1、设施和系统

1）对系统的物理访问

通过使用连续的物理安全层，加强了纵深防御原则在系统保护中的应用。物理安全的第一层是为包含系统的设施使用安全区域。

可部署的平台还应满足物理安全要求。值得注意的是，处理可部署平台的物理安全证书颁发机构可能有取代这些准则中的安全控制的特定要求。这可能包括周边控制、建筑标准和人员配备水平。因此，实施可部署平台的组织应联系其物理安全认证机构以寻求其他指导。

系统在满足适合其敏感性或分类的安全区域要求的设施中受到保护。

2）对服务器、网络设备和加密设备的物理访问

物理安全的第二层是为服务器机房或通信机房使用额外的安全区域。然后，通过使用安全容器或安全室来保护服务器，网络设备和加密设备，进一步补充这一点。

服务器、网络设备和加密设备在服务器机房或通信室中受到保护，这些机房或通信机房满足适合其敏感性或分类的安全区域的要求。

服务器、网络设备和加密设备在安全容器或安全房间中受到保护，这些容器或安全房间适合其敏感性或分类，同时考虑到它们所在的安全区域的组合。

服务器机房、通信室、安全容器和安全室不会处于不安全状态。

对服务器机房、通信机房、安全容器和安全机房的密钥或等效访问机制进行适当控制。

3）物理访问公共区域的网络设备

公共区域中未受保护的网络设备可能会导致意外或故意的物理损坏，从而导致服务中断。或者，未经授权访问网络设备可能允许攻击者将其重置为出厂默认设置，从而删除任何安全控制，或直接连接到它们以绕过网络访问控制。即使无法通过将网络设备重置为出厂默认设置来获得对网络设备的访问权限，也极有可能导致服务中断。

对网络设备的物理访问可以通过物理安全控制来限制，例如阻止访问其控制台端口和恢复出厂设置按钮的机箱，将它们安装在天花板上或墙壁后面，或将它们固定在安全容器中。

实施物理安全控制是为了保护公共区域的网络设备免受物理损坏或未经授权的访问。

4）将射频和红外设备引入设施

射频（RF）设备（如移动设备、无线键盘和蓝牙设备（如键盘、耳机和指针））以及红外（IR）设备）可能会对组织构成安全风险，尤其是当它们能够记录或传输音频或数据时。在秘密和最高机密领域，组织必须了解与引入RF和IR设备相关的安全风险，并保留已授权在此类环境中使用的设备的登记册。

在决定授权哪些RF或IR设备进入秘密和最高机密区域时，组织应考虑任何现有的缓解措施，例如是否会阻止任何IR通信在安全空间之外传输，是否在同一空间中使用不同敏感或分类的系统，以及是否对设施应用了任何临时或永久的阻止RF或IR传输的方法。

维护授权的RF和IR设备寄存器，并定期审核秘密和绝密区域。

未经授权的射频和红外设备不会带入秘密和绝密区域。

安全措施用于检测和响应秘密和绝密区域中未经授权的RF设备。

5）防止未经授权的人员进行观察

如果没有足够的周边安全性，未经授权的人员通常可以直接或使用长焦镜头的设备协助观察设施内部。确保系统，特别是工作站显示器和键盘，不透过窗户可见，例如通过使用百叶窗，窗帘，隐私膜或工作站定位，将有助于降低这种安全风险。

未经授权的人员无法观察设施内的系统，特别是工作站显示器和键盘。

2、信通技术设备和媒体

保护信息通信技术和媒体的安全

信通技术设备和介质在不使用时需要得到保护。这可以通过实现以下方法之一来实现：

1.  将ICT设备和介质安全存放在适当的安全容器或安全室内

2.  使用没有硬盘的ICT设备，并在关机时清理内存

3.  加密ICT设备的硬盘驱动器并在关闭时清理内存

4.  在关闭时清理ICT设备的内存，并删除并保护任何硬盘驱动器。

如果上述方法都不可行，组织可能希望尽量减少在不使用时不保护ICT设备的潜在影响。这可以通过防止敏感或机密数据存储在硬盘驱动器上（例如，通过将用户配置文件和文档存储在网络共享上）、在注销时删除临时用户数据、在关机时清理虚拟内存以及在关机时清理内存来实现。但应该注意的是，不能保证这些措施将始终有效有效，或者不会因意外断电等情况而被绕过。因此，在这种情况下，硬盘将保留其敏感性或分类，以便重新使用、重新分类、解密、消毒、销毁和处置。

信通技术设备和介质在不使用时受到保护。

注：本文档翻译参考来源为ACSC，部分词汇在本文中做了技术性调整

---

关注公众号

回复“220403”获取

“勒索软件二进制文件的经验比较分析”机翻PDF版

• 信息安全手册之网络安全角色指南

• 信息安全手册之网络安全事件指南

• 信息安全手册之外包指南

• 信息安全手册之安全文档指南

原文始发于微信公众号（祺印说信安）：信息安全手册之物理安全指南