信息系统安全等级保护物理安全方案

第七章物理安全技术实施

7.1概述

物理安全由称为实体安全，是整个计算机信息系统安全的基石，其目标是保

护计算机设备、通信链路和其它媒体免遭自然灾害、环境事故、人为失误及各种

计算机犯罪行为导致的破坏。

从机房建设的角度划分，物理安全建设可分为环境物理安全建设、基本物理

设备安全建设和只能设备物理安全建设三个部分。环境物理安全建设是整个信息

系统安全建设不可忽视的重要组成部分，旨在加强对地震、水灾和雷电等自然灾

害的预防;基本物理设备安全建设指配电柜、UPS电源、机房专用空调和网络设

备等机房必须设备的安全建设，保障基本物理设备的安全，已成为信息系统建设

的第一道防线;智能设备物理安全建设包括门禁系统、防盗报警系统、机房监控

系统、消防报警系统等，随着信息社会的高速发展，智能设备在机房建设中越来

越重要，其效果比之前的人工管理也有了很大的提供，故实现机房的智能化管理,

已成为现代机房建设的必备元素。

7.2安全风险

信息系统物理安全风险可分为非人为安全风险和人为安全风险两部分。非人

为安全风险指自然灾害、环境影响和设备故障等造成的风险，人为安全风险是指

由人员失误或恶意攻击等造成的风险。对物理安全风险的简单描述如表7-1所示。

表7-1物理安全风险分类表

种类描述

非人为安全风险自然灾害鼠蚁虫害、水火灾害、地震、雷击等

环境影响温度、湿度、灰尘、有害气体、电磁干扰，静电、

断电等

设备故障系统软硬件故障、通信链路中断等

人为安全风险恶意攻击物理攻击：设备被盗窃、故意破坏等：

非法使用：采取各种措施，非法访问非授权资源：

服务干扰：恶意占用系统资源，达到降低系统可

用性的目的.

人员失误操作失误：操作人员执行错误操作对系统造成的

破坏；

管理失误：因管理不规范而造成信息系统不能正

常运行，

7.3安全H标

物理安全建设是整个信息系统安全建设的第一步，故其完成度和安全性对

信息系统安全建设影响很大。为了实现信息系统的可靠运行，物理安全建设应达

到以下目标：

（一）根据不同的安全等级，选择机房建设位置和建筑建设基本要求；

（二）实现不同安全等级的访问控制功能，保护机房的设备及数据安全；

（三）实现不同安全等级的防雷击和防火要求，根据系统级别配置相应的

避雷设备和灭火设备；

（四）保护机房设备，防止其被盗窃或者被破坏；

（五）采取相应的措施防止机房进水或者设备漏水，同时加强机房的温湿

度控制，加强机房环境管理。

（六）保障机房可力正常供应，并对主要设备进行防静电和电磁防护措施。

物理安全建设技术要求从物理环境建设技术和人员控制技术两方面来实现，

其对各级系统的概括要求如表7-2所示。

表7-2物理安全控制点

控制点控制点描述一级二级三级四级

物理访问

从物理安全的角度来对人员的访问进行控制V

控制

防盗窃和

对机房实施保护，防止其遭受破坏或被盗窃V

防破坏

防雷击保护机房设备免受雷电等自然灾害的影响JJV■J

防火保护机房免受火灾的影响VV■J

防水和防

机房大部分都是电器产品，故应该进行严格的防水设置VV

潮

温湿度控机房正常运行需要•定的温湿度环境，所以进行相应的

JJ

制控制

为了防止机房供电不稳定的情况下，应进行相应的电力

电力供应JV

供应

物理位置

机房选择要参照一般建筑物选址规范来进行J

的选择

静电会对机房造成不良影响，为了保障机房设备的正常

防静电Q

运行，应进行相应的静电防护措施

电磁防护重要设备和重要区域进行电磁防护7/J

等级保护中各级系统在建设中对控制点的物理技术要求如表7-3所示

控制点第一级第二级第二级第四级

除安排专门人员负责机房的

机房出入应安排专人负责，管理和记录外，还应爱立一增加区域管理并增加电子门

增加区域管理和电子门禁系

物理访问控制控制，鉴别和记录进入的人个进入机房的审批流程，建禁系统.并且在至要区域增

统

员立访问备案记录,并限制其加第二层电子门禁系统

活动范围。

主要设备应房子机房内，并增加标识,在主要的设备上

增加机房防送报警系统和机

防盗窃和防破坏且固定，且要设置明显不易安装防空报警系统，将通信同笫三级

房监控系统

去除的标记线缆敷设在傀蔽处

设置避雷装置和交流电源接增加防雷保护器,防止感应

防雷击机房拢筑物应有防雷接柩同笫三圾

坨窗

设置灭火设备和火灾报警控增加火灾自动报警和灭火装

防火机房应设矍灭火束置向第二蛟

制器置，以及区域隔离防火

应对机房内的水管增加必要

水管不得穿过机房屋顶和地

的防水措施，还应采取措被增加水敏感的检测仪器或原

防水和防潮坂下面，应敷设保温层，防同笫三圾

防止雨水通过窗户，屋顶和件,进行防水和报警

止结露

墙经渗漏

应在机房供电段珞上加稳压缙加短期的备用电力供应，

增加关键设备的各用供电系增加各用的供电系统和冗余

电力供应器和过压保护装置，以满足以满足设备在断电的情况下

统和冗余电路电线线路的供电系统

机房在断电情况下正常供电正常运行

机房应设置必要内温湿度控机房应设置温、湿度自动调

温湿度控制同第二级同笫三圾

制设施节设施

机房建筑物应具有防宙、防在防震功能外,机房建筑应

物理位强的选择无要求同第三级

震、防水、防风等能力避免在建筑物的高层或者地

下室，以及用水设备的下层

或隔壁

关键设备应采用防静电接地除必要的防静电接地外,还增加伸电消除器，减少静电

防静电无要求

措施应该使用防转电地板的产生

7.4目标措施对应表

表7-4物理安全目标与对应措施

安全目标措施

物理位置选择符合一般建筑物规范

防火划分不同区域并进行防火隔离

防雷击增加避雷设备，交流电源接地

避免进水、漏水，还应该有漏水监测

环机房环境安全防水和防潮

系统

境措施

接地与屏蔽，应该使用防静电地板，

物防静电

使用经典消除剂

理

电磁防护接地、隔离与屏蔽

安

布线系统安装地下、线路冗余并打上标识

全

机房人员日常行为准则

措

机房日常巡视制度

施

机房安全保密制度

机房运行安全措施

机房硬件设备维护制度

机房资料管理

配电柜应正确部署及维护

UPS电源应正确部署及维护

基本设备物理安全措施机房专用空调应正确部署及维护

网络设备的采购、编号、定期检查、

借用、报废和口常维护等

安装门禁系统

安装防盗报警系统

职能设备物理安全措施

安装机房监控报警系统

安装消防报警系统

7.5安全措施

机房建设可分为环境物理安全建设、基本设备物理安全建设、智能设备物理

安全建设。其中，环境物理安全建设可分为物理位置的选择、温湿度控制和电磁

防护等方面的建设;基本设备物理安全建设即网络设备、电气设备等的基本部署

及安全建设;智能设备物理安全建设包括温湿度控制系统、报警系统、监控系统

和消防系统等的建设

7.5.1环境物理安全措施

环境物理安全措施包括机房环境安全措施和机房运行安全措施，这两方面

的实施耍点如下：

1.机房环境安全措施

1）机房物理位置的选择

（一）机房和办公场所应选择在防震、防水、防风、防雨等能了的建筑内；

（二）机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔

壁。

2）防火

（­）机房应设置自动灭火装置，能够自动检测火情、自动报警、并自动灭火;

（■二）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；

（三）机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

从防火的角度出发，可将机房分为脆弱区、危险区和一般要求区3个区域，

脆弱区一旦发生火灾，将造成全局性的业务中断，使重要信息遭受严重破坏，极

大的威胁机房安全，故这一区域应严格重点进行消防报警管理，出现火灾时应首

先对这一区域进行灭火等操作;危险区多存放易燃物质，由于其存放的物质的特

殊性，故在进行机房管理时应多加注意，防止出现火情，若出现火情应及时进行

扑灭，以免蔓延至脆弱区，造成更大的损失;一般要求区即上述区域外的地方，其

消费措施没有特殊的要求，保障安全正常的灭火报警系统即可。

3）防雷击

（一）机房建筑应设置避雷装置；

（二）应设置防雷保十器，防止感应雷；

（三）机房应设置交流电源地线。

4）防水和防潮

1）水管安装不得穿过机房屋顶和活动地板下；

2）除空调设备外，机房内其设备一般不得安装水源；

3）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗漏；

4）应采取措施防止机房内水蒸气结露和地下积水的转移和渗透；

5）应安装对水敏感的检测仪或元件，对机房进行漏水监测和报警。

6）防静电

（一）主要设备采用必要的接地防静电措施；

（二）机房采用防静电地板；

（三）工作人员的衣服和鞋子尽量用不产生静电的衣料制作；

（四）维修人员进行硬件设备的维护特别是电路板的更换时候，最好戴接地手

套；

（五）控制机房的湿度，使得机房的相对湿度维持在正常的要求的范围内，不

宜偏低；

（六）在静电发生频繁的地方使用静电消除剂。

7）电磁防护

（一）应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；

（二）电源线和通信线缆应隔离敷设，避免相互干扰；

（三）应对关键设备和磁介质实施电磁屏蔽。

8）机房布线措施

（一）安装地线；

（二）安装备份线路；

（三）应找专业的电工人员或者综合布线人员来布线，且要做好机房布线的档

案工作，以便日后维护。

2.机房运行安全措施

1）机房人员日常行为准则

（一）注意机房的环境卫生，不得在机房内吃零食、吸烟等；

（二）应对值班人员的责任细化，将责任落实到个人；

（三）机房工作人员必须按操作规程使用各种设备，以免出现误操作缩短设备

的使用寿命；

（四）严禁在机房大声喧哗、聊天、看视频等影响他人正常工作的行为。

2）机房日常巡视制度

（一）检查机房的环境卫生、温湿度、安全等情况，并认真做好记录；

（二）检查机房网络设备、空调系统、配电柜用UPS等基本物理设备的工作情

况，并做好记录；

（三）检查机房的消防系统、防盗报警系统等职能设备的运行情况，并做好记

录。

3）机房安全保密制度

（一）机房出入口安排专人值守，重要区域应配置电子门禁系统，对出入人员

进行鉴别和记录；

（二）对非本机房工作人员不得随意进出机房，遇特殊情况时，必须登记方可

进入，且对其活动范围进行限制和监控；

（三）值班人员需确定机房门、窗关闭，防盗装置正常开启后，方可离岗；

（四）工作人员有保担机房信息安全的义务，其工作区域内的重要文件、资料

和设备等的安全应得到保障；

（五）禁止将机房要素、门禁卡等物品外借他人遇到遗失钥匙的情况要及时

上报，积极主动保护机房安全；

4）机房硬件设备维护制度

（一）工作人员应该熟识各设备的操作规程和养护方法，尽可能延长设备的使

用寿命；

（二）定期检查配电柜、UPS、机房专用空调、风机、消防设备、防雷设备和

报警系统等硬件的运行状态，杳阅各设备的日志报告，了解设备的运行情况,

并做好记录；

（三）不得随意搬动、更改设备，遇特殊情况时，需要专业人员等的指导下进

行；

5）机房资料管理

（一）应建立机房资料管理制度，根据资料用途、设备类别等进行分类，并由专

人进行管理；

（二）机房资料应随着设备更新、维护等情况予以相应的变更，及时记录记录

的更新情况；

（三）工作人员有保于机房资料和数据安全的业务，不得随意泄露机房秘密；

（四）进行权限划分，只有拥有相应权限权限的人才可以查阅相关资料，未经

授权不得进行查阅；

（五）重要资料和数据等应进行加密备份。

7.5.2基本设备物理安全

在机房建设过程中，计算机电器系统设备是保证机房运行必不可少的设备，

如网络交换机、配电柜、不断电系统、机房专用空调、风机和空气净化器等，这

些设备的正常运行与否直接影响了机房的建设，故应做好这类设备的安全保护，

从而进一步维护机房的安全运行。

1.配电柜

计算机机房的供电系统一般由机损及网络设备供电系统、机房设备敷设的供

电系统和备用供电系统组成，而机房专用配电柜在这三个系统中都起着至关重

要的作用，所以为了保证机房设备的正常供电，机房专用配电柜设计必须正确合

理。在设计配电柜时，既要思考各个供电系统之间的相互关系，也要考虑用电设

备的负荷，采取合理的方案来布置配电柜，是的配电柜使用维修方便，各配电柜

之间的控制关系良好。大型机房电器原理如图7-2所示。

供机房辅助设备、照明、维修等・

输出配电柜♦

机房专用配电柜在使用时需从标示、线路和组件等方面综合考虑，具体包含

要求如下。

（一）标示：机房配电柜的编号应包括配电电号及其用途两项，如2号动力

配电柜;配电柜内的各种开关、手柄和操作按钮应标记清楚，以防止使用

中出现误操作;配电柜内的各线路应按国家规定的颜色标记并编号。

（二）线路：配电柜内应根据计算机设备及其辅助设备的不同要求，设置

中线和接地线的连接装置，中线（N）、接地线（PE）和配电柜外壳要

绝缘;配电柜内采用的母线、接线排及各种电缆、导线、中性线、接地线

等，都应符合国家标准;配电柜谀要留有备用电路，作为机房扩充使用。

（三）组件：配电柜内主要电气组件应质量稳定、性能可靠的产品;应该设

置电流表、电压表，用于检测配电柜面板电流、电源电压和三相间平衡

关系;配电柜内应配有应急开关;消防报警系统与动力配电柜联动，当消

防报警信号被确认后，由消防控制系统将动力配电柜的电压切断。

（四）其他：配电柜内铝排与铜排相接时，要采用铝铜过度材料，如采用过

度材料有困难，则铜件上一定要上锡。

2.不间断电源系统

不间断电源系统（UninterruptiblePowerSystem）旨在建立一个不断电系统,

在市.电中断的情况下，后备电源几乎可以在无端点的情况下，实现对负载的正常

供电，使负载可以正常工作并保护负载软、硬件不受损害，另外，部分UPS还可

以在市电正常供电时，通过自身的稳频功能，将市电稳压后供应给负载使用C

UPS部署图如图7-3所示。

UPS正确使用和维护可以延长寿命至10年，若维护不当，则其可能在几年或

者更短的时间内就会报废，故需要在其使用过程中注意一下几个方面。

（一）专人管理.：值班人员应做好UPS每日工作的情况记录，以方便日后的维

护;UPS电源的维修和管理应由专业技术人员进行处理，机房工作人员不得随

便开关UPS;机房工作人员应定期测试UPS的工作性能参数，如发现异常应及

时进行处理。

（二）工作环境:UPS的工作环境要保持清洁、无污染，工作间应控制一定的温

湿度，具体参数应查看当前UPS说明书。

（三）线路:UPS输入线不得在接其他供电设备，电源输入钱最好接稳压踹，保

证输入电源的质量;电源输出电路不得接电动矶、电吹风等一般用电设备保

证电源职工给计算机设备的用电。

（四］电池：值班人员应定期给UPS蓄电池充放电，以恢复电池的容量。

3.机房专用空调

机房专用空调为恒温恒湿空调，是专供机房使用的高精度空调，由控制监测

系统、通风系统、制冷循环系统、加湿系统、加热系统及水冷机组水循环等六部

分组成。图7-4和图7-5分别为机房专用空调工作图和机房专用空调组成图。

图7-4机房专用空调工作图

机房专用空调的使用维护和操作应依据空调厂家的详细说明书进行，且在

空调开机调试时，厂家技术人员应对用户进行简单的技术培训，使用户能够对空

调进行简单的操作。

强、弱电桥架

预囹制冷分配单元

［冷/水供、回焉

I送风解压箱900mm

4.网络设备

网络设备即连接网络的物理实体，主要用来运行和存储各种信息、资源和数

量，基本的网络设备有计算机、防火墙、交换机和路由器等，而这些网络设备也

是机房物理安全建设中必须保护的网络设备。网络设备部署如图7-6所示。

路由器工作在信息安全体系结构的网络层，可以在逻辑上分开网络上交换机

和路由器数据包，具有路由选择功能和网络流量控制功能;网络设备的防火墙即

硬件防火墙，他通过将防火墙程序嵌入到芯片中，由硬件执行防火墙功能，使得

路由更稳定;交换机工作在数据链路层，依据内存的地址表确定目标MAC地址所

在端口，从而将数据包传送到目标端口;计算机包括个人计算机和服务器设备，

主要负责存储和运行各类数据和服务。

设备的使用和维护应从以下几方面进行。

（一）设备采购。

（二）设备登记。登记日期、设备名称、设备型号及配置、设备管理单位、管

理员签字和备注等。

（三）设备管理。设备管理编号、设备名称、型号、登记时间、设备供应方、

保修时间和客服联系方式等。

（四）设备状态检查。检查设备编号、产品日期、检查日期、使用状态和备注

等。

（五）设备使用登记。登记借用设备名、借用机构、借用经手人、借用日期、

欲借用时间和预计归还时间等。

（六）设备报废。

（七）硬件的日常维于。维护日期、设备编号、处理事项、维护人员和备注等。

维护人员主要负责设备的清洁保养和定期检测等，维护工作应严格按照

厂家说明书进行操作，对于电路板等复杂器件的修理，应在厂家的协助

下进行，以避免毁坏设备。

（八）软件维护。机房管理人员应该维护好各系统软件、驱动程序、应用软件

和重要程序文件等。在进行新软件安装时，需要上级主管部门的书面批准,

只有在紧急情况下，方可通过上级口头许可进行安装，但事后需要向上

级管理人员补交书面申请。

7.5.3智能设备物理安全措施

随着信息社会的快速发展，计算机系统已成为各行各业必不可少的工具之

一，而存储在计算机系统中的文件和数据，因为会牵涉商业机密、技术资料和情

报等，需要受到保护。故在机房建设过程中，不仅要对机房环境和基本设备进行

管理，也需要智能设备来实现对机房多层次、立体化保护。

机房的智能设备互分为门禁系统、防盗报警系统、监控报警系统和消防报警

系统，其设置的目的都是为了实现机房的智能化管理，更好的维护机房的正常运

行。

1.门禁系统

机房门禁系统的处理过程可分为两个部分：首先的是用读卡器等信息接收设

备接收人员输入的信息，并将其转换成电信号送到控制器中;然后控制器将收到

的信息和已存储的信息进行比较，从而做出具体的处理命令。

门禁系统作为机房安全建设的第一道防线，应该部署在楼宇的进出口，实现

授权人员在规定的时间内方可进出部分或全部地区。门禁系统的功能如下：

（一）设备管理中心。管理卡或设备的发放、补助和注销等，在人员变动时要

对其持有的卡片进行相应的管理。

（二）权限管理。对已发放的卡片进行权限和出入时间的设置，规定每个人可

进出的房间以及能自由出入的时间范围等。

（三）事件记录。实时显示、记录所有人员的出入时间、异常时间及处理方式

和持有卡人个人信息，若遇到异常事件时还应提供报警功能，同时，系统应

保护事件记录的完整性，为查询非法人员的进入提供依据。

（四］应急管理。紧急情况下或电锁出现故隙时应有应急钥匙可以将门打开，

且全套系统最好有备用电源，以保证断电的情况下系统能继续使用。

（五）报警管理可以采集防盗和防火探测器等报警信息，并实时上传至监控

管理中心。

2.防盗报警系统

防盗报警系统负责整个机房内外所有非法事件的侦测，一般由前端探测器

和报警控制器组成，其工作过程可分为两个部分，首先，前端探测器将探测到的

异常时间向报警控制器传送，然后，报警控制器判断收到的报警信号，并按预先

设定的报警方式报警。防盗报警系统如图7-7所示。

■体代辱乃火灾传3bRIP影包触授解退席控制落

使横式・收IVSil

机房防盗建设是机房安全建设的重要组成部分，应具有即时报警和恐吓非

法入侵者的功能。为了实现该功能，防盗报警系统可以采用多层次、立体的触发

进行告警触发。具体来讲，即在机房内外各部位均设置探测器，安装门磁、机房

内安装烟感探测器，机房地面、空调和窗户等处安装漏水探测器。

3.机房监控系统

智能监控系统的设立旨在监控和管理重要部门（如军事、金融机构等）的机

房设备及环境，其监控的对象包括机房环境、基本设备和智能设备等。智能监控

系统实时监控各系统设备的运行状态和工作参数，发现异常事件立即报警，同时

对监控的历史数据和报警事件进行保存，以备来查询。机房监控系统组成如图

7-8所示。

空调控制器温湿度传感器电力监泅仪双鉴探测器烟雾探滑器漏水探测器声光报警器摄像机

图7-8机房监控系统组成

1）