SGISLOP-SA01-10-物理安全等级保护评估作业指导书（二级）.doc

信息安全等级保护评估 操作指南 物理安全 2010年1月6日 中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA01-10 中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA01-10 修订发布日期: 2010年1月06日 修改页面 修订号 控制号 章号 修订人 修订原因 批准人 批准日期 备注 SGISL/OP-SA01-10 2010.3.8 中国电力科学研究院信息安全实验室 控制号: SGISL/OP-SA01- 10 修订发布日期：2010年1月06日 1.物理位置的选择 评估项目编号ADT-OS-WIN-01 对应要求 在具有防雨等能力的建筑物内。 选择评价项目名称物理位置的操作步骤应约谈物理安全负责人，询问现有机房、办公场所（放置终端计算机设备）的环境条件是否满足要求。信息系统的业务需求和安全管理要求，是否具备基本的防震、防风、防雨能力； 检查机房、办公场所的设计/验收文件，机房、办公场所所在建筑物是否具备防震、防风、防雨能力； 适用版本的任意版本实施风险总体合规判断 如果a)-c)均为肯定，则满足要求。 2、物理门禁评估项目编号ADT-OS-WIN-02对应要求机房出入口应有专人看守，并识别进入机房人员身份并注册； 应批准访客进入机房，并对其活动范围进行限制和监控。

评价项目名称物理门禁操作步骤应约谈机房值班人员，询问与机房出入相关的管理制度是否认真执行，进入机房的人员是否有记录； 应检查机房出入口是否有专人值班，是否有值班记录，以及人员进出机房的登记记录； 检查机房内是否有无专人看守的出入口； 检查机房，是否对进入机房的人员有识别措施，如佩戴明显的识别标志； 检查是否有访客进入机房审批记录。 中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA01-10 修订发布日期：2010 年 1 月 6 日 适用版本 任一版本实施风险 a)-f) 的整体合规性判定为正，则符合要求。 3、防盗、防破损评价项目编号ADT-OS-WIN-03对应的要求是设备或主要部件应固定，并应设置明显的、不可去除的标志； 通讯电缆应敷设在隐蔽处，如敷设在地下或管道中等； 媒体应分类、标记，存放于媒体库或档案室； 应安装必要的防盗报警设施，防止盗窃、破坏等进入机房。 评价项目名称 防盗、防破坏操作步骤应访谈物理安全负责人，采取了哪些保护措施来防止设备和介质的丢失； 约谈机房维护人员，询问主要设备位置是否安全可控，或主要部件是否固定、标识，通讯电缆是否敷设在隐蔽处； 防盗报警设施是否安装在媒体库或档案室； 检查主要设备是否放置在机房或其他不易被盗、损坏的可控区域； 检查主要设备或设备主要部件是否固定，是否不易移动或移动，是否有明显的无法清除的标记； 检查媒体的管理情况，检查媒体是否有正确的分类标志，是否存放在媒体库或档案室； 检查机房内是否有设备管理制度文件、通信线路布线文件、介质管理制度文件、介质清单及使用记录、防盗报警设施安装测试/验收报告 适用版本 任意版本 中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA01-10 修订发布日期：2010年1月6日，总体符合性判断a)应至少包括建立设备管理体系、主要设备放置在安全可控的地方设备或主要部件固定并标记物理主机电源测评标准表，通信电缆敷设在隐蔽处，介质分类，介质库或档案室有标记并存放，机房设有防盗装置。防盗报警设施可以防止进入、盗窃和损坏，那么此项是肯定的； 若a)-h)均为肯定，则说明该信息系统满足本单位评价项目的要求。

4、根据防雷评价项目编号ADT-OS-WIN-04的要求物理主机电源测评标准表，应设置交流电源的地线。 评价项目名称 防雷操作步骤应约谈物理安全负责人，询问采取了哪些防护措施，防止重要设备因雷击而损坏，机房建筑是否设有防雷装置，是否通过国家有关部门的验收或技术检验； 询问机房计算机供电系统是否有交流电源。 应约谈机房维护人员，询问机房防雷装置是否定期检查和维护； 询问机房内机房的接地（交流工作地、安全保护地、防雷地）是否符合GB50174 -93《电子计算机房设计规范》的规定； 检查机房内是否有建筑防雷设计/验收文件慈云数据自营海外云服务器,高稳定高性价比,支持弹性配置，是否有地线连接要求的说明。 适用版本 任何版本实施风险总体符合性判定 a) 至少应包含GB50057-1994《建筑防雷设计规范》（GB157《建筑防雷设计规范》）中机房防雷要求），如果是在雷电频繁的地区，是否安装浪涌电压吸收装置等，则此项为肯定； b) 要求地线引出线应与建筑物的钢网及各种金属管道绝缘，交流工作地的接地电阻不应大于4Ω。 地面的接地电阻不应大于4Ω； 防雷接地（有防雷设施的建筑中可不设置此处）的接地电阻应不大于10Ω的要求，则此项为肯定； a)-c)均为肯定，则信息系统满足本单位评价项目的要求。

5、消防评价项目编号ADT-OS-WIN-05相应要求应设置灭火设备和火灾自动报警系统，并维护灭火设备和火灾自动报警系统。 SA01-10 修订版发布日期：2010 年 1 月 6 日 状态良好。 评价项目名称 防火操作步骤应约谈人身安全负责人，询问机房是否配备灭火设备，是否安装火灾自动报警系统，是否有人负责维护系统运行，是否制定了机房消防管理制度和消防预案，是否进行了消防培训； 约谈机房值班人员，询问机房消防安全隐患是否能及时报告并消除； ; 检查机房是否配备灭火设备、位置是否合理、有效期是否合格； 检查机房火灾自动报警系统是否正常工作，检查是否有操作记录、报警记录、定期检查和维护记录； 机房消防相关管理体系文件、机房消防设计/验收文件、火灾自动报警系统设计/验收文件。 如果适用版本中任一版本的总体符合性判断a)-d)为肯定，则该信息系统满足本单元评价项目的要求。 6、防水防潮评价项目编号ADT-OS-WIN-06对应要求对穿过墙壁、地板的水管应增加必要的保护措施，如设置套管等； 应采取措施防止雨水渗入屋顶和墙壁； 应采取措施防止室内水蒸气凝结和地下水的转移和渗透。

评价项目名称防水防潮操作步骤应约谈物理安全负责人，询问机房建设是否有防水防潮措施； 已采取可靠的防护措施； 在湿度较高的地区或季节，是否有专人负责机房的防水、防潮，并配备除湿装置； 应约谈机房维护人员，询问机房是否有漏水、返潮现象； 机房内是否安装有上下水管，是否经常检查是否有漏水现象； 高湿度地区或季节的机房是否有专人负责防水防潮事宜，并使用除湿装置除湿； 发布日期：2010年01月06日 应检查机房内是否有建筑防水防潮设计/验收文件，是否能满足机房防水防潮要求； 机房墙壁、地板是否有管道穿过，检查套管是否安装，管道与套管之间是否采取可靠的密封措施； 检查机房屋顶、墙壁有无漏水、渗透、返潮现象，机房及其环境是否无明显漏水、返潮威胁； 漏水、渗水、返潮是否能及时修复； 如果处于高湿地区或季节，检查机房是否有湿度记录，是否有除湿装置并能正常运行，是否有防止地下水转移和渗透的办法机房内是否有防水、防潮处理记录。

适用版本 任何版本实施风险总体符合性判断 d) 和 f) 如果不满足条件“如果”，则本项不适用； a)-f)均为正值，则说明该信息系统满足本单位评价项目的要求。 7、防静电评价项目编号ADT-OS-WI N-07对应的要求是应采取必要的接地等防静电措施。 评价项目名称防静电操作步骤应约谈人身安全负责人，询问机房是否采取必要的接地防静电措施，是否有控制机房湿度的措施； 约谈机房维护人员，询问机房的湿度是否经常检查，并控制在GB2887规定的范围内； 询问机房内是否有静电或静电引起的故障事件； 检查机房是否安全接地，检查机房的相对湿度是否符合GB2887的要求，检查机房内是否有明显的静电。 如果适用版本中任一版本的总体符合性判断a)-d)为肯定，则该信息系统满足本单元评价项目的要求。 中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA01-10 修订发布日期：2010 年 1 月 6 日 8、温湿度控制评价项目编号 ADT-OS-WI N-08 对应要求 a) 机房应设置温湿度自动调节设施，使机房内的温湿度变化在设备运行允许的范围内。 评价项目名称温湿度控制操作步骤

手机扫描二维码访问