7 物理的和环境的安全
7.1 安全区域
目标：防止未经授权的访问，预防对业务基础和业务信息的破坏以及干扰。
应当把关键的和敏感的业务信息处理设备放在安全区域，受到确定的安全范围的保护，并有适当的安全屏障和接入控制。应当对他们从实体上加以保护，以防未经授权的访问并免于干扰和破坏。
所提供的保护应当与确认的风险向适应。推荐使用清楚桌面和清晰屏幕的策略，以减少未经授权情况下访问文件、存储介质和信息处理设备或者它们造成破坏的风险。
7.1.1 物理安全界线
通过在业务基础和信息处理设备的周围设立多个实体的安全屏障，可以实现对它们实体上的保护。每一个安全屏障建立了一个安全界线来保护含有信息处理设备的区域（见7.1.3）。安全界线是指这样以下东西：它们建立了某种屏障，例如墙、要刷卡出入的大门或者人工接待前台。每种屏障的位置和保护力度取决于风险评估的结果。
适当的时候，应当考虑并执行以下的原则和管理措施：
a）应当清楚定义安全范围；
b）含有信息处理设备的建筑物或者场所的周边应当受到妥善保护（例如，在该安全范围和易于被闯入的区域之间不应当有明显缺口）。该场所的外墙应当建筑得十分坚固，所有入口都应当加以适当保护以防未经授权的访问，例如采用适当管理机制、障碍物、警报器、锁等等。
c）应当有人工值守的接待区域或者其它措施控制对这些地点或者建筑的访问。应当把对这些地点或者建筑的访问限制在经过授权的人员之内。
d）如果需要的话，应当把物理保护扩展到从地板到天花板的范围，以便防止未经授权的访问和环境污染，例如由火灾或者水灾引起的破坏。
e）安全范围以内的所有门窗入口都应当设立警报器并把它们关严。
7.1.2 物理进入控制
应当通过适当进入管理措施保护安全区域，确保只有得到授权的用户才能访问。应当考虑以下的管理措施：
a）应当监视进入安全区域的访问者或者将其带离安全区域，而且要把他们进入和离开的时间记录在案。只应当授权他们进行出于特殊的、得到批准的目的的访问。还应当向他们传达该安全区域的安全要求和紧急处理程序。
b）应当控制对敏感信息和信息处理程序的访问，并只将其限制在得到授权的个人。应当使用认证管理，例如：swipe卡和个人身份号码，对所有访问进行授权和验证。应当安全地保持对所有访问的审查跟踪。
c）应当要求所有人员佩戴某种形式的可见标识，并鼓励他们盘查没有护送人员的陌生人和任何没有佩戴明显标识的人员。
d）应当定期检查和更新对安全区域的访问权限。
7.1.3 保护办公室、房间和设施
安全区域可能是一个锁着的办公室或者在物理保护范围内的多个房间，这些房间可能锁着或者其中有上锁的橱柜或保险箱。安全区域的选择和设计应当考虑到防止可能发生的火灾、水灾、爆炸、民众动乱和其它形式的自然或人为灾难。还应当考虑到相关的健康和安全规范和标准。 应当考虑任何邻近房屋的所带来的安全风险，比如其它地方的渗水。
应当考虑以下管理措施：
a）关键设备应当安置在避免公众访问的地方；
b）建筑物应当那么不显眼，只有最低限度地指出其用途。没有明显标记，建筑内外也没有明显地指出里面正在进行信息处理活动。
c）支持功能和设备例如复印机、传真机应当适当地放置在安全区域内以避免有人要求使用，因为那样会损坏信息。
d）无人值守时门窗应当上锁，对门窗应当进行外部保护，尤其是对靠近地面的门窗。
e）按照专业标准安装上适当的入侵者侦测系统并进行定期测试， 该系统应当保护所有可以通过的门窗入口。应当全时监测没有使用的区域。还应当提供对其它地区的保护，例如计算机房或者通讯设备间。
f）应当把组织管理的信息处理设施与第三方管理的其它设备从实体上隔离开。
g）不应当让公众很容易得知晓能够确定敏感信息处理设备位置的电话本和内部通讯录。
h）应当把危险或者易燃材料安全地存放在距安全区域有一定距离的地方。除非有相应的要求，否则不应当把大量储备资料比如文件纸张存放在安全区域内。
i）应当把回撤的设备和备份存储介质放置在一定安全距离以外，以免主要基地发生的灾难性事故对其造成破坏。
7.1.4 在安全区域工作
可能需要额外的管理措施和指导原则来加强安全区域的安全性。这些措施包括对在安全区域工作的人员和第三方的管理，还包括对在该地区发生的第三方活动的管理。应当考虑以下管理措施。
a)工作人员只应当知道需要他们了解的有关安全区域的存在或者其中活动的信息。
b)出于安全原因和为了防止给恶意活动以可乘之机，应当避免在安全区域内进行不是监督的工作。
c)应当对空的安全区域加以物理上的保护并进行定期检查。
d)只是在需要的时候，才授予第三方支持服务人员受严格限制的访问安全区域和敏感信息处理设备的权利。这些访问应当得到授权并对其进行监测。安全界线内部不同安全要求的区域之间可能需要建立附加屏障和界线以便控制实体接触。
e)除非得到授权，否则不允许使用摄影、录像、录音或其它记录设备。
7.1.5 隔离的送货和装载区域
应当对交货和装货区域进行管理，如果可能的话，要把它们与信息处理设备隔离开以避免未经授权的接触。应当通过风险评估来决定此种区域的安全要求。应当考虑以下的安全措施。
a)从建筑物外面访问一个物资储存区域时，应当将其限制在经过确认和授权的人员之内。
b)该物资存储区域的设计应当使得送货人员能够在不必进入建筑物其它部分的情况下卸下供应物资。
c)当物资存储区域内部通道打开的时候，应当保护外部通道。
d)在把送来的物资从存放地点运送到使用场所之前，应当对其进行检查，看是否有潜在风险（见7.2.1d）。
e)如果合适的话，应当在物资存储区域的入口对送来的物资进行登记。
7.2 设备安全
目标：防止资产流失、被损坏或者破坏，防止对业务活动的破坏。
应当对设备加以实体上的保护，使其免于安全风险和环境灾难。
为减少对数据未经授权访问所造成的危险并保护其免受损失或破坏，设备保护（包括所用的外部设备）是十分必要的。这还应当包括设备的安置和处理。为防止未经授权的访问、保护其免受灾难性事故的毁坏和保护辅助设备例如电力供应设备和电缆基本架构，可能要采用一些专门管理措施。
7.2.1 设备定位和保护
应当妥善安置或保护设备，以降低环境威胁和灾难的风险、减少未经授权的访问的机会。应考虑以下管理措施：
a）妥善安置设备，把对工作区不必要的访问降低到最低限度。
b）处理敏感数据的信息处理和存储设备应当妥善放置以减少其使用期间忽视对其监督的风险。
c）应当把需要特殊保护的物品隔离开，以降低所用保护等级。
d）应当采取措施降低潜在风险，包括：
a)盗窃；
b)火灾；
c)爆炸
d)吸烟；
e)水灾（或者供水终端）
f)尘土；
g)振动；
h)化学效应；
i)电力供应中断；
j)电磁辐射；
e）组织应当考虑对在信息处理设施附近就餐、饮水和吸烟的政策规定。
f）应当监测那些可能对信息处理设备有负面影响的环境条件；
g）应当为工业化环境中的设备而采用专门的保护方法，比如键盘保护膜。
h）应当考虑到在房屋附近发生灾难所产生的影响，例如邻近建筑物的火灾、屋顶或者地表的渗水或者街道上发生的爆炸。
7.2.2 电力供应
应当对设备加以保护使其免于电力中断或者其它电力异常的影响。应当提供符合设备制造商要求的适宜电力供应。
为实现电力供应的连续性，所应采取的措施包括：
a）有多路供电途径以避免单点电力供应发生故障的危险；
b）不间断电源（UPS）；
c）备用发电机。
对于辅助关键业务运营的设备推荐使用不间断电源（UPS）以支持有序的断电或者继续运行。 突发事件处理计划应当包括在不间断电源发生故障时所要采取的措施。 应当定期检查UPS设备，确保其有足够能力并按照制造商的建议对其进行测试。
如果长期停电的情况下还有继续处理信息，就需要考虑备用发电机。发电机安装上以后，应当按照制造商的指导对其做定期检测。应当有充足的燃料可供利用，以确保长期停电时发电机仍然能够运行。
另外，应当把应急电力开关安放在设备间的紧急出口处，以便于在发生紧急事故时迅速关掉电源开关。主要电力系统出现故障时应当提供应急照明。应当对所有建筑物提供照明保护，并且应当为所有外部通信线路安装照明保护滤光器。
7.2.3 电缆安全
应当保护传输数据和辅助信息服务的电缆和通讯线路，使其免于截取或者破坏。应当考虑采取以下的管理措施。
a)应当把连接到信息处理设备的电缆和通讯线路埋入地下。在可能的地方，还要给予足够的选择性保护；
b)应当保护网络连线，防止被未经授权地截听或者被毁坏。例如可以使用专门管线或者避免线路通过公共地带。
c)应当把供电线路与通讯线路隔离开，以防相互干扰；
d)对于敏感或关键系统，还应当考虑采取进一步的管理措施，包括：
a)在观测点和终点安装包皮的管线并将房间或者箱子上锁；
b)使用替代的路径选择或者信息传送媒介；
c)使用光纤；
d)开始清除那些连接到线路上的未经授权的设备。
7.2.4 设备维护
设备应当得到正确的维护，以确保其持续有效性和完整性。应当考虑以下管理措施：
a）应当按照设备制造商推荐的维护间隔和规定对设备进行维护；
b）只有得到授权的维护人员才能够对设备进行维修和保养；
c）应当把所有可疑故障和实际发生的事故记录下来，还应当记录下所有的预防性措施和矫正维护；
d）把设备运到工作地点以外的地方进行维修的时候，应当采取适当措施（又见7.2.6, 其中有关于删除、擦写和覆盖数据的内容）。应当遵守所有保险政策的强制要求。
7.2.5 外部设备的安全
无论所有权归谁，任何在组织外部使用的信息处理设备都应当得到管理层的授权。提供的安全保护措施应当等同与组织内部用于相同目的的设备所受到保护，还要考虑到在组织房产之外工作的风险。信息处理设备包括所有形式的个人电脑、组织者、移动电话、纸张或者其它形式，它们用于在家工作或者被人从正常工作场所运走。应当考虑以下指导性原则。
a)从房屋中搬走的设备和存储介质不应当放在公共场所而无人看守。在旅行的时候，应当把便携式电脑掩饰为手提箱携带。
b)任何时候都要遵循制造商所提供的设备保护指导，例如保护设备免受强电磁场的危害。
c)应当由风险评估来确定对在家工作的管理措施，应当实行适当的管理控制，例如：可上锁的文件柜、清洁桌面计划和对计算机的访问控制。
d)应当有足够的保险覆盖面来保护基地以外的设备。
安全风险比如被盗、被毁和被窃听的风险，随地点不同可能有很大变化。在采取最佳保护措施的时候应当考虑到这一点。关于保护移动设备的其它更多信息可以在9.8.1节找到。
7.2.6 设备的安全处置或者再利用
对设备不经意的处置和重复使用可能会损害信息（又见8.6.4）。存有敏感信息的存储介质应当从实体上加以销毁，或者是安全地加以覆盖而不只是使用标准的删除程序。
所有设备，包括存储介质例如固定硬盘，应当加以检测，以确保在处置之前将所有敏感数据和许可软件都被抹掉或者覆盖掉。毁坏了的存有敏感信息的设备需要进行风险评估，以确定应当销毁、维修或是丢弃该物。
7.3 一般性管理措施
目标：防止对信息和信息处理设备的损坏和盗窃。
应当保护信息和信息处理设备，避免把它们暴露给未经授权的个人或者被他们修改或盗走。应当有管理措施来降低损失或者风险。
在8.6.3中应当考虑处理和存储程序。
7.3.1 清洁桌面和清洁屏幕策略
组织应当考虑采用一项清洁桌面计划，以整理纸张和可移动的存储介质。在正常工作时间内和工作时间外，为了降低对信息未经授权的访问所造成的损失和对信息的毁坏，还应当考虑为信息处理设备采用一项清洁屏幕计划。该策略考虑到信息安全分类（见5.2）、相应的风险和企业文化方面。
放在桌面上的信息也可能在灾害中被损坏，比如被火灾、水灾或者爆炸所毁坏。
应当考虑以下管理措施：
a）如果合适的话，应当把不用的纸张和计算机存储介质存放在适当的可以锁上的柜橱和/或其它有安全保护的存放设施中，特别是在工作时间之外更应如此。
b）如果不用的话，应当把敏感或者关键的业务信息锁上（放在放火的保险柜或者柜子里就很理想）。离开办公室时尤其要注意这点。
c）无人看守的时候，不应当把个人计算机和计算机终端以及打印机置于登录状态，而在不用的时候应当拿密码锁、命令和其它措施加以保护。
d）应当保护引入和流出邮件存放点、无人值守的传真机和专线电报设备。
e）在工作时间以外应当把复印机锁上（或者以其它方式保护它免受未经授权的访问）。
f）敏感或者分类信息打印出来以后应当立即把它从打印机中清除。
7.3.2 财产的转移
在没有授权的情况下，不应当把设备、信息或者软件转移到工作场所以外。如果确实有必要将其移走，搬出设备时和归还设备时都要做登记。应当进行当场检查以发现未经授权的财产转移。进行现场检查时应当让员工知道。
