等保2.0安全通用要求第三级别之安全物理环境

文章正式开始前我们要知道等保2.0中安全通用要求的十个方面包括物理环境、通信网络、区域边界、计算环境、管理中心、管理制度、管理机构、管理人员、建设管理、运维管理。从本文开始我们将进入等保2.0系列安全通用要求中第三等级的十个方面本文主要是介绍第三级别之安全物理环境。首先我们出示一张对比表格看看要求中第二级别和第一级别的区别。控制点第一级→第二级变化第二级→第三级变化物理访问控制无变化同为值守或门禁强制电子门禁取消人防防盗窃和防破坏增加线缆隐蔽增加防盗报警/视频监控防雷击无变化增加感应雷防护防火自动消防耐火材料增加区域隔离防火防水和防潮增加防结露和地下水增加漏水检测报警防静电增加防静电地板增加静电消除措施电力供应增加UPS增加冗余电力电缆电磁防护增加线缆隔离增加关键设备电磁屏蔽我们可以看到第三级别“安全物理环境”共有8个控制点增强。下面我们逐一了解一下。第一点是物理访问控制增强的是强制电子门禁、取消人防。简单说就是机房大门必须装电子门禁谁进谁出要有记录。这是因为第三级系统影响社会必须强制技术手段防止人为疏忽或内部勾结。要求是强制使用电子化手段对进出机房的人员进行身份鉴别和记录。最低底线是出入口配置电子门禁系统取消 “或专人值守” 选项且门禁记录保存至少 6 个月。第二点是防盗窃和防破坏增强的是增加防盗报警 / 视频监控。简单说就是设备要锁好线缆要藏好还要装监控或报警器。这是因为第三级系统资产价值高需要主动检测盗窃和破坏行为实时响应。要求是通过物理加固和主动监控防止设备被盗或被破坏。最低底线是①设备固定并有唯一标识②线缆隐蔽③部署防盗报警系统或 24 小时专人值守的视频监控。第三点是防雷击增强的是增加感应雷防护。简单说就是不仅要接地还要装防雷器防止感应雷。这是因为感应雷同样会损坏设备第三级系统要求更高的雷电防护等级。要求是防雷系统需同时防护直击雷和感应雷。最低底线是①所有机柜设备接地②安装防雷保安器或过压保护装置防止感应雷。第四点是防火增强的是增加区域隔离防火。简单说就是机房要有自动灭火系统并且分区隔离防止火烧连营。这是因为防止火灾蔓延保障核心业务不因局部火灾全停满足高可用性。要求是部署火灾自动消防系统并通过区域隔离限制火灾蔓延。最低底线是①部署火灾自动消防系统自动检测、报警、灭火②使用耐火建材③机房分区并设置防火隔离。第五点是防水和防潮增强的是增加漏水检测报警。简单说就是防漏水、防结露还要装漏水检测报警。这是因为及时发现漏水避免设备浸泡损坏是主动防御措施。要求是对水患进行主动检测和报警防止水浸。最低底线是①防雨水渗透②防结露和地下水③安装漏水检测装置并联动报警。第六点是防静电增强的是增加静电消除措施。简单说就是铺防静电地板还要戴手环、用消除器。这是因为静电对高精度设备危害大第三级系统要求更严格的静电管理。要求是降低静电产生和积累保护敏感电子设备。最低底线是①防静电地板并接地②配备静电消除器、防静电手环等主动消除措施。第七点是电力供应增强的是增加冗余电力电缆。简单说就是电要稳、要有备还要双路供电。这是因为第三级系统要求高可用性单路供电是单点故障风险。要求是提供稳压、UPS 和冗余电力线路保障电力连续。最低底线是①稳压器 过压防护②UPS至少支持设备正常关机③双路供电冗余电缆。第八点是电磁防护增强的是增加关键设备电磁屏蔽。简单说就是强弱电分开走关键设备要加屏蔽。这是因为防止电磁泄露导致信息被窃听TEMPEST 攻击也防止强电磁干扰损坏设备。要求是防止电磁干扰和电磁泄露。最低底线是①电源线与信号线隔离铺设②对核心服务器、网络设备等实施电磁屏蔽如屏蔽机柜下面是汇总表格控制点原文通俗解释第三级要求为什么第三级需要后果维度物理位置选择8.1.1.1a机房场地应选择在具有防震、防风和防雨等能力的建筑内b机房场地应避免设在建筑物的顶层或地下室否则应加强防水和防潮措施。机房要选在安全可靠的地方别在顶层或地下室。同第二级—物理访问控制8.1.1.2机房出入口应配置电子门禁系统控制、鉴别和记录进入的人员。机房大门必须装电子门禁谁进谁出要有记录。仅电子门禁取消“专人值守”选项第三级系统影响社会必须强制技术手段防止人为疏忽或内部勾结。防盗窃和防破坏8.1.1.3a应将设备或主要部件进行固定并设置明显的不易除去的标识b应将通信线缆铺设在隐蔽安全处c应设置机房防盗报警系统或设置有专人值守的视频监控系统。设备要锁好线缆要藏好还要装监控或报警器。 机房防盗报警系统或专人值守视频监控第三级系统资产价值高需要主动检测盗窃和破坏行为实时响应。防雷击8.1.1.4a应将各类机柜、设施和设备等通过接地系统安全接地b应采取措施防止感应雷例如设置防雷保安器或过压保护装置等。不仅要接地还要装防雷器防止感应雷。 防止感应雷防雷保安器/过压保护感应雷同样会损坏设备第三级系统要求更高的雷电防护等级。防火8.1.1.5a机房应设置火灾自动消防系统能够自动检测火情、自动报警并自动灭火b机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料c应对机房划分区域进行管理区域和区域之间设置隔离防火墙措施。机房要有自动灭火系统并且分区隔离防止火烧连营。 区域隔离防火防止火灾蔓延保障核心业务不因局部火灾全停满足高可用性。防水和防潮8.1.1.6a应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透b应采取措施防止机房内水蒸气结露和地下积水的转移与渗透c应安装对水敏感的检测仪表或元件对机房进行防水检测和报警。防漏水、防结露还要装漏水检测报警。 安装水敏感检测仪表/元件防水检测和报警及时发现漏水避免设备浸泡损坏是主动防御措施。防静电8.1.1.7a应采用防静电地板或地面并采用必要的接地防静电措施b应采取措施防止静电的产生例如采用静电消除器、佩戴防静电手环等。铺防静电地板还要戴手环、用消除器。 防止静电产生措施静电消除器、防静电手环等静电对高精度设备危害大第三级系统要求更严格的静电管理。温湿度控制8.1.1.8应设置温湿度自动调节设施使机房温湿度的变化在设备运行所允许的范围之内。机房要有自动空调保持恒温恒湿。同第二级—电力供应8.1.1.9a应在机房供电线路上配置稳压器和过电压防护设备b应提供短期的备用电力供应至少满足设备在断电情况下的正常运行要求c应设置冗余或并行的电力电缆线路为计算机系统供电。电要稳、要有备还要双路供电。 冗余或并行电力电缆线路第三级系统要求高可用性单路供电是单点故障风险。电磁防护8.1.1.10a电源线和通信线缆应隔离铺设避免互相干扰b应对关键设备实施电磁屏蔽。强弱电分开走关键设备要加屏蔽。 关键设备电磁屏蔽防止电磁泄露导致信息被窃听TEMPEST攻击也防止强电磁干扰损坏设备。总结第三级安全物理环境在第二级基础上强化了主动检测漏水、防盗、冗余电力、防火区域隔离和强制技术手段门禁、电磁屏蔽核心目标是保障业务连续性服务功能类和信息安全系统信息内容类同时增强对恶意行为的追溯能力信息对象类。