等级测评高风判险定：物理访问控制

6.1.1物理访问控制

6.1.1.1机房出入口访问控制措施缺失

本判例包括以下内容：

a)标准要求：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。

b)适用范围：第三级及以上定级对象。

c)问题描述：机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态），且机房门口无专人值守等。

d)可能的缓解措施：所在机房的大楼处于受控区域，且机房门口设有专人值守的视频监控系统。

e)风险评价：机房出入口无任何访问控制措施，但机房所在的大楼处于受控区域，机房门口设有专人值守的视频监控系统，可根据实际措施效果酌情降低风险等级。

6.1.2防火

6.1.2.1机房防火措施缺失

本判例包括以下内容：

a)标准要求：机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火。

b)适用范围：第三级及以上定级对象。

c)问题描述：

1)机房无任何有效消防措施，例如无检测火情、感应报警设施，机房专用的手提式灭火器（二氧化碳、洁净气体等）等灭火设置已失效或无法正常使用等情况；

2)机房所采取的灭火系统或设备不符合国家的相关规定。

d)可能的缓解措施：机房安排专人值守或机房内设置了专人值守的视频监控系统。

e)风险评价：机房无有效消防措施或所采取的灭火系统或设备不符合国家的相关规定，但机房安排专人值守或机房内设置了专人值守的视频监控系统，可根据实际措施效果酌情降低风险等级。

6.1.3电力供应

6.1.3.1机房短期备用电力供应措施缺失

本判例包括以下内容：

a)标准要求：应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。

b)适用范围：业务连续性要求高的第三级及以上定级对象。

c)问题描述：

1)机房无短期备用电力供应设备，例如UPS、柴油发电机、应急供电车等；

2)供应设备无法满足短期正常运行。

d)可能的缓解措施：机房配备多路供电。

e)风险评价：机房无短期备用电力供应设备或供应设备无法满足短期正常运行，但机房配备多路供电，可根据实际措施效果酌情降低风险等级。

注：业务连续性要求高一般是指该网络或系统中断后，相关业务无法开展，对运营者或其他组织、社会秩序、公共利益造成较大影响的，如银行业务类系统、电力供应业务类系统等。（以下同）

6.1.3.2机房应急供电措施缺失

本判例包括以下内容：

a)标准要求：应提供应急供电设施。

b)适用范围：业务连续性要求高的第四级定级对象。

c)问题描述：

1)机房未配备应急供电设施，例如柴油发电机、应急供电车等；

2)应急供电设施不可用，无法满足定级对象正常运行需求。

d)可能的缓解措施：采用多数据中心方式部署，且通过技术手段实现应用级灾备。

e)风险评价：若机房未配备应急供电设施或机房应急供电设施不可用，但采用多数据中心方式部署，且通过技术手段实现应用级灾备，可根据实际措施效果酌情降低风险等级。

原文始发于微信公众号（河南等级保护测评）：等级测评高风判险定：物理访问控制