物理环境安全ppt

设计物理安全计划（Designing a Physical Security Program ）
物理安全控制
物理安全机制可以包括站点的设计和布局（Site Design and Configuration）、环境控制（Environment Control） 系统、应急响应（Emergency Response）准备和培训、 物理访问控制（Physical Access Control）和入侵探测 （Intrusion Detection）以及电力（Power Supply）和消 防（Fire Suppression）保护系统。
风险、基线和对策关系
设计步骤
确定一个内部员工和/或外部顾问团队，他们将通过下列步 骤构建物理安全计划
执行风险分析，以标识脆弱性和威胁，并计算每种威胁带 来的业务影响
根据可接受风险级别确定所需的性能基线 创建对策性能度量 根据分析结果设定准则
威慑（Deterrence） 延迟（Delaying） 检测（Detection） 评估（Assessment） 响应（Response）
➢ 警报（Alarms）
➢ 闭路电视监控（CCTV Monitoring）
➢ 供暖、通风和空调 （Heating, ventilation, and air conditioning，HVAC）
➢ 电力供应（Power supply）
➢设施选择和建造 （Facility selection or construction）
为每个计划类别确定和实现对策 继续根据设定的基线评估对策
通过环境设计预防犯罪
“通过环境设计预防犯罪”(Crime Prevention Through Environmental Design,简称CPTED)
系统完整性丧失（Compromised system integrity），设备的丢失 和损坏都会造成系统完整性的损失。
非授权信息泄漏（Unauthorized disclosure of information），设备 和介质的丢失有可能造成信息的泄漏。
物理安全介绍
分层防御模型
规划过程
通过环境设计预防犯罪（Crime Prevention Through Environmental Design）
物理安全机制还可分为
物理控制（Physical Control） 技术控制Technical Control 行政控制（Administrative Control）
物理安全控制
物理控制 Physical Control ➢警卫（Guards）
➢ 警犬（Dogs）
➢ 栅栏（Fencing）
钥匙和锁） D. 支持设施安全的实施和操作（如技术融合）
D.1 通信和服务器机房 D.2 受限区域和工作区域安全 D.3 数据中心安全 D.4 水电和暖气、通风和空调（HVAC）等考虑因素 D.5 水的问题（如漏水、水灾） D.6 火灾预防、探测和压制
E. 支持设备保护及其安全保障 F. 理解人员隐私和安全（如胁迫、旅行、监控）
➢ 设施管理（Facility management）
➢ 人事控制（Personnel controls）
➢ 培训（Байду номын сангаасraining）
➢ 应急响应和规程 （Emergency response and procedures）
➢ 火警和消防（Fire detection and suppression）
➢ 锁具（Locks）
➢ 照明（Lighting）
➢ 设施建筑材料（Facility construction materials）
技术控制 Technical Control
行政控制 Administrative controls
➢访问控制（Access controls）
➢ 入侵检测（Intrusion detection）
目录
物理安全介绍（Introduction to Physical Security ） 规划过程（The Planning Process ） 保护资产（Protecting Assets） 内部支持系统（Internal Support Systems） 周边安全（Perimeter Security ）
物理安全介绍
物理安全机制包括设施位置的设计和布局、环境组件、 应急响应的敏捷性、培训、访问控制、入侵检测以及 电力和火灾防范等诸多方面
常见物理威胁
自然环境威胁 供应系统威胁 人为威胁 以政治为动机的威胁
物理安全介绍
物理安全威胁包括针对人员、数据、设备、系统和设施的 人为（Man-made）或自然条件（Natural）造成的诸如自然 灾害、事故、盗窃、抢劫等环境（Environmental）或物理 的（Physical）威胁，相关风险包括：
物理和环境安全 Physical and Environmental Security
CISSP第六版培训PPT之四
关键知识领域
A. 理解场地和设施设计上的考虑因素 B. 支持周边安全的实施和操作（如物理访问控制和监测、
审计跟踪/访问日志） C. 支持内部安全的实施和操作（如陪同需求/访问者控制、
➢ 备份（Backups）
规划
威胁分类：
内部威胁 外部威胁
共谋（Collusion）：两个或更多人联合实施欺诈行为。 物理安全计划涉及内容
通过威慑预防犯罪和破坏 通过使用延迟机制来减少损失 犯罪或破坏检测 事故评估 响应措施
度量基线
成功犯罪的次数 成功破坏的次数 犯罪或破坏失败的次数 检测、评估和恢复步骤的时间 破坏带来的业务影响 检测报警的误报次数 犯罪分子通过一个控制所用的时间 还原操作系统所需的时间
实体被盗（Physical theft），计算机等设备被盗窃的损失包括硬 件成本、恢复数据的费用等。
服务中断（Interruptions of services），计算机服务、电源、供水 和电信服务的丧失。
实体损坏（Physical damage），设备的物理损坏造成的损失也包 括硬件成本、恢复数据的费用等。