5.1.1、XX系统运行环境安全管理

XX信息系统运行环境安全管理制定：审核：批准：版本：XX二〇一四年九月目录1.目标 (3)2.安全区域划分 (3)2.1安全隔离带 (3)2.2安全区出入控制措施 (4)2.3办公场所、房屋和设施的安全保障 (5)2.4在安全区中的工作 (6)2.5与其它区域隔离的交货和装载区域 (7)3.设备的安全 (7)3.1设备选址与保护 (8)3.2电源 (9)3.3电缆安全 (10)3.4设备维护 (11)3.5场外设备的安全 (11)3.6无人看管的设备安全 (12)3.7设备的报废安全处置与重用 (12)4.常规控制措施 (13)4.1桌面与屏幕管理策略 (13)4.2资产处置 (14)4.3移动介质处置 (14)XX信息系统运行环境安全管理1.目标防止对XX工作场所和信息的非法访问、破坏和干扰。

XX将关键或敏感的信息系统处理设备放在安全的地方，使用相应的安全防护设备和准入控制手段以及有明确标志的安全隔离带进行保护。

使这些设备免受未经授权的访问、损害或干扰。

根据所确定的风险的具体情况，提供相应的保护。

对纸张、介质和信息处理设备建议采取桌面清空和屏幕清空策略，降低对纸张、介质和信息处理设备进行未经授权访问所带来的风险和损害。

2.安全区域划分2.1安全隔离带办公区域和信息处理设备周围建立几个实际的防护设备，提供物理保护。

每个防护设备都划分出一个安全区，这都提高了整体的保护效果。

各个组织应使用安全区域保护信息处理设备等资产。

安全区域是用防护设备隔开的一块区域，例如通过一堵墙、刷卡才能进入的控制门或人工值守的前台。

防护设备的位置和强度取决于风险评估的结果。

XX将实施以下指导原则和控制措施。

1)明确划分安全区域。

2)建筑物或某个地方中存放信息处理设备的安全区的位置要求非常合理（例如，安全区和易发生闯入行为的区域不应隔开）。

安全区四周应有坚固的围墙，所有可以进出安全区的大门应能防止未经授权的访问，如使用控制装置、栅栏、报警装备、锁等等。

3)设立一个人工值守的接待区域或使用其它方法，将对现场或建筑物的实际访问限制在适当的区域中。

只有经过授权的人才能进入现场或建筑物。

4)如有必要，可进行全方位的防护，以防止有人未经授权进入安全区，以及由火灾和水灾引起的环境问题的影响。

5)安全区的所有防火门应报警并关闭。

2.2安全区出入控制措施安全区要求使用适当的出入控制措施予以保护。

不经批准，任何人员不得出入。

XX考虑以下控制措施。

1)必须调查并弄清安全区域的来访者的身份，并将他们进入和离开安全区域的日期和时间记录在案。

只有来访者有特定的、经过授权的目的时，才能进入安全区，而且还要告诉他们该区域的安全要求和紧急情况下的行动步骤。

2)只有严格限定，经过授权的人才能访问敏感信息，使用信息处理设备。

在对所有访问行为进行授权和验证时，XX采用一些强制性的控制措施，如使用带 PIN 的卡进行刷卡。

同时对所有访问严格执行审计流程。

3)要求所有人员佩带易于辨认的标识，并鼓励他们盘问无人陪同的陌生人以及未佩带标识的人。

4)经常审查并更新有关安全区域访问权限。

2.3办公场所、房屋和设施的安全保障安全区域可能是安全隔离带中的一间加锁的几个房间，安全隔离带本身也可能是加锁的并包括几个可加锁的小房间或保险箱。

在选择和设计安全区域时，应将以下各种问题带来的损害考虑在内：火灾、水灾、爆炸、社会动荡以及其它形式的自然或人为的灾害。

也要求将各种相关的健康和安全方面的规定和标准考虑在内。

还要求考虑到临近的隔离带可能带来的安全威胁，如其它安全区域发生泄露事件。

XX考虑以下控制措施。

1)关键设备应放在公众无法进入的地方。

2)安全区域内各种设备（如影印机、传真机）齐全，并放在相应的地方，以防止未经授权的人员使用，否则会泄露信息。

3)在没人的时候，将门窗关闭，还要注意防止有人从窗户，特别是只有一层的窗户就可以进入安全区域。

4)按照专业标准安装入侵检测系统并经常检查，以对可进入安全区域的门和窗户进行检查。

对无人区域进行24小时的报警监视。

对其它区域也要求提供相应的保护，如计算机房或通讯室。

5)由组织自己管理的信息处理设备应与由第三方管理的信息处理设备分开。

6)通过有些目录和内部人员电话号码本，能确定敏感信息处理设备的位置，不能让公众得到这些资料。

7)应将危险或易燃材料存储在安全的地方，与安全区保持安全距离。

除非有特殊要求，否则不要把大量的物品，如文具，存储在安全区域内。

8)使应急设备和备份介质的存储位置与主安全区域保持一个安全距离，以防止主安全区域发生的灾难事件殃及这些设备。

2.4在安全区中的工作要加强安全区域的安全性，还要求采用其它控制措施和指导原则。

者包括如何控制在安全区内工作的个人和第三方人员，以及如何控制第三方人员在安全区以内的活动。

XX考虑以下问题。

1)只有在有必要的前提下，才能让某个个人知道有一个安全区或安全区内所进行的活动。

2)出于安全原因和消除恶意行为发生的机会两方面考虑，不允许在安全区域内进行未经调查的工作。

3)关闭无人使用的安全区域，每隔一段时间，进行一次检查。

4)只有在需要时，才能允许第三方的支持服务人员进入安全区域或使用敏感信息处理设备。

必须对其访问行为进行授权和监视。

在不同的范围之间还需要隔离区控制实际访问，在安全区域内有不同的安全要求。

5)只有在需要时，才能允许第三方的支持服务人员的设备接入XX的网络。

必须对其访问行为进行授权和监视。

在不同的范围之间还需要隔离区控制实际访问。

6)除非经过授权，不允许使用图象、视频、音频和其它记录设备。

7)除非经过授权，严禁使用USB等移动介质。

2.5与其它区域隔离的交货和装载区域XX对装运区进行控制，而且应根据情况将其与信息处理设施隔离开来，避免非法访问。

这类区域的安全要求由风险评估的情况决定。

XX考虑以下指导原则。

1)只有经过确认并授权的人在能从外面进入存放物品的区域。

2)设计存放物品区域时，要达到如下效果：负责交货的人员不需要进入建筑物的其它部分，就可以将货物卸下。

3)当存放物品的区域内部的门打开时，一定要保证外部的门是安全的。

4)在将已收下的材料从存货区移到使用地点前，必须对其进行检查，以防止潜在的危险.3.设备的安全目标：防止资产流失、受损或毁坏以及业务活动中断。

应保证设备免受安全方面的威胁和环境的危害。

要降低对数据进行未经授权访问的风险并免受损失或损坏，必须对设备（包括不在现场使用的设备）进行保护。

还需要考虑设备的位置和选址问题。

可能需要特殊的控制措施来保护免遭危险或非法访问，并保护辅助设施，例如电源和电缆等基础设施。

3.1设备选址与保护XX注重设备的选址与保护，减少来自环境威胁和危险以及降低非法访问的风险。

XX考虑以下问题。

1)将设备安装在合适的位置，不到必要时，尽量避免进入工作区。

2)确定处理敏感数据的信息处理和存储设备的位置时，应注意选择合适的位置，降低使用过程中因疏忽造成的风险。

3)要求将需要特殊保护的设备隔离，以降低所需的保护级别。

4)应采用相应的控制措施，尽可能降低潜在威胁的风险，包括：5)组织在考虑其策略时，应将在信息处理设备附近就餐、饮水和吸烟的情况考虑进去。

6)有些环境条件会对信息处理设备的运行产生负面影响，应仔细监视这些条件。

a)盗窃；b)火灾；c)爆炸；d)烟尘；e)供水问题（或停水）；f)灰尘；g)振动；h)化学制品的影响；i)供电干扰；j)电磁辐射。

7)对于在工业环境下运行的设备，应考虑使用特殊的保护方法，如在键盘表面加一层膜。

8)应考虑临近办公区域发生灾难事件的影响，如临近建筑物发生火灾、天花板漏水或地板渗水或大街上发生爆炸事件。

3.2电源要求防止设备出现电源故障，防止其它供电不正常的现象。

应提供稳定的电力供应，符合设备生产商说明书的规定。

XX保证连续供电的方法有：1)多回路供电，以防止某个回路出现问题，造成断电事故；2)不间断电源 (UPS)；3)备用发电机。

对于为重要应用系统提供电力支持的设备，需要使用 UPS 以保证设备可以依次关闭或持续运行。

应急计划中应包括 UPS 发生故障如何应付的内容。

应经常检查 UPS 设备，以保证其功率足够大并根据生产商推荐的方法进行测试。

在发生较长时间的断电事故时，而业务必须进许进行，则可以考虑使用后备发电机。

如果已经安装了发电机，应根据生产商的指示，对发电机进行定期测试。

应保证燃料供应充足，使发电机能运行更长一段时间。

另外，在紧急出口处的设备间中应安装紧急电力开关,以便在紧急情况下迅速切断电源。

万一主回路发生故障，应提供应急照明。

所有建筑物都应采用照明保护设备，所有露天的通讯线都应配备照明保护滤光器。

3.3电缆安全电源线缆与通信电缆承载数据或支持性的信息服务，不应被截断或受损。

应考虑以下控制措施。

如果可能，接入信息处理设备的电源线路和通信线路应使用地下暗线，或为其提供多种保护方法。

防止未经授权就损坏或切断网络线缆的现象，如将线缆埋入管道，或避免通过公共区域。

电力线缆应与通讯线缆隔离，以避免相互的干扰。

对敏感或重要的系统，XX考虑采用进一步的控制措施：1)在探伤位置和端点，安装铠装管道或带锁的箱体；2)使用其它路由或传输介质；3)使用光纤电缆；4)去除线缆上附着的未经授权的设备。

3.4设备维护XX对设备进行妥善地维护，以保证其持续地可用并保持完整。

XX考虑以下指导原则。

1)按照供应商推荐的服务间隔时间和规范，对设备进行维护。

2)只有经过授权的维护人员才能对设备进行修理和维护。

3)将所有可能的或实际存在的故障以及预防性和休整性的维护手段进行备案。

4)在将设备送修时，应采取适当的控制手段。

应遵守所有保险条例中提出的要求。

3.5场外设备的安全不管其所有权如何，在XX办公区域以外使用信息处理设备必须经过管理层授权。

为办公区域以外设备提供的安全保护，应与为办公区内同类设备提供的安全保护相同，并将在办公区以外使用设备的因素考虑在内。

信息处理设备包括各种形式的个人计算机、组织者、移动电话、纸张或表格。

XX考虑以下指导原则。

1)从办公区域将设备和介质取走时，不要在公共场所引起大家的注意。

旅行时，应将便携计算机放在手提皮箱内并伪装起来。

2)应随时注意制造商对于保护设备的指导，如防止接触强电磁场。

3)如何控制在家的工作由风险评估的结果决定，如有需要，应使用适当的控制措施，如可封闭的档案室、下班后桌面不允许留有物品的策略，以及对计算机使用的控制。

4)应采用充分的保险手段保护办公区域以外的设备。

3.6无人看管的设备安全对于无人看管的设备XX考虑以下指导原则。

1)责任到人，保证所有的设备都有人负责管理；2)取定期巡视维护。

3.7设备的报废安全处置与重用XX的网络设备安全处置参照《XX固定资产管理制度》；当设计存储设备或设备中由存储设备时此外XX执行以下原则。