安全物理环境现场测评
等保2.0-安全物理环境测评指导书(三级)
物理环境问题
可能导致静电无法得到有效释放，静电放电可能 建议机房统一使用防静电地
会影响数据传输，并可能对精密电子元件造成损 板，以防止静电对电子设备 物理环境问题
害。
和人员造成伤害。
建议在机房中配备静电消除
机房内如果产生大量静电，会对精密电子设备造 成损害，并可能威胁人员安全。
器等装置，如离子风机，以 减少机房内静电的产生，人 员在操作电子设备时建议配
区域发生火情时，火势蔓延至其他区域，造成大 门）、防火隔断等进行消防
量损失。
区域密封隔离，以实现区域
隔离防火措施，将重要设备
与其他设备隔离开，保证机
房发生火情时火势不会蔓延
、消防气体不会溢出。
物理环境问题
建议对机房窗户、屋顶和墙
存在漏水隐患，出现漏水事故时，可能导致电子 设备损坏，影响系统运行。
壁进行防水处理，如使用防 水涂料或密封措施，保证雨 水不会通过机房窗户、屋顶
b) 应采取措施防止感应雷， 例如设置防雷保安器或过压 保护装置等。
a) 机房应设置火灾自动消防 系统，能够自动检测火情、 自动报警，并自动灭火；
机房 机房防雷设施 机房防火设施
b) 机房及相关的工作房间和 辅助房应采用具有耐火等级 的建筑材料；
机房验收类文档
8.1.1.5 防火
8.1.1.5 防火
带防静电手环。
物理环境问题
建议更换机房中的家用柜式
导致机房不能做到恒温恒湿，不利于电子设备的 稳定运行，增加了设备故障几率。
空调/中央空调为机房专用恒 温恒湿精密空调，以保证各
物理环境问题
区域内温湿度恒定。
建议在机房供电线路上设置
机房供电线路上未设置稳压器和过电压防护设 稳压器和过电压防护设备。
重庆医科大学附属第一医院
重庆医科大学附属第一医院信息系统等级保护测评的招标技术参数2020年5月13日重庆医科大学附属第一医院按照国家相关法律法规要求，对我单位“HIS系统、LIS系统、PACS系统、电子病历系统、互联网医院系统”等级保护2.0测评服务项目进行询价采购。
一、招标采购内容HIS系统、LIS系统、PACS系统、电子病历系统、互联网医院系统按等级保护三级开展等级保护测评服务，按需完成系统等级保护备案工作。
二、项目情况（一）项目简介网络安全等级保护测评（简称等级测评）是在《中华人民共和国网络安全法》、《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《信息安全等级保护管理办法》（公通字[2007]43号）等法规要求的等级保护制度——定级、备案、建设整改、等级测评、监督检查五个规定动作中的重要一环，依据国家法律、法规和技术标准对被测系统进行技术和管理两个方面进行全面测试、检查和测评，真实反映系统的安全保护能力，寻找问题和差距，为信息系统建设整改提供建议和依据。
网络安全等级保护测评就是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，测评安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施；为防范和化解信息安全风险，将风险控制在可接受的水平，从而最大限度地为保障信息安全提供科学依据。
使用工具针对关键的设备、重要的网段和高危的漏洞进行渗透测试，形成相应的实施及分析报告。
随着业务系统顺应开放和互连的趋势，信息安全范畴已经突破了以业务系统物理隔离和协议隔离为基础的传统信息安全。
必须在一个日趋开放的系统平台上重新审视信息安全问题。
我院“HIS系统、LIS系统、PACS系统、电子病历系统、互联网医院系统”涉及资金数额大，对社会影响广泛，是国家政策要求实施安全等级保护的重点系统。
因此，如何建立一个高效的现代信息安全体系，日益成为突出的问题。
“HIS系统、LIS系统、PACS系统、电子病历系统、互联网医院系统”网络安全等级保护评测项目即在此种背景下，通过对业务系统进行的一次全面的等级测评，及时、准确的了解当前系统的安全现状，对系统当前存在的风险进行有效的处理，对网络系统当前的某些安全问题（如普遍存在的问题、突出的问题、需要解决问题等）进行实际的解决。
等保测评技术方案
一、等级保护测评方案（一）测评范围与方法《基本要求》中对不同等级信息系统的安全功能和措施作出具体要求，信息安全等级测评要根据信息系统的等级从中选取相应等级的安全测评指标，并根据《测评要求》的要求，对信息系统实施安全现状测评。
因此，本次测评将根据信息系统的等级选取相应级别的测评指标。
1.测评指标三级基本指标依据定级结果，甲方的安全测评指标应包括《基本要求》第7节“第三级基本要求”中的3级通用指标类（G3），3级业务信息安全性指标类（S3）和3级业务服务保证类（A3）。
所包括的安全控制指标类型情况具体如下表：系统测评指标统计列表二级基本指标依据定级结果，甲方的安全测评指标应包括《基本要求》第7节“第三级基本要求”中的2级通用指标类（G2），2级业务信息安全性指标类（S2）和2级业务服务保证类（A2）。
所包括的安全控制指标类型情况具体如下表特殊指标无。
（二）测评对象1.测评对象选择方法测评对象包括网络互联与安全设备操作系统、应用软件系统、主机操作系统、数据库管理系统、安全相关人员、机房、介质以及管理文档。
选择过程中综合考虑了信息系统的安全保护等级、业务应用特点和对象所在具体设备的重要情况等要素，并兼顾了工作投入与结果产出两者的平衡关系。
2.测评对象选择结果2.1.物理机房测评对象-物理机房列表2.2.网络设备测评对象-网络设备列表3.安全设备测评对象-安全设备列表4.服务器或存储设备测评对象-服务器或存储设备列表5.终端或现场设备测评对象-终端或现场设备列表6.系统管理软件或平台测评对象-系统管理软件或平台列表7.业务应用系统或平台测评对象-业务应用系统或平台列表8.关键数据类型测评对象-关键数据类型列表测评对象-数据类型列表9.安全相关人员测评对象-安全相关人员列表10.安全管理文档测评对象-安全管理文档列表（三）测评方法本次等级测评现场实施过程中将综合采用访谈、检查和测试等测评方法。
1.访谈访谈是指测评人员通过与被测系统有关人员（个人/群体）进行交流、询问等活动，获取证据以证明信息系统安全保护措施是否有效的一类方法。
等保2.0测评项基本要求(安全通用要求二级 三级对比)
或限制；
d) 应限制无线网络的使用，
保证无线网络通过受控的边界
设备接入内部网络。
a) 应在网络边界或区域之间 a) 应在网络边界或区域之间
根据访问控制策略设置访问控 根据访问控制策略设置访问控
制规则，默认情况下除允许通 制规则，默认情况下除允许通
信外受控接口拒绝所有通信； 信外受控接口拒绝所有通信；
防破 全处；
全处；Biblioteka 坏 c)应设置机房防盗报警系统或
设置有专人值守的视频监控系
a）应将各类机柜、设施和设 a）应将各类机柜、设施和设
防雷 击
备等通过接地系统安全接地； b）应采取措施防止感应雷， 例如设置防雷保安器或过压保
备等通过接地系统安全接地；
护装置等。
a）机房应设置火灾自动消防 a）机房应设置火灾自动消防
坏后进行报警，并将验证结果 成审计记录送至安全管理中心
形成审计记录送至安全管理中 。 a) 应采用校验技术或密码技
术保证重要数据在传输过程中
的完整性，包括但不限于鉴别 a) 应采用校验技术保证重要
数据、重要业务数据、重要审 数据在传输过程中的完整性。
数据 计数据、重要配置数据、重要
完整 性
视频数据和重要个人信息等； b) 应采用校验技术或密码技
防静 电
采用必要的接地防静电措施； b) 应采取措施防止静电的产 生，例如采用静电消除器、佩
采用必要的接地防静电措施；
戴防静电手环等。
温湿 a)应设置温湿度自动调节设 a)应设置温湿度自动调节设
度控 施，使机房温湿度的变化在设 施，使机房温湿度的变化在设
制 备运行所允许的范围之内。 备运行所允许的范围之内。
e) 应提供通信线路、关键网
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷答案
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷姓名：分数：一、填空题（每空3分，共30分）1.安全测评通用要求中安全物理环境的测评对象是__________和__________。
2.机房__________设在地下室。
3.二级测评通用要求对机房设置防盗报警系统或有专人值守的视频监控系统__________（有或没有）作要求。
4.三级测评通用要求机房电力供应设置__________电力电缆线路。
5.三级测评通用要求网络设备的业务处理能力满足业务高峰期的要求，可通过查看网络设备的__________使用率和__________使用率。
6.边界防护中，__________级测评要求内外网的非法互联进行检测和限制。
7.云计算安全测评扩展要求云计算基础设施位于__________。
8.工业控制系统与企业其他系统之间应划分为__________个区域。
二、不定项选择（每题5分，共30分）1.三级测评通用要求机房出入口应__________。
A．安排专人值守B．放置灭火器C．安装玻璃门D．配置电子门禁系统2.三级测评通用要求防雷击除了将各类机柜、设施和设备等通过接地系统安全接地，还要求设置__________。
A．照明灯具B．过压保护器C．防雷保安器D．空气清新剂3.身份鉴别要求采用__________等两种或两种以上的鉴别技术。
A．动态口令B．数字证书C．生物技术D．设备指纹4.三级测评通用要求安全计算环境中，访问控制的粒度应达到主体为__________。
A．端口级B．用户级C．进程级D．应用级5.安全管理中心是《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》新增加的内容，三级测评通用要求安全管理中心内容包括__________。
A．系统管理B．审计管理C．安全管理D．集中管控6.工业控制系统内使用广域网进行进行控制指令或相关数据交换的应采用加密认证技术手段实现__________加密传输。
等保2.0测评项基本要求(物联网安全扩展要求二级 三级对比)
通信的目标地址，以避免对 通信的目标地址，以避免对
陌生地址的攻击行为。
陌生地址的攻击行为。
a) 应保证只有授权的用户
可以对感知节点设备上的软
件应用进行配置或变更；
感知节点 设备安全
b) 应具有对其连接的网关 节点设备（包括读卡器）进 行身份标识和鉴别的能力；
c) 应具有对其连接的其他
感知节点设备（包括路由节
感知节点 署、携带、维修、丢失和报 署、携带、维修、丢失和报
管理 废等过程作出明确规定，并 废等过程作出明确规定，并
进行全程管理；
进行全程管理；
c) 应加强对感知节点设备
、网关节点设备部署环境的
保密性管理，包括负责检查
和维护的人员调离工作岗位
应立即交还相关检查工具和
检查维护记录等。
20
7
知节点设备、网关节点设备 知节点设备、网关节点设备
的部署环境，对可能影响感 的部署环境，对可能影响感
知节点设备、网关节点设备 知节点设备、网关节点设备
正常工作的环境异常进行记 正常工作的环境异常进行记
b) 应对感知节点设备、网 b) 应对感知节点设备、网
关节点设备入库、存储、部 关节点设备入库、存储、部
安全 物理 环境
安全 区域 边界
安全 计算 环境
三级要求
二级要求
a) 感知节点设备所处的物 a) 感知节点设备所处的物
理环境应不对感知节点设备 理环境应不对感知节点设备
造成物理破坏，如挤压、强 造成物理破坏，如挤压、强
b) 感知节点设备在工物理环境应能正确反 态所处物理环境应能正确反
a) 应能够鉴别数据的新鲜
抗数据重 性，避免历史数据的重放攻
放
等保测评技术要求
等保测评技术要求一、服务内容依据《中华人民共和国网络安全法》等国家相关法律、标准要求,对互联网医院环境进行三级等保测评服务，并出具《测评报告》。
二、服务要求（一）等保测评依据《中华人民共和国网络安全法》等国家相关法律、标准要求,对互联网医院环境进行三级等保测评服务，并出具《测评报告》。
若首次测评后被测信息系统需要进行整改，在约定的整改期限内提供复测服务。
服务时间：7*24服务方式：现场和远程交付成果：测评报告。
（二）定级备案协助采购人对测评范围内未定级、未备案的系统形成定级、备案相关材料，组织开展专家评审会，完成定级备案等相关服务工作。
服务时间：7*24服务方式：现场交付成果：备案证明。
（三）测评服务范围依据《信息安全技术网络安全等级保护基本要求》，测评内容包括但不限于：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理等十个层面开展测评工作。
(1)安全物理环境测评内容：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护。
(2)安全通信网络测评内容：网络架构、通信传输、可信验证。
(3)安全区域边界测评内容：边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证。
(4)安全计算环境测评内容：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护。
(5)安全管理中心测评内容：系统管理、审计管理、安全管理、集中管控。
(6)安全管理制度测评内容：安全策略、管理制度、制定和发布、评审和修订。
(7)安全管理机构测评内容：岗位设置、人员配备、授权和审批、沟通和合作、审核和检查。
（8）安全管理人员测评内容：人员录用、人员离岗、安全意识教育和培训、外部人员访问管理。
（9）安全建设管理测评内容：定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商选择。
云计算安全测评指导书(二级)
时，是否得到完全清除；
云计算平台 2、应核查在迁移或删除虚拟机后，数据以
及备份数据（如镜像文件、快照文件等）是
否已清理。
云存储系统和 应核查当云服务客户删除业务应用数据时，
云计算平台 云存储中所有副本是否被删除。 1、应访谈系统建设负责人是否根据业务系
统的安全保护等级选择具有相应等级安全保
系统建设负责 护能力的云计算平台及云服务商；
机房管理员、 办公场地、机 房和平台建设
方案
设备、网络设备、云管理平台、信息系统等 运行业务和承载数据的软硬件是否均位于中 国境内； 2、应核查云计算平台建设方案，云计算服 务器、存储设备、网络设备、云管理平台、
信息系统等运行业务和承载数据的软硬件是
云计算平台和 业务应用系统 定级备案材料 网络资源隔离
0.4
7.2.5 安全建设 管理
务商的权限与责任，包括管理范围 、职责划分、访问授权、隐私保护
0.4
、行为准则、违约责任等；
7.2.5.1 云服务商选择
7.2.5 安全建设
管理
d) 应在服务水平协议中规定服务
合约到期时，完整提供云服务客户 数据，并承诺相关数据在云计算平
1
台a)上应清确除保。供应商的选择符合国家 有关规定；
SQL注入、跨站脚本等攻击行为的发现和阻
断能力；
5、应核查抗APT攻击系统、网络入侵保护系
统等入侵防范设备或相关组件是否能够检测
出
具有恶意行为、过分占用计算资源和带宽资
源等恶意行为的虚拟机；
抗APT 攻击系 统、网络回溯 系统、威胁情 报检测系统、 抗DDoS 攻击 系统和入侵保 护系统或相关
组件
6、应核查云管理平台对云服务客户攻击行 1、应核查是否部署网络攻击行为检测设备 或相关组件对虚拟网络节点的网络攻击行为 进行 防范，并能记录攻击类型、攻击时间、攻击 流量等； 2、 应核查网络攻击行为检测设备或相关组 件的规则库是否为最新。
网络安全等级保护测评实施方案参考
一网络安全等级保护测评简介二网络安全等级保护测评实施n等级测评n测评机构依据国家网络安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密的网络安全等级保护状况进行检测评估的活动n测评对象n等级测评过程中不同测评方法作用的对象，主要涉及相关配套的制度文档、设备设施及人员等1.《信息安全技术计算机信息系统安全保护等级划分准则》GB 17859-19992.《信息安全技术网络安全等级保护基本要求》GB/ T 22239-20193.《信息安全技术网络安全等级保护测评要求》GB/T 28448-20194.《信息安全技术网络安全等级保护测评过程指南》GB/T 28449-20185.《信息安全技术信息安全风险评估模型》GB/T 20984-2007测评指标选择：ü不管等保对象的形态如何，必须使用安全测评通用要求部分进行全面测评。
ü对于使用特定技术或特定形态的等级保护对象，再使用相对应的安全测评扩展要求部分进行测评。
n采用第三级的安全要求作为本次测评指标：n安全通用要求。
n 基本情况调研n 结果数据分析n 测评工具准备测评准备方案编制现场测评报告编制n 单项符合性判定n 整体测评n 安全问题分析n 形成测评结论n 提出整改建议n 选择测评对象n 选择测评指标n 确定测评方法n 编制测评计划n 人员访谈n 安全配置核查n 网络抓包与分析n 漏洞扫描与验证n 渗透测试/验证n 物理机房及环境潜在威胁n 网络（拓扑、外联、设备、边界）n 安全设备及虚拟安全设备等n 系统软件（操作系统、虚拟机操作系统、数据库、中间件、系统管理软件、重要终端等）n 应用软件（业务流、数据流和部署）n 管理（机构设置、人员职责、管理相关文档等）1.物理机房的位置及运行情况。
2.系统整个网络拓扑情况及关键设备部署情况。
3.网络边界安全隔离情况（包括互联网边界、内部安全区域边界和不同等级的系统边界等）4.同一VPC内不同VLAN间的安全隔离需求情况。
等级保护测评-安全测评通用要求
一．安全物理环境1 物理位置选择测评单元(L3-PES1-01)该测评单元包括以下要求：a) 测评指标：机房场地应选择在具有防震、防风和防雨等能力的建筑内。
b) 测评对象：记录类文档和机房。
c) 测评实施包括以下内容：1) 应核查所在建筑物是否具有建筑物抗震设防审批文档；2) 应核查机房是否不存在雨水渗漏；3) 应核查门窗是否不存在因风导致的尘土严重；4) 应核查屋顶、墙体、门窗和地面等是否不存在破损开裂。
d) 单元判定：如果1)~4)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
测评单元(L3-PES1-02)该测评单元包括以下要求：a) 测评指标：机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
b) 测评对象：机房。
c) 测评实施：应核查机房是否不位于所在建筑物的顶层或地下室，如果否，则核查机房是否采取了防水和防潮措施。
d) 单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 物理访问控制测评单元(L3-PES1-03)该测评单元包括以下要求：a) 测评指标：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。
b) 测评对象：机房电子门禁系统。
c) 测评实施包括以下内容：1) 应核查出入口是否配置电子门禁系统；2) 应核查电子门禁系统是否可以鉴别、记录进入的人员信息。
d) 单元判定：如果1)和2) 均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
3 防盗窃和防破坏测评单元(L3-PES1-04)该测评单元包括以下要求：a) 测评指标：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
b) 测评对象：机房设备或主要部件。
c) 测评实施包括以下内容：1) 应核查机房内设备或主要部件是否固定；2) 应核查机房内设备或主要部件上是否设置了明显且不易除去的标识。
d) 单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
计算机机房安全等级测评内容
计算机机房安全等级测评内容计算机机房安全等级测评内容1、物理安全 1.1 结果记录根据该系统物理安全备测评对象的单项测评结果，可以判定得出物理安全层面测评指标的测评结论，具体如下表所示：1.1.1物理安全测评结果汇总和统计表1.1.2根据现场测评记录结果和上表的统计，信息系统在物理安全方面采取的安全保护措施和存在的主要问题如下：1、物理访问控制：机房内未部署视频监控系统。
2、防盗窃和防破坏：网络设备、安全设备、通信线缆均没有黏贴相应的且不易除去的标签；机房内未部署防盗报警系统。
3、防火：机房内未部署消防自动报警系统和灭火器。
4、温湿度控制：更换普通空调，采用精密空调，同时部署机房环境监控系统。
1.2 网络安全1.2.1 结果记录根据该系统网络安全备测评对象的单项测评结果，可以判定得出网络安全层面测评指标的测评结论，具体如下表所示：1.2.1.1 网络全局1.2.1.2 汇聚交换机1.2.2 结果汇总网络全局安全测评结果汇总和统计表汇聚交换机安全测评结果汇总和统计表1.2.3 问题分析根据现场测评记录结果和上表的统计，信息系统在网络安全方面采取的安全保护措施和存在的主要问题如下：1、结构安全：未按照业务功能以及部门办公划分多个vlan ，需要部署防火墙、WAF防火墙、入侵检测设备和安全审计系统。
2、网络设备防护：汇聚交换机均未限制管理员的登录地址；汇聚交换机现有用户口令由字母组成，不符合复杂度要求，未定期更换；交换机虽开启的日志审计功能，但未对用户的行为进行审计。
日常执行远程管理时，汇集交换机未配置登录失败处理策略，未能有效阻止非法登陆。
1.3 主机安全1.3.1 结果记录根据该系统主机安全测评对象的单项测评结果，可以判定得出主机安全层面测评指标的测评结论，具体如下表所示：1.3.1.1 信息系统服务器( IP:192.168.70.252 )1.3.1.2 数据库服务器( IP:192.168.70.102 )1.3.2 结果汇总信息系统服务器安全测评结果汇总和统计表数据库服务器安全测评结果汇总和统计表1.3.3 问题分析根据现场测评记录结果和上表的统计，信息系统在主机安全方面采取的安全保护措施和存在的主要问题具体如下：1、身份鉴别：未启用密码复杂度检查功能，未启用定期更换密码功能；未启用登录失败处理功能2、安全审计：服务器仅开启了默认的审核策略（用户登录信息），日志信息没有定期保存，易受到未预期的删除、修改或覆盖等。
等保系列之——网络安全等级保护测评工作流程及工作内容
等保系列之——网络安全等级保护测评工作流程及工作内容一、网络安全等级保护测评过程概述网络安全等级保护测评工作过程包括四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动。
而测评相关方之间的沟通与洽谈应贯穿整个测评过程。
每一项活动有一定的工作任务。
如下表。
01基本工作流程①测评准备活动本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。
测评准备工作是否充分直接关系到后续工作能否顺利开展。
本活动的主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。
②方案编制活动本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。
本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。
③现场测评活动本活动是开展等级测评工作的核心活动。
本活动的主要任务是按照测评方案的总体要求，严格执行测评指导书测评指导书，分步实施所有测评项目，包括单元测评和整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。
④分析与报告编制活动本活动是给出等级测评工作结果的活动，是总结被测系统整体安全保护能力的综合评价活动。
本活动的主要任务是根据现场测评结果和《信息安全技术网络安全等级保护测评要求》GB/T28448-2023的有关要求，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。
02工作方法网络安全等级保护测评主要工作方法包括访谈、文档审查、配置检查、工具测试和实地察看。
访谈是指测评人员与被测系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。
访谈的对象是人员，访谈涉及的技术安全和管理安全测评的测评结果，要提供记录或录音。
物理实验室环境及安全审核表
物理实验室环境及安全审核表1. 实验室概况- 实验室名称：[填写实验室名称]- 实验室地址：[填写实验室地址]- 实验室负责人：[填写实验室负责人姓名]- 实验室联系[填写实验室联系电话]- 实验室使用人数：[填写实验室使用人数]2. 实验室环境审核2.1 实验室布局- 实验室布局合理，工作区域与通道设置符合安全要求。
- 电路、仪器、设备等摆放整齐，有足够的工作空间。
2.2 通风与空调- 实验室通风良好，保持空气流通。
- 空调系统正常运行，温度和湿度控制在合适范围内。
2.3 照明- 实验室照明明亮，确保工作区域光线充足，减少眼睛疲劳。
2.4 废弃物处理- 废弃物分类及储存符合相关法规和标准。
- 废弃物储存区域干净整洁，避免交叉污染和安全隐患。
2.5 紧急应急设备- 实验室配备了紧急应急设备，如灭火器、急救箱等。
- 紧急应急设备位置明确，易于使用和获取。
3. 实验室安全审核3.1 实验操作规范- 实验操作人员遵守相关的实验操作规范和安全操作程序。
- 实验室人员使用个人防护装备，如实验服、手套、护目镜等。
3.2 实验设备检查- 实验设备正常运行，无明显损坏或故障。
- 设备保养和维修记录完善，定期检查和维护。
3.3 电气安全- 电气设备符合安全要求，无漏电、短路等安全隐患。
- 电源线缆整齐、固定牢固，避免踩踏和绊倒。
3.4 化学品管理- 化学品储存符合相关法规和标准，标识明确。
- 化学品储存区域通风良好，远离热源和易燃物。
3.5 火灾安全- 实验室配备了火灾报警器，并定期检查和测试。
- 灭火器材齐全、有效期内，易于获取和操作。
以上为物理实验室环境及安全审核表，审核结果符合要求。
如有发现问题或不符合要求的地方，应及时整改和改进，以确保实验室的环境和安全。
等保测评--权重表(二级)
序号层面控制点要求项1物理安全物理位置的选择a）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；2物理安全物理访问控制a）机房出入口应安排专人值守，控制、鉴别和记录进入的人员。
3物理安全物理访问控制b）需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。
4物理安全防盗窃和防破坏a）应将主要设备放置在机房内。
5物理安全防盗窃和防破坏b）应将设备或主要部件进行固定，并设置明显的不易除去的标记。
6物理安全防盗窃和防破坏c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。
7物理安全防盗窃和防破坏d）应对介质分类标识，存储在介质库或档案室中。
8物理安全防盗窃和防破坏e）主机房应安装必要的防盗报警设施。
9物理安全防雷击a）机房建筑应设置避雷装置。
10物理安全防雷击b）机房应设置交流电源地线。
11物理安全防火机房应设置灭火设备和火灾自动报警系统。
12物理安全防水和防潮a）水管安装，不得穿过机房屋顶和活动地板下。
13物理安全防水和防潮b）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
14物理安全防水和防潮c）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。
15物理安全防静电a）关键设备应采用必要的接地防静电措施。
16物理安全温湿度控制a）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。
17物理安全电力供应a）应在机房供电线路上配置稳压器和过电压防护设备。
18物理安全电力供应b）应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。
19物理安全电磁防护a）电源线和通信线缆应隔离铺设，避免互相干扰。
20网络安全结构安全a）应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；21网络安全结构安全b）应保证接入网络和核心网络的带宽满足业务高峰期需要；22网络安全结构安全c）应绘制与当前运行情况相符的网络拓扑结构图；23网络安全结构安全d）应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；24网络安全访问控制a）应在网络边界部署访问控制设备，启用访问控制功能；25网络安全访问控制b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级；26网络安全访问控制c）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；27网络安全访问控制d）应限制具有拨号访问权限的用户数量。
等级保护三级安全物理环境要求解读
5
b）应将通信线缆铺设在隐蔽安全处；
机房内通信线缆需要铺设在隐蔽安全处，防止线缆受损
6
c）应设置机房防盗报警系统或设置有专人值守的视频监控系统。
机房需要安装防盗报警系统，或在安装视频监控系统的同时安排专人进行值守，防止盗窃和恶意破坏行为的发生
7
防雷击
a）应将各类机柜、设施和设备等通过接地系统安全接地；
在机房内对机柜、各类设施和设备采取接地措施，防止雷击对电子设备产生
损害
8
b）应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等。
在机房内安装防雷保安器或过压保护等装置,防止感应雷对电子设备产生损害
9
防火
a）机房应设置火灾自动消防系统，能够自动检测火情自动报警，并自动灭火；
序号
控制点
测评项
要求解读
1
物理位置选择
a）机房场地应选择在具有防震、防风和防雨等能力的建筑内；
机房场地所在的建筑物要具有防震、防风和防雨等的能力
2
b）机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
机房场地要避免设置在建筑物的顶层或地下室。如果因为某些原因无法避免时，设置在建筑物顶层或地下室的机房需要加强防水和防潮措施
14
c）应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
机房内需要布设对水敏感的检测装置，对渗水、漏水情况进行检测和报警
15
防静电
a）应采用防静电地板或地面并采用必要的接地防静电措施；
机房内需要安装防静电地板或在地面采取必要的接地措施,防止静电的产生
16
等级保护测评指导书
1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。
检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。
机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。
b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。
1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。
2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。
1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。
b)检查机房出入口等过程，测评信息系统在物访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是1）来访人员进入机房需经过申请、审批流程并记录； 2）进入机房有机房管理人员理访问控制方面的安全防范能力。
否限制和监控其活动范围。
检查：检查是否有来访人员进入机房的审批记录。
陪同并监控和限制其活动范围。
c)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
等级保护测评物理安全
1）具有机房内空调机和加湿器，并设 置了挡水和排水设施。 2）湿度较高地区的机房有除湿装置并 能够正常运行。 3）具有定期检查和维护记录 4）具有机房湿度记录。
1）应检查是否设置水敏感的检测仪表或元 件，对机房进行防水检测和报警，查看该仪 表或元件是否正常运行。 2)应检查是否有防水检测装置的运行记录、 期检查和维护记录。
c）应采取措施防止机房内水蒸气 结露和地下积水的转移与渗透。
d）应安装对水敏感的检测仪表或 元件，对机房进行防水检测和报 警。
a）主要设备应采用必要的接地防
7
防静电
静电措施。
检查方法 免穿过屋顶和活动地板下。
预期结果
1）应检查机房是否具有对外开放的窗户，如 果有窗户是否采取必要的防雨措施。在屋顶 和墙壁等是否不存在漏水、渗透和返潮现象， 机房及其环境是否不存在明显的漏水和返潮 的威胁。
备注说明
序号 测评指标
测评项
b）应提供短期的备用电力供应， 至少满足主要设备在断电情况下 的正常运行要求。
c）应设置冗余或并行的电力电缆 线路为计算机系统供电。
d）应建立备用供电系统。
a）应采用接地方式防止外界电磁
干扰和设备寄生耦合干扰。
10
电磁防护
b）电源线和通信线缆应隔离铺 设，避免互相干扰。
1）建立了备用供电系统（发电机）。 2）具有备用供电系统运行记录、定期 检查和维护记录。
预期结果 2）机房设计验收文档中描述了接地防 静电措施。
1）机房不存在静电现象。 2）机房采用了防静电地板或敷设防静 电地面。
1）应检查温、湿度自动调节系统是否能够正 常运行。
5-6-7_物理安全和安全管理测评--工具测试方法
管理制度文件的格式、版本、修订记录、各种评审记录以及发放登记记录
制定和修订方面的文字具体要求，修订计划，修订流程
安全管理制度制、修订的责任人，具体制定、发布流程
测评内容及要点说明-安全管理制度-续
落实难点：
安全方针、管理制度、操作规程三层文件形成管理制度文件体系
安全主管
安全管理制度体系、制度制修订、岗位设置和人员配备、沟通和合作、授权和审批、审核和检查
……
……
……
……
……
续，几点说明：
根据角色分工，明确其熟知的安全控制点，确定访谈配合人员
以配合人员为主，根据对其访谈内容的多少，估算大约占用对方的时间，以便其明确具体时间安排
测评工作前期准备-文档交接单
根据各单位内部管理程序自行设计
根据岗位人员配备名单了解安全管理员是否是专职人员其他岗位人员配备情况关键岗位是否配备两人或两人以上续落实要点审批事项审批部门批准人及审批程序等制度审批过程实际执行记录了解授权和审批情各类会议纪要外协单位联系档案了解部门内外沟通和合作情况安全检查周期内容程序等制度各类安全检查表格以往安全检查记录或总结了解对信息系统的安全检查情况测评内容及要点说明安全管理机构续落实难点定期的全面安全检查测评内容及要点说明人员安全管理567物理安全和安全管理测评工具测试方法567物理安全和安全管理测评工具测试方法测评内容及要点说明人员安全管理续落实要点录用离岗考核安全意识教育和培训方面的规定外部人员访问方面的规定制度测评内容及要点说明人员安全管理续落实难点对外部人员允许访问的区域系统设备信息等内容的详细书面规定
管理制度定期的评审、修订、完善
测评内容及要点说明-安全管理机构
测评内容及要点说明-安全管理机构-续
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安全物理检查项合规
1)核查是否有建筑物抗震设防审批文档1
2)核查是否有雨水渗漏的痕迹2
3)核查是否有可灵活开启的窗户，若有窗户，是否做了封闭、上锁等防护措施3
4)核查屋顶、墙体、门窗和地面等是否有破损开裂的情况4
1)核查机房是否在顶层或地下室5
2)若是，核查机房是否采取了防水和防潮措施6
1)核查出入口是否配置电子门禁系统7
2)核查电子门禁系统是否开启并正常运行8
3)核查电子门禁系统是否可以鉴别、记录进入的人员信息9
1)核查机房内设备或主要部件是否固定10
2)核查机房内设备或主要部件上是否设置了明显且不易除去的标记11核查机房内通信线缆是否铺设在隐蔽安全处12
1)核查是否配置防盗报警系统或专人值守的视频监控系统13
2)核查防盗报警系统或视频监控系统是否开启并正常运行14核查机房内机柜、设施和设备等是否进行接地处理，通常黄绿色相间的电线为接地用线15
1)核查机房内是否设置防感应雷措施16
2)核查防雷装置是否通过验收或国家有关部门的技术检测17 1核查机房内是否设置火灾自动消防系统18
2)核查火灾自动消防系统是否可以自动检测火情、自动报警并自动灭火19
3)核查火灾自动消防系统是否通过验收或国家有关部门的技术检测20核查机房验收文档是否明确所用建筑材料的耐火等级21
1)核查是否进行了区域划分22
2)核查各区域间是否采取了防火隔离措施23核查窗户、屋顶和墙壁是否采取了防渗漏的措施24
1)核查是否采取了防止水蒸气结露的措施25
2)核查是否采取了排水措施，防止地面产生积水26
1)核查是否安装了对水敏感的检测装置27
2)核查防水检测和报警装置是否开启并正常运行28
1)核查是否安装了防静电地板29
2)核查是否采用了防静电接地措施30核查机房内是否配备了静电消除设备。
31
1)核查机房内是否配备了专用空调32
2)核查机房内温湿度是否在设备运行所允许的范围之内33核查供电线路上是否配置了稳压器和过电压防护设备34
1)核查是否配备不间断电源(UPS)等备用供电系统35
2)核查不间断电源(UPS)等备用供电系统的运行切换记录和检修维护记录36核查是否设置了冗余或并行的电力电缆线路为计算机系统供电37核查机房内电源线缆和通信线缆是否隔离铺设38核查机房内是否为关键设备配备了电磁屏蔽装置39备注：
预期结果或主要证据序号
1)机房具有验收文档1
2)天花板、窗台下无水渗漏的现象2
3)机房无窗户，有窗户且做了防护措施3
4)现场观测屋顶、墙体、门窗和地面等无开裂的情况4
1)非建筑物顶层或地下室5
2)在顶层或地下室的，做了严格的防水防潮措施6
1)机房出入口是配备电子门禁7
2)电子门禁系统工作正常，可对进出人员进行鉴别8
9
1)机房内设备均放置在机柜或机架，并已固定10
2)设备或主要部件均设置了不易除去的标识、标志，如使用粘贴方式则不能有翘起11机房通信线缆铺设在线槽或桥架里12 1) 机房内配置了防盗报警系统或专人值守的视频监控系统13 2） 现场观测时监控系统正常工作14机房内所有机柜、设施和设备等均已采取了接地的控制措施15
1)机房内设置了防感应雷措施，如设置了防雷感应器、防浪涌插座等16
2)防雷装置通过了国家有关部门的技术检测17
1)机房内设置火灾自动消防系统18
2)现场观测时火灾自动消防系统工作正常19
20机房所有材料为耐火材料，如使用墙体、防火玻璃等，但使用金属栅栏的不能算符合21
1)机房进行了区域划分，如过渡区、主机房22
2)区域间部署了防火隔离装置23机房采取了防雨水渗透的措施，如封锁了窗户并采取了防水、屋顶和墙壁均采取了防雨水渗透的措施24
1)机房内配备了专用的精密空调来防止水蒸气结露的控制措施25
2)机房内部署了漏水检测装置，可以对漏水进行监控报警26
1)机房内部署了漏水检测装置，如漏水检测绳等27
2)检测和报警工作正常28
1)机房部署了防静电地板29
2)机房采用了接地的防静电措施30机房配备了防静电设备31
1)机房内配备了专用的精密空调32
2)机房内温湿度设置在20-25,湿度为: 40%-60%33 1)机房的计算机系统供电线路上设置了稳压器和过电压防护设备
34 2)现场观测时稳压器和过电压防护设备可正常工作
1)机房配备了UPS后备电源系统35
2)UPS能够满足短期断电时的供电要求36为机房配备了冗余的供电线路，如市电双路接入38机房内电源线缆和通信线缆隔离铺设，如通过线槽或桥架进行了隔离38为关键设备采取了电磁屏蔽措施，如配备了屏蔽机柜或屏蔽机房，关键设备 ；如加密机39。