主要第66页监控办法照明在黑暗中能够提供连续覆盖程度应该与其它控制办法配合使用，如围墙、巡查、报警系统第67页大楼周围门禁系统监控办法环境保护办法数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）物理安全技术控制办法详解

第68页环境保护办法-电力控制电力信息系统运行所需能源,能够说电力是计算机信息系统“血液”；电力扰动能造成严重业务影响；电力控制目标是取得“洁净和稳定电力”第69页环境保护办法-电力控制电力控制“洁净电力”在主供电电路出现故障时，含有替换供电起源在存放分电盘、控制电路开关、电闸区域应进行访问控制办法含有紧急电源切断开关从而在紧急情况下能够切断电力安装输电线路监控设备来监控和统计电压和频率波动确保足够备份电力来执行次序切断从而防止数据丢失或设施损坏第70页

环境保护办法-电力控制接地1）各自独立接地系统2）交、直流分开接地系统3）共地接地系统4）直流地、保护地共用地线系统5）建筑物内共地系统第71页环境保护办法-HVACHVAC（制热、通风与空调控制）数据中心或服务器机房空调控制应该与大楼其它部分隔离数据中心空调系统应该独立于大楼其它部分应安装HVAC设备存放室访问控制及监控系统必须建立对应维护制度第72页环境保护办法-水控制

水控制审查水管和灭火系统安装位置，确保数据中心和服务器机房不能位于水源旁边或下边假如在洪水多发区，应确保关键信息系统资产没有位于一层或地下室第73页环境保护办法-防火火灾预防-降低火灾起因火灾检测-在火灾发生前，接收火灾警报灭火-怎样灭火，并降低到最小损失第74页环境保护办法-防火在建筑物墙、门和家俱中使用耐火材料；在电子设备周围降低可燃纸张数量对员工进行灭火培训-注意：人身安全是最主要进行火灾演练，使全部些人员明确知晓怎样安全逃离火灾现场第75页环境保护办法-防火电离型烟传感器检测烟尘中带电粒子光电传感器对烟造成遮光进行反应温度传感器-热传感器能够对火灾造成温度升高产生反应在火灾监测中，最有效方式就是采取混合模式第76页火灾报警系统第77页环境保护办法-防火火分为以下几类：A类：指固体有机物质燃烧火；B类：指液体或可融化固体燃烧火；C类：指可燃气体燃烧火；D类：指轻金属燃烧火。第78页环境保护办法-防火等级类型灭火介质A普通可燃物水，苏打酸B液体气体,CO2,苏打酸C电气体，CO2D可燃金属干粉第79页灭火器使用扑救A类火灾可选择水型灭火器、泡沫灭火器、磷酸铵盐干粉灭火器、卤代烷灭火器。扑救B类火灾可选择泡沫灭火器(化学泡沫灭火器只限于扑灭非极性溶剂)、干粉灭火器、卤代烷灭火器、二氧化碳灭火器。扑救C类火灾可选择干粉灭火器、卤代烷灭火器、二氧化碳灭火器等。扑救D类火灾可选择粉状石墨灭火器、专用干粉灭火器，也可用干砂或铸铁屑末代替。扑救带电火灾可选择干粉灭火器、卤代烷灭火器、二氧化碳灭火器等。第80页环境保护办法-防火CO2灭火器提供了一个无色、无味介质溴或卤气体化合物气体，包含一个白色溴粉，被认为是损耗臭氧层关键要素FM200（七氟丙烷）最有效替换物不导电、挥发性或气态灭火剂，在使用过程中不留残余物第81页灭火系统水灭火系统闭式自动喷水灭火系统湿式系统、干式系统、干、湿式系统、预作用系统等；开式自动喷水灭火系统雨淋系统、水幕系统、水喷雾系统等。气灭火系统（机房）不损害电子设备第82页防火技术设施检验项目检测项目期限注意设备供电（含电池电量）情况1个月供水系统及灭火工具情况1个月视频监视系统1个月火灾报警器音频、灯光报警情况1个月人工遥控测试各项管理制度执行情况3个月火警控制系统工作情况1年请制造商帮助灭火器压力和重量检验、更换1年标出灭火器检验日期、项目防火系统总检验和灭火演练1年要注意安全第83页环境保护办法-防水机房在顶层因为屋内漏水造成水灾机房在底层因为上下水管道堵塞造成水灾机房内暖气系统漏水因为水冷系统设计不妥，或损坏漏水空调系统排水管设计不妥或破损漏水机房区内水源检修阀漏水机房内有卫生间，因为下水管道或地漏堵塞第84页防水办法机房因为使用恒温湿装置，普通情况下应不使用暖气系统、但对于尤其严寒地域，必须使用暖气时，首先在暖气下应设置防水槽，万一暖气漏水，也会顺利脱离机房；另首先能够采取钢串片式暖气片，管道全部采取焊接，预防漏水。若机房内有水管经过时，应采取保温办法，管道阀门不应设在机房内。有上下水房间和卫生间应远离机房。有机房内应设防水沟或地漏机房内必须安装水源时，应加强管理，防患于未然。第85页防鼠机房孔、洞应封堵。在易受鼠害场所，机房内缆线应采取办法防鼠忌避剂捕鼠夹第86页大楼周围门禁系统监控办法环境保护办法数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）物理安全技术控制办法详解

第87页GB9361-88计算站场地安全要求GB2887-计算站场地技术要求GA173-98计算机信息系统防雷保安器GB6650-86计算机机房用活动地板技术条件GJZB663军用通信设备及系统安全要求GB50174-93电子计算机机房设计规范GB9254-1988信息技术无线电干扰极限值SJ/T30003-93电子计算机机房施工及验收规范我国主要物理安全参考标准第88页计算机场地安全GB2887-要求：计算机站场地组成和各部分面积计算方法计算机站场地选址条件温度、湿度条件照明、日志和电磁场干扰等详细技术条件接地、供电和建筑结构条件媒体使用和存放条件腐蚀气体条件第89页计算机机房安全A类：对计算机机房安全有严格要求，有完善计算机机房安全办法。该类机房放置需要最高安全性和可靠性系统和设备。B类：对计算机机房安全有较严格要求，有较完善计算机机房安全办法。它安全性介于A类和C类之间。C类：对计算机机房安全有基本要求，有基本计算机机房安全办法。该类机房存放只需要最低程度安全性和可靠性普通性系统。第90页安全机房A类安全机房选址要求：应将其置于建筑物安全区

应避开易发生火灾危险程度高区域。应避开有害气体起源以及存放腐蚀、易燃、易爆物品地方。应避开低洼、潮湿、落雷区域和地震频繁地方。应避开强振动源和强噪音源。应避开强电磁场干扰。应防止设在建筑物高层或地下室，以及用水设备下层或隔壁。应远离核辐射源。第91页机房组成1．主机房：用以安装主机及其外部设备、路由器、交换机等骨干网络设备。2．基本工作房间有：数据录入室、终端室、网络设备室、已统计媒体存放间、上机准备间。第92页机房组成-续3．第一类辅助房间有：备件间、未统计媒体存放间、资料室、仪器室、硬件人员办公室、软件人员办公室。4．第二类辅助房间有：维修室、电源室、蓄电池室、发电机室、空调系统用房、灭火钢瓶间、监控室、值班室。5．第三类辅助房间有：贮藏室、更衣换鞋室、缓冲间、机房人员休息室、盥洗室等。第93页复合地板复合塑料贴面地板基材是层压刨花板，上下表面贴有塑料贴面，四面用油漆封住，或用镀锌铁皮包封地板。第94页木质地板纯木质地板优点是造价低、易加工，但强度较差、易受潮变形，且易引发火灾，普通不在机房内使用。第95页金属地板金属地板铝合金浇铸或压铸而成，其上表面贴有抗静电贴切面。从性能价格比出发，通常选取复合塑料贴面地板作为机房地面建筑材料。第96页地板安装1.用螺栓将支柱底脚与土建地面固定牢，并经过纵梁或搁栅（1m~2m间隔）将支柱相互连接起来。2.用固定粘合材料将支柱底脚与土建地面固定牢，并经过纵梁或搁栅将支柱相互连接起来。第97页机房墙体材料及吊顶U型装配式轻钢龙骨吊顶是用U型薄壁轻钢龙骨做为承重骨架，再配以固定构件，吊顶板用自攻螺丝固定于承重骨架上。T型装配式轻钢龙骨吊顶是用T型轻钢龙骨做为骨架，在中、小龙骨间安装顶板，然后用铅丝将中、小龙骨紧固。第98页T型吊顶第99页U型吊顶第100页机房访问控制办法来访者（包含本单位非常驻人员、相关协作单位未发出入证人员）要在检验确认其身份、目标后，发放暂时识别牌，准许入内。在机房内来访者要佩带该识别牌，离开时交回。对于来访房者姓名、性别、单位、电话、证件号码、接待单位、进、出时间以及暂时识别牌号码，来访目标，携带物品，要进行统计，以备核查。未经相关领导同意，不得在机房内照像、录像。第101页机房门禁系统

第102页机房钥匙和锁

1． 精选抵抗锁。相比传统锁，费用大约是两三倍，钥匙极难被复制，其它特征跟传统锁一致。2． 电子组合锁。这种锁使用电子按动按钮进入，有些在一定情况下允许输入一个尤其代码来打开门，但同时会引发一个远程告警。3． 机械按钮组合锁，按下正确组合能够撤消门拴，打开门，相比电子锁而言，其可靠性差，但费用低。第103页机房入侵检测和报警系统

探测器是用来感知和探测入侵者入侵时所发生侵入动作和移动动作设备。信号传输通道是联络探测器和报警控制器信息通道，通常可分为无线信号通道和有线信号通道两种。报警控制器作用是对探测器传来信号进行分析、判断和处理

第104页机房闭路电视监控系统

第105页屏蔽机房第106页大楼周围门禁系统监控办法环境保护办法数据中心/服务器机房安全计算机设施保护重点对象保护电磁泄露防护（TEMPEST）物理安全技术控制办法详解

第107页便携式设备安全包括保护设备本身、设备内信息、而且对于用户来说，保持安全控制办法简便第108页计算机设备安全便携设备安全包含：存放间锁跟踪软件可审计行为报警加密软件防病毒软件清单通常控制制度第109页数据存放介质安全控制

当处理非常敏感信息时，管理员应该在场。在处理过程中，仅限于被同意使用这些信息人员进入机房工作。当存放介质不用时，在转交他人使用之前，必须把存在上面保密数据删除。记有机要信息存放介质设备不能送到国外修理。旧磁盘和磁带在消毁前，要进行消磁和去除数据。信息中心