CISO不可忽视的十大物理安全措施

过去，物理安全（企业人员和物理资产安全）主要由基础设施团队或CSO负责，但随着越来越多的物理安全系统与IT系统相连（涉及到IT资产的物理访问权限），物理网络空间交叉渗透的混合威胁快速增长，CISO在企业物理安全战略中正扮演着越来越重要的角色。

物理安全是指保护人员、财产和物理资产避免损害或损失的行动和事件。尽管物理安全常常被网络安全抢去风头，但其重要性同样不容忽视。据估计，2023年全球物理安全市场规模高达1100亿美元至1230亿美元。

当今大多数物理安全系统和控制装置都与IT系统紧密相连，这就要求CISO团队加强网络安全监督，确保这些系统得到充分强化，例如员工身份认证系统和视频监控系统等。更关键的是，对IT资产的物理访问可能会引发一系列网络安全事件和数据泄露。因此，CISO不仅有责任，而且为了满足许多法规和标准的要求，必须采取物理安全措施来保护对IT资产的（物理）访问权限。

“CISO在物理世界中发挥作用是必要的，”Nuspire的网络安全咨询副总裁Mike Pedrick表示：“CISO的职责是保护所有形式的信息，包括物理媒体和访问数字信息的机制。”

这并不是说CISO需要承担所有物理安全职责。虽然一些小型企业可能会合并CISO和CSO职位，或者干脆将物理安全纳入CISO的职责范围，但在许多大型企业，这种做法并不常见。Optiv的首席信息安全官Max Shier表示：“对于有监管要求的大型企业而言，合并这两个团队可能并不合理，因为物理安全团队的职责可能比网络安全团队所能管理的更广泛，例如保安人员、高管保护等。”

Radware的首席信息安全官Howard Taylor表示，如果不合并CISO和CSO的职责，那么CISO如果要实现目标，与物理安全团队的沟通和协调就变得至关重要。对于许多网络安全资深人士来说，这并不陌生，他们经常需要与产品管理、开发团队等保持沟通以实现网络安全计划的其他目标，在物理安全方面也一样。“CISO在业务连续性、灾难恢复、设施设计和实施的规划过程中，必须与物理安全专家合作。这包括保护物理访问权限、网络和数据中心资产、电力以及防火和监控，”Taylor说：“此外，安全专家还必须与CISO合作，确保访问控制和监控系统的实施和运行的安全性。这包括确保摄像头和监控图像不会违反隐私规则和法规。”

无论企业的组织架构如何设计，CISO都需要与设施团队、CSO以及其他负责物理安全的人员合作，共同制定计划，并重点关注以下十大物理安全注意事项和措施：

1. 强化IT设施和数据中心的安全

2. 日常办公设施的安全注意事项

3. 阻止物理空间的横向移动

4. 保护共置和云端设施中的资产

5. 物理—网络连接的OT环境

6. 分布式物联网设备需要重点防护

7. 远程/混合办公环境的设备锁定

8. 采用集中式的访问控制管理

9. 监控系统及其数据的安全

10. 调查时能够快速访问监控数据

一、强化IT设施和数据中心物理安全

数据中心、敏感IT设施以及多功能办公设施中的计算机房是CISO的关注重点，对敏感系统的物理访问需要严格控制。“CISO应该规定只有需要访问的人员才能进入计算机房，并确保承包商的现场服务有内部人员陪同，且绝不会被单独留在计算机房内。计算机房的访问权限应该每天进行记录和审查，”Church&Dwight的首席信息安全官David Ortiz说。

根据风险的高低，采取的访问控制措施也应有所不同。Darktrace的红队运营高级副总裁Justin Fier指出：“保存关键信息的设施，例如拥有敏感服务器的办公室，应该比拥有不太敏感资产的设施采取更严格的安全控制。CISO必须了解哪些数据和资源存储在哪些设施中，评估这些设施被攻破的风险，并相应地加强物理保护。”

二、日常办公设施安全注意事项

即使是最普通的办公环境也可能成为狡猾的攻击者获取进入公司网络立足点的目标。“任何设施中的网络插座都可能是进入内部IT环境的潜在入口，”Flexential的网络安全副总裁Will Bass说道：“CISO应该积极参与所有设施（无论敏感与否）的物理安全架构和标准的制定，以确保采取适当的纵深防御措施来防止对IT环境未经授权的物理访问。”

Optiv的Shier补充说，尽管远程和混合办公改变了员工对办公室的看法，并可能减少了许多设施的客流量，但CISO仍然应该监督物理安全卫生的基本要素。“我们仍然需要确保办公室有充分的物理安全控制措施，”Shier指出：“即便在今天，端口安全、无线接入点安全、工卡访问控制和摄像头仍然不容忽视。”

三、阻止物理空间横向移动的“零信任”方法

当CISO在整个组织的设施中审查物理安全控制措施时，应该注意攻击者在物理空间和不同限制区域内横向移动的容易程度。Bishop Fox的红队高级安全顾问Alethe Denis表示，如果没有采取必要的措施，攻击者往往很容易潜入建筑物、仓库或服务区：“一旦对手获得对限制区域的初始访问，他们在物理空间的横向移动往往能够畅行无阻，因为大多数员工会想当然地认为攻击者被允许进入敏感区域之前已经获得了访问权限。”

就像使用微隔离和零信任身份验证来保护网络上的逻辑资产一样，企业也应该在建筑物内设置物理空间移动的“微隔离“，越接近敏感区域，控制措施越严，访问权限要求越高。Denis认为：“理想情况下，员工需要通过工卡访问楼梯、电梯区域和电梯楼层（不允许有无关人员尾随），这些物理”零信任“措施可以防止攻击者横向移动并限制其初始访问公共大厅后可能造成的破坏。”

四、保护共置和云端设施中的资产

CISO对物理安全的监督也不限于组织自己的设施。Shier解释说，CISO还需要考虑如何保护共置设施或数据中心中的资产。“在与其他公司资产共置的设施中，需要单独保护每个机架，并能够通过工卡阅读器或其他手段进行控制和审核，”Shier说，“确保数据中心配备摄像头、保安和其他控制措施也将非常重要。”

此外，即使系统的物理处理完全脱离组织（如公共云和SaaS资源），CISO仍然需要关注这些系统的物理控制方式，”Nuspire的Pedrick说，“云端并不意味着不需要物理安全。CISO需要了解云计算合同和服务水平协议的重要性，以及第三方审计结果。”

五、物理-网络连接的OT环境

除了担心物理行动如何影响网络环境外，在管理关键基础设施的组织中工作的CISO还必须能够反向操作。换句话说，他们需要考虑网络攻击活动如何可能对物理环境（例如制造装配线、发电厂、采矿作业）产生负面影响。

“工业环境中的网络攻击可能会对物理安全构成重大威胁，”Cyolo的联合创始人AlmogApirion表示，该公司专注于运营技术(OT)环境中的远程特权访问管理：“恶意行为者可以渗透设备并破坏关键基础设施，例如水处理厂或电网，造成对社区的广泛伤害。”

由于IT和OT环境已经高度融合，CISO必须注意设施内的物理—网络连接，因为可以远程控制或管理的工厂资产也可能在CISO的管辖范围内。“未经授权访问工业机械，例如锅炉或高炉，可能会导致严重的工伤事故。”Apirion解释说。

六、分布式物联网设备安全需要重点关注

与OT系统一样，物联网设备通常可以控制物理系统的重要功能。“物联网系统在信息和行动之间架起桥梁，使其成为物理攻击的诱人目标，”Radware的Taylor指出：“物联网系统可直接控制汽车、船舶、飞机、工厂、电梯等物理系统，因此必须有内部监控功能，以检测和防止恶意操作，例如未经授权的软件更改或病毒感染。最后还需要有一个灾难恢复计划，以应对物联网设备被人用弹弓打坏之类的意外事件。”

七、远程/混合办公环境中的设备锁定

传统的“网络边缘”已经发生天翻地覆的变化，因此CISO必须根据业务性质、特定上下文和可接受的风险水平设计相应的威胁模型和控制措施。安全利益相关者需要与供应链合作伙伴密切合作，以确保硬件完整性，并教育员工了解物理、个人和操作安全最佳实践。每项物理安全措施都会对网络安全产生影响，反之亦然。

后疫情时代的办公模式变化也放大了分布式设备的问题。这意味着CISO必须扩大其对远程设备的物理安全监督范围。

“远程和混合工作的普及使保护物理IT资产成为CISO面临的越来越大的挑战，”Fier解释说：“随着员工携带设备越来越多地从一个地方移动到另一个地方，设备丢失、设备滥用的风险以及被攻击者利用的机会大增。此外，随着员工越来越多地在家工作，CISO必须着手解决保护员工家用设备（例如路由器）的问题。”

Fier以最近针对小型办公室/家庭办公室路由器的Volt Typhoon黑客攻击活动为例，建议CISO向高优先级人员（例如高管和特权管理员）提供加强型家庭设备。

八、采用集中式的访问控制管理

虽然物理访问控制和建筑物保护的日常管理主要由设施团队负责，但理想情况下CISO应该参与设计，至少要了解每个设施的入口点状态。

“CISO应该与物理安全团队合作，了解物理访问控制的风险态势，”Church&Dwight的Ortiz解释说：“这包括了解进入设施是否有接待区监控或有工卡访问控制，进入设施的入口点是否使用闭路电视(CCTV)记录，工卡访问和监控录像是否记录并审查可疑活动，以及计算机网络机房数据中心区域是否具有额外的访问要求。”

CISO还应该为这些访问控制的设计提供意见，并找到将这些访问控制与逻辑访问集成的方法。这种协调可以极大地帮助调查，并使员工顺利离职。“物理访问和逻辑访问控制必须一起工作，尤其是当凭证丢失或员工被解雇时。”Ortiz说道。

九、监控系统及其数据的安全

与物理访问控制一样，视频监控系统的技术细节可能超出CISO的职责范围，但他们通常会对帮助设计和强化这些系统有浓厚的兴趣。CISO通常是隐私问题和法规方面的领域专家，可以就能拍摄什么以及如何存储数据给出专业建议。

“鉴于视频监控存在各种隐私问题、监管责任和其他敏感性，因此CISO在其管理中发挥主要作用至关重要。他们必须与其他相关团队（例如法律团队）密切合作，以确保他们的组织了解并遵守有关视频监控的法律法规，这些法律法规可能因地区而异，”Fier说。

此外，视频监控也是IT环境的一部分，这意味着这些系统是CISO需要担心的另一个网络攻击面。“办公室的CCTV摄像头通常连接到主公司网络，这使得它们不仅容易被网络上的其他用户观看，而且容易被攻击者观看，”Agility Cyber的董事Jonathan Sword解释说，这就是为什么CISO需要参与这些系统的架构设计。

十、确保调查时能够快速访问监控数据

最后，对于CISO及其事件响应团队来说，能够快速访问这些监控系统的存储记录很重要。由于一些严重的网络安全事件始于物理设施被入侵，因此应急响应人员需要能够快速将物理空间中的活动与逻辑系统上的操作联系起来。摄像头画面可以帮助弥合这一差距。

面对后疫情时代的混合办公环境、物理网络系统融合以及快速发展的威胁形势，CISO必须扩大视野，超越传统网络安全关注领域，重视物理安全问题。

通过与CSO、设施团队和其他利益相关者合作，梳理预算和责权关系，CISO可采用整体方法来管理物理和网络风险，打造适应物理网络空间新威胁的高弹性安全防御体系。