信息系统安全等级保护物理安全方案

第七章物理安全技术实施7.1 概述物理安全由称为实体安全，是整个计算机信息系统安全的基石，其目标是保护计算机设备、通信链路和其它媒体免遭自然灾害、环境事故、人为失误及各种计算机犯罪行为导致的破坏。

从机房建设的角度划分，物理安全建设可分为环境物理安全建设、基本物理设备安全建设和只能设备物理安全建设三个部分。

环境物理安全建设是整个信息系统安全建设不可忽视的重要组成部分，旨在加强对地震、水灾和雷电等自然灾害的预防；基本物理设备安全建设指配电柜、UPS电源、机房专用空调和网络设备等机房必须设备的安全建设，保障基本物理设备的安全，已成为信息系统建设的第一道防线；智能设备物理安全建设包括门禁系统、防盗报警系统、机房监控系统、消防报警系统等，随着信息社会的高速发展，智能设备在机房建设中越来越重要，其效果比之前的人工管理也有了很大的提供，故实现机房的智能化管理，已成为现代机房建设的必备元素。

7.2 安全风险信息系统物理安全风险可分为非人为安全风险和人为安全风险两部分。

非人为安全风险指自然灾害、环境影响和设备故障等造成的风险，人为安全风险是指由人员失误或恶意攻击等造成的风险。

对物理安全风险的简单描述如表7-1所示。

表7-1 物理安全风险分类表7.3 安全目标物理安全建设是整个信息系统安全建设的第一步，故其完成度和安全性对信息系统安全建设影响很大。

为了实现信息系统的可靠运行，物理安全建设应达到以下目标：(一)根据不同的安全等级，选择机房建设位置和建筑建设基本要求；(二)实现不同安全等级的访问控制功能，保护机房的设备及数据安全；(三)实现不同安全等级的防雷击和防火要求，根据系统级别配置相应的避雷设备和灭火设备；(四)保护机房设备，防止其被盗窃或者被破坏；(五)采取相应的措施防止机房进水或者设备漏水，同时加强机房的温湿度控制，加强机房环境管理。

(六)保障机房电力正常供应，并对主要设备进行防静电和电磁防护措施。

物理安全建设技术要求从物理环境建设技术和人员控制技术两方面来实现，其对各级系统的概括要求如表7-2所示。

表7-2 物理安全控制点等级保护中各级系统在建设中对控制点的物理技术要求如表7-3所示感谢下载载感谢下载载感谢下载载7.4 目标措施对应表表7-4 物理安全目标与对应措施机房专用空调应正确部署及维护网络设备的采购、编号、定期检查、借用、报废和日常维护等职能设备物理安全措施安装门禁系统安装防盗报警系统安装机房监控报警系统安装消防报警系统7.5 安全措施机房建设可分为环境物理安全建设、基本设备物理安全建设、智能设备物理安全建设。

其中，环境物理安全建设可分为物理位置的选择、温湿度控制和电磁防护等方面的建设；基本设备物理安全建设即网络设备、电气设备等的基本部署及安全建设；智能设备物理安全建设包括温湿度控制系统、报警系统、监控系统和消防系统等的建设7.5.1 环境物理安全措施环境物理安全措施包括机房环境安全措施和机房运行安全措施，这两方面的实施要点如下：1.机房环境安全措施1)机房物理位置的选择(一)机房和办公场所应选择在防震、防水、防风、防雨等能了的建筑内；(二)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

2)防火(一)机房应设置自动灭火装置，能够自动检测火情、自动报警、并自动灭火；(二)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；(三)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

从防火的角度出发，可将机房分为脆弱区、危险区和一般要求区3个区域，脆弱区一旦发生火灾，将造成全局性的业务中断，使重要信息遭受严重破坏，极大的威胁机房安全，故这一区域应严格重点进行消防报警管理，出现火灾时应首先对这一区域进行灭火等操作；危险区多存放易燃物质，由于其存放的物质的特殊性，故在进行机房管理时应多加注意，防止出现火情，若出现火情应及时进行扑灭，以免蔓延至脆弱区，造成更大的损失；一般要求区即上述区域外的地方，其消费措施没有特殊的要求，保障安全正常的灭火报警系统即可。

3)防雷击(一)机房建筑应设置避雷装置；(二)应设置防雷保护器，防止感应雷；(三)机房应设置交流电源地线。

4)防水和防潮1)水管安装不得穿过机房屋顶和活动地板下；2)除空调设备外，机房内其设备一般不得安装水源；3)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗漏；4)应采取措施防止机房内水蒸气结露和地下积水的转移和渗透；5)应安装对水敏感的检测仪或元件，对机房进行漏水监测和报警。

6)防静电(一)主要设备采用必要的接地防静电措施；(二)机房采用防静电地板；(三)工作人员的衣服和鞋子尽量用不产生静电的衣料制作；(四)维修人员进行硬件设备的维护特别是电路板的更换时候，最好戴接地手套；(五)控制机房的湿度，使得机房的相对湿度维持在正常的要求的范围内，不宜偏低；(六)在静电发生频繁的地方使用静电消除剂。

7)电磁防护(一)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；(二)电源线和通信线缆应隔离敷设，避免相互干扰；(三)应对关键设备和磁介质实施电磁屏蔽。

8)机房布线措施(一)安装地线；(二)安装备份线路；(三)应找专业的电工人员或者综合布线人员来布线，且要做好机房布线的档案工作，以便日后维护。

2.机房运行安全措施1)机房人员日常行为准则(一)注意机房的环境卫生，不得在机房内吃零食、吸烟等；(二)应对值班人员的责任细化，将责任落实到个人；(三)机房工作人员必须按操作规程使用各种设备，以免出现误操作缩短设备的使用寿命；(四)严禁在机房大声喧哗、聊天、看视频等影响他人正常工作的行为。

2)机房日常巡视制度(一)检查机房的环境卫生、温湿度、安全等情况，并认真做好记录；(二)检查机房网络设备、空调系统、配电柜和UPS等基本物理设备的工作情况，并做好记录；(三)检查机房的消防系统、防盗报警系统等职能设备的运行情况，并做好记录。

3)机房安全保密制度(一)机房出入口安排专人值守，重要区域应配置电子门禁系统，对出入人员进行鉴别和记录；(二)对非本机房工作人员不得随意进出机房，遇特殊情况时，必须登记方可进入，且对其活动范围进行限制和监控；(三)值班人员需确定机房门、窗关闭，防盗装置正常开启后，方可离岗；(四)工作人员有保护机房信息安全的义务，其工作区域内的重要文件、资料和设备等的安全应得到保障；(五)禁止将机房要素、门禁卡等物品外借他人，遇到遗失钥匙的情况要及时上报，积极主动保护机房安全；4)机房硬件设备维护制度(一)工作人员应该熟识各设备的操作规程和养护方法，尽可能延长设备的使用寿命；(二)定期检查配电柜、UPS、机房专用空调、风机、消防设备、防雷设备和报警系统等硬件的运行状态，查阅各设备的日志报告，了解设备的运行情况，并做好记录；(三)不得随意搬动、更改设备，遇特殊情况时，需要专业人员等的指导下进行；5)机房资料管理(一)应建立机房资料管理制度，根据资料用途、设备类别等进行分类，并由专人进行管理；(二)机房资料应随着设备更新、维护等情况予以相应的变更，及时记录记录的更新情况；(三)工作人员有保护机房资料和数据安全的业务，不得随意泄露机房秘密；(四)进行权限划分，只有拥有相应权限权限的人才可以查阅相关资料，未经授权不得进行查阅；(五)重要资料和数据等应进行加密备份。

7.5.2 基本设备物理安全在机房建设过程中，计算机电器系统设备是保证机房运行必不可少的设备，如网络交换机、配电柜、不断电系统、机房专用空调、风机和空气净化器等，这些设备的正常运行与否直接影响了机房的建设，故应做好这类设备的安全保护，从而进一步维护机房的安全运行。

1.配电柜计算机机房的供电系统一般由机损及网络设备供电系统、机房设备敷设的供电系统和备用供电系统组成，而机房专用配电柜在这三个系统中都起着至关重要的作用，所以为了保证机房设备的正常供电，机房专用配电柜设计必须正确合理。

在设计配电柜时，既要思考各个供电系统之间的相互关系，也要考虑用电设备的负荷，采取合理的方案来布置配电柜，是的配电柜使用维修方便，各配电柜之间的控制关系良好。

大型机房电器原理如图7-2所示。

机房专用配电柜在使用时需从标示、线路和组件等方面综合考虑，具体包含要求如下。

(一)标示：机房配电柜的编号应包括配电柜号及其用途两项，如2号动力配电柜；配电柜内的各种开关、手柄和操作按钮应标记清楚，以防止使用中出现误操作；配电柜内的各线路应按国家规定的颜色标记并编号。

(二)线路：配电柜内应根据计算机设备及其辅助设备的不同要求，设置中线和接地线的连接装置，中线（N）、接地线（PE）和配电柜外壳要绝缘；配电柜内采用的母线、接线排及各种电缆、导线、中性线、接地线等，都应符合国家标准；配电柜诶要留有备用电路，作为机房扩充使用。

(三)组件：配电柜内主要电气组件应质量稳定、性能可靠的产品；应该设置电流表、电压表，用于检测配电柜面板电流、电源电压和三相间平衡关系；配电柜内应配有应急开关；消防报警系统与动力配电柜联动，当消防报警信号被确认后，由消防控制系统将动力配电柜的电压切断。

(四)其他：配电柜内铝排与铜排相接时，要采用铝铜过度材料，如采用过度材料有困难，则铜件上一定要上锡。

2.不间断电源系统不间断电源系统（Uninterruptible Power System）旨在建立一个不断电系统，在市电中断的情况下，后备电源几乎可以在无端点的情况下，实现对负载的正常供电，使负载可以正常工作并保护负载软、硬件不受损害，另外，部分UPS还可以在市电正常供电时，通过自身的稳频功能，将市电稳压后供应给负载使用。

UPS部署图如图7-3所示。

UPS正确使用和维护可以延长寿命至10年，若维护不当，则其可能在几年或者更短的时间内就会报废，故需要在其使用过程中注意一下几个方面。

(一)专人管理：值班人员应做好UPS每日工作的情况记录，以方便日后的维护；UPS电源的维修和管理应由专业技术人员进行处理，机房工作人员不得随便开关UPS；机房工作人员应定期测试UPS的工作性能参数，如发现异常应及时进行处理。

(二)工作环境：UPS的工作环境要保持清洁、无污染，工作间应控制一定的温湿度，具体参数应查看当前UPS说明书。

(三)线路：UPS输入线不得在接其他供电设备，电源输入钱最好接稳压器，保证输入电源的质量；电源输出电路不得接电动机、电吹风等一般用电设备，保证电源职工给计算机设备的用电。

(四)电池：值班人员应定期给UPS蓄电池充放电，以恢复电池的容量。

3.机房专用空调机房专用空调为恒温恒湿空调，是专供机房使用的高精度空调，由控制监测系统、通风系统、制冷循环系统、加湿系统、加热系统及水冷机组水循环等六部分组成。

图7-4和图7-5分别为机房专用空调工作图和机房专用空调组成图。