深度解析物理环境安全管理

信息安全之深度解析物理环境安全管理， 设备安全管理等第一部分标准要求分析安全控制目标和控制措施■27002在“物理和环境安全”管理类中,提供了2个控制目标和13项控制措施→安全区域(目标1)今设备安全(目标2)1安全区域secure Areas9.1控制目标及措施一一安全区域Objective: To prevent unauthorized physical access, damage, and interference to the organizationspremises and informationCritical or sensitive information processing facilities should be housed in secure areas, protected bydefined security perimeters, with appropriate security barriers and entry controls. They should bephysically protected from unauthorized access, damage, and interferenceThe protection provided should be commensurate with the identified risks目标:防止对组织场所和信息的末授杈物理访、损坏和干扰关键或敏感的信息处理设施要放置在安全区域内,并受到确定的安全边界的保护,包括适当的安全屏障和入口控制。这些议施要在物理上避免未授枫访可、损坏和干扰。所提供的保护要与所识别的风险相匹配。9.1控制目标及措施一一安全区域控制目标安全区域防止对组织场所和信息的未授权物理访问、损坏和千扰物理安全边界应使用安全边界(诸如墙、卡控制的入口或有人管理的接待台等屏障)来保护包含信息和信息处理设施的区域物理入口控制安全区域应由适合的入口控制所保护,以确保只有授权的人员才允许访问办公室、房间和设施的安全保护应为办公室、房间和设施设计并取物理安全措施控制措施外部和环境威胁的安全防护为防止火灾、洪水、地震、爆炸、社会动荡和其他形式的自然或人为灾难引起的破坏,应设计和釆取物理保护措施在安全区域工作应设计和运用用于安全区域工作的物理保护和指南公共访问、交接区安全访问点(例如交接区)和未授权人员可进入办公场所的其他点应加以控制,如果可能,要与信息处理设施隔离,以避免未授权访问控制措施分析■9.1.1--9.1.4说的是一些物理环境的控制要求,感觉没什么可说的,在制定响应的制度是参考即可9.1.5要求对在安全区内活动和工作提供规范指南9.1.6提出了关于“交接区”的设定和管理92设备安全Eguipment security9.2控制目标及措施一一设备安全Objective: To prevent loss, damage, theft or compromise of assets and interruption to theorganizations activitiesEquipment should be protected from physical and environmental threatsrotection of equipment (including that used off-site, and the removal of property) is necessary toreduce the risk of unauthorized access to information and to protect against loss or damage. Thisshould also consider equipment siting and disposal. Special controls may be required to protectagainst physical threats, and to safeguard supporting facilities, such as the electrical supply andcabling infrastructure目标:确保正确、安全的操作信息处理设施应建立所有信息处理设施的管理和操作职责和程序。这包括制定合适的操作程序。当合适时,应实施责任分割,以减少疏忽或故意误用系统的风险