改善物理环境安全性的10个关键措施

现代企业组织在开展网络安全建设时，往往会侧重于防范网络攻击引发的风险，却容易忽视物理环境的安全性，甚至有些网络安全专业人员会认为物理环境安全与网络信息安全并不相关。但是事实上，网络安全是一个整体，只要有一个地方出现了漏洞，攻击者就有可能入侵成功，而保障物理环境安全是组织计算机网络系统安全稳定运行的前提和基础。

物理环境安全主要是指保护计算机网络设备、设施以及其他媒体免遭地震、水灾、火灾等环境事故、人为操作失误或各种计算机犯罪行为导致的破坏过程。在实际应用时，企业的物理环境安全可能面临的威胁主要包括：

ㆍ自然环境威胁：主要指洪水、地震、暴风雨、火灾、极端的气候条件等。

ㆍ供应保障系统威胁：主要指停电、空调系统、通信中断以及其他自然资源（如水、蒸汽、汽油）短缺等。

ㆍ人为威胁：未授权访问（内部的和外部的）、爆炸、恶意员工造成的错误和事故、故意破坏、欺诈、盗窃以及其他威胁。

ㆍ政治动机引发的威胁：包括罢工、暴乱、恐怖袭击等。

随着网络攻击的复杂性不断上升，攻击者开始选择更独特的攻击路径，物理环境安全成为新的突破点，其重要性也进一步凸显，企业需要更加重视物理环境安全的防护与建设。日前，“CSO在线”网站梳理了10个加强物理环境安全性的关键措施，可以为企业加强物理环境安全建设提供参考：

数据中心和敏感的IT基础设施是企业需要重点保护的物理环境因素。所采取的安全措施应因设施类型而异，可根据风险高低来扩缩规模。对于存放关键信息数据的物理环境（比如放置敏感服务器的办公室），应该实行最高等级的安全控制。因此，企业的安全管理者（CISO）必须了解数据资源的物理存储情况，评估相应的环境设施遭到破坏后带来的风险，并以此针对性地加强物理环境保护。

在现代网络攻击中，即便是最平常的办公环境，也可能成为恶意攻击者的潜入目标，甚至办公环境中的任何网络插孔都可能成为非法进入企业网络系统的通道。因此，安全运营人员应深入参与所有办公环境设施的物理安全架构和标准制定，无论其敏感度如何，以确保落实合适的纵深防御措施，防止对IT环境进行非法的物理访问。

尽管远程和混合工作在一定程度上改变了传统对办公室的定义，但CISO还是应该严格监管一些基本的物理安全工作。企业仍需要确保在办公室落实足够的物理安全控制措施，部署端口安全措施、无线接入点安全、门禁系统和摄像头在今天仍然很重要，不容忽视。

当企业审查物理环境安全的风险时，应该重点关注攻击者在企业物理空间中的横向移动和非法闯入的容易程度。一旦攻击者设法潜入了公司办公大楼、数据仓库或经营场地，就可以更容易地开展攻击活动，除非组织采取了有效的管控措施。

就像组织使用分段和零信任身份验证来保护网络中的数字资产一样，当有人在企业的办公环境中随意走动和访问时，组织应及时查证其访问权和目的，如果有人靠近最敏感的区域或房间时，需要能够及时发现确保已落实了严格的措施。

企业对物理环境安全的监管不应该局限于组织自身的办公环境中，还需要考虑如何保护位于托管数据中心或云上的资产。企业需要对每台和自身数据相关的机架设施进行保护，并能够通过远程技术手段加以控制和审计。此外，即使组织完全无法参与系统的物理安全维护工作，比如在使用公共云和SaaS资源时，CISO仍需要清楚的评估这些系统是如何加以物理控制的。此时，企业九需要了解合同和服务级别协议的重要性以及第三方审计认证的价值。

除了要思考物理中的操作会如何影响网络环境外，企业还需要考虑网络活动对物理环境（无论是生产装配线、发电厂还是采矿作业）可能造成怎样的风险影响。如今IT环境和OT环境高度融合，企业必须高度关注其设施中的物理到网络连接，即使它们不在封闭的工业环境下运营。只要物理环境中的工业控制设备可以远程控制或管理，企业就需要做好安全防护工作。未经授权使用锅炉或高炉等工业机械设备，可能导致严重的故障，甚至危及操作人员的生命安全。

说到物理/网络连接，现代企业需要考虑的一个重点物理环境安全考量因素就是如何保护分布广泛的物联网设备。与OT系统一样，物联网系统可以控制汽车、轮船、飞机、工厂和电梯等多种设备。这些设备必须有内部监测功能，以检测和防止恶意操作，比如未经授权的软件更改或病毒感染。万一有人破坏了物联网设备，就必须有灾难响应和恢复的预案。

网络的传统边缘已发生了变化，因此企业必须考虑适用于组织业务、特定环境以及可接受风险水平的威胁模型和控制措施。所有利益相关者都需要与供应链合作伙伴密切合作，以确保物理环境的完整性，因为每个人都对企业的网络安全产生影响，反之亦然。

考虑到现代企业高度分散的办公环境。这意味着企业必须扩大对远程设备的物理安全监管范围，建议将经过加固的设备发放给公司高管和系统管理员等拥有特权的重要人员。

不管是由哪个部门负责物理访问控制和楼宇保护的日常管理，企业的网络安全团队都应该全面参与设计，起码了解每个设施入口点的防护状况。特别是对CISO而言，应该充分了解企业物理环境中的访问控制风险状况，包括外部人员进入组织是否有监控或门禁，办公场地入口点是否使用闭路电视进行摄录，是否记录并审查门禁和闭路电视查找可疑活动，以及数据中心区域的计算机网络柜是否有额外的门禁要求。

企业应该将这些访问控制方法整合到统一的逻辑访问控制中。这种整合可以将物理访问控制和逻辑访问控制统一协同起来，尤其是在访问凭据丢失或员工被解雇的情况下。

与物理环境的访问控制一样，安防监控系统的日常管理可能不属于安全团队的职责范围，但他们应该帮助设计和加固这类系统。CISO通常是组织中隐私问题和监管方面的专家，因此他们会帮助建议哪些可以监控、哪些不可以监控以及如何存储数据。

考虑到视频监控系统会带来的各种隐私问题、监管责任及其他敏感问题，CISO应该在管理方面起到了重要作用。他们必须与其他相关部门（比如法务团队）密切合作，以确保组织了解并遵守视频监控方面的法律法规。

此外，现代视频监控也是IT环境的一部分，这意味着此类系统是安全运营团队需要担心的另一个网络攻击面。经常会发现办公室的闭路电视摄像头连接到主要的公司网络，这使得它们很容易被网络上的其他用户监视，也很容易被威胁分子监视。

最后，如何整合所有的物理环境安全管控数据也是企业需要重要考虑因素。由于一些严重的破坏可能归因于对物理设施的初始入侵，因此响应人员需要能够轻松地将物理空间中的活动与逻辑系统上的活动联系起来，而全面的数据整合有助于弥合这个差距。